EU-Konformität 4 Min. Lesezeit
GDPR Data Subject Access Request Guide: Fristen, Umfang Und Pflichten
Das Auskunftsrecht nach Artikel 15 GDPR verpflichtet Verantwortliche zu einer vollständigen, verständlichen und fristgerechten Antwort. Der Beitrag ordnet Normen, Fristen und Grenzen ein und zeigt, wie Unternehmen Eingangskanäle, Identitätsprüfung und Dokumentation belastbar aufsetzen.
Rechtlicher Rahmen: Artikel 15 GDPR Und Seine Nachbarvorschriften
Artikel 15 GDPR verankert das Auskunftsrecht der betroffenen Person. Der Anspruch ist zweistufig aufgebaut: Zuerst ist zu bestätigen, ob überhaupt personenbezogene Daten verarbeitet werden. Besteht eine Verarbeitung, folgen eine Kopie der Daten und ergänzende Informationen – etwa Verarbeitungszwecke, Datenkategorien, Empfänger oder Empfängerkategorien, geplante Speicherdauer, Herkunft der Daten sowie Angaben zu automatisierten Entscheidungen einschließlich Profiling.
Die Norm steht nicht allein. Artikel 12 GDPR regelt die Modalitäten: transparente, verständliche und unentgeltliche Bereitstellung. Artikel 13 und 14 GDPR verpflichten zu proaktiver Information, Artikel 15 GDPR greift auf Verlangen. Wer einen belastbaren GDPR data subject access request guide erstellt, muss diese Vorschriften zusammen lesen, weil sich Fristen, Form und Kostenregeln erst aus dem Zusammenspiel ergeben. Flankierend relevant sind Artikel 5 GDPR (Grundsätze), Artikel 82 GDPR (Schadensersatz) und Artikel 83 GDPR (Bußgeldrahmen).
Fristen, Ablauf Und Organisation Im Unternehmen
Fristberechnung Und Zulässige Verlängerung
Die Antwort ist grundsätzlich innerhalb eines Monats nach Eingang zu erteilen. Bei komplexen Anträgen oder einer hohen Zahl gleichartiger Ersuchen kann die Frist um bis zu zwei weitere Monate verlängert werden. Die Verlängerung ist zu begründen und der betroffenen Person innerhalb des ersten Monats mitzuteilen. Maßgeblich ist der Eingang beim Verantwortlichen – nicht der Zeitpunkt, zu dem eine Fachabteilung den Vorgang öffnet. Deshalb gehört zu jeder Umsetzung ein zentraler Eingangskanal mit Zeitstempel und einer klaren Eskalationslogik.
Identitätsprüfung Und Formerfordernis
Der Antrag ist formfrei. Ein bestimmtes Formular, Schriftform oder eine Begründung dürfen nicht verlangt werden. Zulässig ist es jedoch, angemessene Zweifel an der Identität zu adressieren und Nachweise zu verlangen – etwa bei Anträgen über ungesicherte Kanäle oder bei besonders sensiblen Datenbeständen. Die Prüfung muss verhältnismäßig bleiben: Ausweiskopien sind zu schwärzen, und die Erhebung zusätzlicher Daten darf nicht über das Erforderliche hinausgehen. Jede Identitätsprüfung ist zu dokumentieren, damit die Entscheidung später nachvollziehbar bleibt.
Umfang Der Auskunft: Was Die Antwort Enthalten Muss
Die Kopie umfasst die personenbezogenen Daten selbst, nicht die Rohdatenbank. Erforderlich ist eine Aufbereitung, die für die betroffene Person verständlich ist. Bei sehr umfangreichen Datensätzen kann eine strukturierte Zusammenfassung zulässig sein, sofern die vollständige Kopie unverhältnismäßig wäre; die Begründung dafür ist zu dokumentieren. Ein GDPR data subject access request guide, der nur die Frist nennt, greift zu kurz: Entscheidend ist die inhaltliche Vollständigkeit.
Begrenzungen ergeben sich aus Artikel 15 Absatz 4 GDPR. Rechte und Freiheiten anderer Personen sowie Geschäftsgeheimnisse sind zu berücksichtigen. Das bedeutet nicht, die Auskunft pauschal zu verweigern, sondern einzelne Passagen zu schwärzen und die Abwägung zu begründen. Wurden Daten bereits gelöscht, bleibt die Auskunft sinnvoll: Sie kann die Information umfassen, dass keine personenbezogenen Daten mehr verarbeitet werden. Wichtig ist die Abgrenzung zum Recht auf Datenübertragbarkeit nach Artikel 20 GDPR – beide Ansprüche haben unterschiedliche Voraussetzungen und Formate.
Grenzen Des Auskunftsanspruchs Und Typische Fehlerquellen
Artikel 12 Absatz 5 GDPR erlaubt Reaktionen auf offensichtlich unbegründete oder exzessive Anträge: ein angemessenes Entgelt oder, in begründeten Fällen, die Verweigerung. Wiederholte Anträge in kurzen Abständen sind sorgfältig zu prüfen, bevor eine Verweigerung ausgesprochen wird. Nationale Öffnungsklauseln nach Artikel 23 GDPR können den Anspruch einschränken, etwa im Steuer- oder Strafverfolgungskontext.
Häufige Fehlerquellen in der Praxis:
- Fristen werden ab dem Zeitpunkt der internen Weiterleitung statt ab Eingang berechnet.
- Empfänger werden pauschal als "Dienstleister" benannt, ohne Kategorien und Drittlandbezug zu konkretisieren.
- Es werden Systemnamen statt Datenkategorien aufgelistet.
- Die Abwägung zu Rechten Dritter fehlt oder bleibt undokumentiert.
- Auskunft und Löschung werden vermischt, obwohl es getrennte Ansprüche sind.
Schnittstellen Zu Produkt- Und Technischer Compliance
Auskunftsersuchen treffen selten nur die Datenschutzabteilung. Betroffen sind Logfiles, Telemetrie, Qualitätsdaten, Servicehistorie und Supporttickets. Hersteller und Betreiber von Maschinen müssen klären, welche personenbezogenen Daten in Steuerungen, Diagnosesystemen und Cloud-Diensten anfallen und wie lange sie aufbewahrt werden.
Dort berühren sich Datenschutz und Produktkonformität. Der EU Notified Body Involvement Guide beschreibt, wann eine notifizierte Stelle einzubinden ist, und die EU Machinery Regulation 2023 1230 Requirements ordnen die Pflichten rund um die technische Dokumentation ein. Sobald Dokumentations- und Aufbewahrungspflichten auf Löschfristen treffen, entsteht Abstimmungsbedarf zwischen Compliance, Entwicklung und Datenschutz. Die EU Notified Body Involvement Checklist hilft, Zuständigkeiten und Nachweise strukturiert zu erfassen.
Praktische Checkliste Für Verantwortliche
Dieser GDPR data subject access request guide lässt sich als internes Arbeitsmittel nutzen. Bewährt haben sich folgende Schritte:
- Zentraler Eingangskanal mit Zeitstempel, Ticketnummer und Verantwortlichkeit.
- Verzeichnis der Verarbeitungstätigkeiten als Grundlage für Datenkategorien und Empfänger.
- Standardisierte Identitätsprüfung mit dokumentierter Verhältnismäßigkeitsabwägung.
- Vorlage für die Antwort mit Pflichtfeldern nach Artikel 15 GDPR.
- Vier-Augen-Prinzip bei Schwärzungen und Verweigerungen.
- Fristenkalender mit Vorwarnung vor Ablauf des ersten Monats.
- Nachbereitung: Erkenntnisse aus Anträgen in Löschkonzepte und Prozessdesign zurückspielen.
Wer diese Elemente kombiniert, reduziert Bearbeitungszeiten, vermeidet Bußgeldrisiken nach Artikel 83 GDPR und schafft Nachweise, die auch bei Aufsichtsanfragen oder Schadensersatzforderungen nach Artikel 82 GDPR tragen.
Wichtige Fakten
Maschinenlesbare Aussagen aus den oben genannten Quellen. Jeder Fakt behält in allen sechs Sprachfassungen dieselbe Kennung.
1 month
A controller generally must respond to a data subject access request within one month of receipt.
Fakten-ID:
GDPR_dsar_response_deadline2 months
The response period may be extended by two further months for complex or numerous requests.
Fakten-ID:
GDPR_dsar_extensionReasonable fee
A controller may charge a reasonable fee only for manifestly unfounded or excessive requests, or for additional copies.
Fakten-ID:
GDPR_dsar_fee_ruleReasonable doubts
Controllers should verify identity only when there are reasonable doubts about the requester's identity.
Fakten-ID:
GDPR_dsar_identity_verificationArticle 15
The core right of access is set out in Article 15 of the GDPR.
Fakten-ID:
GDPR_dsar_articleCommonly used electronic form
The data subject may request a copy of personal data in a commonly used electronic form.
Fakten-ID:
GDPR_dsar_copy_format
Häufig gestellte Fragen
Wie lange hat ein Verantwortlicher Zeit, um auf ein Auskunftsersuchen zu antworten?
Grundsätzlich einen Monat ab Eingang. Bei komplexen Anträgen oder vielen gleichartigen Ersuchen kann die Frist um bis zu zwei weitere Monate verlängert werden. Die Verlängerung muss begründet und innerhalb des ersten Monats mitgeteilt werden.
Muss ein Auskunftsersuchen in einer bestimmten Form gestellt werden?
Nein. Der Antrag ist formfrei; ein Formular oder eine Begründung darf nicht verlangt werden. Bei berechtigten Zweifeln an der Identität können jedoch angemessene Nachweise angefordert werden.
Fallen für die Auskunft Kosten an?
Die erste Kopie ist unentgeltlich. Bei offensichtlich unbegründeten oder exzessiven Anträgen kann nach Artikel 12 Absatz 5 GDPR ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden.
Dürfen Geschäftsgeheimnisse die Auskunft vollständig blockieren?
Nein. Nach Artikel 15 Absatz 4 GDPR sind Rechte Dritter und Geschäftsgeheimnisse abzuwägen. In der Regel werden einzelne Passagen geschwärzt, statt die gesamte Auskunft zu verweigern.
Was ist der Unterschied zwischen Auskunft und Datenübertragbarkeit?
Das Auskunftsrecht nach Artikel 15 GDPR umfasst Informationen und eine Kopie der Daten. Die Datenübertragbarkeit nach Artikel 20 GDPR setzt eine Einwilligung oder einen Vertrag als Rechtsgrundlage voraus und verlangt ein strukturiertes, maschinenlesbares Format.
Quellen und Lizenzierung
Jede Aussage in diesem Artikel lässt sich auf die unten genannten Quellen zurückführen. Die Links führen direkt zum Herausgeber.
