Betroffenenanfrage: Die 1-Monats-Frist richtig einhalten

Es reicht eine formlos formulierte E-Mail: „Ich möchte wissen, welche Daten Sie über mich gespeichert haben." Damit liegt eine Betroffenenanfrage vor — und die Antwortfrist läuft. Nicht ab dem Moment, in dem jemand die Mail liest, sondern ab dem Eingang in Ihrem Unternehmen. Wer das verwechselt, verschenkt oft die ersten Tage der einzigen Frist, die zählt: einen Monat nach Art. 12 Abs. 3 DSGVO.

Wann die Frist beginnt

Art. 12 Abs. 3 DSGVO knüpft an den Eingang des Antrags an. Entscheidend ist also der Tag, an dem die Anfrage Ihr Unternehmen erreicht — per E-Mail, Kontaktformular, Brief oder über einen öffentlichen Anfrage-Kanal. Nicht entscheidend ist, wann die zuständige Person davon erfährt. Urlaubszeit, Postfach-Chaos oder ein interner Verteiler ändern am Fristbeginn nichts.

Daraus folgt der erste Arbeitsgrundsatz: Eingang sofort dokumentieren. Datum, Kanal, Anfrage-Art und die Person, die sich darum kümmert. Mit diesem Eintrag steht die Frist fest und niemand muss später rekonstruieren, wann „die Mail mit dem komischen Betreff" eigentlich ankam.

Übrigens: Eine bestimmte Form verlangt die DSGVO nicht. Auch die Anfrage ohne jede Rechtsgrundlagen-Angabe ist eine Anfrage. Ob etwas ein Antrag nach Art. 15–21 DSGVO ist, bestimmt der Inhalt — nicht die Überschrift.

Wie lang die Frist ist — und was „Antwort" bedeutet

Sie müssen der betroffenen Person „unverzüglich, in jedem Fall aber binnen eines Monats" antworten (Art. 12 Abs. 3 DSGVO). „Unverzüglich" heißt: ohne schuldhaftes Zögern — der Monat ist die äußerste Grenze, nicht die Regelbearbeitungszeit. Wer vier Wochen wartet, obwohl die Antwort nach drei Tagen fertig war, handelt dem Wortlaut schon zuwider.

Wichtig ist auch: „Antwort" heißt nicht zwingend „erfüllen". Sie können einen Antrag ablehnen — dann allerdings binnen derselben Monatsfrist, mit Gründen und mit dem Hinweis auf das Beschwerderecht bei der Aufsichtsbehörde und auf den Rechtsweg (Art. 12 Abs. 4 DSGVO). Schweigen ist die einzige Variante, die nicht existiert.

Verlängerung: zwei Monate mehr, aber mit Pflichten

Wenn ein Antrag komplex ist oder Sie eine hohe Zahl von Anträgen erreicht hat, dürfen Sie die Frist um zwei weitere Monate verlängern — insgesamt also drei Monate ab Eingang (Art. 12 Abs. 3 Satz 3 DSGVO). Zwei Bedingungen machen die Verlängerung wirksam:

• Mitteilung binnen eines Monats: Sie informieren die betroffene Person noch innerhalb der ursprünglichen Monatsfrist über die Verlängerung.
• Begründung: Die Mitteilung enthält die Gründe für die Verzögerung — etwa aufwendige Recherche in mehreren Systemen oder ein außergewöhnliches Anfrageaufkommen.

Praktisch heißt das: Die Verlängerung ist kein Aufschub ins Blaue, sondern ein eigener, fristgebundener Teilschritt. Wer sie erst nach fünf Wochen mitteilt, hat die Monatsfrist bereits verletzt — die Verlängerung rettet ihn dann nicht mehr. Dokumentieren Sie daher beides: den Zeitpunkt der Mitteilung und die Gründe.

Identitätsprüfung: verhältnismäßig — und ohne Friststopp

Haben Sie begründete Zweifel an der Identität der antragstellenden Person, dürfen Sie zusätzliche Informationen zur Bestätigung anfordern (Art. 12 Abs. 6 DSGVO). Zwei Leitplanken gelten dabei:

• Nur bei begründeten Zweifeln. Routinemäßig bei jeder Anfrage eine Ausweiskopie zu verlangen, ist unzulässig — ohne konkrete Zweifel gibt es keinen Anlass für zusätzliche Daten.
• Verhältnismäßigkeit. Fordern Sie nur so viel, wie zur Bestätigung nötig ist. Häufig genügt die Antwort an die Absender-Adresse oder eine Rückfrage über denselben Kanal. Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) gilt auch hier.

Und der Punkt, den Praxis und Gesetz am häufigsten trennt: Die Identitätsprüfung unterbricht die Frist nicht. Der Monat läuft weiter, während Sie auf den Nachweis warten. Deshalb gehört die Prüfung an den Anfang des Vorgangs — nicht ans Ende.

Die fünf typischen Fehler

• Fristbeginn falsch bestimmt: Gezählt wird ab „gelesen" statt ab „eingegangen" — die ersten Tage sind weg, bevor jemand reagiert.
• Verlängerung zu spät mitgeteilt: Nach Ablauf des ersten Monats ist die Frist bereits verletzt; die Verlängerung wirkt nicht rückwirkend.
• Überzogene Identitätsnachweise: Ausweiskopie als Standard — unzulässig ohne begründete Zweifel und im konkreten Fall oft unverhältnismäßig.
• Ablehnung ohne Begründung: Auch eine Ablehnung ist eine Antwort — mit Gründen und Rechtsbehelfs-Hinweis, binnen eines Monats.
• Keine Dokumentation: Ohne Nachweis von Eingang, Antwort und Fristeinhaltung stehen Sie bei einer Beschwerde mit leeren Händen da (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Ihre Checkliste für jede Anfrage

• Eingang mit Datum und Kanal dokumentieren — die Frist läuft ab Eingang
• Anfrage-Art bestimmen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch — Art. 15–21 DSGVO)
• Identität nur bei begründeten Zweifeln verhältnismäßig prüfen (Art. 12 Abs. 6 DSGVO) — Frist läuft weiter
• Bei Komplexität: Verlängerung binnen eines Monats mit Gründen mitteilen (Art. 12 Abs. 3 S. 3 DSGVO)
• Antwort versenden — Erfüllung oder begründete Ablehnung mit Beschwerde-Hinweis
• Fristeinhaltung dokumentieren und den Vorgang ablegen (Nachweis für die Rechenschaftspflicht)

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen — wenden Sie sich dafür an fachkundige Beratung.