Eine Betroffenenanfrage geht ein. Bis wann muss die Antwort raus? Art. 12 Abs. 3 DSGVO verlangt eine Reaktion ohne unangemessene Verzögerung, spätestens innerhalb eines Monats nach Eingang. Der Monat ist eine Höchstfrist, kein Zieltermin, wenn die Antwort früher möglich ist.
Welche Rechte am Eingang zu unterscheiden sind, erklärt der Überblick zu Betroffenenanfragen.
Für die Berechnung verweist der Europäische Datenschutzausschuss auf die EU-Fristenverordnung Nr. 1182/71. Daraus folgen drei Regeln.
Regel 1: Der gleiche Tag im Folgemonat
Maßgebliches Ereignis ist der Eingang der Anfrage. Der Eingangstag selbst wird bei der Berechnung nicht mitgerechnet. Die Monatsfrist endet mit Ablauf des Tages im Folgemonat, der dieselbe Zahl wie der Eingangstag trägt. Geht die Anfrage am 12. März ein, endet die Monatsfrist grundsätzlich mit Ablauf des 12. April.
Rechnen Sie deshalb nicht mit 30 Tagen. Ein Kalendermonat kann kürzer oder länger sein.
Regel 2: Fehlt der gleiche Tag, zählt der letzte Tag des Monats
Geht eine Anfrage am 31. Januar ein, gibt es im Februar keinen 31. Die Frist endet dann mit Ablauf des letzten Februartags, also am 28. Februar oder in einem Schaltjahr am 29. Februar.
Regel 3: Arbeitsfreie Tage verschieben das Ende
Fällt das berechnete Fristende auf einen Samstag, Sonntag oder Feiertag, endet die Frist mit Ablauf des nächsten Arbeitstags. Das regelt Art. 3 Abs. 4 der EU-Fristenverordnung.
Ein konkretes Beispiel zeigt, warum die letzte Prüfung wichtig ist:
| Schritt | Datum |
|---|---|
| Eingang der Anfrage | Donnerstag, 5. März 2026 |
| Rechnerisches Fristende | Sonntag, 5. April 2026 |
| Folgetag | Ostermontag, 6. April 2026 |
| Fristende | Dienstag, 7. April 2026 |
Der EDPB erläutert die gleiche-Tag-Regel mit einem Eingang am 5. März und einem rechnerischen Ende am 5. April. Im Kalenderjahr 2026 verschiebt sich dieses Ende zusätzlich über den Sonntag und den Ostermontag. Bei landesrechtlichen oder örtlichen Feiertagen braucht es dieselbe Einzelfallprüfung.
Wann darf die Frist verlängert werden?
Die Verlängerung um höchstens zwei weitere Monate ist nur unter den Voraussetzungen von Art. 12 Abs. 3 DSGVO zulässig. Maßgeblich sind die Komplexität und die Zahl der Anträge. Arbeitsüberlastung allein ist dort nicht als Grund genannt.
Die betroffene Person muss innerhalb des ersten Monats erfahren, dass verlängert wird und warum. Die Mitteilung verschafft keine zusätzliche Zeit, wenn die Voraussetzungen für eine Verlängerung fehlen.
Was gilt bei ungeklärter Identität?
Zusätzliche Angaben zur Identität dürfen Sie nach Art. 12 Abs. 6 DSGVO nur bei begründeten Zweifeln verlangen. Der EDPB nennt in seinen Leitlinien 01/2022 eine mögliche Hemmung, wenn der Verantwortliche die nötigen Angaben ohne unangemessene Verzögerung anfordert. Das ist eine Auslegung des EDPB und keine ausdrücklich im Wortlaut von Art. 12 Abs. 3 geregelte Pausentaste. Erfassen Sie die Frist deshalb weiter und dokumentieren Sie Anfrage, Rückfrage und Antwortzeitpunkte.
Frist für die Arbeitsplanung berechnen
Der DSGVO-Fristenrechner berücksichtigt die gleiche-Tag-Regel, fehlende Kalendertage, Wochenenden und bundeseinheitliche Feiertage. Das Ergebnis ist ein Planungstermin. Prüfen Sie zusätzlich Feiertage am maßgeblichen Ort und Besonderheiten des konkreten Falls.
Den Termin übertragen Sie in den DSAR-Prozess, zusammen mit internen Such- und Freigabeterminen. Die Berechnung allein bestätigt noch nicht, dass die Antwort vollständig vorbereitet ist.
Quellen und Stand
Stand: 8. September 2026.
- Art. 12 DSGVO: Reaktionszeit, Verlängerung und Identitätsprüfung.
- Verordnung (EWG, Euratom) Nr. 1182/71: Berechnung von Monatsfristen und Verschiebung an arbeitsfreien Tagen.
- EDPB Guidelines 01/2022, Version 2.1: Eingang, Fristberechnung, unverzügliche Bearbeitung und Identitätsklärung.