Art. 12 Abs. 3 DSGVO: Fristen für Betroffenenanfragen richtig einhalten
Wenn Kunden, Mitarbeitende oder andere betroffene Personen wissen möchten, welche personenbezogenen Daten ein Unternehmen über sie gespeichert hat, müssen Verantwortliche reagieren. Dasselbe gilt für Anträge auf Berichtigung, Löschung oder die Ausübung weiterer Datenschutzrechte.
Doch wie schnell muss eine solche Anfrage beantwortet werden? Welche Fristen gelten nach der Datenschutz-Grundverordnung? Und was passiert, wenn ein Unternehmen für die Bearbeitung mehr Zeit benötigt?
Genau diese Fragen regelt Art. 12 Abs. 3 DSGVO. Die Vorschrift legt fest, innerhalb welcher Frist Verantwortliche über die Bearbeitung von Anträgen zur Ausübung der Betroffenenrechte informieren müssen.
Grundsätzlich gilt eine Frist von einem Monat ab Eingang des Antrags. Bei besonders komplexen oder zahlreichen Anträgen kann sie unter bestimmten Voraussetzungen verlängert werden.
In der Praxis entstehen dabei häufig Unsicherheiten. Unternehmen müssen beispielsweise beurteilen, wann die Frist beginnt, wie sie berechnet wird und ob eine Eingangsbestätigung bereits ausreicht.
Dieser Beitrag erklärt die gesetzlichen Anforderungen und zeigt, wie Unternehmen Betroffenenanfragen zuverlässig, fristgerecht und datenschutzkonform bearbeiten können.
Was regelt Art. 12 Abs. 3 DSGVO?
Artikel 12 DSGVO enthält grundlegende Anforderungen an die Kommunikation zwischen Verantwortlichen und betroffenen Personen.
Absatz 3 betrifft insbesondere die Fristen, innerhalb derer Verantwortliche über Maßnahmen zu Anträgen nach den Artikeln 15 bis 22 DSGVO informieren müssen.
Die Vorschrift enthält vier zentrale Regelungen:
- Verantwortliche müssen grundsätzlich unverzüglich reagieren.
- Die reguläre Antwortfrist beträgt höchstens einen Monat ab Eingang des Antrags.
- Unter bestimmten Voraussetzungen ist eine Verlängerung um zwei weitere Monate möglich.
- Bei elektronisch gestellten Anträgen soll die Antwort nach Möglichkeit ebenfalls elektronisch erfolgen, sofern die betroffene Person nichts anderes vorgibt.
Besonders wichtig ist der Begriff „unverzüglich“. Die einmonatige Frist bedeutet nicht, dass Unternehmen eine Anfrage grundsätzlich erst nach vier Wochen bearbeiten müssen. Kann eine Anfrage früher beantwortet werden, sollte dies auch geschehen. Die Monatsfrist bildet die reguläre zeitliche Obergrenze.
Für welche Betroffenenrechte gilt Artikel 12 Absatz 3 DSGVO?
Die Fristenregelung gilt für Anträge zur Ausübung der Rechte aus den Artikeln 15 bis 22 DSGVO.
Dazu gehören insbesondere:
- Art. 15 DSGVO: Recht auf Auskunft über personenbezogene Daten
- Art. 16 DSGVO: Recht auf Berichtigung unrichtiger Daten
- Art. 17 DSGVO: Recht auf Löschung unter den gesetzlichen Voraussetzungen
- Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung
- Art. 20 DSGVO: Recht auf Datenübertragbarkeit
- Art. 21 DSGVO: Widerspruchsrecht gegen bestimmte Datenverarbeitungen
- Art. 22 DSGVO: Rechte im Zusammenhang mit bestimmten automatisierten Entscheidungen
Artikel 19 DSGVO regelt ergänzend Mitteilungspflichten im Zusammenhang mit Berichtigung, Löschung und Einschränkung.
In Unternehmen sind insbesondere Auskunfts- und Löschanfragen häufig relevant.
Eine professionelle Datenschutzberatung unterstützt dabei, solche Anfragen rechtlich korrekt einzuordnen und geeignete interne Bearbeitungsprozesse festzulegen.
Welche Frist gilt nach Art. 12 Abs. 3 DSGVO?
Grundsätzlich müssen Unternehmen eine Betroffenenanfrage unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags bearbeiten beziehungsweise über die ergriffenen Maßnahmen informieren.
Diese Frist beginnt nicht erst dann, wenn die Datenschutzabteilung Zeit für die Anfrage findet.
Erreicht ein Antrag den Verantwortlichen über einen dafür geeigneten offiziellen Kommunikationsweg, ist der Eingang grundsätzlich maßgeblich.
Beispielsweise kann eine Auskunftsanfrage über ein Kontaktformular, per E-Mail oder auf dem Postweg eingehen.
Unternehmen dürfen die Ausübung der Betroffenenrechte nicht davon abhängig machen, dass ausschließlich ein bestimmtes Formular verwendet wird.
Auch Anfragen, die zunächst bei einer anderen Abteilung eingehen, sollten deshalb zuverlässig erkannt und an die zuständigen Personen weitergeleitet werden.
Reicht eine Eingangsbestätigung aus?
Eine Eingangsbestätigung ist sinnvoll, erfüllt die eigentliche Antwortpflicht aber nicht automatisch.
Wenn ein Unternehmen lediglich bestätigt, dass eine Anfrage eingegangen ist, muss es anschließend weiterhin die gesetzlich erforderlichen Maßnahmen ergreifen und darüber informieren.
Eine kurze Bestätigung kann jedoch helfen, Transparenz zu schaffen und der betroffenen Person mitzuteilen, dass ihre Anfrage bearbeitet wird.
Wie wird die Monatsfrist der DSGVO berechnet?
Ein Monat bedeutet nicht automatisch 30 Tage oder vier Wochen.
Für die Berechnung der Frist ist grundsätzlich der Kalendermonat maßgeblich. Die europäischen Fristenregelungen und die Leitlinien des Europäischen Datenschutzausschusses geben hierfür Orientierung.
Geht beispielsweise eine Auskunftsanfrage am 5. März ein, endet die reguläre Monatsfrist grundsätzlich am 5. April.
Fehlt im Folgemonat ein entsprechender Kalendertag, ist grundsätzlich der letzte Tag dieses Monats maßgeblich.
Wann darf die DSGVO-Frist verlängert werden?
Artikel 12 Absatz 3 DSGVO erlaubt eine Verlängerung der regulären Monatsfrist um höchstens zwei weitere Monate.
Damit kann die Bearbeitungszeit unter den gesetzlichen Voraussetzungen insgesamt bis zu drei Monate ab Eingang des Antrags betragen.
Eine Verlängerung ist jedoch nicht beliebig möglich.
Sie muss aufgrund der Komplexität oder der Anzahl der Anträge erforderlich sein.
Das kann beispielsweise relevant werden, wenn ein Unternehmen umfangreiche personenbezogene Informationen aus mehreren Systemen zusammenstellen und prüfen muss.
Auch zahlreiche gleichzeitig zu bearbeitende Anträge können eine zusätzliche Bearbeitungszeit rechtfertigen.
Welche Voraussetzungen gelten?
Eine Fristverlängerung muss nachvollziehbar begründet werden.
Außerdem muss das Unternehmen die betroffene Person innerhalb der ursprünglichen Monatsfrist über die Verlängerung und deren Gründe informieren.
Eine verspätete Mitteilung nach Ablauf der regulären Frist genügt dieser Voraussetzung nicht.
Eine pauschale Verlängerung sämtlicher Betroffenenanfragen wäre ebenfalls problematisch, wenn dafür keine entsprechenden Gründe bestehen.
Unternehmen sollten deshalb dokumentieren, weshalb eine längere Bearbeitungszeit im konkreten Fall erforderlich war.
Was passiert bei Zweifeln an der Identität?
Bevor personenbezogene Daten herausgegeben werden, muss sichergestellt sein, dass die Informationen nicht an eine unberechtigte Person gelangen.
Artikel 12 Absatz 6 DSGVO erlaubt es Verantwortlichen, bei begründeten Zweifeln an der Identität zusätzliche Informationen anzufordern, soweit diese zur Bestätigung erforderlich sind.
Das bedeutet jedoch nicht, dass Unternehmen grundsätzlich von jedem Antragsteller eine Ausweiskopie verlangen dürfen.
Die Identitätsprüfung muss verhältnismäßig sein.
Bei einem bestehenden Kundenkonto kann beispielsweise eine Bestätigung über den bereits bekannten Kommunikationsweg ausreichend sein.
Bei besonders sensiblen Daten können zusätzliche Prüfungen angemessen sein.
Nach den Leitlinien des Europäischen Datenschutzausschusses kann die Bearbeitungsfrist unter bestimmten Voraussetzungen ausgesetzt werden, wenn erforderliche Identitätsinformationen unverzüglich angefordert werden. Eine bloße oder unangemessen verzögerte Rückfrage führt jedoch nicht automatisch zu einem Neubeginn der gesamten Monatsfrist.
Unternehmen sollten daher sowohl die Identitätsprüfung als auch den zeitlichen Ablauf sorgfältig dokumentieren.
In welcher Form müssen Unternehmen antworten?
Artikel 12 DSGVO verlangt eine verständliche, transparente und leicht zugängliche Kommunikation.
Antworten auf Betroffenenanfragen sollten deshalb klar formuliert sein und die tatsächlich ergriffenen Maßnahmen nachvollziehbar erklären.
Wenn eine Anfrage elektronisch gestellt wurde, soll die Antwort nach Möglichkeit ebenfalls elektronisch erfolgen, sofern die betroffene Person keine andere Form verlangt.
Allerdings muss der gewählte Übermittlungsweg angemessen sicher sein.
Bei einer Auskunftsanfrage können beispielsweise sensible Beschäftigten- oder Gesundheitsdaten betroffen sein. In solchen Fällen sollte geprüft werden, ob eine verschlüsselte Datei oder ein geschütztes Downloadportal erforderlich ist.
Eine fristgerechte Antwort darf nicht dazu führen, dass personenbezogene Informationen unkontrolliert an Dritte übermittelt werden.
Was gilt, wenn ein Unternehmen einem Antrag nicht nachkommt?
Nicht jede Betroffenenanfrage führt automatisch dazu, dass sämtliche gewünschten Maßnahmen durchgeführt werden müssen.
Beispielsweise kann ein Löschantrag mit gesetzlichen Aufbewahrungspflichten kollidieren.
Auch Auskunftsersuchen können gesetzliche Grenzen haben, etwa wenn Rechte und Freiheiten anderer Personen betroffen sind.
Entscheidet ein Verantwortlicher, aufgrund eines Antrags nicht tätig zu werden, gelten die Anforderungen aus Artikel 12 Absatz 4 DSGVO.
Das Unternehmen muss die betroffene Person unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die Gründe informieren.
Außerdem muss es auf die Möglichkeit einer Beschwerde bei einer Datenschutzaufsichtsbehörde und auf gerichtliche Rechtsbehelfe hinweisen.
Eine Anfrage darf daher nicht einfach unbeantwortet bleiben, nur weil das Unternehmen die verlangte Maßnahme für unbegründet hält.
Dürfen Unternehmen Gebühren für Betroffenenanfragen verlangen?
Grundsätzlich müssen Informationen und Maßnahmen nach den Artikeln 12 bis 22 DSGVO unentgeltlich bereitgestellt werden.
Artikel 12 Absatz 5 DSGVO sieht allerdings Ausnahmen vor.
Bei offenkundig unbegründeten oder exzessiven Anträgen, insbesondere im Fall häufiger Wiederholung, kann ein Verantwortlicher unter den gesetzlichen Voraussetzungen ein angemessenes Entgelt verlangen oder sich weigern, aufgrund des Antrags tätig zu werden.
Die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter liegt beim Verantwortlichen.
Allein die Tatsache, dass eine Auskunftsanfrage umfangreich ist oder Arbeitsaufwand verursacht, rechtfertigt deshalb nicht automatisch eine Gebühr.
Auch wiederholte Anfragen müssen anhand der konkreten Umstände beurteilt werden.
Welche Folgen hat die Überschreitung der DSGVO-Frist?
Werden Betroffenenanfragen nicht fristgerecht bearbeitet, kann dies einen Verstoß gegen die DSGVO darstellen.
Betroffene Personen können sich nach Artikel 77 DSGVO an eine zuständige Datenschutzaufsichtsbehörde wenden.
Die Behörde kann den Sachverhalt prüfen und gegebenenfalls aufsichtsrechtliche Maßnahmen ergreifen.
Unter den Voraussetzungen des Artikels 83 DSGVO kommen auch Geldbußen in Betracht.
Ein Schadensersatzanspruch nach Artikel 82 DSGVO setzt weitere Voraussetzungen voraus, insbesondere einen ersatzfähigen Schaden und einen ursächlichen Zusammenhang mit dem Verstoß. Eine bloße Fristüberschreitung führt nicht automatisch zu einem Schadensersatzanspruch.
Für Unternehmen ist es deshalb wichtig, eingehende Anträge nicht nur inhaltlich richtig, sondern auch fristgerecht zu bearbeiten.
Betroffenenanfragen im Unternehmen richtig organisieren
Eine der größten Herausforderungen ist die interne Organisation.
In größeren Unternehmen können Anfragen über unterschiedliche Kanäle eingehen: beim Kundenservice, in der Personalabteilung, im Vertrieb oder über allgemeine Kontaktadressen.
Wenn solche Nachrichten nicht als Betroffenenanfragen erkannt werden, kann wertvolle Bearbeitungszeit verloren gehen.
Ein strukturiertes Datenschutzmanagement sorgt dafür, dass Anfragen erfasst, Zuständigkeiten geklärt und Fristen nachvollziehbar überwacht werden.
Dabei sollten Unternehmen insbesondere festlegen, welche Abteilung Anfragen entgegennimmt und wer für die rechtliche Prüfung sowie die Zusammenstellung erforderlicher Informationen zuständig ist.
Auch externe Dienstleister können beteiligt sein, wenn personenbezogene Daten in ausgelagerten Systemen verarbeitet werden.
Bei einer Auftragsverarbeitung muss der Dienstleister den Verantwortlichen im Rahmen der gesetzlichen und vertraglichen Verpflichtungen bei der Erfüllung von Betroffenenrechten unterstützen.
Die Verantwortung für eine ordnungsgemäße Bearbeitung verbleibt jedoch grundsätzlich beim Verantwortlichen.
Checkliste: Art. 12 Abs. 3 DSGVO richtig umsetzen
Mit einem klaren Ablauf können Unternehmen Betroffenenanfragen zuverlässig bearbeiten.
- Eingang der Anfrage dokumentieren - Erfassen Sie den Eingangstag, den Kommunikationsweg und das Anliegen der betroffenen Person.
- Betroffenenrecht identifizieren - Prüfen Sie, ob es sich beispielsweise um eine Auskunfts-, Berichtigungs-, Lösch- oder Widerspruchsanfrage handelt.
- Identität bei Bedarf überprüfen - Wenn begründete Zweifel bestehen, können erforderliche und verhältnismäßige Informationen zur Identitätsbestätigung angefordert werden.
- Monatsfrist berechnen - Legen Sie das reguläre Fristende fest und planen Sie ausreichend Zeit für die interne Bearbeitung ein.
- Zuständige Fachbereiche einbinden - Klären Sie, welche Systeme und Abteilungen relevante personenbezogene Daten verarbeiten.
- Fristverlängerung rechtzeitig prüfen - Falls die gesetzlichen Voraussetzungen erfüllt sind, informieren Sie die betroffene Person innerhalb des ersten Monats über die notwendige Verlängerung und deren Gründe.
- Antwort übermitteln und dokumentieren - Stellen Sie die erforderlichen Informationen beziehungsweise die Mitteilung über die ergriffenen Maßnahmen rechtzeitig und auf einem angemessen sicheren Weg bereit.
Eine vollständige Bearbeitungsdokumentation hilft außerdem, die Einhaltung der DSGVO-Anforderungen später nachvollziehbar zu machen.
Typische Fehler bei Art. 12 Abs. 3 DSGVO
In der Praxis entstehen Fristversäumnisse häufig durch organisatorische Probleme.
Typische Fehler sind:
- Betroffenenanfragen bleiben in allgemeinen E-Mail-Postfächern liegen.
- Die Monatsfrist wird fälschlich als vier Wochen berechnet.
- Eine Eingangsbestätigung wird mit der eigentlichen Antwort verwechselt.
- Die Fristverlängerung wird zu spät mitgeteilt.
- Fehlende interne Zuständigkeiten verzögern die Bearbeitung.
- Unnötige Identitätsnachweise werden verlangt.
- Abgelehnte Anträge werden nicht ausreichend begründet.
- Die Bearbeitung wird nicht nachvollziehbar dokumentiert.
Regelmäßige Datenschutzaudits können helfen, solche Schwachstellen zu identifizieren und die internen Prozesse zu verbessern.
Wie CAS Datenschutz bei Betroffenenanfragen unterstützt
CAS Datenschutz unterstützt Unternehmen dabei, Betroffenenanfragen rechtlich einzuordnen und die gesetzlichen Anforderungen aus Artikel 12 DSGVO zuverlässig umzusetzen.
Im Mittelpunkt stehen die Prüfung bestehender Bearbeitungsprozesse, die Definition klarer Zuständigkeiten und die Entwicklung geeigneter Abläufe für Auskunfts-, Berichtigungs- und Löschanfragen.
Auch die Bewertung von Fristverlängerungen, die Unterstützung bei komplexen Anträgen und die Dokumentation datenschutzrechtlicher Entscheidungen können Bestandteil der Beratung sein.
Ziel ist eine Datenschutzorganisation, die Anfragen effizient bearbeitet und gleichzeitig die Rechte betroffener Personen wahrt.
Sie möchten Ihre Prozesse für Betroffenenanfragen überprüfen lassen? Vereinbaren Sie einen kostenlosen Ersttermin mit CAS Datenschutz und klären Sie, welche Maßnahmen für Ihr Unternehmen sinnvoll sind.
Fazit: Art. 12 Abs. 3 DSGVO verlangt klare Fristen und schnelle Reaktionen
Artikel 12 Absatz 3 DSGVO regelt, innerhalb welcher Frist Unternehmen auf Anträge zur Ausübung von Betroffenenrechten reagieren müssen.
Grundsätzlich gilt eine Monatsfrist ab Eingang des Antrags. Unternehmen müssen jedoch unverzüglich handeln und dürfen die Frist nicht ohne sachlichen Grund vollständig ausschöpfen.
Bei komplexen oder zahlreichen Anträgen ist eine Verlängerung um zwei weitere Monate möglich. Dafür müssen die gesetzlichen Voraussetzungen erfüllt und die betroffenen Personen rechtzeitig informiert werden.
Art. 12 Abs. 3 DSGVO ist damit ein zentraler Bestandteil des praktischen Datenschutzmanagements.
Wer eingehende Anfragen zuverlässig erfasst, Zuständigkeiten festlegt und Fristen überwacht, reduziert das Risiko von Datenschutzverstößen und schafft transparente Prozesse für betroffene Personen.
FAQ
Häufig gestellte Fragen zu Art. 12 Abs. 3
Was regelt Art. 12 Abs. 3 DSGVO?
Artikel 12 Absatz 3 DSGVO regelt die Fristen für die Information über Maßnahmen zu Anträgen nach den Artikeln 15 bis 22 DSGVO. Verantwortliche müssen grundsätzlich unverzüglich und spätestens innerhalb eines Monats nach Eingang des Antrags reagieren.
Wie lange hat ein Unternehmen Zeit, eine DSGVO-Auskunftsanfrage zu beantworten?
Grundsätzlich muss eine Auskunftsanfrage unverzüglich und spätestens innerhalb eines Monats nach Eingang beantwortet werden. Unter den gesetzlichen Voraussetzungen ist eine Verlängerung um zwei weitere Monate möglich.
Wann beginnt die Monatsfrist nach Art. 12 Abs. 3 DSGVO?
Die Frist beginnt grundsätzlich mit dem Eingang des Antrags beim Verantwortlichen. Das gilt auch dann, wenn die Anfrage zunächst über einen allgemeinen offiziellen Kommunikationsweg eingeht. Besonderheiten können bei einer erforderlichen Identitätsklärung bestehen.
Kann die Frist für eine Betroffenenanfrage verlängert werden?
Ja. Wenn die Komplexität oder die Anzahl der Anträge dies erforderlich macht, kann die Frist um bis zu zwei weitere Monate verlängert werden. Die betroffene Person muss innerhalb des ersten Monats über die Verlängerung und deren Gründe informiert werden.
Reicht eine Eingangsbestätigung innerhalb eines Monats aus?
Nein. Eine bloße Eingangsbestätigung erfüllt die Pflicht zur Information über ergriffene Maßnahmen grundsätzlich nicht. Das Unternehmen muss die Anfrage bearbeiten und darüber innerhalb der geltenden Frist informieren oder eine zulässige Fristverlängerung rechtzeitig mitteilen.
Muss eine DSGVO-Anfrage per E-Mail beantwortet werden?
Wird eine Anfrage elektronisch gestellt, soll die Antwort nach Möglichkeit ebenfalls elektronisch erfolgen, sofern die betroffene Person keine andere Form verlangt. Dabei müssen die Informationen über einen angemessen sicheren Kommunikationsweg übermittelt werden.
Was passiert, wenn ein Unternehmen die DSGVO-Monatsfrist überschreitet?
Eine nicht gerechtfertigte Fristüberschreitung kann einen DSGVO-Verstoß darstellen. Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Je nach Sachverhalt kommen aufsichtsrechtliche Maßnahmen und unter weiteren Voraussetzungen auch andere rechtliche Folgen in Betracht.
.webp)
