Ein DSAR-Prozess bringt eine Auskunftsanfrage vom Eingang bis zum nachweisbaren Versand. DSAR steht für Data Subject Access Request. Im deutschen Arbeitsalltag genügt meist „Auskunftsanfrage“. Entscheidend sind eine Person, die den Vorgang führt, und eine Akte, in der jede Übergabe sichtbar bleibt.

Dieser Beitrag behandelt ausschließlich Rollen, Übergaben und Nachweise. Die Rechtslage erklärt Art. 15 DSGVO: Umfang und Grenzen. Für das externe Schreiben gibt es den Antwortbaukasten.

Als Beispiel dient eine synthetische Anfrage, die am Donnerstag, 5. März 2026, im allgemeinen Info-Postfach eingeht. Eine ehemalige Kundin bittet um Auskunft über ihre Daten.

Welche Rollen braucht der Prozess?

Die folgende Rollenverteilung ist ein Organisationsvorschlag für die Bearbeitung. Die DSGVO schreibt diese Rollenbezeichnungen nicht vor. Eine Rolle kann von mehreren Personen ausgefüllt werden. In kleinen Unternehmen kann eine Person mehrere Rollen übernehmen. Die Zuständigkeiten müssen trotzdem getrennt erkennbar bleiben.

Rolle Entscheidung oder Lieferung Nachweis in der Akte
Eingangsstelle erkennt und leitet die Anfrage weiter Originalnachricht, Kanal und Eingangszeit
Case Owner führt Frist, Aufgaben und offenen Entscheidungsbedarf Fristnotiz, Aufgabenliste und Status
Fachbereich sucht in seinen Systemen und erklärt Treffer Export oder Negativmeldung mit Suchumfang
IT unterstützt Suche, Export, Archive und technische Grenzen Suchprotokoll und technische Notiz
Datenschutz oder Legal bewertet Einschränkungen und offene Rechtsfragen Entscheidungsnotiz mit Rechtsgrundlage
Freigabestelle prüft Antwort, Anlagen und Versandweg datierte Freigabe
Versandstelle übermittelt an den bestätigten Empfänger Versandnachweis und finale Fassung

Die Verantwortung des Unternehmens lässt sich nicht an einen Fachbereich abgeben. Der Case Owner muss deshalb erkennen können, ob eine Lieferung fehlt, unklar ist oder nachgearbeitet werden muss.

Schritt 1: Eingang in einen Vorgang überführen

Nach den EDPB Guidelines 01/2022 beginnt die Frist, wenn die Anfrage einen offiziellen Kanal des Verantwortlichen erreicht. Eine interne Weiterleitung darf daraus keinen späteren Eingang machen.

Nachrichten aus mehreren Eingangskanälen laufen in einer gemeinsamen Vorgangsakte zusammen.
Unterschiedliche Eingangskanäle brauchen denselben verlässlichen Bearbeitungsweg. Maßgeblich bleibt der ursprüngliche Eingang, nicht die spätere interne Weiterleitung.
Feld Synthetisches Beispiel
Eingang 05.03.2026, 10:14 Uhr
Kanal info@example.com
Inhalt Auskunft über gespeicherte personenbezogene Daten
Case Owner Datenschutz
Rechnerischer Monatstag 05.04.2026
Fristende nach arbeitsfreien Tagen 07.04.2026, weil der 05.04. ein Sonntag und der 06.04. Ostermontag ist
interne Suchrückmeldung 20.03.2026
interne Freigabe 31.03.2026

Die Berechnung erläutert der Beitrag Monatsfrist bei Betroffenenanfragen. Ein interner Termin ersetzt die externe Frist nicht.

Schritt 2: Identität und Umfang klären

Der Case Owner hält in einer kurzen Notiz fest, ob begründete Zweifel an der Identität bestehen und welche vorhandenen Merkmale zur Prüfung genutzt wurden. Zusätzliche Angaben dürfen nach Art. 12 Abs. 6 DSGVO nur bei begründeten Zweifeln verlangt werden.

Ist der Antrag sehr weit und verarbeitet das Unternehmen große Datenmengen, kann eine Präzisierung der betroffenen Verarbeitungsvorgänge in Betracht kommen. Der Vorgang darf bis zur Antwort auf eine Rückfrage nicht einfach liegen bleiben. Frist, sichere Arbeitsschritte und offene Punkte werden weiter geführt.

Artefakt: Identitäts- und Umfangsnotiz mit Datum, Grund und Ergebnis.

Schritt 3: Suchplan und Arbeitspakete anlegen

Der Suchplan übersetzt den Antrag in Datenquellen und Zuständigkeiten. Er enthält nicht nur Systeme mit erwarteten Treffern. Auch eine naheliegende Quelle, in der nichts gefunden wurde, muss abschließbar sein.

Arbeitspaket Verantwortlich Ergebnisformat
CRM Vertrieb Export plus Feldbeschreibung oder Negativmeldung
Support Supportleitung Tickets und Anhänge mit Kontext
E-Mail Fachbereich mit IT dokumentierte Suchabfrage und geprüfte Treffer
Buchhaltung Finance Rechnungs- und Zahlungsdaten
Fachanwendung Product Owner Export, Feldbedeutung und Empfängerhinweise
Archiv Records Management oder IT Query, Zeitraum und Ergebnis
Backup IT mit Datenschutz oder Legal getrennte Wiederherstellungsentscheidung

E-Mail, Teams, Tickets, IAM, DMS und technische Protokolle vertieft der IT-Suchplan.

Schritt 4: Übergaben so formulieren, dass sie abschließbar sind

„Bitte alles zu Frau Beispiel schicken“ ist kein belastbarer Suchauftrag. Eine Übergabe braucht:

  • die Person und bekannte Identifikatoren,
  • den zu prüfenden Zeitraum,
  • die konkrete Datenquelle,
  • passende Suchbegriffe oder Felder,
  • das gewünschte Ausgabeformat,
  • eine interne Fälligkeit,
  • eine verantwortliche Person,
  • den erwarteten Nachweis bei null Treffern.

Eine Negativmeldung lautet zum Beispiel: „CRM Kundenbestand, Suche nach Kundennummer 4711 und beispiel@example.com am 18.03.2026, keine Treffer, geprüft von Rolle Vertrieb.“ Sie belegt den Umfang der Prüfung. Ein leeres Tabellenfeld tut das nicht.

Wie unterscheiden Sie keine Treffer von einer offenen Suche?

Wenn mehrere Bereiche Daten zuliefern, beantwortet ein leeres Feld keine brauchbare Frage. Es kann bedeuten, dass die Suche noch läuft, nichts gefunden wurde oder der Zugriff fehlt. Für die Person, die den Vorgang führt, ergeben sich daraus jeweils andere nächste Schritte.

Nehmen wir Fatima: Sie koordiniert eine Auskunftsanfrage. Der Vertrieb meldet nach dokumentierter CRM-Suche keine Treffer. Die Postfachprüfung steht aus. Das Archiv lässt sich wegen eines Zugriffsfehlers nicht öffnen. Aus dem Support liegen passende Tickets vor. Die vier Rückmeldungen brauchen unterschiedliche Zustände.

Fatimas Suchauftrag verzweigt zu CRM ohne Treffer, offener Postfachsuche, blockiertem Archiv und Support mit Treffern.
Die Rückmeldungen führen zu unterschiedlichen nächsten Aufgaben. Ein Zugriffsfehler im Archiv ist keine Negativmeldung; ein Supporttreffer ist noch keine freigegebene Datenkopie.

Das folgende Arbeitsmodell hilft, sie auseinanderzuhalten:

Suche offen

Stand: Quelle und verantwortliche Rolle stehen fest. Der Rücklauf fehlt.

Nächste Handlung: Den nächsten Rückmeldetermin und die Zuständigkeit klären.

Keine Treffer

Nachweis: Geprüfter Bestand, Suchumfang, Zeitpunkt und Rolle sind dokumentiert.

Nächste Handlung: Die Negativmeldung in den Gesamtvorgang einordnen.

Treffer vorhanden

Nachweis: Export oder Fundstelle, Umfang und offene Fragen sind benannt.

Nächste Handlung: Das Material zur fachlichen Prüfung übergeben.

Technisch blockiert

Stand: Das Hindernis und die betroffene Quelle sind dokumentiert.

Nächste Handlung: Die zuständige Rolle mit der Klärung beauftragen.

So sieht Fatima, wo sie nachfassen muss und welches Material zur Prüfung bereitliegt. Die Zustände zeigen den Bearbeitungsstand einzelner Quellen. Ob der gesamte Suchumfang genügt und die Antwort vollständig ist, wird anschließend gesondert geprüft.

Für die Softwareauswahl ergibt sich daraus ein konkreter Test: Lassen sich die vier Zustände an einem eigenen Musterfall unterscheiden? Bleiben Suchumfang, Rückmeldung und nächste Aufgabe zusammen auffindbar?

veronto requests ist unser Ansatz, solche Arbeitsschritte in einem geführten Auskunftsvorgang zusammenzubringen. Bringen Sie Ihren bisherigen Such- und Übergabeablauf ins Gespräch mit; daran lässt sich ein passender Pilot abgrenzen.

Schritt 5: Zulieferungen prüfen und zusammenführen

Der Case Owner prüft jede Rückmeldung auf vier Punkte:

  1. Passt die Quelle zum Suchauftrag?
  2. Ist der verwendete Identifikator dokumentiert?
  3. Ist das Ergebnis verständlich oder braucht es Feldbeschreibungen und Gesprächskontext?
  4. Enthält die Lieferung Daten anderer Personen, Geheimnisse oder Sicherheitsinformationen?

Erst danach fließen Treffer in die Datenkopie. Pflichtinformationen und die externe Antwort werden nach dem Antwortbaukasten erstellt.

Schritt 6: Schutzentscheidungen dokumentieren

Jede Einschränkung braucht eine konkrete Fundstelle, einen Grund und eine Rechtsgrundlage. Das gilt auch, wenn eine Quelle nicht durchsucht oder ein Dokument nicht vollständig kopiert wird.

Feld Inhalt
Fundstelle Dokument, Seite, Absatz, Datenfeld oder Treffer-ID
Entscheidung herausgeben, als Auszug herausgeben, schwärzen oder ausschließen
Grund Rechte Dritter, fehlender Personenbezug, Geheimnis oder gesetzliche Einschränkung
Rechtsgrundlage zum Beispiel Art. 15 Abs. 4 DSGVO oder § 34 BDSG
Freigabe Rolle, Name und Datum

Die rechtliche Reichweite steht in der Art.-15-Referenz. Für Personalunterlagen gibt es das Schwärzschema für Arbeitgeber.

Schritt 7: Backups getrennt entscheiden

Backups sind kein normales Recherchearchiv. § 34 Abs. 1 Nr. 2 BDSG kann Daten erfassen, die ausschließlich der Datensicherung oder Datenschutzkontrolle dienen. Dafür müssen zusätzlich ein unverhältnismäßiger Aufwand und die technisch-organisatorisch ausgeschlossene Nutzung zu anderen Zwecken vorliegen.

Die Backup-Notiz beantwortet deshalb:

  • Welche aktiven Systeme und Archive decken denselben Zeitraum ab?
  • Welcher konkrete Sicherungsstand könnte weitere relevante Daten enthalten?
  • Ist eine isolierte und sichere Wiederherstellung möglich?
  • Welcher Aufwand und welches Risiko entstehen?
  • Wer hat über Suche, Wiederherstellung oder begründeten Ausschluss entschieden?

Eine pauschale Aussage wie „Backups werden nie durchsucht“ ist ebenso wenig belastbar wie eine automatische Vollwiederherstellung.

Schritt 8: Freigeben, versenden und abschließen

Vor Versand sieht die Freigabestelle genau die Fassung, die die betroffene Person erhalten soll. Geprüft werden:

  • Anschreiben und Pflichtinformationen,
  • Datenkopie und Anlagenverzeichnis,
  • konkrete Empfängerangaben,
  • Schwärzungen und Einschränkungsgründe,
  • richtiger Empfänger und sicherer Kanal,
  • Frist und gegebenenfalls Rechtsbehelfsinformation.

Danach werden finale Antwort, finale Anlagen, Freigabe und Versandnachweis unveränderbar dem Vorgang zugeordnet. Eine Abschlussnotiz hält Prozessabweichungen fest, die beim nächsten Fall behoben werden sollen.

Die vollständige Akte auf einen Blick

Phase Mindestnachweis
Eingang Originalantrag, Kanal und Zeitpunkt
Steuerung Case Owner, Frist und interne Termine
Identität Entscheidung und mögliche Rückfrage
Suche Systemliste, Aufträge und Suchkriterien
Rückmeldung Treffer, Negativmeldungen und technische Grenzen
Schutzprüfung Fundstellen, Gründe und Freigabe
Antwort Anschreiben, Pflichtinformationen und Datenkopie
Versand Empfänger, Kanal, Zeitpunkt und exakt versandte Fassung
Abschluss Abweichungen und offene Verbesserungen

Der requests-Ablauf mit Beispieldaten zeigt, wie Zuständigkeiten, Fristen, Zulieferungen und Freigaben in einer Vorgangsakte zusammengeführt werden können. Ein kundenspezifischer Pilot kann nach gesonderter Abstimmung an einem abgegrenzten Vorgang prüfen, welche Schritte und Anbindungen für Ihren Ablauf belastbar sind.

Quellen und Stand

Praxisbeispiel mit vier Suchzuständen ergänzt am 8. September 2026. Rechtlicher Quellenabgleich: 8. September 2026.