Eine Person, die Zugang zu ihren Daten anfordert, diese berichtigen oder löschen lassen möchte, hat Anspruch auf eine Antwort innerhalb eines Monats nach Eingang des Antrags. Das ist die Grundregel der DSGVO. Handelt es sich um einen Antrag mit komplexem Umfang oder erhalten Sie mehrere gleichzeitig, bietet die Verordnung Raum, diese Frist um höchstens zwei Monate zu verlängern — vorausgesetzt, Sie informieren die betroffene Person innerhalb des ersten Monats und erläutern, warum.
In der Praxis ist die gesetzliche Frist selten das Problem. Woran Unternehmen scheitern, ist der Prozess davor: festzustellen, wer genau welche Daten anfordert, herauszufinden, in welchen Systemen diese Daten gespeichert sind, und zu prüfen, ob Ausnahmen gelten, bevor Sie etwas löschen oder offenlegen. Wer diesen Prozess nicht eingerichtet hat, merkt, dass die Uhr bereits eine Woche läuft, bevor jemand intern den Antrag ansieht.
Wann die Frist zu laufen beginnt
Die Frist beginnt in dem Moment, in dem der Antrag Sie erreicht, nicht in dem Moment, in dem Sie ihn inhaltlich bearbeiten. Ein Antrag per E-Mail an eine allgemeine Adresse, über den Empfang oder an einen einzelnen Mitarbeiter zählt gleichermaßen. Das bedeutet, dass ein Unternehmen, in dem solche Nachrichten nicht schnell an die richtige Person weitergeleitet werden, Zeit verliert, die nicht mehr aufgeholt wird. Wer genau weiß, was ein gültiger Antrag ist und wohin er gehen muss, gewinnt hier die ersten und wichtigsten Tage.
Was Fristverlängerung in der Praxis bedeutet
Die Möglichkeit einer Fristverlängerung ist keine Blankovollmacht zum Warten. Die DSGVO koppelt die Verlängerung an die Komplexität des Antrags selbst — etwa weil Daten über mehrere Systeme oder Jahre verteilt sind oder erst geklärt werden muss, ob die Offenlegung die Rechte anderer beeinträchtigt. Ein Antrag, der einfach liegen gelassen wurde, fällt nicht darunter. Aufsichtsbehörden und Gerichte schauen sich die Art des Antrags an, nicht die Arbeitsauslastung der Behörde.
Wo die Bearbeitungsfrist in der Praxis scheitert
Drei Punkte tauchen immer wieder auf. Erstens die Identitätsprüfung: Sie müssen angemessen sicherstellen, dass Sie Daten an die Person offenlegen, die sie betreffen, ohne dabei unangemessen viele zusätzliche Informationen anzufordern. Zweitens die Verbreitung von Daten über verschiedene SaaS-Tools — ein CRM, ein Buchhaltungspaket, ein E-Mail-Programm — wodurch ein Antrag schnell mehrere Orte gleichzeitig betrifft. Drittens die Frage, ob Daten, die eigentlich bereits gelöscht sein sollten, noch irgendwo in einer Sicherung oder einer alten Datei vorhanden sind. Letzteres hängt eng mit Aufbewahrungsfristen zusammen, die nicht genau festgelegt sind.
Ein Unternehmen, das vorher weiß, welche Daten es wo verarbeitet, muss bei einem Antrag nicht mehr suchen, sondern kann direkt nachschauen. Genau deshalb ist ein aktuelles Verarbeitungsverzeichnis mehr als eine Formalität: Es ist das Nachschlagewerk, mit dem Sie einen Antrag innerhalb der Frist bearbeiten, anstatt danach zu suchen. In der Wissensdatenbank sind die Themen pro Situation erklärt, einschließlich des Verweises auf den offiziellen Text.
Was Sie selbst tun können, um die Frist einzuhalten
Legen Sie fest, wer einen Antrag erkennt und wohin er geht. Stellen Sie sicher, dass klar ist, welche Daten in welchem Tool gespeichert sind, sodass Sie nicht bei jedem Antrag erneut herausfinden müssen, wo Sie suchen müssen. Und richten Sie vorher eine Routine für die Identitätsprüfung ein, damit diese nicht ad hoc in dem Moment bedacht wird, in dem die Uhr bereits läuft. Wer unsicher ist, ob ein bestimmter Antrag unter die Grundregel oder unter die Verlängerung fällt, sollte das am besten an einen Rechtsanwalt weitergeben oder bei der Autoriteit Persoonsgegevens nachfragen.
Ob ein Ereignis im Zusammenhang mit Daten meldepflichtig ist, ist eine andere Frage als die Frist für einen Antrag einer betroffenen Person — dafür gelten andere Regeln und eine kürzere Frist. Wenn Sie unsicher sind, ob etwas in diese Kategorie fällt, können Sie das in wenigen Fragen mit einer Einschätzung prüfen. Wie gdpria.eu die Fristen, Vorlagen und Erinnerungen pro Verpflichtung mit Ihrem eigenen Verzeichnis verknüpft, finden Sie unter die Seite, die erklärt, woher die Informationen stammen.
Möchten Sie wissen, wie es Ihr Unternehmen derzeit um die Einhaltung der DSGVO bestellt ist, ohne dass Sie sofort etwas bezahlen müssen? Nutzen Sie den kostenlosen Quick-Check oder lesen Sie die Themen, die Ihrer Situation am meisten entsprechen, über häufig gestellte Fragen zu Anträgen von betroffenen Personen.