Betroffenenanfragen bearbeiten: Rechte und erste Schritte

„Schicken Sie mir alle Daten, die Sie über mich gespeichert haben.“ Mit diesem Satz kann ein Kunde bereits Auskunft nach Art. 15 DSGVO verlangen. Auch eine Nachricht an den Kundenservice muss erkannt und intern weitergegeben werden. Weder die Überschrift „Datenschutz“ noch ein bestimmtes Formular ist dafür erforderlich.

Eine Betroffenenanfrage liegt vor, wenn eine Person eines ihrer Rechte nach der DSGVO geltend macht. Diese Seite hilft Ihnen, eine solche Nachricht einzuordnen und den nächsten Arbeitsschritt festzulegen. Die Regeln gelten ebenso für Anfragen von Beschäftigten oder anderen betroffenen Personen.

Welches Recht fordert der Kunde ein?

Lesen Sie die Nachricht nach ihrem Anliegen. Eine Person muss die Rechtsgrundlage nicht selbst zuordnen. Typische Kundenfragen führen zu unterschiedlichen Aufgaben:

Weitere Rechte betreffen die Einschränkung der Verarbeitung und die Datenübertragbarkeit. Ein bloßer Widerspruch gegen Werbung ist noch keine Aufforderung, sämtliche Vertragsdaten zu löschen. Umgekehrt beendet das Abbestellen eines Newsletters nicht automatisch alle anderen Werbewege. Maßgeblich bleibt, was die Person tatsächlich verlangt.

„Schicken Sie mir meine Daten und löschen Sie danach mein Konto“ enthält zwei Anliegen. Führen Sie beide im selben Vorgang, aber prüfen und beantworten Sie sie getrennt. Eine Aufbewahrungspflicht kann die Löschung bestimmter Daten ausschließen; daraus folgt keine pauschale Verweigerung der Auskunft. Grundlagen sind Art. 15 bis 21 DSGVO.

Nach den EDPB Guidelines 01/2022 muss eine Auskunftsanfrage erkannt werden, wenn sie über einen offiziellen Kanal des Verantwortlichen eingeht. Die Person muss weder „DSGVO“ noch „Art. 15“ schreiben.

Was ist am Eingangstag zu tun?

Fünf Angaben reichen für einen belastbaren Start:

Erfassen	Warum es sofort zählt
Eingang mit Datum, Uhrzeit und Kanal	macht den Fristbeginn nachvollziehbar
Wortlaut und Anlagen	zeigt, welches Recht und welcher Umfang gemeint sind
anfragende Person und vorhandene Kontaktdaten	steuert die risikogerechte Identitätsprüfung
verantwortliche Stelle	verhindert, dass der Antrag zwischen Abteilungen liegen bleibt
erster Termin für Einordnung	bringt Frist, Suche und Rückfragen in einen Vorgang

Art. 12 Abs. 3 DSGVO verlangt die Information über die ergriffenen Maßnahmen ohne unangemessene Verzögerung und grundsätzlich spätestens innerhalb eines Monats ab Eingang. Eine bloße Eingangsbestätigung erfüllt diese Pflicht nicht. Ist wegen der Komplexität oder Anzahl der Anträge eine Verlängerung erforderlich, muss sie innerhalb des ersten Monats mit Gründen mitgeteilt werden; möglich sind höchstens zwei weitere Monate.

Berechnen Sie den Termin mit dem DSGVO-Fristenrechner und halten Sie die zugrunde gelegten Daten im Vorgang fest. Zusätzliche Angaben zur Identität dürfen nach Art. 12 Abs. 6 nur bei begründeten Zweifeln und im erforderlichen Umfang verlangt werden. Eine Ausweiskopie ist kein pauschaler Eingangsschritt.

Wie läuft eine Art.-15-Anfrage im Überblick ab?

1. Eingang sichern. Nachricht, Anlagen, Kanal und Zeitpunkt in einer Vorgangsakte erfassen.
2. Antrag einordnen. Auskunft, Löschung, Berichtigung oder mehrere Rechte unterscheiden.
3. Identität prüfen. Vorhandene Informationen nutzen und nur bei begründeten Zweifeln nachfordern.
4. Frist und Zuständigkeit setzen. Eine Person führt den Vorgang und koordiniert die Zulieferungen.
5. Datenquellen bestimmen. Fachbereiche und IT melden Treffer oder nachvollziehbare Negativmeldungen.
6. Antwort prüfen und versenden. Pflichtinformationen, Datenkopie, Schutz Dritter und Versandnachweis zusammenführen.

Nach einem Austritt hilft der Leitfaden für Auskunftsersuchen ehemaliger Mitarbeiter, frühere Konten, Vertretung und Datenwege zu klären.

Sucht das Team in mehreren Systemen, hilft der IT-Suchplan für E-Mail, Teams und Tickets. Für die Antwort an den Kunden finden Sie im Antwortbaukasten konkrete Formulierungen und Anlagen.

Was gehört am Ende in die Vorgangsakte?

Mindestens der ursprüngliche Antrag, die Fristnotiz, die Identitätsentscheidung, der Suchplan, Rückmeldungen der Datenquellen, die versandte Antwort samt Anlagen und der Versandnachweis. Wurden Daten geschwärzt, Quellen ausgeschlossen, ein Entgelt verlangt oder Tätigkeiten verweigert, gehört auch die konkrete Begründung dazu.

Für diese Rollen, Übergaben und Nachweise ist der DSAR-Prozess die Arbeitsanleitung. Der Antwortbaukasten konzentriert sich auf das, was die betroffene Person tatsächlich erhält.

Wie Aufgaben und Zulieferungen in einem Vorgang zusammenliegen können, zeigt das requests-Arbeitsbeispiel mit Beispieldaten. Eine kundenspezifische Anbindung muss gesondert geklärt werden.

Quellen und Stand

Stand: 2. Oktober 2026.

• Art. 12 bis 22 DSGVO: Verfahren und Betroffenenrechte.
• EDPB Guidelines 01/2022, Version 2.1: Erkennen, Eingang, Identität, Umfang und Frist einer Auskunftsanfrage.