GDPR Data Subject Access Request Requirements: Praxisleitfaden Für Compliance-Beauftragte Und Datenschutzteams

Rechtlicher Rahmen: Artikel 15 GDPR und seine Reichweite

Art. 15 GDPR räumt jeder betroffenen Person das Recht ein, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Liegt eine Verarbeitung vor, sind die in Absatz 1 genannten Informationen sowie eine Kopie der Daten nach Absatz 3 bereitzustellen. Erwägungsgrund 63 konkretisiert den Kopiebegriff, ohne ihn abschließend zu definieren.

Für die Praxis heißt das: Die GDPR data subject access request requirements sind keine Formalie, sondern ein eigenständiger Prozess mit Fristen, Formvorgaben und Nachweispflichten. Wer ihn nicht dokumentiert, kann ihn im Streitfall nicht belegen.

Fristen, Form und Kosten

Die Antwortfrist beträgt einen Monat ab Eingang des Antrags (Art. 12 Abs. 3 GDPR). Bei komplexen Anträgen oder einer Vielzahl gleichartiger Anträge kann sie um bis zu zwei weitere Monate verlängert werden. Über die Verlängerung und ihre Gründe ist innerhalb des ersten Monats zu informieren.

Wird der Antrag elektronisch gestellt, ist die Antwort grundsätzlich ebenfalls elektronisch zu übermitteln, sofern keine andere Form gewünscht wird. Die Auskunft ist unentgeltlich; Kosten dürfen nur bei offenkundig unbegründeten oder exzessiven Anträgen auferlegt werden (Art. 12 Abs. 5 GDPR). Ein Formular ist nicht vorgeschrieben, einheitliche Eingangskanäle erleichtern jedoch die Fristenkontrolle.

Umfang der Auskunft

Absatz 1 nennt acht Informationsgruppen: Verarbeitungszwecke, Kategorien personenbezogener Daten, Empfänger oder Empfängerkategorien, geplante Speicherdauer, Bestehen von Rechten auf Berichtigung, Löschung, Einschränkung und Widerspruch, Beschwerderecht bei einer Aufsichtsbehörde, Herkunft der Daten sowie das Bestehen automatisierter Entscheidungsfindung einschließlich Profiling.

Der Gerichtshof der Europäischen Union hat den Kopiebegriff in der Rechtssache C-487/21 präzisiert: Geschuldet ist eine getreue und verständliche Wiedergabe, die Auszüge aus Dokumenten einschließen kann, wenn dies zum Verständnis erforderlich ist.

Drittdaten, Geschäftsgeheimnisse und Abwägung

Das Recht auf Kopie ist nicht schrankenlos. Art. 15 Abs. 4 GDPR erlaubt es, Rechte und Freiheiten anderer zu wahren. Typische Folge sind Schwärzungen oder die Beschränkung auf Daten der antragstellenden Person. Diese Abwägung ist zu dokumentieren, weil sie im Beschwerdeverfahren überprüft wird.

Prozessgestaltung: Von der Identitätsprüfung bis zur Antwort

Ein belastbarer Prozess beginnt mit der Erfassung des Antrags in einem zentralen Register. Danach folgt die Identitätsprüfung nach Art. 12 Abs. 6 GDPR: Zusätzliche Informationen dürfen angefordert werden, wenn begründete Zweifel an der Identität bestehen. Ein pauschaler Zwang zur Vorlage von Ausweiskopien ist unzulässig; die Prüfung muss verhältnismäßig bleiben.

Anschließend werden die betroffenen Systeme anhand eines Datenquellenverzeichnisses abgefragt. Bewährt haben sich feste Rollen für Fallverantwortliche, Datenschutzbeauftragte, Fachbereiche und IT sowie ein Fristenkalender mit Vorwarnstufen.

In produktnahen Compliance-Systemen überschneiden sich diese Nachweise mit Unterlagen aus der Konformitätsbewertung. Die Systematik ähnelt der Dokumentationslogik, die im EU Notified Body Involvement Guide beschrieben ist. Auch die Anforderungen an technische Dokumentation, wie sie die EU Machinery Regulation 2023 1230 Requirements festschreiben, folgen demselben Grundsatz: nachvollziehbar, versioniert, prüfbar.

Ausnahmen, Grenzen und typische Fehlerquellen

Beschränkungen ergeben sich aus Art. 15 Abs. 4 GDPR, aus Art. 12 Abs. 5 GDPR sowie aus nationalen Öffnungsklauseln, in Deutschland etwa § 34 BDSG. Berufsgeheimnisse, laufende Ermittlungen und Rechte Dritter können den Umfang reduzieren. Entscheidend: Eine Beschränkung ist zu begründen, nicht nur zu behaupten.

Häufige Fehler sind verspätete Zwischennachrichten, unvollständige Empfängerlisten, fehlende Angaben zu Speicherdauer und Herkunft sowie Antworten ohne Nachweis des Zugangs. Ebenfalls problematisch ist die Verwechslung von Auskunft nach Art. 15 GDPR und Datenübertragbarkeit nach Art. 20 GDPR.

Nachweisbarkeit, Schulung und Aufsicht

Art. 5 Abs. 2 GDPR verlangt Rechenschaft über die Einhaltung der Grundsätze. Ein Auskunftsregister mit Eingangsdatum, Frist, Bearbeitungsstand, Antwortschreiben und Begründung erfüllt diese Pflicht. Schulungen sollten Fallbeispiele zu Drittdaten, Profiling und automatisierten Entscheidungen enthalten.

Werden Fristen gerissen, kann eine Meldung nach Art. 33 GDPR erforderlich sein, wenn ein Verstoß mit Risiko für Rechte und Freiheiten vorliegt. Aufsichtsbehörden prüfen die GDPR data subject access request requirements zunehmend im Rahmen von Beschwerdeverfahren und strukturierten Audits. In regulierten Lieferketten empfiehlt sich ein Abgleich mit den Nachweislisten der EU Notified Body Involvement Checklist – nicht wegen inhaltlicher Gleichheit, sondern wegen vergleichbarer Prüfungslogik.

Für Auftragsverarbeiter gilt Art. 28 Abs. 3 lit. e GDPR: Sie unterstützen den Verantwortlichen. Reaktionszeiten und Zuständigkeiten sollten vertraglich festgehalten werden.

Fazit

Die GDPR data subject access request requirements lassen sich in vier Schritten erfüllen: Antrag erfassen, Identität verhältnismäßig prüfen, Daten vollständig und verständlich aufbereiten, Antwort fristgerecht und nachweisbar übermitteln. Wer diese Schritte standardisiert und dokumentiert, senkt das Beschwerderisiko und schafft belastbare Nachweise für Audits.