Für einen Berichtigungsantrag oder einen Widerspruch gegen die Verarbeitung gilt dieselbe Frist wie für einen Auskunfts- oder Löschantrag: ein Monat nach Eingang. Die DSGVO erlaubt es, diese Frist um bis zu zwei Monate zu verlängern, wenn der Antrag komplex ist oder viele Anträge gleichzeitig eingehen, aber dann müssen Sie den Betroffenen innerhalb des ersten Monats informieren, dass Sie verlängern und warum.
Was in der Praxis oft schiefgeht, ist nicht die Frist selbst, sondern der Zeitpunkt, an dem sie zu laufen beginnt. Bei Berichtigung und Widerspruch kommt zudem eine sachliche Frage hinzu, die sich bei einem Auskunftsantrag nicht stellt: ist der Antrag berechtigt? Die Beantwortung dieser Frage nimmt Zeit in Anspruch, und diese Bearbeitungszeit fällt in denselben Monat.
Was die Frist genau misst
Der Monat beginnt zu dem Zeitpunkt, an dem der Antrag bei Ihnen eingeht, nicht zu dem Zeitpunkt, an dem Sie ihn als solchen erkennen. Eine E-Mail an den Kundendienst mit "das stimmt nicht, ändern Sie das" ist bereits ein Berichtigungsantrag, auch wenn niemand dies vermerkt hat. Dasselbe gilt für einen Widerspruch: ein Kunde, der schreibt "ich möchte nicht mehr, dass Sie meine Daten für diesen Zweck nutzen", muss das Wort Widerspruch nicht verwenden. Die Aufsichtsbehörden beurteilen die Bearbeitung eines Antrags anhand des Eingangszeitpunkts, nicht anhand des Erkennungszeitpunkts. Wer diesen Unterschied nicht dokumentiert, verliert oft Tage, bevor der Antrag als Antrag auf der Agenda steht.
Berichtigung: oft schnell, aber mit einer Bedingung
Eine Korrektur einer Adresse oder Telefonnummer lässt sich in der Regel einfach und schnell verarbeiten. Schwieriger wird es, wenn der Betroffene behauptet, dass eine Bewertung, Notiz oder Akteneintrag unrichtig ist. Hier geht es nicht mehr um einen faktischen Fehler, sondern um eine sachliche Beurteilung, und diese erfordert eine Abstimmung mit der Person, die den Eintrag vorgenommen hat. Diese Abstimmung muss innerhalb des Monats erfolgen, und dies gelingt nur, wenn der Antrag sofort bei der richtigen Person ankommt, anstatt bei der Person liegenbleiben zu lassen, die die E-Mail zufällig geöffnet hat.
Widerspruch: prüfen, nicht automatisch gewähren
Ein Widerspruch gegen die Verarbeitung muss nicht automatisch gewährt werden. Die Verordnung sieht vor, dass eine Organisation prüfen kann, ob es zwingende berechtigte Gründe gibt, die Verarbeitung fortzusetzen, beispielsweise bei einem laufenden Vertrag oder einer gesetzlichen Verpflichtung. Diese Abwägung muss begründet an den Betroffenen zurückgemeldet werden, innerhalb derselben Frist. Viele Unternehmen unterschätzen, wie lange diese Begründung dauert, weil sie vergessen, dass "Nein" zu sagen auf einen Widerspruch genauso begründet sein muss wie "Ja" zu sagen.
Wo die Frist in der Praxis stockt
In den meisten Fällen stockt die Frist nicht bei der sachlichen Bearbeitung, sondern an drei erkennbaren Stellen. Das erste ist die Erkennung: der Antrag wird nicht als solcher erkannt und bleibt in einem Posteingang liegen. Das zweite ist die Verifizierung: bevor Sie Daten anpassen oder eine Verarbeitung beenden, müssen Sie sich angemessen sicher sein, dass der Antragsteller tatsächlich der Betroffene ist, und diese Überprüfung kostet Zeit, die nicht immer eingeplant ist. Das dritte ist die Abstimmung innerhalb der Organisation selbst: eine Personalakte oder eine Kundenbewertung befindet sich oft nicht bei einer Person, und ohne eine feste Ansprechperson dauert das Suchen länger als das Entscheiden. Eine Wissensdatenbank, in der jeder Antragstyp separat erklärt wird hilft, diesen Unterschied rechtzeitig zu treffen, anstatt erst beim ersten Antrag.
Was als pünktlich zählt
Rechtzeitig reagieren bedeutet, dass die betroffene Person innerhalb der Frist eine inhaltliche Antwort, eine begründete Ablehnung oder eine Mitteilung erhält, dass die Frist verlängert wird. Eine Empfangsbestätigung ohne Inhalt gilt nicht als Bearbeitung. Gerade weil Berichtigung und Widerspruch häufiger eine inhaltliche Abwägung erfordern als ein Auskunftsersuchen, ist es sinnvoll, früh im Monat festzulegen, wer in der Organisation diese Abwägung vornimmt und auf welcher Grundlage. Die häufig gestellte Fragen zu Ersuchen von betroffenen Personen geben je Situation eine kurze Antwort auf das, was unter diese Frist fällt und was nicht.
Ob ein konkretes Ersuchen berechtigt ist und wie Sie eine Ablehnung begründen, unterscheidet sich je nach Situation und erfordert bei Zweifeln die Konsultation eines Juristen oder der Autoriteit Persoonsgegevens. Was gdpria.eu tut, ist die Frist selbst zu überwachen: Sobald ein Ersuchen registriert ist, läuft die Frist automatisch mit, einschließlich des Zeitpunkts, zu dem eine Verlängerung angekündigt werden muss. Auf wie es funktioniert finden Sie, woher diese Fristlogik stammt und wie sie aktualisiert wird.
Möchten Sie für Ihr eigenes Unternehmen sehen, wie ein solches Ersuchen in der Praxis aussieht und wo Sie gerade stehen? Der kostenlose Quick-Scan auf gdpria.eu gibt in ein paar Fragen einen ersten Anhaltspunkt, und mit einem Geschäftskonto dokumentieren Sie die Bearbeitung jedes Ersuchens mit der entsprechenden Frist.