Betroffenenrechte im Unternehmensalltag: Was hinter einer scheinbar harmlosen E-Mail steckt
Montagmorgen im Kundenservice. Im allgemeinen Postfach info@unternehmen.de landet eine Nachricht eines ehemaligen Kunden: „Guten Tag, ich möchte gerne wissen, welche Daten Sie noch von mir gespeichert haben. Meine alte Anschrift stimmt übrigens nicht mehr. Eigentlich können Sie meine Daten auch löschen, da ich schon seit zwei Jahren kein Kunde mehr bin.“
Für den Mitarbeiter klingt das zunächst nach einer gewöhnlichen Anfrage. Vielleicht wird sie an die Buchhaltung weitergeleitet, vielleicht bleibt sie ein paar Tage liegen. Datenschutzrechtlich steckt in diesen wenigen Sätzen jedoch einiges: Der Kunde verlangt Auskunft, weist auf unrichtige Daten hin und verlangt zusätzlich deren Löschung – gleich drei Betroffenenrechte in einer einzigen E-Mail. Eine bestimmte Formulierung wie „Hiermit mache ich mein Recht aus Art. 15 DSGVO geltend“ braucht es dafür nicht. Und ab Eingang läuft eine Frist.
Genau darum geht es in der Praxis meistens wirklich: nicht darum, jedes Recht juristisch bis ins Detail zu kennen, sondern darum, eine Anfrage überhaupt zu erkennen, sie an die richtige Stelle zu bringen, die Identität angemessen zu prüfen, Fristen einzuhalten und im Zweifel nachweisen zu können, was wann getan wurde.
Die DSGVO gibt jeder Person, deren Daten verarbeitet werden, konkrete Möglichkeiten, auf diese Verarbeitung Einfluss zu nehmen – ob Kunde, Mitarbeiter, Bewerber oder Webseitenbesucher. Die zentralen Regelungen dazu finden sich in Kapitel III der DSGVO: das Recht auf Auskunft (Art. 15), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20) sowie das Widerspruchsrecht (Art. 21) und Sonderregeln für automatisierte Entscheidungen einschließlich Profiling (Art. 22). Hinzu kommen das Beschwerderecht bei einer Aufsichtsbehörde (Art. 77), der gerichtliche Rechtsbehelf (Art. 79) und der Anspruch auf Schadensersatz (Art. 82).
Nicht jedes dieser Rechte besteht in jeder Situation – ein Löschungsanspruch kann etwa an gesetzlichen Aufbewahrungspflichten scheitern. Für die Praxis ist diese Unterscheidung aber zunächst zweitrangig. Entscheidend ist zuerst, dass eine Anfrage überhaupt erkannt und erfasst wird. Erst danach wird geprüft, welches Recht konkret geltend gemacht wird und ob seine Voraussetzungen vorliegen.
Die DSGVO gibt betroffenen Personen verschiedene Rechte gegenüber Unternehmen und anderen Verantwortlichen. Dazu gehören insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch sowie Schutz vor bestimmten automatisierten Entscheidungen. Hinzu kommen unter anderem Beschwerde-, Rechtsbehelfs- und Schadensersatzrechte.
Art. 12 DSGVO: die eigentliche Verfahrensordnung
Wer sich nur mit den Art. 15 bis 22 DSGVO beschäftigt, übersieht einen der wichtigsten Artikel für die tägliche Bearbeitung: Art. 12 DSGVO. Dort steht das „Drumherum“ der Betroffenenrechte – wie kommuniziert werden muss, welche Frist gilt, wann sie verlängert werden darf, wann ein Entgelt verlangt werden darf und unter welchen Voraussetzungen zusätzliche Angaben zur Identitätsprüfung zulässig sind. Art. 12 Abs. 2 DSGVO verpflichtet Unternehmen dabei ausdrücklich, die Ausübung der Rechte zu erleichtern.
Das ist praktisch wichtiger, als es klingt. Ein Unternehmen darf zwar einen bequemen Weg für Anfragen anbieten, etwa eine eigene E-Mail-Adresse oder ein Onlineformular. Dieser Weg darf aber nicht zur künstlichen Zugangshürde werden. Eine Anfrage, die auf einem anderen üblichen Kommunikationsweg eingeht – im Kundenservice, beim Vertrieb, in der Personalabteilung –, kann nicht mit dem Hinweis abgewiesen werden, man möge doch bitte das Datenschutzformular benutzen. Auch der Europäische Datenschutzausschuss geht davon aus, dass Unternehmen ihre Prozesse so organisieren müssen, dass Anfragen auf jedem üblichen Kanal erkannt und bearbeitet werden können.
Daraus folgt eine wichtige organisatorische Konsequenz: Nicht nur der Datenschutzbeauftragte muss Anfragen erkennen können. Zumindest Empfang, Kundenservice, Vertrieb, Personalabteilung und alle Mitarbeiter, die allgemeine E-Mail-Postfächer betreuen, benötigen dafür ein Grundverständnis. Denn eine Anfrage braucht keine Zauberformel: „Was haben Sie eigentlich alles über mich gespeichert?“ ist ebenso ein Auskunftsersuchen wie die förmliche Berufung auf Art. 15 DSGVO. Und „Bitte schicken Sie mir keine Werbung mehr“ kann – je nach Zusammenhang – ein Widerspruch gegen Direktwerbung sein.
Die Monatsfrist – und was gern verwechselt wird
Nach Art. 12 Abs. 3 DSGVO müssen Informationen über die ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang zur Verfügung gestellt werden. Zwei Dinge werden dabei häufig durcheinandergebracht. Erstens: Ein Monat ist nicht dasselbe wie 30 Tage. Geht ein Antrag am 8. September ein, ist der 8. Oktober das maßgebliche Datum – nicht der 7. Zweitens: Die Monatsfrist ist die äußerste Regelfrist, keine Erlaubnis, jede Anfrage einen Monat liegen zu lassen. Art. 12 DSGVO verlangt zusätzlich eine Bearbeitung ohne unangemessene Verzögerung – eine einfache Korrektur einer Telefonnummer braucht deutlich weniger Zeit als eine umfassende Auskunft über einen langjährigen Mitarbeiter.
Bei Bedarf lässt sich die Frist um zwei weitere Monate verlängern, wenn Komplexität oder Anzahl der Anträge dies rechtfertigen – etwa bei einer Auskunftsanfrage, deren Daten über viele Systeme verteilt sind. Eine Verlängerung darf aber nicht zur Standardlösung werden, nur weil gerade Urlaubszeit ist oder Personal fehlt. Wird verlängert, muss die betroffene Person innerhalb des ersten Monats über die Verlängerung und die Gründe informiert werden.
Die Monatsfrist nach Art. 12 DSGVO beginnt mit Eingang der Betroffenenanfrage. Ein Antrag vom 8. September 2026 ist grundsätzlich bis zum 8. Oktober 2026 zu bearbeiten – ein Monat ist dabei nicht mit pauschal 30 Tagen gleichzusetzen. Eine Verlängerung um bis zu zwei weitere Monate ist nur unter bestimmten Voraussetzungen möglich.
Identität prüfen, aber nicht mehr verlangen als nötig
Ein Unternehmen muss sicherstellen, dass es Daten nicht versehentlich an einen Unbefugten herausgibt. Gleichzeitig soll die Ausübung von Betroffenenrechten möglichst einfach bleiben. Art. 12 Abs. 6 DSGVO erlaubt zusätzliche Informationen zur Identitätsbestätigung deshalb nur, wenn begründete Zweifel an der Identität bestehen – es gibt keine Pflicht, bei jeder Anfrage vorsorglich eine Ausweiskopie zu verlangen.
Sinnvoll ist ein abgestuftes Vorgehen: Meldet sich ein Kunde aus seinem eingeloggten Konto oder von der seit Jahren bekannten E-Mail-Adresse, reichen die vorhandenen Mechanismen meist aus. Kommt dagegen eine Anfrage von einer bislang unbekannten Adresse und wird eine vollständige Auskunft einschließlich vertraulicher Informationen verlangt, ist eine weitergehende Prüfung angezeigt. Entscheidend sind das Risiko einer Fehlidentifizierung, die Sensibilität der Daten und die bereits vorhandenen Möglichkeiten zur Identifizierung – etwa eine Kundennummer, ein bereits authentifiziertes Konto oder eine Rückfrage zu Informationen, die nur der tatsächliche Vertragspartner kennen dürfte.
Dass Aufsichtsbehörden das ernst nehmen, zeigt ein finnischer Fall aus dem Jahr 2022: Ein Medienunternehmen musste ein Bußgeld von 85.000 Euro zahlen, weil es gleich in zwei Punkten übers Ziel hinausschoss – zum einen verlangte es für Auskunftsanfragen ein Formular mit Unterschriftspflicht, ohne diese Unterschrift überhaupt abgleichen zu können, zum anderen war das zuständige Datenschutzpostfach durch einen technischen Fehler sieben Monate lang nicht erreichbar, ohne dass es jemandem auffiel. Beide Mängel wurden in derselben Entscheidung geahndet – ein anschauliches Beispiel dafür, wie eng Datenminimierung bei der Identitätsprüfung und funktionierende Erreichbarkeit zusammenhängen.
Formlos, ohne Begründungspflicht – und trotzdem strukturiert bearbeiten
Eine betroffene Person muss grundsätzlich nicht erklären, warum sie ihr Recht ausübt. Der EuGH hat das im Urteil vom 26. Oktober 2023 (C-307/22) noch einmal deutlich gemacht: Ein Patient, der Einsicht in seine Akte verlangte, um mögliche Haftungsansprüche zu prüfen, musste seinen Antrag nicht mit einem datenschutzrechtlichen Zweck begründen – und die erste Kopie war ihm ohnehin kostenlos zur Verfügung zu stellen. Genau das ist auch die Grundregel des Art. 12 Abs. 5 DSGVO: Betroffenenrechte sind unentgeltlich. Nur bei offenkundig unbegründeten oder exzessiven Anträgen darf ein Entgelt verlangt oder die Bearbeitung verweigert werden – wobei das Unternehmen die Beweislast dafür trägt, und allein der Umstand, dass eine Anfrage viel Arbeit macht, reicht dafür nicht aus.
Auch eine Ablehnung braucht eine Antwort. Kommt ein Unternehmen zu dem Ergebnis, dass eine Löschung wegen einer Aufbewahrungspflicht nicht möglich ist, reicht es nicht, den Vorgang intern abzulegen: Nach Art. 12 Abs. 4 DSGVO muss die betroffene Person innerhalb eines Monats über die Gründe sowie über die Möglichkeit einer Beschwerde informiert werden. Und selbst wenn ein Unternehmen zu einer Person gar keine Daten verarbeitet, muss diese Negativauskunft aktiv mitgeteilt werden.
Wichtig ist außerdem, dass die Rechte anderer Personen dabei geschützt bleiben. Enthält ein Dokument auch Daten Dritter, darf es nicht automatisch komplett zurückgehalten werden – oft reichen Schwärzungen oder eine Trennung der Informationen. Der EuGH hat dazu in seinem Urteil vom 4. Mai 2023 (C-487/21) klargestellt, dass eine „Kopie“ eine originalgetreue und verständliche Reproduktion der personenbezogenen Daten ermöglichen muss, was im Einzelfall auch Auszüge oder ganze Dokumente einschließen kann. Und mit Urteil vom 12. Januar 2023 (C-154/21) hat der EuGH entschieden, dass bei einer Auskunft über Empfänger grundsätzlich die konkreten Empfänger zu nennen sind – die bloße Nennung von Kategorien reicht nicht ohne Weiteres aus.
Warum der Prozess wichtiger ist als die Paragrafenkenntnis
Gerade in kleinen und mittleren Unternehmen sind Betroffenenanfragen selten – und genau das macht sie organisatorisch gefährlich. Wenn nur einmal im Jahr eine Auskunftsanfrage eingeht, erinnert sich oft niemand mehr an die Zuständigkeit, die Vertretung ist nicht geregelt, das Datenschutzpostfach wurde monatelang nicht kontrolliert. Ein belgischer Fall aus dem August 2024 zeigt, wohin das führen kann: Ein Telekommunikationsunternehmen beantwortete eine Auskunftsanfrage eines Kunden erst 14 Monate nach Eingang – die belgische Aufsichtsbehörde verhängte dafür ein Bußgeld von 100.000 Euro. Die Lehre daraus ist nicht, dass jedes Unternehmen komplizierte Software braucht, sondern schlicht: Eine Betroffenenanfrage darf organisatorisch nicht verloren gehen.
Ein tragfähiger Prozess braucht dafür im Kern nicht mehr als:
eine klare Zuständigkeit mit geregelter Vertretung,
geschulte Mitarbeiter an allen typischen Eingangskanälen (Empfang, Kundenservice, Personalabteilung, Vertrieb),
ein aktuelles Verzeichnis der Verarbeitungstätigkeiten als „Landkarte“, in der schnell erkennbar ist, wo welche Daten liegen,
eine funktionierende, dokumentierte Fristenkontrolle ab Eingang der Anfrage,
ein abgestuftes, dokumentiertes Verfahren zur Identitätsprüfung,
sichere Übermittlungswege, die zur Sensibilität der Daten passen, und
eine nachvollziehbare Dokumentation von Entscheidung und Begründung.
Sind diese Bausteine vorhanden, verliert auch eine umfangreiche Anfrage viel von ihrem Schrecken. Am besten lässt sich das im Vorfeld testen: eine fiktive Anfrage einmal komplett durchspielen – wo landet sie, wer erkennt sie, wer notiert die Frist, wie wird die Identität geprüft, wer prüft die Antwort vor dem Versand. Genau dort werden Schwachstellen sichtbar, und zwar bevor die Monatsfrist tatsächlich läuft.
Zusammenfassung
Die einzelnen Betroffenenrechte unterscheiden sich in ihren Voraussetzungen erheblich, doch für ihre Bearbeitung gelten gemeinsame Grundregeln: Anfragen dürfen formlos gestellt werden und können auf praktisch jedem üblichen Kommunikationsweg auftauchen, sie müssen deshalb zuverlässig erkannt und weitergeleitet werden, Art. 12 DSGVO verlangt eine verständliche Kommunikation ohne unangemessene Verzögerung und spätestens innerhalb eines Monats, und die Identitätsprüfung muss verhältnismäßig bleiben – ein Ausweis ist kein Standardformular für Betroffenenrechte. Wer diese organisatorischen Grundlagen einmal sauber aufsetzt, macht aus den Betroffenenrechten keinen Ausnahmefall mehr, sondern einen normalen betrieblichen Vorgang.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
