Es ist Freitagnachmittag, kurz vor der Übergabe. In der info@-Adresse liegt eine E-Mail: “Ich möchte gemäß DSGVO Auskunft über alle Daten, die Sie über mich gespeichert haben.” Kein Betreff, der auffällt. Keine Frist, die draufsteht. Und trotzdem tickt ab dieser Sekunde eine Uhr, die Sie nicht mehr anhalten können.
Wer schon einmal eine Betroffenenanfrage bearbeitet hat, kennt den stillen Moment danach: Wo liegen diese Daten eigentlich überall? Im CRM, klar. Aber auch in der alten Excel-Liste vom Vertrieb, im Newsletter-Tool, in drei SharePoint-Ordnern und in einem Support-Postfach, das seit 2021 niemand mehr aufgeräumt hat. Die Anfrage ist in zwei Minuten formuliert. Die Antwort kostet Sie den halben Monat.
Das ist kein Ausnahmefall mehr. Auskunft, Löschung, Berichtigung – diese Anfragen kommen inzwischen regelmäßig, und sie kommen von Kunden, ehemaligen Bewerbern und manchmal von Wettbewerbern, die genau wissen, wo es weh tut. Der Unterschied zwischen einem ruhigen und einem chaotischen Umgang liegt nicht im guten Willen. Er liegt im Prozess.
📷 BILD-PLATZHALTER: Ein Posteingang mit einer hervorgehobenen E-Mail “Auskunftsersuchen nach DSGVO”, daneben ein rot eingefärbter Countdown mit “Frist: 1 Monat”.
Die Frist beginnt sofort – und niemand drückt Start
Der häufigste, teuerste Irrtum: Viele glauben, die Frist beginne erst, wenn die Anfrage “offiziell” auf dem Tisch der Datenschutzbeauftragten landet. Falsch.
Nach Art. 12 Abs. 3 DSGVO müssen Sie einer betroffenen Person unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags antworten. Eingang heißt: als die E-Mail in irgendeinem Ihrer Postfächer angekommen ist. Nicht, als sie intern weitergeleitet wurde. Nicht, als jemand sie ernst nahm.
Diese eine Frist erledigt sowohl das Auskunftsrecht nach Art. 15 als auch die Löschung nach Art. 17, die Berichtigung nach Art. 16 und die anderen Betroffenenrechte der Art. 15 bis 22. Ein Monat, für alles.
Die gute Nachricht: Bei besonders komplexen oder einer Vielzahl von Anträgen dürfen Sie die Frist um weitere zwei Monate verlängern – aber nur, wenn Sie die betroffene Person innerhalb des ersten Monats über die Verlängerung und deren Gründe informieren (Art. 12 Abs. 3 Satz 3). Wer die Verlängerung erst am 32. Tag bemerkt, hat sie schon verspielt.
Und der Reflex, für die Auskunft eine Gebühr zu verlangen? Funktioniert in aller Regel nicht. Die erste Auskunft ist kostenlos (Art. 12 Abs. 5). Ein Entgelt oder die Weigerung sind nur bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt – und die Beweislast dafür liegt bei Ihnen.
Warum die Frist reißt: Sie wissen nicht, wo die Daten liegen
Ein Monat klingt großzügig. Bis man versucht, ihn einzuhalten.
Das eigentliche Problem ist selten die Bearbeitungszeit. Es ist die Suche. Personenbezogene Daten sind in gewachsenen Mittelstandslandschaften nicht an einem Ort. Sie sind verstreut – über Systeme, Abteilungen und Dateiformate, die nie füreinander gedacht waren.
Die Klassiker, in denen sich Betroffenendaten verstecken:
1. Freitextfelder. Der Name eines Kunden steht nicht nur im Feld “Name”, sondern auch mitten in einer Notiz: “Rückruf an Herrn Müller unter 0170 …”. Solche eingebetteten Personendaten findet keine Spaltenüberschrift. Sie tauchen bei der Auskunft nicht auf – bis der Betroffene sie einfordert.
2. Alte Exporte und Schattenkopien. Die CSV, die jemand vor zwei Jahren “kurz zur Analyse” auf den Desktop gezogen hat. Rechtlich Teil Ihrer Verarbeitung. Praktisch unsichtbar.
3. Verbundene Systeme. Newsletter-Tool, Ticketsystem, Buchhaltung. Jedes hat seine eigene Kundennummer, und keines weiß vom anderen. Dieselbe Person heißt im CRM “Kunde 4711”, im Support “M. Müller” und im Newsletter nur “mueller@…”. Drei Kennungen, ein Mensch – und die Auskunft muss alle drei zusammenführen.
4. Backups und Archive. Daten, die im Livesystem längst gelöscht sind, überdauern in Sicherungskopien. Eine Löschung nach Art. 17 muss diese Bestände mitdenken, ohne die gesetzlichen Aufbewahrungspflichten zu verletzen – ein Balanceakt, den man nicht im Kopf löst.
Wenn Sie die Frage “Wo überall liegt diese eine Person?” nicht in Minuten beantworten können, ist jede Betroffenenanfrage ein Feueralarm. Und Feueralarme führen zu Fehlern – vergessenen Datentöpfen, unvollständigen Auskünften, halbherzigen Löschungen.
📷 BILD-PLATZHALTER: Eine schematische Karte einer Datenlandschaft mit CRM, E-Mail-Postfach, Excel-Dateien und Cloud-Speicher, verbunden durch dünne Linien, die alle auf einen einzigen Personendatensatz zeigen.
Der Prozess, der die Frist hält: fünf Schritte
Ein belastbarer Prozess für Betroffenenanfragen ist keine Software-Frage, sondern eine Frage der Disziplin. Fünf Schritte, jedes mit einem klaren Verantwortlichen.
1. Eingang erkennen und stempeln. Jede Anfrage – egal über welchen Kanal – wird sofort mit Eingangsdatum erfasst. Das Datum ist der Anker für die Monatsfrist. Legen Sie eine zentrale Adresse an (etwa datenschutz@) und schulen Sie das Team, Auskunfts- und Löschwünsche dorthin weiterzuleiten. Eine im Support-Postfach versauerte Anfrage ist trotzdem fristauslösend.
2. Identität prüfen. Sie dürfen – und müssen – sicherstellen, dass die anfragende Person auch die betroffene ist. Bei begründeten Zweifeln dürfen Sie zusätzliche Informationen anfordern (Art. 12 Abs. 6). Aber Vorsicht: Ausweiskopien in Vollständigkeit zu verlangen, ist selten verhältnismäßig. Fragen Sie gezielt nach Merkmalen, die nur die betroffene Person kennen kann.
3. Daten vollständig auffinden. Der entscheidende Schritt. Hier scheitern die meisten Prozesse. Sie brauchen eine belegbare Antwort darauf, in welchen Datenbeständen eine Kennung – Name, E-Mail, Kundennummer – überhaupt vorkommt. Und zwar auch dort, wo sie in Freitext eingebettet ist.
4. Antwort erstellen. Für die Auskunft nach Art. 15 heißt das: die verarbeiteten Daten, die Zwecke, die Empfänger, die Speicherdauer und die Rechte der Person. Für die Löschung nach Art. 17: die betroffenen Zellen tatsächlich unkenntlich machen – unter Beachtung gesetzlicher Aufbewahrungspflichten aus §§ 147 AO und 257 HGB, die eine Löschung von Rechnungsdaten für Jahre ausschließen können.
5. Dokumentieren. Was wurde wann gefunden, was gelöscht, was aus rechtlichen Gründen behalten? Diese Nachweiskette ist Ihre Verteidigung, wenn die Aufsichtsbehörde nachfragt.
Genau an Schritt 3 setzt datamastr an: Die Plattform scannt Ihre echten Datenbestände – nicht nur Spaltenüberschriften, sondern auch Freitextfelder – und findet, wo eine bestimmte Person vorkommt. Aus dieser Suche wird ein Auskunftsbericht, der die verstreuten Fundstellen zusammenführt, statt sie einzeln von Hand zusammenzusuchen.
Was passiert, wenn die Frist reißt
Die Uhr läuft ab, die Antwort fehlt – und dann? Die betroffene Person kann sich bei der Aufsichtsbehörde beschweren. Und Verstöße gegen die Betroffenenrechte der Art. 12 bis 22 fallen in den oberen Bußgeldrahmen nach Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
In der Praxis verhängt kaum eine Behörde beim ersten Fristversäumnis das Maximum. Aber sie schaut genau hin, wie Sie mit Anfragen umgehen – und ein Unternehmen, das nachweisen kann, dass es Anfragen systematisch, fristgerecht und dokumentiert bearbeitet, steht in jeder Prüfung besser da als eines, das jede Anfrage improvisiert.
Dazu kommt der Vertrauensschaden, der in keiner Bußgeldtabelle steht. Ein Kunde, der auf seine Auskunft vier Wochen wartet und dann eine unvollständige Liste bekommt, zieht seine Schlüsse – über den Umgang mit seinen Daten und über die Sorgfalt des ganzen Hauses. Fristgerechte, saubere Antworten sind auch ein Signal: Wir haben unsere Daten im Griff.
Der eigentliche Wert eines Prozesses liegt nicht darin, ein Bußgeld zu vermeiden. Er liegt darin, dass eine Betroffenenanfrage kein Freitag-Nachmittag-Notfall mehr ist.
📷 BILD-PLATZHALTER: Ein aufgeräumtes Dashboard, das offene Betroffenenanfragen mit Countdown, zugewiesener Person und Bearbeitungsstatus anzeigt – eine davon farblich als “überfällig” markiert.
Ein solider Ablauf braucht drei Dinge: eine zentrale Eingangsstelle, eine schnelle, belegbare Antwort auf die Frage “Wo liegt diese Person?”, und eine Dokumentation, die die Löschung oder Auskunft nachweisbar macht. Genau diese drei Bausteine bildet datamastr ab – vom Auffinden über den fertigen Auskunftsbericht bis zur Löschbestätigung. Wer sie hat, gewinnt jeden Monat zurück, den er sonst mit Suchen verbracht hätte.
Sie wollen wissen, wie fristfest Ihr eigener Umgang mit Betroffenenanfragen und anderen DSGVO-Pflichten wirklich ist? Der kostenlose DSGVO-Schnellcheck bringt Ihnen in 12 Fragen und 3 Minuten ein Sofort-Ergebnis – inklusive der Stellen, an denen es bei den meisten Mittelständlern hakt: https://app.datamastr.com/dsgvo-check/