EU-Konformität 4 Min. Lesezeit
GDPR Data Subject Access Request Checklist: Prüfschritte Für Verantwortliche Und Auftragsverarbeiter
Art. 15 GDPR verlangt eine fristgerechte und vollständige Antwort auf Auskunftsersuchen. Der Beitrag beschreibt Ablauf, Pflichtangaben, Ausnahmen und typische Fehlerquellen im Tagesgeschäft.
Rechtlicher Rahmen: Art. 15 GDPR und Art. 12 GDPR
Art. 15 GDPR begründet das Auskunftsrecht der betroffenen Person. Der Verantwortliche muss bestätigen, ob personenbezogene Daten verarbeitet werden. Ist das der Fall, sind die in Absatz 1 und 2 genannten Informationen sowie eine Kopie der verarbeiteten Daten nach Absatz 3 bereitzustellen. Art. 12 GDPR setzt den Verfahrensrahmen: verständliche Sprache, unentgeltliche Bearbeitung, eine Frist von einem Monat.
Die Bandbreite der Ersuchen ist erheblich. Sie kommen von Beschäftigten, Kundinnen und Kunden, Bewerberinnen und Bewerbern, Lieferantenkontakten oder aus anwaltlicher Vertretung. Entsprechend unterschiedlich sind Umfang und Sensibilität der betroffenen Datensätze. Eine GDPR data subject access request checklist übersetzt diese Pflichten in wiederholbare Arbeitsschritte und schafft damit die Grundlage, Fristen und Rechenschaftspflicht nach Art. 5 Abs. 2 GDPR gleichzeitig zu erfüllen.
Die GDPR data subject access request checklist: Ablauf in fünf Schritten
Schritt 1 – Eingang, Erfassung und Zuständigkeit
Jedes Ersuchen wird mit Eingangsdatum, Kanal, Identität der antragstellenden Person und Sachverhalt in einem zentralen Register erfasst. Alle Zugangswege sind gleich zu behandeln: E-Mail, Post, Webformular, Telefon oder mündliche Ansprache im Kundengespräch. Eine benannte Organisationseinheit koordiniert den Vorgang, die Fachbereiche liefern die Datensätze zu. Ohne diese Trennung entstehen Lücken, weil niemand die Gesamtfrist überblickt.
Schritt 2 – Identitätsprüfung
Art. 12 Abs. 6 GDPR erlaubt es, bei begründeten Zweifeln zusätzliche Informationen zur Identifizierung anzufordern. Maßstab ist die Verhältnismäßigkeit. Bei bestehender Geschäftsbeziehung und plausibler Anfrage genügt in der Regel der Abgleich mit den Stammdaten. Bei anonymen Anträgen oder abweichenden Kontaktdaten sind Nachweise angemessen. Die Frist beginnt mit Eingang des Ersuchens; Zeiten einer berechtigten Identitätsprüfung sollten dokumentiert und begründet werden.
Schritt 3 – Fristenmanagement
Die Antwort ist unverzüglich, spätestens innerhalb eines Monats nach Eingang zu erteilen. Bei komplexen oder zahlreichen Anträgen ist eine Verlängerung um zwei weitere Monate möglich. Die Verlängerung muss innerhalb des ersten Monats begründet mitgeteilt werden. Bewährt haben sich hinterlegte Fristen im Vorgangssystem, eine Eskalation bei vierzehn Tagen Restlaufzeit und eine Vertretungsregelung für Urlaubs- und Krankheitsphasen.
Schritt 4 – Datenerhebung, Prüfung und Schwärzung
Zu prüfen sind alle relevanten Systeme: CRM, HR- und Bewerbermanagement, ERP, Ticketsysteme, E-Mail-Archive, Protokolldateien und – bei entsprechendem Aufwand – Sicherungskopien. Rechte Dritter sind zu wahren; Namen, Kontaktdaten oder Bewertungen anderer Personen werden geschwärzt. Geschäftsgeheimnisse sind nach Art. 15 Abs. 4 GDPR und den nationalen Öffnungsklauseln zu berücksichtigen, ohne die Auskunft pauschal zu verweigern.
Schritt 5 – Antwort und Versand
Die Antwort erfolgt in präziser, verständlicher Sprache. Wurde der Antrag elektronisch gestellt, ist die Kopie in einem gängigen elektronischen Format zu übermitteln, sofern nichts anderes verlangt wird. Der Versandweg muss sicher und die Zustellung nachweisbar sein. Eine kurze Zusammenfassung der Antwort im Vorgang erleichtert spätere Nachweise gegenüber der Aufsichtsbehörde.
Inhalt der Antwort: Pflichtangaben und Format
Die Antwort muss mindestens folgende Punkte abdecken:
- Zwecke der Verarbeitung
- Kategorien personenbezogener Daten
- Empfänger oder Kategorien von Empfängern, einschließlich Übermittlungen in Drittländer
- Geplante Speicherdauer oder Kriterien für deren Festlegung
- Bestehen von Rechten auf Berichtigung, Löschung, Einschränkung und Widerspruch
- Beschwerderecht bei einer Aufsichtsbehörde
- Herkunft der Daten, sofern sie nicht bei der betroffenen Person erhoben wurden
- Bestehen automatisierter Entscheidungsfindung einschließlich Profiling mit Informationen über Logik, Tragweite und Auswirkungen
- Kopie der verarbeiteten personenbezogenen Daten
Die Kopie ist nicht mit einer bloßen Zusammenfassung gleichzusetzen. Sie umfasst die Daten selbst, nicht nur deren Beschreibung. Bei umfangreichen Datensätzen helfen eine klare Gliederung und eine kurze Erläuterung der Systemherkunft.
Ausnahmen, Ablehnung und Dokumentation
Art. 15 Abs. 4 GDPR stellt klar, dass das Recht auf Kopie die Rechte und Freiheiten anderer nicht beeinträchtigen darf. Nationale Regelungen wie § 34 BDSG ergänzen Ausnahmen für besondere Verarbeitungssituationen. Wird ein Antrag ganz oder teilweise abgelehnt, ist dies innerhalb der Frist zu begründen und mit einer Rechtsbehelfsbelehrung zu versehen. Die Erwägungen gehören in den Vorgang, damit die Entscheidung später nachvollziehbar bleibt. Die Rechenschaftspflicht nach Art. 5 Abs. 2 GDPR verlangt den Nachweis, dass angemessen und fristgerecht reagiert wurde.
Typische Fehlerquellen und Prüfpunkte
- Fristbeginn wird falsch angesetzt, etwa ab Postlauf statt ab Eingang
- Pauschaler Verweis auf Geschäftsgeheimnisse ohne Einzelfallprüfung
- Es wird nur eine Zusammenfassung statt einer Kopie übermittelt
- Daten Dritter werden ungeprüft offengelegt
- Bearbeitungsentgelte werden ohne Rechtsgrundlage verlangt
- Mündliche Anträge werden nicht erfasst
- Antworten sind in unverständlicher Fachsprache verfasst
Schnittstellen zu Produktrecht und Marktüberwachung
In regulierten Branchen überschneidet sich Datenschutz mit technischer Dokumentation. Wer Maschinen in Verkehr bringt, muss technische Unterlagen nach der EU Machinery Regulation 2023/1230 vorhalten; der Leitfaden zur EU Machinery Regulation 2023/1230 beschreibt den Umfang. Auch die Einbindung einer notifizierten Stelle erzeugt Datenflüsse mit personenbezogenen Anteilen, etwa Gutachternamen oder Prüfprotokolle. Der Leitfaden zur Einbindung notifizierter Stellen und die Checkliste zur Einbindung notifizierter Stellen helfen, Zuständigkeiten und Nachweise sauber zu trennen. Wer die GDPR data subject access request checklist mit dem Produktrecht verzahnt, kann ein Auskunftsersuchen beantworten, ohne laufende Konformitätsverfahren zu gefährden.
Wichtige Fakten
Maschinenlesbare Aussagen aus den oben genannten Quellen. Jeder Fakt behält in allen sechs Sprachfassungen dieselbe Kennung.
Article 15
Anspruchsgrundlage ist Art. 15 GDPR, ergänzt durch Art. 12 GDPR für Modalitäten, Format und Fristen.
Fakten-ID:
legal_basis1 month
Controllers must respond without undue delay and in any event within one month.
Fakten-ID:
standard_deadline2 months
Bei komplexen oder zahlreichen Anträgen kann die Frist um zwei weitere Monate verlängert werden; die Begründung muss innerhalb des ersten Monats erfolgen.
Fakten-ID:
extension_periodNo fee; reasonable fee for excessive requests
Responses are generally free, but a reasonable fee may apply for manifestly unfounded or excessive requests or additional copies.
Fakten-ID:
fee_ruleArticle 12(6)
Controllers may request additional information to confirm the requester's identity.
Fakten-ID:
identity_checkArticle 15(4)
The right to obtain a copy must not adversely affect the rights and freedoms of others.
Fakten-ID:
third_party_rights
Häufig gestellte Fragen
Innerhalb welcher Frist muss ein Auskunftsersuchen beantwortet werden?
Die Antwort ist unverzüglich, spätestens innerhalb eines Monats nach Eingang des Ersuchens zu erteilen. Bei komplexen oder zahlreichen Anträgen kann die Frist um zwei weitere Monate verlängert werden. Die Verlängerung ist innerhalb des ersten Monats zu begründen.
Darf für die Auskunft eine Gebühr verlangt werden?
Grundsätzlich ist die Bearbeitung unentgeltlich. Entgelte sind nur in den engen Grenzen des Art. 12 Abs. 5 GDPR zulässig, etwa bei offenkundig unbegründeten oder exzessiven Anträgen. Die Begründung ist zu dokumentieren.
Muss eine Kopie der Daten geliefert werden oder genügt eine Zusammenfassung?
Art. 15 Abs. 3 GDPR verlangt eine Kopie der verarbeiteten personenbezogenen Daten. Eine bloße Zusammenfassung erfüllt den Anspruch nicht. Bei elektronisch gestellten Anträgen ist ein gängiges elektronisches Format zu wählen.
Wie ist mit Daten anderer Personen umzugehen?
Nach Art. 15 Abs. 4 GDPR darf die Auskunft die Rechte und Freiheiten anderer nicht beeinträchtigen. Namen, Kontaktdaten und Bewertungen Dritter werden geschwärzt; die Schwärzung wird im Vorgang begründet.
Wann darf ein Antrag abgelehnt werden?
Ablehnungen stützen sich auf Art. 15 Abs. 4 GDPR sowie nationale Öffnungsklauseln wie § 34 BDSG. Die Ablehnung muss innerhalb der Frist begründet, mit einer Rechtsbehelfsbelehrung versehen und vollständig dokumentiert werden.
Quellen und Lizenzierung
Jede Aussage in diesem Artikel lässt sich auf die unten genannten Quellen zurückführen. Die Links führen direkt zum Herausgeber.
