Wenn Sie nicht innerhalb der gesetzlichen Frist auf einen Antrag einer betroffenen Person antworten, wird kein Bußgeld automatisch verhängt. Die DSGVO funktioniert anders: die Verordnung schreibt eine Frist vor, in der Sie antworten müssen, und was passiert, wenn Sie das nicht tun, hängt davon ab, was die betroffene Person danach unternimmt. Diese kann eine Beschwerde bei der Datenschutzbehörde einreichen oder den Zivilweg beschreiten. Beide Wege bestehen nebeneinander und schließen sich nicht aus.
Es geht also nicht um einen festen Betrag, der aus dem Versäumnis des Datums folgt, sondern um eine Situation, in der Sie nicht nachweisen können, dass Sie Ihre Pflicht erfüllt haben. Das ist eine andere Position als wenn Sie rechtzeitig antworten, auch wenn die Antwort auf den Antrag selbst komplizierter ist.
Was die DSGVO über die Frist vorschreibt
Die Verordnung gewährt der betroffenen Person das Recht, innerhalb eines Monats eine Antwort auf einen Antrag auf Auskunft, Berichtigung oder Löschung zu erhalten. Dieser Monat beginnt ab dem Zeitpunkt, an dem Sie den Antrag erhalten, nicht ab dem Zeitpunkt, an dem Sie ihn inhaltlich bearbeiten. Wer den Antrag bewertet, was erforderlich ist, um die Identität zu überprüfen, und welche Systeme durchsucht werden müssen, alles zählt in diesen Zeitraum.
Der Gesetzestext selbst ist die Quelle, auf die Sie zurückgreifen können, wenn Sie sich über die genaue Formulierung unsicher sind; in der Wissensdatenbank können Sie pro Thema die kurze Antwort und die Quelle finden. Das ist bewusst keine kostenpflichtige Funktion: die Nachvollziehbarkeit bis zur Quelle gehört zu einem System, das sagt, dass Sie selbst überprüfen können, woher etwas stammt.
Was passiert, wenn die Frist abläuft
Wenn der Monat verstreicht ohne Antwort, kann die betroffene Person das als einen eigenständigen Verstoß betrachten, unabhängig davon, ob Sie den Antrag letztendlich hätten ablehnen dürfen. Die Datenschutzbehörde behandelt Beschwerden über solche Situationen, und die Aufsichtsbehörde entscheidet selbst, wie mit einer Beschwerde umgegangen wird. Wir können dazu für Ihren speziellen Fall keine Aussage treffen; das ist Sache der Aufsichtsbehörde oder, falls Sie unsicher sind, eines Juristen.
Was jedoch feststeht: eine verspätete Antwort sieht in der Praxis anders aus als gar keine Antwort. Ein Unternehmen, das erklärt, warum etwas länger dauert, steht in einer anderen Position als ein Unternehmen, das überhaupt nicht antwortet. Dieser Unterschied ist relevant, auch wenn es keine Formel gibt, mit der dieser Unterschied in einen Prozentsatz oder Betrag ausgedrückt werden kann.
Fristverlängerung: wann ist das möglich
Die DSGVO bietet Spielraum, die Frist zu verlängern, wenn ein Antrag komplex ist oder wenn mehrere Anträge gleichzeitig eingehen. Diese Verlängerung ist nicht automatisch: Sie müssen die betroffene Person innerhalb des ursprünglichen Monats darüber informieren, dass Sie mehr Zeit benötigen, und warum. Wer das versäumt und erst nach dem ersten Monat von sich hören lässt, hat die Verlängerung nicht ordnungsgemäß genutzt, auch wenn es inhaltlich vielleicht Grund für mehr Zeit gab.
Das ist genau der Punkt, an dem Unternehmen oft daneben greifen: nicht weil sie nicht antworten wollen, sondern weil niemand das Datum festgehalten hat, an dem der Antrag eingegangen ist. Ein E-Mail-Antrag, der liegen bleibt, bis jemand Zeit hat, ist das häufigste Szenario.
Was zu tun ist, wenn Sie merken, dass die Frist in Gefahr ist
Wenn Sie kurz vor dem Stichtag stehen oder ihn gerade verpasst haben, ist der erste Schritt trotzdem zu antworten, mit einer kurzen Erklärung, was passiert ist. Schweigen ist die Situation, die die betroffene Person am meisten Anlass gibt, eine Beschwerde oder einen Gerichtsweg einzuleiten. Eine späte aber vollständige Antwort, mit einer klaren Dokumentation des Zeitpunkts, an dem der Antrag eingegangen ist und was unternommen wurde, zeigt, dass tatsächlich etwas getan wurde.
Dokumentieren Sie in jedem Fall: das Empfangsdatum, wer den Antrag bewertet hat, und welche Abwägung vorgenommen wurde. Im Zweifelsfall, ob ein Antrag berechtigt ist oder was genau Sie bereitstellen müssen, ist die Seite mit häufig gestellten Fragen ein erster Anhaltspunkt, und für die schwierigeren Fälle bleibt ein Jurist der richtige Weg.
So überwachen Sie eine laufende Frist
Das Schwierigste an dieser Verpflichtung ist nicht der Inhalt der Antwort, sondern die Überwachung der Frist, sobald ein Antrag irgendwo in der Organisation ankommt: beim Empfang, in einem allgemeinen Postfach oder direkt bei einem Mitarbeiter. gdpria.eu lässt diese Frist von einem Monat automatisch weiterlaufen, sobald ein Antrag registriert wurde, mit einem Signal kurz bevor das Datum verstricht. Wie dieses System aufgebaut ist und woher die zugrunde liegenden Regeln stammen, wird erläutert auf der Seite, auf der erläutert wird, woher die Informationen stammen.
Ob dies für Ihr Unternehmen eine sinnvolle Ergänzung ist, hängt davon ab, wie viele Anträge Sie erhalten und wie Sie das derzeit bereits dokumentieren. Ein Geschäftskonto erstellen ist unverbindlich einsehbar; die Wissensdatenbank und die erste Bewertung bleiben dabei kostenlos zugänglich.
Möchten Sie zunächst sehen, wo Sie derzeit stehen? Die kostenlosen Komponenten von gdpria.eu geben zu jedem Thema die kurze Antwort und die Fundstelle im Gesetzestext, ohne dass Sie dafür ein Konto benötigen.