Betroffenenanfragen sind der Bereich, in dem Datenschutzverstöße am häufigsten sichtbar werden, meist nicht, weil niemand antworten will, sondern weil die Anfrage im Postfach einer Person liegt, während die Frist läuft. Das Modul macht aus jeder Anfrage einen Vorgang mit berechneter Frist, Zuständigkeit und Nachweis.

Auf einen Blick

Enthalten ab: Professional
Wo in der App: DSGVO → Anfragen & Vorfälle → Betroffenenanfragen
Ergebnis: Vorgang mit Frist und Verlauf, Antwortpaket als ZIP
Rechtsbezug: Art. 12, 15–22 DSGVO; §§ 29, 34, 35 BDSG
API: /api/v1/data-subject-requests

Arten von Anfragen

Wert	Recht
ACCESS	Auskunft (Art. 15)
RECTIFICATION	Berichtigung (Art. 16)
ERASURE	Löschung (Art. 17)
RESTRICTION	Einschränkung der Verarbeitung (Art. 18)
PORTABILITY	Datenübertragbarkeit (Art. 20)
OBJECTION	Widerspruch (Art. 21)
AUTOMATED_DECISION	Rechte bei automatisierten Entscheidungen: Eingreifen einer Person, Darlegung des Standpunkts, Anfechtung (Art. 22 Abs. 3)

Die Frist: ein Kalendermonat ab Eingang

Art. 12 Abs. 3 DSGVO verlangt eine Antwort „innerhalb eines Monats nach Eingang“. SimpleAct rechnet deshalb in Kalendermonaten, nicht pauschal mit 30 Tagen: Die Frist endet am Tag des Folgemonats mit derselben Zahl; gibt es diesen Tag nicht, am letzten Tag des Monats (Art. 3 Abs. 2 lit. c VO Nr. 1182/71). Beispiel: Eingang am 31. Januar, Fristende am 28. bzw. 29. Februar. Gerechnet wird im Kalender Europe/Berlin.

Maßgeblich ist das Eingangsdatum. Für Anfragen per E-Mail, Brief oder Telefon tragen Sie es beim Anlegen selbst ein; ohne Angabe gilt der Zeitpunkt der Erfassung. Die Liste ist nach Frist sortiert, überfällige Vorgänge werden hervorgehoben. Der Status „Rückfrage“ hält die Frist nicht an.

Fristverlängerung um zwei Monate

Art. 12 Abs. 3 S. 2 und 3 DSGVO erlaubt eine Verlängerung um zwei weitere Monate, wenn das wegen Komplexität und Anzahl der Anträge erforderlich ist. Die App führt sie in eigenen Feldern:

Grund der Verlängerung: Pflicht, weil Sie ihn der betroffenen Person mitteilen müssen.
Datum der Entscheidung bzw. Mitteilung: nur innerhalb der ersten Frist möglich.
Verlängerte Frist: ursprüngliche Frist plus zwei Kalendermonate, berechnet nach derselben Regel. Ab dann zählt diese Frist.
Nur einmal möglich. Wird der Grund gelöscht, ist die Verlängerung zurückgenommen.

Öffentliches Formular und Identitätsprüfung

Öffentliches Formular

Ihre Organisation erhält ein öffentliches Anfrageformular unter einer eigenen Adresse. Eingehende Anfragen werden als Quelle PUBLIC erfasst, die Frist läuft ab Eingang.

Bestätigungslink

Eine über das Formular eingereichte Anfrage gilt nie sofort als verifiziert. Gibt die Person eine E-Mail-Adresse an, erhält sie einen Bestätigungslink, der sieben Tage gültig ist. Ohne E-Mail prüfen Sie die Identität auf anderem Weg und markieren sie im Vorgang.

Intern erfasste Anfragen

Anfragen, die Sie selbst anlegen, erhalten die Quelle INTERNAL. Auch hier steht „Identität geprüft“ zunächst auf „nein“ und muss bewusst bestätigt werden. Bei begründeten Zweifeln an der Identität dürfen Sie zusätzliche Informationen anfordern (Art. 12 Abs. 6 DSGVO).

Übersicht

Öffentliche, noch nicht bestätigte Anfragen werden in der Übersicht eigens gezählt.

Status

Status	Bedeutung
NEW	Eingegangen, noch nicht bearbeitet.
IN_PROGRESS	In Bearbeitung.
NEEDS_INFO	Rückfrage an die betroffene Person; die Frist läuft weiter.
FULFILLED	Beantwortet.
REJECTED	Abgelehnt oder eingeschränkt, nur mit Begründung (Art. 12 Abs. 4).
WITHDRAWN	Von der Person zurückgezogen.

Was ein Vorgang außerdem festhält

Grundlage einer Einschränkung oder Ablehnung: § 29, § 34 oder § 35 BDSG, Art. 17 Abs. 3 DSGVO, offenkundig unbegründet oder exzessiv (Art. 12 Abs. 5) oder Sonstiges, jeweils mit Begründung.
Benachrichtigte Empfänger nach Art. 19 DSGVO mit Datum.
Verknüpfte VVT-Einträge, Zuständige, Antwortzusammenfassung und Nachweis-Links.

Das Antwortpaket

Je Anfrage erzeugt SimpleAct ein ZIP mit README, Übersicht als HTML und PDF, den verknüpften VVT-Einträgen (ohne Verknüpfung alle), allen Datenschutzhinweisen als Markdown und PDF sowie den Auftragsverarbeitern. Das Paket wird beim Download erzeugt und nicht auf dem Server gespeichert; die Sprache ist wählbar.