Betroffenenrechte nach DSGVO: Fristen, Ausnahmen und ein belastbarer Bearbeitungsprozess

Betroffenenrechte nach DSGVO sind für Unternehmen der Teil des Datenschutzrechts, der am unmittelbarsten spürbar wird, weil er nicht in der Dokumentation verbleibt, sondern mit einer Frist und einem konkreten Anspruchsteller auftritt. Ein Verzeichnis von Verarbeitungstätigkeiten lässt sich nachträglich erstellen. Ein Auskunftsverlangen, das seit fünf Wochen unbeantwortet im Postfach eines Sachbearbeiters liegt, lässt sich nicht nachträglich heilen. Die Anspruchsteller sind dabei längst nicht mehr nur Kunden: Ehemalige Beschäftigte, abgelehnte Bewerber und Vertragspartner in laufenden Auseinandersetzungen nutzen die Rechte regelmäßig, teils mit dem Ziel, Informationen für andere Verfahren zu erlangen.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Andrew Neel auf Unsplash.

Der Katalog der Rechte im Überblick

Die Datenschutz-Grundverordnung gewährt betroffenen Personen mehrere eigenständige Rechte, die unabhängig voneinander geltend gemacht werden können. Sie richten sich gegen den Verantwortlichen, nicht gegen den Auftragsverarbeiter. Wer als Dienstleister ein Verlangen erhält, muss es an den Verantwortlichen weiterleiten und darf es grundsätzlich nicht selbst beantworten.

Recht	Norm	Kern des Anspruchs	Praktische Hürde
Auskunft	Art. 15	Bestätigung, Kopie der Daten und Begleitinformationen	Vollständigkeit über alle Systeme hinweg
Berichtigung	Art. 16	Korrektur unrichtiger, Ergänzung unvollständiger Daten	Durchreichen an Empfänger
Löschung	Art. 17	Entfernung bei Wegfall des Zwecks oder Widerruf	gesetzliche Aufbewahrungspflichten
Einschränkung	Art. 18	Sperrung statt Löschung in Streitfällen	technische Umsetzung im System
Datenübertragbarkeit	Art. 20	Herausgabe in maschinenlesbarem Format	nur bei Einwilligung oder Vertrag
Widerspruch	Art. 21	Beendigung der Verarbeitung, absolut bei Direktwerbung	Abwägung dokumentieren
Automatisierte Entscheidung	Art. 22	Recht auf menschliche Prüfung	Erkennen betroffener Verfahren

Ergänzend besteht nach Artikel 19 die Pflicht, Berichtigung, Löschung und Einschränkung allen Empfängern mitzuteilen, denen die Daten offengelegt wurden, sofern dies nicht unmöglich ist oder unverhältnismäßigen Aufwand erfordert. Diese Weitergabepflicht wird in der Praxis am häufigsten übersehen, weil die Empfängerliste selten gepflegt vorliegt.

Fristen und Formalien

Nach Artikel 12 Absatz 3 ist unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags, zu reagieren. Die Frist beginnt mit dem Eingang beim Unternehmen, nicht mit der internen Weiterleitung an die zuständige Stelle. Eine Verlängerung um zwei weitere Monate ist möglich, setzt aber voraus, dass die betroffene Person innerhalb des ersten Monats über die Verlängerung und deren Gründe unterrichtet wird. Wird diese Mitteilung versäumt, ist die Verlängerung unwirksam.

Für die Form gilt: Es besteht kein Formzwang. Ein Verlangen kann telefonisch, per E-Mail, über soziale Netzwerke oder mündlich im Ladengeschäft gestellt werden. Der Verweis auf ein bereitgestelltes Formular ist zulässig als Serviceangebot, darf aber nicht zur Voraussetzung gemacht werden. Ebenso wenig muss die betroffene Person ihr Verlangen begründen oder die einschlägige Norm benennen. Eine Nachricht mit dem Inhalt, man wolle wissen, welche Daten gespeichert sind, löst die volle Auskunftspflicht aus.

Identität prüfen, ohne zu viel zu verlangen

Bestehen begründete Zweifel an der Identität, dürfen nach Artikel 12 Absatz 6 zusätzliche Informationen angefordert werden. Der Maßstab ist Verhältnismäßigkeit. Die pauschale Anforderung einer Ausweiskopie ist regelmäßig unzulässig, insbesondere wenn das Verlangen aus einer im System hinterlegten E-Mail-Adresse stammt. Angemessen sind Rückfragen zu bekannten Vertragsdaten, etwa Kunden- oder Personalnummer, oder eine Bestätigung über die hinterlegte Adresse. Die Identitätsprüfung hemmt die Monatsfrist nicht automatisch, sie sollte daher unverzüglich erfolgen.

Auskunft: Umfang und Grenzen

Der Auskunftsanspruch umfasst zwei Bestandteile: die Kopie der personenbezogenen Daten und die Begleitinformationen nach Artikel 15 Absatz 1, darunter Verarbeitungszwecke, Kategorien der Daten, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer, die bestehenden Rechte sowie die Herkunft der Daten, wenn sie nicht bei der betroffenen Person erhoben wurden.

Umstritten und praktisch bedeutsam ist der Umfang bei internen Vermerken, E-Mail-Korrespondenz und Gesprächsnotizen. Die Rechtsprechung legt den Begriff der personenbezogenen Daten weit aus; auch Bewertungen und Einschätzungen können erfasst sein. Auf der anderen Seite besteht kein Anspruch auf Herausgabe vollständiger Dokumente, wenn die enthaltenen personenbezogenen Daten auch in Auszügen mitgeteilt werden können.

Zu berücksichtigen sind Rechte Dritter. Enthält ein Dokument Daten anderer Personen, sind diese zu schwärzen. Nach Artikel 15 Absatz 4 darf das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Ergänzend regelt § 34 des Bundesdatenschutzgesetzes Ausnahmen vom Auskunftsrecht, etwa bei Daten, die nur wegen gesetzlicher Aufbewahrungsvorschriften gespeichert sind, und verweist dabei auf die Beschränkungen in § 35. Der Wortlaut ist über gesetze-im-internet.de abrufbar.

Die Monatsfrist läuft ab Eingang im Unternehmen. Ob die Nachricht im richtigen Postfach landet, ist ein internes Organisationsproblem und verlängert die Frist nicht.

Löschung und das Spannungsfeld der Aufbewahrungspflichten

Der häufigste Konflikt in der Praxis entsteht zwischen dem Löschanspruch nach Artikel 17 und handels- sowie steuerrechtlichen Aufbewahrungspflichten. Artikel 17 Absatz 3 Buchstabe b nimmt Verarbeitungen aus, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind. Buchungsbelege und Handelsbriefe unterliegen den Fristen des § 257 HGB sowie des § 147 der Abgabenordnung.

Die richtige Antwort auf ein Löschverlangen lautet in diesen Fällen nicht schlicht Ablehnung, sondern Einschränkung der Verarbeitung. Die Daten werden für alle Zwecke außerhalb der gesetzlichen Aufbewahrung gesperrt und nach Fristablauf gelöscht. Diese Einschränkung ist der betroffenen Person mitzuteilen, einschließlich des Zeitpunkts, zu dem die Löschung erfolgt.

Technisch setzt dies ein Löschkonzept voraus, das Datenarten, Fristen und Systeme zuordnet. Ohne ein solches Konzept ist ein Löschverlangen kaum belastbar zu beantworten, weil unklar bleibt, in welchen Systemen die Daten überhaupt vorliegen. Besonders häufig übersehen werden Sicherungskopien, Archivsysteme, Postfächer einzelner Beschäftigter und Auswertungsdatenbanken.

Widerspruch und Direktwerbung

Der Widerspruch nach Artikel 21 Absatz 1 richtet sich gegen Verarbeitungen, die auf berechtigtem Interesse oder öffentlichem Interesse beruhen. Er erfordert Gründe aus der besonderen Situation der betroffenen Person, und der Verantwortliche darf die Verarbeitung fortsetzen, wenn er zwingende schutzwürdige Gründe nachweist. Dieser Nachweis ist zu dokumentieren, andernfalls ist er im Prüfungsfall wertlos.

Anders liegt es beim Widerspruch gegen Direktwerbung nach Absatz 2. Hier besteht kein Abwägungsspielraum, die Verarbeitung zu Werbezwecken ist unverzüglich einzustellen. Erforderlich ist eine Sperrliste, die verhindert, dass die Person bei der nächsten Kampagne erneut angeschrieben wird, etwa weil die Daten aus einer anderen Quelle erneut importiert werden. Eine bloße Löschung des Datensatzes ist hierfür ungeeignet.

Datenübertragbarkeit und Einschränkung in der Praxis

Das Recht auf Datenübertragbarkeit

Artikel 20 gewährt einen Anspruch auf Herausgabe der Daten in einem strukturierten, gängigen und maschinenlesbaren Format. Der Anwendungsbereich ist enger als häufig angenommen: Erfasst sind ausschließlich Daten, die die betroffene Person selbst bereitgestellt hat und deren Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt. Daten, die auf berechtigtem Interesse oder einer rechtlichen Verpflichtung beruhen, fallen nicht darunter.

Umstritten ist die Behandlung abgeleiteter Daten. Angaben, die die betroffene Person eingegeben hat, sowie Beobachtungsdaten aus der Nutzung eines Dienstes werden überwiegend als bereitgestellt angesehen. Ergebnisse eigener Analysen und Bewertungen des Unternehmens, etwa Scoringwerte oder Klassifizierungen, unterliegen dagegen regelmäßig nicht der Übertragbarkeit, wohl aber dem Auskunftsanspruch nach Artikel 15.

Für die technische Umsetzung genügt ein gängiges Austauschformat. Eine unmittelbare Übermittlung an einen anderen Verantwortlichen ist nur geschuldet, soweit dies technisch machbar ist; eine Pflicht zur Herstellung von Schnittstellen besteht nicht.

Einschränkung der Verarbeitung technisch abbilden

Die Einschränkung nach Artikel 18 wird in der Praxis häufig unterschätzt, weil sie einen Systemzustand verlangt, den viele Anwendungen nicht vorsehen. Gefordert ist, dass die Daten außer zur Speicherung nur noch mit Einwilligung oder zu bestimmten Zwecken verarbeitet werden dürfen. Ein bloßer Vermerk im Freitextfeld genügt dafür nicht, weil er Serienmails oder Auswertungen nicht verhindert.

Praktikable Umsetzungen sind ein Sperrkennzeichen mit Auswirkung auf alle Auswertungen und Versandprozesse, die Verlagerung des Datensatzes in einen zugriffsbeschränkten Bereich oder, bei Altsystemen ohne solche Funktion, ein dokumentierter organisatorischer Zugriffsvorbehalt mit Schulung der berechtigten Personen. Vor Aufhebung der Einschränkung ist die betroffene Person zu unterrichten. Diese Unterrichtungspflicht wird in der Praxis regelmäßig übersehen.

Ein prüffester Bearbeitungsprozess

1. Zentrale Eingangsstelle einrichten, etwa eine Datenschutzadresse, und alle üblichen Eingangskanäle darauf leiten, einschließlich Empfang, Personalabteilung und Vertrieb.
2. Schulung der Beschäftigten mit Kontakt nach außen: Wie ein Verlangen erkannt wird und dass es innerhalb eines Arbeitstags weiterzuleiten ist.
3. Fristenkontrolle mit Eingangsdatum, Zwischenfrist nach drei Wochen und Enddatum, geführt in einem System, nicht in einem Postfach.
4. Identitätsprüfung nach definiertem Maßstab, dokumentiert mit dem gewählten Verfahren.
5. Systemübergreifende Recherche anhand einer Systemliste aus dem Verarbeitungsverzeichnis, mit dokumentierter Bestätigung je System.
6. Rechtliche Prüfung von Ausnahmen und Rechten Dritter, bei Bedarf mit fachkundiger Unterstützung.
7. Antwort in verständlicher Sprache, mit Begründung bei teilweiser Ablehnung und Hinweis auf Beschwerderecht und Rechtsbehelf.
8. Sichere Übermittlung, insbesondere bei umfangreichen Datenkopien, etwa über verschlüsselte Übertragung oder geschützten Download.
9. Ablage der gesamten Vorgangsdokumentation als Nachweis der Rechenschaftspflicht nach Artikel 5 Absatz 2.
10. Auswertung nach Abschluss: Welche Systeme waren schwer auswertbar, welche Datenbestände waren unbekannt, welche Schritte dauerten zu lange.

Der Aufwand für einen ersten belastbaren Prozess liegt bei wenigen Personentagen. Der wesentliche Nutzen entsteht nicht bei der einzelnen Anfrage, sondern durch die Transparenz über die eigene Systemlandschaft, die dabei zwangsläufig entsteht.

Vorbereitung senkt den Bearbeitungsaufwand

Der Aufwand einer einzelnen Anfrage hängt weniger vom Umfang der Daten ab als von der Vorbereitung. Wer erst nach Eingang klärt, welche Systeme personenbezogene Daten führen, verbraucht einen erheblichen Teil der Monatsfrist mit interner Recherche. Drei Vorarbeiten reduzieren den Aufwand dauerhaft.

Erstens eine aktuelle Systemliste aus dem Verarbeitungsverzeichnis, ergänzt um die jeweils zuständige Person und die Frage, wie ein Datensatz dort auffindbar und exportierbar ist. Zweitens Musterantworten für die häufigsten Fallgruppen, insbesondere Auskunft für Kunden, Auskunft für Beschäftigte, Löschverlangen mit bestehender Aufbewahrungspflicht und Werbewiderspruch. Drittens eine abgestimmte Vorgehensweise mit dem IT-Dienstleister, damit Auswertungen ohne Verzögerung erfolgen.

Sinnvoll ist zudem eine jährliche Übung anhand eines fiktiven Verlangens. Sie deckt zuverlässig auf, welche Systeme keine Exportfunktion besitzen, wo Daten mehrfach vorliegen und welche Beteiligten im Urlaub nicht vertreten sind. Der Zeitbedarf einer solchen Übung liegt bei einem halben Tag, der Erkenntniswert übersteigt den einer schriftlichen Prozessbeschreibung deutlich.

Typische Fehler und ihre Folgen

1. Die Anfrage bleibt in einem persönlichen Postfach liegen, während die Frist läuft.
2. Es wird zu viel zur Identitätsprüfung verlangt, was seinerseits eine unzulässige Datenerhebung darstellen kann.
3. Die Auskunft beschränkt sich auf das führende System, während Postfächer, Archive und Auswertungsdatenbanken unberücksichtigt bleiben.
4. Begleitinformationen nach Artikel 15 Absatz 1 fehlen, weil nur ein Datenauszug versandt wird.
5. Ein Löschverlangen wird pauschal unter Verweis auf Aufbewahrungspflichten abgelehnt, statt die Verarbeitung einzuschränken.
6. Der Werbewiderspruch wird im CRM vermerkt, aber nicht an das Newsletter-System weitergegeben.
7. Die Bearbeitung wird nicht dokumentiert, sodass im Aufsichtsverfahren kein Nachweis geführt werden kann.

Verstöße gegen die Betroffenenrechte fallen nach Artikel 83 Absatz 5 in die höhere Bußgeldkategorie. Praktisch bedeutsamer als das Bußgeldrisiko ist in vielen Fällen der immaterielle Schadensersatz nach Artikel 82, der zunehmend geltend gemacht wird, sowie der Aufwand eines aufsichtsbehördlichen Verfahrens, das regelmäßig mit einem umfassenden Fragenkatalog zur gesamten Datenschutzorganisation beginnt.

FAQ

Wann beginnt die Monatsfrist genau zu laufen?
Mit dem Eingang des Verlangens beim Verantwortlichen, unabhängig davon, welche Stelle im Unternehmen die Nachricht erhält. Eine interne Weiterleitung setzt die Frist nicht neu in Gang. Deshalb ist die organisatorische Bündelung der Eingangskanäle der wirksamste Einzelschritt.

Darf für eine Auskunft ein Entgelt verlangt werden?
Die erste Kopie ist unentgeltlich. Für weitere Kopien darf nach Artikel 15 Absatz 3 ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangt werden. Bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt Artikel 12 Absatz 5 ein Entgelt oder die Weigerung, wobei der Verantwortliche den exzessiven Charakter nachweisen muss.

Müssen E-Mails mit dem Namen der betroffenen Person herausgegeben werden?
Maßgeblich sind die enthaltenen personenbezogenen Daten, nicht das Dokument als solches. Eine Herausgabe kann in Auszügen erfolgen, Daten Dritter sind zu schwärzen. Eine pauschale Verweigerung mit dem Hinweis auf internen Schriftverkehr trägt dagegen regelmäßig nicht.

Wie ist mit Verlangen ehemaliger Beschäftigter umzugehen?
Sie sind wie alle anderen zu behandeln, erfordern jedoch besondere Sorgfalt bei Personalakte, Bewerbungsunterlagen, Leistungsbeurteilungen und Korrespondenz von Führungskräften. Bestehen arbeitsrechtliche Auseinandersetzungen, empfiehlt sich eine fachkundige Prüfung vor der Beantwortung, wobei die Frist dadurch nicht ausgesetzt wird.

Was gilt, wenn keine Daten vorhanden sind?
Auch dann ist zu antworten. Die betroffene Person hat Anspruch auf die Auskunft, dass keine Verarbeitung stattfindet. Diese Negativauskunft ist ebenfalls fristgebunden und sollte dokumentiert werden, einschließlich der geprüften Systeme.

Wer ist bei Einsatz eines Dienstleisters zuständig?
Der Verantwortliche. Der Auftragsverarbeiter ist nach Artikel 28 Absatz 3 Buchstabe e verpflichtet, bei der Beantwortung zu unterstützen. Diese Unterstützungspflicht sollte im Vertrag mit einer konkreten Reaktionszeit hinterlegt sein, da sonst die Monatsfrist praktisch nicht einzuhalten ist.