Betroffenenanfrage: Die 1-Monats-Frist richtig einhalten

Es reicht eine formlos formulierte E-Mail: „Ich möchte wissen, welche Daten Sie über mich gespeichert haben.“ Damit liegt eine Betroffenenanfrage vor, und die Antwortfrist läuft. Nicht ab dem Moment, in dem jemand die Mail liest, sondern ab dem Eingang in Ihrem Unternehmen. Wer das verwechselt, verschenkt oft die ersten Tage der einzigen Frist, die zählt: einen Monat nach Art. 12 Abs. 3 DSGVO.

Wann die Frist beginnt

Art. 12 Abs. 3 DSGVO knüpft an den Eingang des Antrags an. Entscheidend ist also der Tag, an dem die Anfrage Ihr Unternehmen erreicht, sei es per E-Mail, Kontaktformular, Brief oder über einen öffentlichen Anfrage-Kanal. Nicht entscheidend ist, wann die zuständige Person davon erfährt. Urlaubszeit, Postfach-Chaos oder ein interner Verteiler ändern am Fristbeginn nichts.

Daraus folgt der erste Arbeitsgrundsatz: Eingang sofort dokumentieren. Datum, Kanal, Anfrage-Art und die Person, die sich darum kümmert. Mit diesem Eintrag steht die Frist fest und niemand muss später rekonstruieren, wann „die Mail mit dem komischen Betreff“ eigentlich ankam.

Übrigens: Eine bestimmte Form verlangt die DSGVO nicht. Auch die Anfrage ohne jede Rechtsgrundlagen-Angabe ist eine Anfrage. Ob etwas ein Antrag nach Art. 15–21 DSGVO ist, bestimmt der Inhalt, nicht die Überschrift.

Welcher Kalendertag am Ende steht, ist damit reine Rechenarbeit. Auf der Seite DSGVO-Frist berechnen tragen Sie den Eingangstag ein und sehen das Fristende, ohne Anmeldung und ohne Speicherung.

Wie lang die Frist ist und was „Antwort“ bedeutet

Sie müssen der betroffenen Person „unverzüglich, in jedem Fall aber binnen eines Monats“ antworten (Art. 12 Abs. 3 DSGVO). „Unverzüglich“ heißt: ohne schuldhaftes Zögern. Der Monat ist die äußerste Grenze, nicht die Regelbearbeitungszeit. Wer vier Wochen wartet, obwohl die Antwort nach drei Tagen fertig war, handelt dem Wortlaut schon zuwider.

Wichtig ist auch: „Antwort“ heißt nicht zwingend „erfüllen“. Sie können einen Antrag ablehnen, dann allerdings binnen derselben Monatsfrist, mit Gründen und mit dem Hinweis auf das Beschwerderecht bei der Aufsichtsbehörde und auf den Rechtsweg (Art. 12 Abs. 4 DSGVO). Schweigen ist die einzige Variante, die nicht existiert.

Verlängerung: zwei Monate mehr, aber mit Pflichten

Wenn ein Antrag komplex ist oder Sie eine hohe Zahl von Anträgen erreicht hat, dürfen Sie die Frist um zwei weitere Monate verlängern, insgesamt also drei Monate ab Eingang (Art. 12 Abs. 3 Satz 3 DSGVO). Zwei Bedingungen machen die Verlängerung wirksam:

• Mitteilung binnen eines Monats: Sie informieren die betroffene Person noch innerhalb der ursprünglichen Monatsfrist über die Verlängerung.
• Begründung: Die Mitteilung enthält die Gründe für die Verzögerung, etwa aufwendige Recherche in mehreren Systemen oder ein außergewöhnliches Anfrageaufkommen.

Praktisch heißt das: Die Verlängerung ist kein Aufschub ins Blaue, sondern ein eigener, fristgebundener Teilschritt. Wer sie erst nach fünf Wochen mitteilt, hat die Monatsfrist bereits verletzt. Die Verlängerung rettet ihn dann nicht mehr. Dokumentieren Sie daher beides: den Zeitpunkt der Mitteilung und die Gründe.

Was in eine solche Mitteilung gehört und welche Begründung trägt, führt die Seite Fristverlängerung nach Art. 12 mitteilen auf.

Identitätsprüfung: verhältnismäßig und ohne Friststopp

Haben Sie begründete Zweifel an der Identität der antragstellenden Person, dürfen Sie zusätzliche Informationen zur Bestätigung anfordern (Art. 12 Abs. 6 DSGVO). Zwei Leitplanken gelten dabei:

• Nur bei begründeten Zweifeln. Routinemäßig bei jeder Anfrage eine Ausweiskopie zu verlangen, ist unzulässig. Ohne konkrete Zweifel gibt es keinen Anlass für zusätzliche Daten.
• Verhältnismäßigkeit. Fordern Sie nur so viel, wie zur Bestätigung nötig ist. Häufig genügt die Antwort an die Absender-Adresse oder eine Rückfrage über denselben Kanal. Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) gilt auch hier.

Und der Punkt, den Praxis und Gesetz am häufigsten trennt: Die Identitätsprüfung unterbricht die Frist nicht. Der Monat läuft weiter, während Sie auf den Nachweis warten. Deshalb gehört die Prüfung an den Anfang des Vorgangs, nicht ans Ende.

Die fünf typischen Fehler

• Fristbeginn falsch bestimmt: Gezählt wird ab „gelesen“ statt ab „eingegangen“. Die ersten Tage sind weg, bevor jemand reagiert.
• Verlängerung zu spät mitgeteilt: Nach Ablauf des ersten Monats ist die Frist bereits verletzt; die Verlängerung wirkt nicht rückwirkend.
• Überzogene Identitätsnachweise: Ausweiskopie als Standard ist unzulässig ohne begründete Zweifel und im konkreten Fall oft unverhältnismäßig.
• Ablehnung ohne Begründung: Auch eine Ablehnung ist eine Antwort, und zwar mit Gründen und Rechtsbehelfs-Hinweis, binnen eines Monats.
• Keine Dokumentation: Ohne Nachweis von Eingang, Antwort und Fristeinhaltung stehen Sie bei einer Beschwerde mit leeren Händen da (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Ihre Checkliste für jede Anfrage

• Eingang mit Datum und Kanal dokumentieren, denn die Frist läuft ab Eingang
• Anfrage-Art bestimmen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch nach Art. 15–21 DSGVO)
• Identität nur bei begründeten Zweifeln verhältnismäßig prüfen (Art. 12 Abs. 6 DSGVO), die Frist läuft dabei weiter
• Bei Komplexität: Verlängerung binnen eines Monats mit Gründen mitteilen (Art. 12 Abs. 3 S. 3 DSGVO)
• Antwort versenden: Erfüllung oder begründete Ablehnung mit Beschwerde-Hinweis
• Fristeinhaltung dokumentieren und den Vorgang ablegen (Nachweis für die Rechenschaftspflicht)

Häufige Fragen

Ab wann läuft die Ein-Monats-Frist?

Ab dem Eingang des Antrags beim Verantwortlichen (Art. 12 Abs. 3 DSGVO), nicht ab der Kenntnisnahme durch die zuständige Person. Urlaub, ein volles Sammelpostfach oder ein interner Verteiler verschieben den Fristbeginn nicht. Die Antwort hat zudem unverzüglich zu erfolgen; der Monat ist die äußerste Grenze.

Wie berechne ich das Fristende genau?

Der Eingangstag zählt als Anfangstag nicht mit (§ 187 Abs. 1 BGB), das Fristende ist der Tag des Folgemonats mit derselben Zahl (§ 188 Abs. 2 BGB). Fehlt dieser Tag im Folgemonat, endet die Frist mit dem Monatsletzten (§ 188 Abs. 3 BGB): Aus einem Eingang am 31. Januar 2026 wird der 28. Februar 2026.

Zählt eine Ablehnung als Antwort?

Ja. Wird der Verantwortliche nicht tätig, unterrichtet er die betroffene Person spätestens binnen eines Monats nach Eingang über die Gründe und über die Möglichkeit, Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4 DSGVO). Schweigen ist die einzige Variante, die es nicht gibt.

Wann darf ich um zwei weitere Monate verlängern?

Bei komplexen Anfragen oder einer hohen Zahl von Anträgen. Wirksam wird die Verlängerung nur, wenn die Mitteilung mit den Gründen der Verzögerung innerhalb des ersten Monats hinausgeht (Art. 12 Abs. 3 Satz 3 DSGVO). Die Frist beträgt dann drei Monate ab Eingang; nach Ablauf des ersten Monats kommt sie nicht mehr in Betracht.

Hält die Identitätsprüfung die Frist an?

Rechnen Sie damit, dass sie weiterläuft. Zusätzliche Informationen dürfen Sie nur bei begründeten Zweifeln und nur verhältnismäßig anfordern (Art. 12 Abs. 6 DSGVO). Beurteilt wird die Frage nicht einheitlich: Das Bayerische Landesamt für Datenschutzaufsicht lässt die Frist erst mit der Klärung beginnen. BetroffenenRecht24 rechnet ohne diesen Aufschub, denn wer den früheren Termin hält, ist in jeder Auslegung pünktlich.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen. Wenden Sie sich dafür an fachkundige Beratung.