Der Grundsatz der Richtigkeit nach der DSGVO: Wenn falsche Daten zum echten Problem werden
Ein mittelständisches Unternehmen zahlt seinen Mitarbeitern einmal jährlich eine Treueprämie, deren Höhe sich nach der Betriebszugehörigkeit richtet. Bei einem Mitarbeiter ist im System jedoch der 1. April 2024 als Eintrittsdatum hinterlegt – tatsächlich arbeitet er bereits seit 2014 im Unternehmen. Die Folge: Er erhält jahrelang eine deutlich zu geringe Prämie, bis er den Fehler selbst bemerkt.
Auf den ersten Blick wirkt die Lösung simpel: Datum korrigieren, Prämie neu berechnen, fertig. Datenschutzrechtlich steckt darin jedoch mehr. Die entscheidende Frage ist nicht nur, was das Unternehmen tun muss, nachdem der Fehler entdeckt wurde. Viel wichtiger ist die Frage, warum ein falsches Datum zehn Jahre lang unbemerkt blieb und ungeprüft in eine Entscheidung einfließen konnte. Genau hier setzt der Grundsatz der Richtigkeit an.
Der Grundsatz der Richtigkeit ist in Art. 5 Abs. 1 lit. d) DSGVO geregelt. Danach müssen personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Außerdem müssen alle angemessenen Maßnahmen getroffen werden, damit Daten, die im Hinblick auf ihren Verarbeitungszweck unrichtig sind, unverzüglich gelöscht oder berichtigt werden.
Wichtig ist dabei die Formulierung „im Hinblick auf die Zwecke ihrer Verarbeitung“. Richtigkeit lässt sich nämlich nicht losgelöst vom Verwendungszweck beurteilen – ein Punkt, der in der Praxis häufig übersehen wird.
Richtig bedeutet nicht automatisch aktuell
Ein Beispiel macht das deutlich: In einem Kundenkonto steht eine Adresse, der Kunde ist inzwischen umgezogen. Ist die gespeicherte Adresse damit falsch? Das hängt vom Zweck ab. Soll morgen ein Paket verschickt werden, ist die alte Adresse ungeeignet. Handelt es sich dagegen um die Rechnungsanschrift einer Rechnung aus dem Jahr 2021, ist gerade die damalige Anschrift die richtige Information – würde sie nachträglich durch die neue ersetzt, entstünde sogar ein historisch falsches Dokument.
„Aktuell“ bedeutet also nicht, dass alte Informationen überall durch neue ersetzt werden müssen. Entscheidend ist, ob eine Information für den konkreten Zweck, für den sie verarbeitet wird, sachlich richtig ist. Auch der Europäische Gerichtshof hat diese Zweckbezogenheit zuletzt im Urteil „Deldits“ (C-247/23, 13. März 2025) erneut betont.
Diese Unterscheidung gilt auch für die Aktualisierungspflicht selbst: Ein Geburtsdatum ist eine statische Information, die nach korrekter Ersterfassung keine regelmäßige Prüfung braucht. Eine Telefonnummer, eine Bankverbindung oder eine Position im Unternehmen können sich dagegen ändern. Die DSGVO verlangt trotzdem keine pauschale, etwa vierteljährliche Kontrolle sämtlicher Kontaktdaten – das Wort „erforderlichenfalls“ verhindert eine solche Pflicht. Wie intensiv Daten aktuell gehalten werden müssen, hängt davon ab, wofür sie verwendet werden und welche Folgen eine falsche Information haben kann. Bei einer Bankverbindung, auf die monatlich Gehalt überwiesen wird, gelten andere Maßstäbe als bei einer längst nicht mehr genutzten Mobilnummer eines ehemaligen Interessenten.
Keine fehlerfreie Welt, aber angemessene Maßnahmen
Muss ein Unternehmen garantieren, dass jede Information in jedem System zu jedem Zeitpunkt richtig ist? Eine solche absolute Garantie lässt sich aus Art. 5 Abs. 1 lit. d) DSGVO nicht ableiten. Verlangt werden alle angemessenen Maßnahmen – ein wichtiger Unterschied. Auch in einem gut organisierten Unternehmen kann sich ein Mitarbeiter vertippen oder ein Kunde eine veraltete Nummer angeben. Entscheidend ist deshalb nicht allein, ob irgendwo ein falscher Datensatz entstanden ist, sondern welche Vorkehrungen getroffen wurden, um Fehler zu vermeiden, zu erkennen und zu korrigieren. Genau darin liegt der Unterschied zwischen einem unvermeidbaren Einzelfehler und einem strukturellen Datenschutzproblem – etwa wenn mehrere Abteilungen unabhängig voneinander Kundendaten pflegen, Änderungen nicht synchronisiert werden und niemand weiß, welcher Datensatz maßgeblich ist.
Der Europäische Datenschutzausschuss verknüpft die Richtigkeit ausdrücklich mit dem Datenschutz durch Technikgestaltung nach Art. 25 DSGVO. Datenschutz beginnt damit nicht erst beim Berichtigungsprozess, sondern bereits bei der Frage, wie Daten in ein System hineinkommen: Ein Freitextfeld für Geburtsdaten ist fehleranfälliger als ein Datumsfeld, eine manuell übertragene Kundennummer erzeugt eher Zuordnungsfehler als eine automatisierte Übernahme, und wer dieselbe Adresse unabhängig voneinander in CRM, Warenwirtschaft und Newslettersoftware pflegt, riskiert widersprüchliche Datenstände.
Wenn aus Daten Entscheidungen werden
Besonders wichtig wird Richtigkeit, wenn Daten Grundlage einer Entscheidung über Menschen sind – etwa bei Bonitätsinformationen, Arbeitszeitdaten, Provisionsberechnungen oder eben dem eingangs genannten Eintrittsdatum. Für solche Prozesse lohnt sich weniger die Frage „Sind unsere Daten richtig?“, sondern die konkretere Frage: Was passiert, wenn genau dieses Datenfeld falsch ist?
Eine besondere Schwierigkeit entsteht bei Bewertungen und Einschätzungen. Der EuGH hat sich damit bereits in der Rechtssache Nowak (C-434/16) befasst und klargestellt, dass sich das Berichtigungsrecht nicht dazu eignet, eine in einer Prüfung falsch gegebene Antwort nachträglich richtigzustellen – die gespeicherte Antwort dokumentiert schließlich, was tatsächlich geantwortet wurde. Übertragen auf den Unternehmensalltag: Der Satz „Vorgesetzter bewertete die Präsentationsfähigkeit mit mangelhaft“ kann sachlich richtig sein, wenn genau diese Bewertung abgegeben wurde – ob sie inhaltlich gerechtfertigt war, ist eine andere Frage. Wichtig ist deshalb, subjektive Einschätzungen auch als solche zu kennzeichnen und nicht wie feststehende Tatsachen zu dokumentieren.
Auch Automatisierung verschärft das Thema: Ein Mensch erkennt manchmal, dass ein Ergebnis unplausibel ist – ein automatisierter Prozess übernimmt dagegen meist einfach den vorhandenen Datenbestand, sodass sich ein einzelner Tippfehler tausendfach fortpflanzt. Bei KI-gestützter Verarbeitung reicht es deshalb nicht, offensichtliche Fehler mit dem Hinweis abzutun, ein System mache eben Fehler. Auch hier braucht es geeignete Verfahren zur Kontrolle und Korrektur.
Vom falschen Datensatz zur falschen Entscheidung: Die Grafik zeigt, wie ein fehlerhaft hinterlegtes Eintrittsdatum automatisiert in weitere Systeme übernommen wird und schließlich zu einer falschen Prämienberechnung führt. Der Abgleich mit dem Originaldokument macht die Abweichung sichtbar.
Was Aufsichtsbehörden daraus machen
Verstöße gegen den Grundsatz der Richtigkeit sind keine Theorie. Beim griechischen Telekommunikationsanbieter OTE sorgte ein Systemfehler dafür, dass Kunden zwar intern weiterhin mit ihrer Werbesperre geführt wurden, die an Werbepartner übermittelte Liste aber einen anderen Datenstand enthielt – Ergebnis: 200.000 Euro Bußgeld. Bei der National Bank of Greece führte eine fehlerhafte Konfiguration dazu, dass ein Bankkonto mit der Mobilnummer einer falschen Person verknüpft war und Zahlungen beim falschen Empfänger landeten – Bußgeld: 100.000 Euro, zuzüglich einer weiteren Sanktion wegen des Auskunftsrechts. Bei der Reederei Viking Line waren über Jahre teils unzutreffende Diagnosedaten von Mitarbeitern gespeichert. Die finnische Aufsicht verhängte 230.000 Euro. Und eine litauische Gemeindeverwaltung musste 15.000 Euro zahlen, weil bei einer automatischen Datenaktualisierung die Kontaktdaten eines Antragstellers versehentlich durch die eines biologischen Elternteils ersetzt wurden.
Der gemeinsame Nenner dieser Fälle ist selten ein einzelner Tippfehler. Das eigentliche Problem ist fast immer, dass zwei Systeme unterschiedliche Datenstände enthielten und niemand die Abweichung bemerkte. Genau solche Konstellationen finden sich auch in deutlich kleineren Unternehmen: eine Adresse im CRM, eine andere in der Warenwirtschaft und ein Werbewiderspruch im Newslettertool, der im CRM fehlt.
Die Rechte der Betroffenen
Neben der Pflicht des Unternehmens aus Art. 5 DSGVO steht der betroffenen Person mit Art. 16 DSGVO ein eigenes Berichtigungsrecht zu. Ein Unternehmen kann sich also nicht darauf zurückziehen, erst tätig zu werden, wenn sich jemand meldet – Art. 5 Abs. 1 lit. d) DSGVO setzt bereits früher an. Wird die Richtigkeit streitig, kann die betroffene Person nach Art. 18 Abs. 1 lit. a) DSGVO für die Dauer der Prüfung eine Einschränkung der Verarbeitung verlangen. Die Daten bleiben dann zwar gespeichert, dürfen aber nicht mehr wie gewohnt genutzt werden. Und wurden fehlerhafte Daten bereits an Dritte weitergegeben, verpflichtet Art. 19 DSGVO dazu, auch diese Empfänger über die Korrektur zu informieren – eine im Alltag oft übersehene Pflicht, denn eine im CRM korrigierte Adresse nützt wenig, wenn Warenwirtschaft, Versanddienstleister oder externe Lohnabrechnung weiterhin den alten Stand führen.
Was das für die Praxis bedeutet
Eine abstrakte Richtlinie mit dem Satz „Personenbezogene Daten müssen stets richtig sein“ hilft im Arbeitsalltag wenig. Wirkungsvoller ist es, die eigenen Verarbeitungstätigkeiten gezielt durchzugehen und dabei vor allem folgende Fragen zu klären:
Welche Datenfelder sind besonders entscheidungsrelevant – etwa Bankverbindungen, Vertragsstatus, Eintritts- und Austrittsdaten oder Werbewidersprüche?
Woher stammen diese Daten – Eingabe durch Mitarbeiter, Angabe des Kunden, Übernahme aus einem anderen System oder von einem Dienstleister?
Wo werden sie gespeichert und wohin fließen sie weiter – gerade hier zeigen sich in der Praxis oft überraschende Mehrfachspeicherungen.
Welches System ist die führende Datenquelle, wenn dieselbe Information mehrfach vorhanden ist?
Welche Kontrollen verhindern offensichtliche Fehler – etwa Plausibilitätsprüfungen, Pflichtfelder oder automatische Abgleiche?
Wie wird mit gemeldeten Fehlern und streitigen Daten umgegangen, insbesondere im Hinblick auf eine mögliche Einschränkung der Verarbeitung?
Eine starre jährliche Kontrolle sämtlicher Daten verlangt die DSGVO nicht. Sinnvoller ist eine risikoorientierte, zweckbezogene Lösung: Bei manchen Daten reicht es, Änderungen zu übernehmen, sobald sie bekannt werden. Bei besonders betrugsanfälligen Daten wie Lieferanten-Bankverbindungen kann dagegen eine zusätzliche Verifizierung sinnvoll sein.
Was passiert nach Entdeckung eines Fehlers? Die Grafik zeigt den empfohlenen Ablauf von der Prüfung der Datenrichtigkeit über eine mögliche Einschränkung der Verarbeitung und die Berichtigung bis zur Aktualisierung verbundener Systeme sowie zur Information externer Empfänger.
Zusammenfassung
Der Grundsatz der Richtigkeit klingt zunächst selbstverständlich – kein Unternehmen möchte bewusst mit falschen Daten arbeiten. Die DSGVO macht daraus jedoch eine konkrete organisatorische Pflicht: Personenbezogene Daten müssen im Hinblick auf ihren jeweiligen Zweck sachlich richtig sein, und Unternehmen dürfen nicht nur darauf warten, dass Kunden oder Mitarbeiter Fehler selbst entdecken. Wie weit die dafür nötigen Maßnahmen gehen müssen, hängt vom Verarbeitungszweck und den möglichen Folgen eines Fehlers ab. Nicht jeder Datensatz muss ständig kontrolliert werden – aber bei jeder Verarbeitung sollte klar sein, wie verhindert wird, dass für den jeweiligen Zweck relevante falsche Daten unbemerkt weiterverarbeitet werden.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
