Betroffenen­rechte nach DSGVO: Fristen, Ablauf und Fristenrechner

Die DSGVO gibt jeder Person, deren Daten verarbeitet werden, eine Reihe von Rechten gegenüber dem Verantwortlichen. Kern sind die Art. 15 bis 22: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Mitteilung an Empfänger, Datenübertragbarkeit, Widerspruch und der Schutz vor ausschließlich automatisierten Entscheidungen. Dazu kommen die Informationspflichten nach Art. 13 und 14 und das Beschwerderecht bei einer Aufsichtsbehörde nach Art. 77.

Die Spielregeln für alle Anfragen stehen in Art. 12. Der Verantwortliche muss die Ausübung der Rechte erleichtern (Abs. 2), Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form übermitteln (Abs. 1) und grundsätzlich unentgeltlich handeln (Abs. 5). Stellt die Person ihren Antrag elektronisch, ist sie nach Möglichkeit auch elektronisch zu unterrichten (Abs. 3). An die Form des Antrags stellt die DSGVO keine Anforderungen, wie auch der Europäische Datenschutzausschuss betont – eine formlose E-Mail genügt.

Die wichtigste Zahl ist die Frist: Der Verantwortliche stellt Informationen über die ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung (Art. 12 Abs. 3). Wird er nicht tätig, muss er ebenfalls innerhalb eines Monats begründen, warum, und auf das Beschwerderecht und den Rechtsweg hinweisen (Abs. 4). Die Frist lässt sich um zwei weitere Monate verlängern, wenn Komplexität und Anzahl der Anträge das erfordern – die Person muss darüber aber innerhalb des ersten Monats mit Gründen informiert werden.

Wie die Monatsfrist berechnet wird, regelt die Fristenverordnung (EWG, Euratom) Nr. 1182/71, auf die der Europäische Datenschutzausschuss (EDSA) in seinen Leitlinien 01/2022 zum Auskunftsrecht verweist: Geht eine Anfrage am 5. März ein, endet die Frist am 5. April. Fehlt der entsprechende Tag – Eingang am 31. August –, endet sie am letzten Tag des Folgemonats, also am 30. September. Fällt das Fristende auf ein Wochenende oder einen Feiertag, haben Sie bis zum nächsten Arbeitstag Zeit. Der Fristenrechner weiter unten setzt genau das um.

Die Frist beginnt mit dem Eingang über einen offiziellen Kanal des Unternehmens – nicht erst, wenn die zuständige Person die Nachricht liest. Deshalb landen Anfragen, die in einem persönlichen Postfach oder beim Vertrieb eingehen, so häufig zu spät beim Datenschutz. Hat der Verantwortliche begründete Zweifel an der Identität, darf er zusätzliche Informationen anfordern (Art. 12 Abs. 6). Nach den EDSA-Leitlinien ruht die Frist dann, bis die nötigen Angaben vorliegen – sofern die Rückfrage unverzüglich gestellt wurde.

Unentgeltlich heißt: Für die erste Kopie und jede reguläre Maßnahme darf kein Geld verlangt werden. Nur bei offenkundig unbegründeten oder – insbesondere bei häufiger Wiederholung – exzessiven Anträgen darf der Verantwortliche ein angemessenes Entgelt verlangen oder sich weigern; den Nachweis dafür trägt er selbst (Art. 12 Abs. 5). Für weitere Kopien nach Art. 15 Abs. 3 ist ein Entgelt auf Basis der Verwaltungskosten zulässig.

Verstöße gegen die Betroffenenrechte gehören zur höheren Bußgeldstufe: Art. 83 Abs. 5 lit. b DSGVO sieht bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. In der Praxis wichtiger: Eine verpasste oder unvollständige Auskunft führt häufig zu Beschwerden bei der Aufsichtsbehörde und zu Schadensersatzforderungen nach Art. 82. Ein sauberer, fristgesteuerter Prozess ist deshalb die beste Vorsorge.