Ein öffentlicher Anfrage-Kanal mit Vorgangs-Code statt verstreuter E-Mails

Eine Betroffenenanfrage kommt selten dort an, wo sie bearbeitet wird. Sie landet im Verkaufspostfach, in einem Kontaktformular, auf dem Schreibtisch der Geschäftsführung oder als Satz am Ende einer Reklamations-E-Mail. Rechtlich ändert das nichts: Die Frist läuft ab dem Eingang im Unternehmen. Organisatorisch ändert es alles, denn zwischen Eingang und Zuständigkeit vergehen dann Tage, die niemand später zurückholt. Dieser Beitrag zeigt, was ein eigener Anfrage-Kanal löst, was ein Vorgangs-Code dazu beiträgt und wo beide ausdrücklich an ihre Grenze kommen.

Die Frist beginnt im Postfach, nicht im Kalender

Art. 12 Abs. 3 DSGVO knüpft an den Eingang des Antrags an. Maßgeblich ist damit der Tag, an dem die Anfrage Ihr Unternehmen erreicht, gleich über welchen Weg. Nicht maßgeblich ist, wann die zuständige Person davon erfährt. Urlaub, ein volles Sammelpostfach oder ein interner Verteiler verschieben den Fristbeginn nicht.

Daraus folgt eine unangenehme Rechnung. Liegt eine Anfrage acht Tage ungelesen im Verkaufspostfach, bleiben für Suche, Prüfung, Entwurf und Versand nicht mehr vier Wochen, sondern drei. Der Verlust entsteht nicht bei der Bearbeitung, sondern davor, und er ist im Nachhinein nicht zu belegen: Wer das Eingangsdatum erst rekonstruiert, rekonstruiert es aus derselben Unordnung, die den Verlust verursacht hat.

Der Monat ist dabei ohnehin die äußerste Grenze und keine Bearbeitungszeit. Der Wortlaut verlangt die Antwort unverzüglich, in jedem Fall aber binnen eines Monats. Welcher Kalendertag daraus wird, rechnet die Seite DSGVO-Frist berechnen aus, sobald der Eingangstag feststeht.

Ein Kanal ist ein Angebot, keine Bedingung

Bevor es um die Technik geht, gehört eine Grenze klargestellt, weil sie in der Praxis regelmäßig übersehen wird: Eine bestimmte Form verlangt die DSGVO für eine Betroffenenanfrage nicht. Ob etwas ein Antrag nach Art. 15 bis 21 DSGVO ist, bestimmt der Inhalt und nicht die Überschrift.

Ein Anfrage-Kanal darf deshalb nie zur Voraussetzung werden. Die formlose E-Mail an den Vertrieb, der Brief an die Geschäftsführung und der Satz im Kündigungsschreiben bleiben wirksame Anfragen, mit derselben Frist ab demselben Eingang. Ein Formular, das eine Anfrage nur über den eigenen Weg gelten lässt, verschärft die Rechtslage zulasten der betroffenen Person.

Der Kanal löst also nicht die Rechtsfrage, sondern die Organisationsfrage. Sein Nutzen liegt darin, dass er der bequemste Weg ist, nicht der einzige: Wer ihn gut auffindbar macht, lenkt einen großen Teil der Anfragen dorthin, wo sie am Tag des Eingangs erfasst werden. Die übrigen müssen weiterhin eingesammelt werden, und genau dafür braucht es eine Regel, wer im Verkaufspostfach nach ihnen sieht.

Was der Kanal leisten muss

Die Anforderungen ergeben sich aus dem, was am Ende nachweisbar sein soll. Sie sind unspektakulär und deshalb leicht zu unterschätzen:

Ein Punkt gehört zur Sparsamkeit: Der Kanal soll nur abfragen, was für die Bearbeitung nötig ist. Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) gilt auch für ein Formular, das eine betroffene Person freiwillig ausfüllt. Ein Pflichtfeld für den Ausweis-Upload ist die häufigste Verletzung dieses Grundsatzes; erlaubt sind zusätzliche Informationen zur Identität nur bei begründeten Zweifeln und nur verhältnismäßig (Art. 12 Abs. 6 DSGVO).

Und die Antwort selbst hat ihre Form: Bei einem elektronisch gestellten Antrag wird sie in einem gängigen elektronischen Format zur Verfügung gestellt, sofern die betroffene Person nichts anderes angibt (Art. 12 Abs. 1, Art. 15 Abs. 3 DSGVO). Ein Kanal, der Anfragen elektronisch entgegennimmt und dann auf dem Postweg antwortet, arbeitet gegen diese Vorgabe.

Der Vorgangs-Code: eine Organisations­entscheidung

Ein Vorgangs-Code ist eine kurze Kennung, die beim Eingang vergeben wird und die beide Seiten benutzen: Sie steht in der Eingangsbestätigung, in jeder Rückfrage und in der Antwort. Keine Norm verlangt ihn. Er ist eine Empfehlung, und der Nutzen liegt in drei Punkten:

• Zuordnung ohne Namen. Eine Rückfrage lässt sich über den Code führen, ohne in jeder Nachricht erneut Name und Anliegen zu wiederholen.
• Nachvollziehbarkeit für die betroffene Person. Sie kann sich auf einen Vorgang beziehen, statt eine alte Mail zu suchen. Das senkt die Zahl der Doppelanfragen, die sonst als zweiter Vorgang mit eigener Frist ankommen.
• Ein Faden durch die Akte. Eingangsvermerk, Identitätsentscheidung, Verlängerungsmitteilung und Antwort hängen an derselben Kennung. Genau das braucht der spätere Nachweis.

Zwei Missverständnisse liegen nahe. Der Code ist kein Identitätsnachweis: Wer ihn kennt, ist damit nicht als betroffene Person ausgewiesen. Und er ist keine Zugangsbeschränkung für die Anfrage selbst, denn eine Anfrage ohne Code bleibt eine Anfrage.

Was der Kanal nicht löst

Die ehrliche Hälfte der Rechnung. Ein Anfrage-Kanal verkürzt den Weg zum Vorgang, aber er nimmt Ihnen keine einzige inhaltliche Entscheidung ab:

• Die Suche in den Systemen. Welche Bestände Daten der Person führen, weiß kein Formular. CRM, Buchhaltung, Newsletter, Support und Postfächer bleiben abzusuchen.
• Die Identitätsfrage. Sie entscheidet der Verantwortliche, mit Begründung, im Rahmen von Art. 12 Abs. 6 DSGVO.
• Die Rechtsfragen. Ob eine Ausnahme greift, ob teilweise abzulehnen ist, ob Rechte Dritter der Kopie entgegenstehen: Das steht in keinem Kanal.
• Die Anfragen auf anderen Wegen. Sie kommen weiter an und lösen dieselbe Frist aus.

BetroffenenRecht24 nimmt Betroffenenanfragen über einen öffentlichen Kanal mit Vorgangs-Code entgegen, überwacht die Antwortfrist von einem Monat nach Art. 12 Abs. 3 DSGVO und liefert Textbausteine sowie den Nachweis-Export. Wie die fertige Auskunft aufgebaut ist, führt die Seite DSGVO-Auskunft erteilen auf; die Bearbeitung selbst führt der Beitrag Auskunftsantrag nach Art. 15 erhalten Schritt für Schritt durch.

Was die Software nicht tut: Sie entscheidet nicht über Ihre Anfragen und ersetzt keine Rechtsberatung. Die Verantwortung bleibt beim Verantwortlichen. Der Kanal sorgt dafür, dass die Entscheidung rechtzeitig ansteht und dass ihr Zeitpunkt belegt ist.

Häufige Fragen

Darf ich verlangen, dass Anfragen über mein Formular kommen?

Nein. Eine bestimmte Form verlangt die DSGVO nicht; ob ein Antrag nach Art. 15 bis 21 DSGVO vorliegt, bestimmt der Inhalt und nicht der Weg. Ein Formular darf der bequemste Kanal sein, aber nicht der einzige gültige. Eine Anfrage per E-Mail an den Vertrieb löst dieselbe Frist aus.

Ab wann läuft die Frist, wenn eine Anfrage im falschen Postfach landet?

Ab dem Eingang im Unternehmen (Art. 12 Abs. 3 DSGVO), nicht ab der Weiterleitung an die zuständige Stelle. Deshalb braucht jedes Postfach, das nach außen erreichbar ist, eine Regel, wer dort nach Betroffenenanfragen sieht und sie erfasst.

Ist ein Vorgangs-Code vorgeschrieben?

Nein, er ist eine Organisationsentscheidung. Vorgeschrieben ist das Ergebnis, nicht das Mittel: Sie müssen die Einhaltung der Vorschriften nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Ein Code, der Eingangsvermerk, Rückfragen und Antwort verbindet, ist ein einfacher Weg dorthin.

Ersetzt der Vorgangs-Code die Identitätsprüfung?

Nein. Wer den Code kennt, ist damit nicht als betroffene Person ausgewiesen. Zusätzliche Informationen zur Bestätigung der Identität dürfen Sie nur bei begründeten Zweifeln und nur verhältnismäßig anfordern (Art. 12 Abs. 6 DSGVO); die Monatsfrist läuft währenddessen weiter.

Welche Angaben darf ein Anfrageformular verlangen?

Nur die, die für die Bearbeitung nötig sind. Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO gilt auch für Angaben, die eine betroffene Person freiwillig einträgt. Ein Pflichtfeld für den Ausweis-Upload ist damit in aller Regel zu viel.

In welcher Form muss die Antwort hinausgehen?

Bei einem elektronisch gestellten Antrag in einem gängigen elektronischen Format, sofern die betroffene Person nichts anderes angibt (Art. 12 Abs. 1, Art. 15 Abs. 3 DSGVO). Halten Sie den Versandzeitpunkt fest: Er schließt den Fristnachweis ab.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Wie ein Anfrage-Kanal im Einzelfall auszugestalten ist und wie eine Anfrage zu beantworten ist, bleibt die Entscheidung des Verantwortlichen. Wenden Sie sich dafür an fachkundige Beratung.