Ein Kunde schreibt und will wissen, welche Daten Sie über ihn speichern. Damit sind sofort die Betroffenenrechte im Spiel. Sie geben jeder Person die Kontrolle über ihre eigenen Daten. Und sie verpflichten Ihr Unternehmen zu einer Antwort. Und zwar innerhalb einer klaren Frist. Deshalb lohnt es sich, den Ablauf vorab zu kennen.
Dieser Beitrag führt durch die wichtigsten Punkte. Zunächst geht es um den Überblick über alle Rechte. Danach steht das häufige Auskunftsersuchen im Zentrum. Zum Schluss zeigen wir einen einfachen Prozess für Ihr KMU. Das Ziel ist eine ruhige, saubere Bearbeitung. Also keine Hektik, wenn das nächste Ersuchen eintrifft.
Was die Betroffenenrechte nach DSGVO umfassen
Die Betroffenenrechte bündeln die Ansprüche jeder Person gegenüber Ihrem Unternehmen. Sie stehen in den Artikeln 15 bis 22 der Datenschutz-Grundverordnung. Dabei geht es immer um die eigenen personenbezogenen Daten. Also um Name, Adresse, Kaufhistorie oder Standortdaten. Somit darf jede Person erfahren, was Sie speichern. Zudem darf sie eingreifen, wenn etwas nicht stimmt.
Die Österreichische Datenschutzbehörde fasst diese Rechte übersichtlich zusammen. Einen guten Einstieg bietet die Seite zu den Rechten der betroffenen Person. Den vollen Rechtstext liefert die Verordnung 2016/679 auf EUR-Lex. Der Verordnungstext ist verbindlich, die Seite der Datenschutzbehörde erläutert ihn.
Die sechs zentralen Rechte im Überblick
Sechs Rechte tauchen im Alltag am häufigsten auf. Zunächst das Auskunftsrecht nach Artikel 15. Danach das Recht auf Berichtigung nach Artikel 16. Ebenso das Recht auf Löschung nach Artikel 17. Dazu kommen die Einschränkung der Verarbeitung, die Datenübertragbarkeit und der Widerspruch. Somit deckt dieser Kern die meisten Anfragen ab. Die restlichen Fälle betreffen automatisierte Entscheidungen.
Warum die Betroffenenrechte für KMU zählen
Die Betroffenenrechte gelten für jedes Unternehmen. Also nicht nur für Konzerne. Ein kleiner Onlineshop trifft sie ebenso wie eine Steuerkanzlei. Denn entscheidend ist die Verarbeitung von Daten. Also nicht die Größe des Betriebs. Deshalb braucht auch ein KMU eine klare Antwort auf jede Anfrage. Wer hier vorbereitet ist, spart Zeit und vermeidet Ärger. Ein solides Datenschutz-Management schafft dafür die Grundlage.
Ein kurzer Blick auf die Praxis zeigt die Relevanz. Die Verletzung des Auskunftsrechts ist der häufigste Beschwerdegrund bei der Behörde. Unternehmen antworten oft gar nicht, unvollständig oder zu spät. Genau das führt zu Beschwerden und im schlimmsten Fall zu Bußgeldern. Deshalb sind die Betroffenenrechte kein Randthema. Sie sind ein täglicher Teil des Datenschutzes.
Die Zahlen der Behörde belegen diesen Trend. Die Datenschutzbehörde hat ihre Prüftätigkeit in den letzten Jahren spürbar verschärft. Zudem steigt die Zahl der Beschwerden Jahr für Jahr. Viele davon betreffen genau das Auskunftsrecht. Deshalb trifft das Thema heute auch kleine Betriebe. Ein Handwerksbetrieb mit Online-Terminbuchung verarbeitet ebenso Daten wie eine Kanzlei. Somit kann jede Firma ein Ersuchen erhalten. Wer darauf vorbereitet ist, reagiert souverän statt hektisch.
Das Auskunftsrecht nach Artikel 15 im Detail
Das Auskunftsrecht ist das wichtigste der Betroffenenrechte im Tagesgeschäft. Somit gibt es jeder Person das Recht auf zwei Dinge. Zunächst auf die Bestätigung, ob Sie überhaupt Daten verarbeiten. Danach auf eine Kopie dieser Daten. Zudem muss die Auskunft weitere Angaben enthalten. Also nicht nur die reinen Daten selbst.
Welche Angaben in die Auskunft gehören
Eine vollständige Auskunft nennt mehrere Punkte. Dazu zählen die Zwecke der Verarbeitung und die Kategorien der Daten. Ebenso die Empfänger, an die Sie Daten weitergeben. Außerdem die geplante Speicherdauer und die Herkunft der Daten. Auch das Bestehen der weiteren Rechte gehört dazu. Die WKO-Übersicht zur Auskunftspflicht listet diese Punkte im Detail auf.
- Bestätigung: Verarbeiten Sie Daten der Person - ja oder nein?
- Datenkopie: Eine Kopie der konkret gespeicherten Daten.
- Zwecke: Wofür nutzen Sie die Daten?
- Empfänger: An wen geben Sie Daten weiter, etwa Dienstleister?
- Speicherdauer: Wie lange bewahren Sie die Daten auf?
Wie weit die Auskunft reicht
Die Auskunft umfasst alle Daten zur Person. Also E-Mails, Notizen, Vertragsdaten und Protokolle. Auch Daten aus dem Newsletter-Tool oder dem CRM zählen dazu. Deshalb müssen Sie wissen, wo überall Daten liegen. Genau hier hilft ein aktuelles Verzeichnis der Verarbeitungstätigkeiten. Wie Sie ein solches Register aufbauen, zeigt der Beitrag zum Verarbeitungsverzeichnis nach DSGVO. Ohne diese Übersicht wird jede Auskunft zur Suche.
Es gibt jedoch Grenzen. Die Kopie darf keine Rechte Dritter verletzen. Enthält ein Dokument auch Daten anderer Personen, schwärzen Sie diese Teile. Ebenso müssen Sie Geschäftsgeheimnisse nicht offenlegen. Deshalb ist die Auskunft eine Abwägung. Sie geben so viel wie möglich. Doch Sie schützen dabei die Rechte anderer. In der Praxis lässt sich das meist sauber trennen.
Ein Beispiel macht den Umfang greifbar. Ein Kunde eines Onlineshops stellt ein Auskunftsersuchen. Der Shop speichert Bestelldaten, Zahlungsverläufe und Support-Mails. Zudem liegen Daten im Newsletter-Tool und in der Web-Analyse. Für eine vollständige Auskunft muss der Shop alle Quellen abfragen. Vergisst er die Analyse-Daten, ist die Auskunft unvollständig. Genau das führt später zur Beschwerde. Deshalb lohnt sich eine feste Liste der Datenquellen. Sie stellt sicher, dass kein System übersehen wird.
Fristen, Kosten und Identitätsprüfung
Bei den Betroffenenrechten zählt die Frist. Sie beträgt einen Monat ab Eingang des Ersuchens. Und zwar unabhängig davon, wie viele Daten betroffen sind. Deshalb beginnt die Uhr sofort zu laufen. Auch dann, wenn die Anfrage in der Urlaubszeit eintrifft. Ein fester Ablauf schützt Sie hier am besten.
Die Monatsfrist und ihre Verlängerung
Die Grundfrist ist ein Monat. Bei komplexen oder zahlreichen Anfragen dürfen Sie verlängern. Und zwar um bis zu zwei weitere Monate. Somit sind maximal drei Monate möglich. Doch die Verlängerung hat eine Bedingung. Sie müssen die Person noch innerhalb des ersten Monats informieren. Und Sie müssen die Gründe nennen. Vergessen Sie diese Mitteilung, gilt die Verlängerung nicht. Den Rahmen dafür setzt Artikel 12 der DSGVO.
Kostenlos, mit einer Ausnahme
Die Auskunft ist grundsätzlich kostenlos. Sie dürfen also kein Bearbeitungsentgelt verlangen. Eine Ausnahme gibt es dennoch. Bei offenkundig unbegründeten oder exzessiven Anträgen dürfen Sie ein Entgelt verlangen. Oder Sie lehnen den Antrag ab. Das gilt etwa bei ständig wiederholten Ersuchen derselben Person. Diese Ausnahme ist jedoch eng. Deshalb sollten Sie sie nur mit guter Begründung nutzen.
Die Identität sicher prüfen
Vor der Auskunft prüfen Sie die Identität. Denn Sie dürfen Daten nicht an die falsche Person geben. Bei begründeten Zweifeln fordern Sie zusätzliche Angaben an. Doch übertreiben Sie es nicht. Eine Ausweiskopie ist selten nötig und oft zu viel. Vielmehr genügen meist Angaben, die nur die echte Person kennt. Etwa die Kundennummer oder die hinterlegte E-Mail-Adresse. Somit finden Sie die Balance zwischen Sicherheit und Zumutbarkeit. Ein sauberer Blick auf Ihre Prozesse hilft, diese Prüfung einheitlich zu gestalten.
Löschung, Widerspruch und die weiteren Rechte
Neben der Auskunft umfassen die Betroffenenrechte fünf weitere Ansprüche. Jeder hat eigene Voraussetzungen. Und jeder hat eigene Grenzen. Deshalb lohnt sich ein kurzer Überblick. So ordnen Sie jede Anfrage schnell dem richtigen Recht zu. Die Frist von einem Monat gilt dabei für alle.
Berichtigung, Löschung und Einschränkung
Das Recht auf Berichtigung ist einfach. Somit darf die Person falsche Daten korrigieren lassen. Das Recht auf Löschung ist bekannter. Es heißt auch Recht auf Vergessenwerden. Doch es gilt nicht immer. Denn gesetzliche Aufbewahrungspflichten gehen vor. Eine Rechnung müssen Sie trotz Löschwunsch aufbewahren. Das Recht auf Einschränkung ist ein Mittelweg. Sie behalten die Daten, nutzen sie aber vorerst nicht. Etwa während Sie einen Streit über deren Richtigkeit klären.
Datenübertragbarkeit und Widerspruch
Die Datenübertragbarkeit betrifft nur bestimmte Fälle. Dabei darf die Person ihre Daten in einem gängigen Format erhalten. Damit kann sie zu einem anderen Anbieter wechseln. Das Recht auf Widerspruch ist hingegen besonders wichtig bei Werbung. Widerspricht jemand der Direktwerbung, müssen Sie sofort stoppen. Ohne Ausnahme und ohne Abwägung. Bei anderen Zwecken wägen Sie die Interessen ab. Wer diese Regeln kennt, reagiert souverän.
Der Bezug zu anderen Datenschutzpflichten
Die Betroffenenrechte hängen mit anderen Pflichten zusammen. Ein Löschersuchen berührt oft die Frage nach der Datenpanne. Kommt es dabei zu einem Verlust, greift die Meldepflicht. Wie das abläuft, zeigt der Beitrag zur Datenpanne und der 72-Stunden-Frist. Auch Ihre Dienstleister sind betroffen. Denn viele Daten liegen bei externen Anbietern. Deshalb regeln Sie das über einen Auftragsverarbeitungsvertrag. Bei riskanten Verarbeitungen prüfen Sie zudem eine Datenschutz-Folgenabschätzung.
Ein Prozess für Auskunftsersuchen im KMU
Ein klarer Prozess macht die Betroffenenrechte beherrschbar. Denn ohne Ablauf entsteht bei jeder Anfrage Stress. Mit einem festen Plan läuft alles ruhig. Zudem sinkt das Risiko, eine Frist zu versäumen. Vier Schritte reichen für die meisten KMU. Sie lassen sich in einer kurzen Anleitung festhalten.
Vier Schritte von Eingang bis Antwort
Der Ablauf beginnt beim ersten Kontakt. Zunächst erfassen Sie das Ersuchen und notieren das Datum. Danach prüfen Sie die Identität der Person. Anschließend sammeln Sie alle Daten aus Ihren Systemen. Zuletzt erstellen Sie die Auskunft und versenden sie sicher. Zudem bekommt jeder Schritt einen Verantwortlichen. Somit weiß jeder, was zu tun ist.
- Zuerst erfassen: Ersuchen dokumentieren, Eingangsdatum und Frist notieren.
- Danach prüfen: Identität feststellen, bei Zweifeln eine Rückfrage stellen.
- Dann sammeln: Daten aus CRM, Mail, Backups und Tools zusammentragen.
- Zuletzt antworten: Auskunft erstellen, Dritte schwärzen, sicher versenden.
Welche Rolle klare Verantwortung spielt
Ein Prozess braucht eine zuständige Person. Doch in vielen KMU fehlt diese Rolle. Deshalb bleiben Anfragen liegen oder gehen unter. Ein externer Datenschutzbeauftragter schließt diese Lücke. Er steuert den Ablauf und wahrt die Fristen. Zudem prüft er die Auskunft auf Vollständigkeit. Somit haben Sie einen festen Ansprechpartner. Und Sie müssen kein eigenes Team aufbauen.
Ein einfaches Werkzeug hilft zusätzlich. Führen Sie eine Liste aller eingegangenen Ersuchen. Notieren Sie Datum, Art des Rechts und Frist. Ergänzen Sie den Status der Bearbeitung. Somit sehen Sie auf einen Blick, was offen ist. Und Sie haben einen Nachweis, falls die Behörde fragt. Diese Liste ist Teil eines gelebten Datenschutzes. Sie zeigt, dass Sie die Betroffenenrechte ernst nehmen. Wer den Datenschutz in ein System der Informationssicherheit einbettet, hat solche Nachweise ohnehin griffbereit.
Der wichtigste Faktor bleibt das Team. Denn ein Ersuchen landet oft zuerst im Posteingang eines Mitarbeiters. Erkennt dieser die Anfrage nicht, verstreicht wertvolle Zeit. Deshalb sollten alle wissen, wie eine solche Anfrage aussieht. Eine kurze Schulung reicht dafür meist aus. Genau hier setzt gezielte Security-Awareness an. Sie sorgt dafür, dass die richtige Person das Ersuchen sofort weiterleitet. Somit läuft der Prozess von Anfang an rund. Und keine Frist geht wegen eines übersehenen Mails verloren.
Typische Fallstricke und ihre Folgen
Bei den Betroffenenrechten passieren immer wieder dieselben Fehler. Sie sind vermeidbar, wenn Sie sie kennen. Deshalb lohnt der Blick auf die häufigsten Stolpersteine. Denn ein einzelner Fehler kann zur Beschwerde führen. Und eine Beschwerde bindet Zeit und kostet im schlimmsten Fall Geld.
Frist versäumt, gar nicht oder unvollständig geantwortet
Der häufigste Fehler ist die versäumte Frist. Dabei bleibt die Anfrage liegen und der Monat verstreicht. Danach beschwert sich die Person bei der Behörde. Genau das ist der Grund Nummer eins für Verfahren. Ebenso häufig ist die unvollständige Antwort. Dann wird ein System vergessen und Daten fehlen. Auch die fehlende Reaktion ist ein klassischer Fehler. Alle drei Fälle lösen dieselbe Folge aus. Nämlich eine Beschwerde und eine Prüfung.
Die Vergleichstabelle der wichtigsten Rechte
Die folgende Tabelle fasst die sechs zentralen Rechte zusammen. Sie zeigt Artikel, Kern und Frist auf einen Blick. So ordnen Sie jede Anfrage schnell ein.
| Recht | Artikel | Frist |
|---|---|---|
| Auskunft | Art. 15 | 1 Monat, bis 3 Monate verlängerbar |
| Berichtigung | Art. 16 | 1 Monat |
| Löschung | Art. 17 | 1 Monat, außer Aufbewahrungspflicht |
| Einschränkung | Art. 18 | 1 Monat |
| Datenübertragbarkeit | Art. 20 | 1 Monat |
| Widerspruch | Art. 21 | bei Werbung sofort |
Was eine Verletzung kosten kann
Die Folgen reichen von der Rüge bis zum Bußgeld. Zudem ist die Verletzung der Auskunftspflicht mit bis zu 20 Millionen Euro bedroht. Oder mit 4 Prozent des weltweiten Jahresumsatzes. In der Praxis fallen die Beträge für KMU zwar meist kleiner aus. Doch schon eine Beschwerde bindet Zeit und Nerven. Wer die Datenschutzbehörde im Verfahren hat, verliert Ruhe im Betrieb. Praktische Hilfen für den Alltag bietet zudem die Initiative onlinesicherheit.gv.at. Deshalb ist ein sauberer Prozess die günstigste Vorsorge. Wer unsicher ist, klärt das im Rahmen unserer Datenschutz-Beratung.
Häufig gestellte Fragen
Wie lange habe ich Zeit, ein Auskunftsersuchen zu beantworten?
Die Frist beträgt einen Monat ab Eingang des Ersuchens. Bei komplexen Anfragen dürfen Sie um bis zu zwei Monate verlängern. Doch Sie müssen die Person noch im ersten Monat darüber informieren. Andernfalls gilt die Verlängerung nicht.
Darf ich für eine Auskunft Geld verlangen?
Grundsätzlich nein, die Auskunft ist kostenlos. Nur bei offenkundig unbegründeten oder exzessiven Anträgen dürfen Sie ein Entgelt verlangen. Das gilt etwa bei ständig wiederholten Ersuchen. Diese Ausnahme ist jedoch eng auszulegen.
Muss ich vor der Auskunft die Identität prüfen?
Ja, denn Sie dürfen Daten nicht an die falsche Person geben. Bei begründeten Zweifeln fordern Sie zusätzliche Angaben an. Eine Ausweiskopie ist aber selten nötig. Meist genügen Angaben, die nur die echte Person kennt.
Welche Daten muss die Auskunft enthalten?
Die Auskunft nennt die verarbeiteten Daten und die Zwecke. Zudem die Empfänger, die Speicherdauer und die Herkunft der Daten. Ebenso das Bestehen der weiteren Betroffenenrechte. Rechte Dritter schwärzen Sie dabei.
Muss ich Daten trotz Löschwunsch aufbewahren?
In manchen Fällen ja. Denn gesetzliche Aufbewahrungspflichten gehen dem Löschrecht vor. Eine Rechnung müssen Sie zum Beispiel weiter aufbewahren. In diesem Fall schränken Sie die Verarbeitung ein, statt zu löschen.
Was passiert, wenn ich die Frist versäume?
Die Person kann sich bei der Datenschutzbehörde beschweren. Die Verletzung des Auskunftsrechts ist der häufigste Beschwerdegrund. Danach droht ein Verfahren und im schlimmsten Fall ein Bußgeld. Deshalb ist ein fester Prozess wichtig.
Gelten die Betroffenenrechte auch für kleine Unternehmen?
Ja, die Betroffenenrechte gelten unabhängig von der Größe. Entscheidend ist die Verarbeitung personenbezogener Daten. Ein kleiner Onlineshop ist somit ebenso betroffen wie ein Konzern. Deshalb braucht auch ein KMU einen klaren Ablauf.
Fazit: Ein klarer Prozess nimmt den Druck
Die Betroffenenrechte sind kein Grund zur Sorge. Sie folgen klaren Regeln und festen Fristen. Wer den Ablauf einmal aufsetzt, bearbeitet jedes Ersuchen ruhig. Zunächst erfassen, dann prüfen, sammeln und antworten. Somit wird aus einer scheinbaren Last eine reine Routine. Und Sie erfüllen die Pflicht ohne Hektik.
Der beste Zeitpunkt für den Prozess ist vor dem ersten Ersuchen. Denn unter Fristdruck lässt sich schlecht planen. Ein kurzer Aufwand jetzt spart später viel Ärger. Zudem zeigt ein sauberer Umgang mit den Betroffenenrechten, dass Sie den Datenschutz ernst nehmen. Genau das schafft Vertrauen bei Kunden und Behörden.
SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren