Betroffenenrechte: Warum Schweigen viel Geld kosten kann

Eine Betroffenenanfrage ist keine normale E-Mail. Sie ist ein datenschutzrechtlicher Vorgang mit Fristen, Verantwortlichkeiten und erheblichen Risiken.

Ob Auskunft, Löschung, Berichtigung oder Widerspruch: Unternehmen müssen Anfragen betroffener Personen strukturiert bearbeiten. Besonders wichtig ist Art. 12 DSGVO: Grundsätzlich muss eine Anfrage unverzüglich, spätestens innerhalb eines Monats beantwortet werden.

Warum Schweigen teuer werden kann

Eine häufige Fehlannahme lautet: „Wenn wir nicht antworten, passiert zunächst nichts.“

Das kann ein erheblicher Fehler sein.

Betroffene können sich bei der zuständigen Datenschutzaufsichtsbehörde beschweren. Zusätzlich können unter bestimmten Voraussetzungen Schadensersatzansprüche nach Art. 82 DSGVO entstehen. Der Europäische Gerichtshof hat klargestellt, dass für einen immateriellen Schaden keine besondere Erheblichkeitsschwelle verlangt werden darf – allerdings muss ein tatsächlicher Schaden vorliegen; der bloße DSGVO-Verstoß genügt nicht automatisch.

Die Rechtsprechung zeigt, dass Gerichte bei verspäteten oder unvollständigen Auskünften durchaus Schadensersatz zugesprochen haben. Die konkrete Höhe hängt jedoch immer vom Einzelfall ab.

Die wichtigste Erkenntnis: Eine Betroffenenanfrage sollte niemals unbearbeitet im Postfach liegen bleiben.

4 Schritte für einen sicheren Prozess

1. Anfrage sofort erkennen

Definieren Sie klare Kriterien:

  • Wer darf Betroffenenanfragen entgegennehmen?
  • Welche E-Mail-Adressen oder Postfächer werden überwacht?
  • Wer prüft eingehende Schreiben?
  • Wie wird der Eingang dokumentiert?

Auch eine unscheinbare E-Mail kann ein formelles Auskunftsersuchen nach Art. 15 DSGVO enthalten.

2. Frist automatisch überwachen

Der Eingang muss dokumentiert und die Frist berechnet werden.

Grundsätzlich gilt:

Antwort innerhalb eines Monats.

Nur unter bestimmten Voraussetzungen kann die Frist verlängert werden. Die betroffene Person muss darüber rechtzeitig informiert werden.

Ein Fristenmanagement sollte deshalb nicht von einzelnen Mitarbeitern oder deren persönlicher Erinnerung abhängen.

3. Daten systematisch zusammentragen

Bei einer Auskunft nach Art. 15 DSGVO geht es nicht lediglich darum, eine kurze Standardantwort zu verschicken.

Zu prüfen sind unter anderem:

  • Welche personenbezogenen Daten werden verarbeitet?
  • Zu welchen Zwecken?
  • Auf welcher Rechtsgrundlage?
  • Woher stammen die Daten?
  • An wen wurden Daten übermittelt?
  • Wie lange sollen die Daten gespeichert werden?
  • Welche weiteren Informationen sind nach Art. 15 DSGVO erforderlich?

Das Auskunftsrecht soll der betroffenen Person ermöglichen, die Verarbeitung ihrer personenbezogenen Daten nachzuvollziehen und zu kontrollieren.

4. Antwort, Nachweise und Prozess dokumentieren

Nicht nur die Antwort selbst ist wichtig.

Dokumentieren Sie insbesondere:

Eingang → Identitätsprüfung → Zuständigkeit → Datensuche → rechtliche Prüfung → Antwort → Nachweis der Übermittlung

Damit entsteht ein nachvollziehbarer Prozess, der auch bei einer späteren Beschwerde gegenüber der Aufsichtsbehörde wertvoll sein kann.

Betroffenenrechte brauchen einen festen Prozess

Unternehmen sollten Betroffenenanfragen nicht als lästige Einzelaufgaben behandeln.

Sie gehören in ein standardisiertes Datenschutzmanagement.

Dazu gehören beispielsweise:

  • zentrale Erfassung aller Anfragen
  • definierte Verantwortlichkeiten
  • Fristenkontrolle
  • standardisierte Prüfschritte
  • Vorlagen für Antworten
  • dokumentierte Datenrecherche
  • Eskalationsverfahren bei komplexen Fällen
  • revisionssichere Dokumentation

Denn nicht die Anfrage selbst ist das größte Risiko – sondern eine Anfrage, die übersehen, verspätet oder unvollständig bearbeitet wird.

Fazit

Betroffenenrechte sind ein fester Bestandteil der DSGVO. Dazu gehören unter anderem Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

Wer hier keinen klaren Prozess hat, riskiert unnötige Beschwerden, zusätzlichen Verwaltungsaufwand und – je nach Einzelfall – auch finanzielle Ansprüche.

Unser Tipp: Prüfen Sie heute, was bei Ihnen passiert, wenn um 16:55 Uhr eine Betroffenenanfrage eingeht.

Wer erhält sie?

Wer startet die Frist?

Wer sucht die Daten?

Wer prüft die Antwort?

Und wer stellt sicher, dass die Antwort tatsächlich rechtzeitig verschickt wird?

Genau hier beginnt professionelles Datenschutzmanagement.