loskan.io
@

Betroffenenrechte (Auskunft, Löschung, Berichtigung, Widerspruch)

DefinitionDSGVO-Rechte von Personen; Unternehmen brauchen Prozesse und Fristenkontrolle.

Betroffenenrechte sind die in der DSGVO verankerten Rechte von Personen (z. B. Kund:innen, Mitarbeitenden), die es ihnen ermöglichen, Kontrolle über ihre personenbezogenen Daten auszuüben – insbesondere Auskunft, Berichtigung, Löschung und Widerspruch. Für Unternehmen bedeutet das: Anfragen müssen sicher identifiziert, fristgerecht bearbeitet, dokumentiert und technisch-organisatorisch unterstützt werden.

Was umfasst das konkret?

  • Auskunft (Art. 15 DSGVO): Betroffene können eine Kopie ihrer personenbezogenen Daten sowie Informationen zu Zweck, Kategorien, Empfängern, Speicherdauer, Herkunft und Rechten verlangen.
  • Berichtigung (Art. 16 DSGVO): Falsche oder unvollständige Daten müssen korrigiert bzw. vervollständigt werden (z. B. falsche Adresse im CRM).
  • Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO): Daten sind zu löschen, wenn sie nicht mehr erforderlich sind, eine Einwilligung widerrufen wurde oder unrechtmäßig verarbeitet wurde – sofern keine Aufbewahrungspflichten (z. B. Steuerrecht) entgegenstehen.
  • Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen auf Basis „berechtigter Interessen“ kann widersprochen werden; bei Direktwerbung muss die Verarbeitung dafür in der Regel sofort beendet werden.

Wie funktioniert die Umsetzung im KMU (Praxis-Prozess)?

  • 1) Eingangskanal festlegen: z. B. datenschutz@… und ein Webformular; Zuständigkeiten (Vertretung!) definieren.
  • 2) Identität prüfen: risikobasiert (z. B. Rückfrage über bekannte Kontaktdaten, Ausweiskopie nur wenn nötig). Ziel: keine Daten an Unbefugte herausgeben.
  • 3) Anfrage klassifizieren: Auskunft, Löschung, Berichtigung, Widerspruch – und welche Systeme betroffen sind (E-Mail, CRM, Buchhaltung, Support-Tool, HR).
  • 4) Daten finden & bewerten: Datenquellen über Dateninventar/Verzeichnis der Verarbeitungstätigkeiten abgleichen; prüfen, ob Ausnahmen gelten (z. B. gesetzliche Aufbewahrung, laufende Verträge, Rechtsansprüche).
  • 5) Umsetzen & antworten: Daten bereitstellen/ändern/löschen bzw. Verarbeitung einschränken; Betroffene verständlich informieren.
  • 6) Dokumentieren: Ticket, Fristen, Entscheidung, Nachweise (Audit-Trail) – wichtig für Rechenschaftspflicht.

Fristen, Kosten und typische Stolperfallen

Grundsätzlich muss die Antwort innerhalb eines Monats erfolgen; bei komplexen Fällen ist eine Verlängerung möglich, muss aber begründet und kommuniziert werden. Häufige Probleme in KMU sind fehlende Übersicht über Daten (Schatten-IT), unklare Zuständigkeiten, Löschungen ohne Backup-/Archiv-Konzept sowie fehlende Trennung von Marketing- und Vertragsdaten (Widerspruch vs. Aufbewahrungspflicht).

Beispiele aus dem Alltag

  • Auskunft: Ein Kunde verlangt „alle Daten zu mir“. Sie liefern CRM-Datensatz, Bestellhistorie, Support-Tickets und Empfänger (z. B. Versanddienstleister) – aber keine internen Notizen, die Rechte Dritter verletzen.
  • Löschung: Eine ehemalige Interessentin will gelöscht werden. Marketingdaten werden entfernt; Rechnungsdaten bleiben bis zum Ablauf gesetzlicher Fristen gespeichert und werden gesperrt/archiviert.
  • Widerspruch: Empfänger widerspricht Newsletter/Telefonwerbung. Sie setzen ihn auf eine Sperrliste („Do-not-contact“), damit er nicht erneut angeschrieben wird.

Gerade wenn KI-Tools genutzt werden (z. B. ChatGPT oder Generative KI (Generative AI) im Support), sollten Unternehmen zusätzlich klären, wo personenbezogene Daten landen (Logs, Trainingsausschlüsse, Aufbewahrung) und wie Betroffenenrechte systemübergreifend erfüllt werden.

  • 30 Tage

    gesetzliche Antwortfrist

    Unternehmen müssen Auskunfts-, Löschungs- oder Berichtigungsanfragen nach DSGVO in der Regel innerhalb eines Monats beantworten, was klare Prozesse und Fristenkontrolle besonders für KMU notwendig macht.

  • 20 Mio. €

    maximales Bußgeld

    Fehler beim Umgang mit Betroffenenrechten können zu erheblichen Datenschutzrisiken führen, da Verstöße gegen DSGVO-Pflichten mit Bußgeldern von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes sanktioniert werden können.

  • 3 von 4

    manueller Bearbeitungsanteil

    In vielen KMU werden Betroffenenanfragen noch überwiegend manuell bearbeitet, was den Aufwand erhöht und das Risiko von Fristversäumnissen oder unvollständigen Antworten steigert.

  • DSGVO-Anfragen im Kundenservice mit Fristen-Workflow steuern

    Ein KMU richtet im Kundenservice einen festen Prozess für Auskunfts-, Löschungs- und Berichtigungsanfragen ein, inklusive zentralem Postfach, Ticket-Erfassung und klaren Zuständigkeiten. So werden Identitätsprüfung, interne Rückfragen und die Einhaltung der gesetzlichen Antwortfristen zuverlässig dokumentiert, auch wenn Daten in CRM, Support-Tool und E-Mail-Postfächern verteilt liegen.

  • Bewerberdaten nach Absage automatisiert prüfen und löschen

    In der HR-Abteilung definiert ein mittelständisches Unternehmen Löschfristen für Bewerbungsunterlagen und setzt Erinnerungen im Bewerbermanagement oder Kalender auf. Geht zusätzlich ein Löschungs- oder Berichtigungswunsch ein, kann das Team schnell reagieren, Alt-Daten in E-Mail-Postfächern und lokalen Ordnern identifizieren und die Umsetzung nachvollziehbar festhalten.

  • Widersprüche gegen Werbeansprache direkt im CRM und Newsletter-Tool umsetzen

    Ein KMU im Vertrieb oder Marketing verknüpft CRM, Newsletter-System und Kontaktlisten so, dass Widersprüche gegen Werbung sofort in allen relevanten Systemen berücksichtigt werden. Dadurch werden betroffene Kontakte nicht versehentlich weiter angeschrieben, und das Unternehmen kann gegenüber Kunden oder Aufsichtsbehörden sauber nachweisen, wann und wie der Widerspruch umgesetzt wurde.

Häufig gestellte Fragen

Was sind Betroffenenrechte (Auskunft, Löschung, Berichtigung, Widerspruch)?

Betroffenenrechte sind DSGVO-Rechte, mit denen Personen Kontrolle über ihre personenbezogenen Daten ausüben können. Unternehmen müssen Anfragen sicher prüfen, fristgerecht beantworten und die Bearbeitung dokumentieren.

Welche Fristen gelten für Auskunft, Löschung oder Widerspruch nach DSGVO?

In der Regel muss innerhalb eines Monats geantwortet werden. Bei komplexen Fällen kann verlängert werden, aber nur mit Begründung und Information an die betroffene Person.

Wie funktioniert eine DSGVO-Auskunft in der Praxis?

Das Unternehmen prüft die Identität, sammelt Daten aus allen relevanten Systemen (z. B. CRM, E-Mail, Support) und stellt eine verständliche Übersicht samt Kopie bereit. Zusätzlich werden Zwecke, Empfänger, Speicherdauer und weitere Pflichtinformationen erklärt.

Muss ein Unternehmen bei einem Löschantrag wirklich alles löschen?

Nein, nicht immer: Gesetzliche Aufbewahrungspflichten (z. B. steuerliche Fristen) oder die Geltendmachung von Rechtsansprüchen können einer vollständigen Löschung entgegenstehen. Dann werden Daten typischerweise gesperrt/archiviert und nur noch zu diesen Zwecken vorgehalten.

Was bedeutet Widerspruch nach DSGVO – und was ist bei Werbung zu tun?

Beim Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen muss das Unternehmen die Verarbeitung stoppen, sofern keine zwingenden Gründe überwiegen. Bei Direktwerbung ist der Widerspruch praktisch immer sofort umzusetzen, z. B. durch Abmeldung und Sperrliste.

Wer darf Betroffenenrechte nach DSGVO geltend machen?

Betroffenenrechte können von allen natürlichen Personen geltend gemacht werden, deren personenbezogene Daten verarbeitet werden – zum Beispiel Kund:innen, Mitarbeitende, Bewerber:innen oder Newsletter-Abonnent:innen. Für Unternehmen ist wichtig, jede Anfrage sauber zuzuordnen, die Identität angemessen zu prüfen und den Vorgang nachvollziehbar zu dokumentieren.

Wie sollten Unternehmen Anfragen zu Betroffenenrechten organisatorisch bearbeiten?

Unternehmen brauchen einen klaren Prozess für Auskunft, Berichtigung, Löschung und Widerspruch: Eingang erfassen, Identität prüfen, betroffene Systeme durchsuchen, fristgerecht antworten und alles dokumentieren. Ohne feste Zuständigkeiten und technische Unterstützung entstehen schnell Verzögerungen, Medienbrüche und unnötige Datenschutzrisiken.

Wir sind ein kleines Unternehmen – brauchen wir dafür wirklich einen sauberen Prozess?

Ja, gerade kleine Unternehmen geraten bei DSGVO-Anfragen schnell unter Druck, weil Daten oft in mehreren Tools, Postfächern und Tabellen verteilt sind. Ich helfe dir, einen schlanken, praxistauglichen Prozess aufzusetzen, damit Auskunfts-, Lösch- oder Widerspruchsanfragen nicht im Tagesgeschäft untergehen.

Was, wenn wir gar nicht genau wissen, in welchen Tools personenbezogene Daten liegen?

Das ist ein typischer Ausgangspunkt und genau der Grund, warum Betroffenenrechte in der Praxis oft schwierig werden. Mit dem Tech-Gutachten analysiere ich deine Systemlandschaft, dokumentiere Datenflüsse und zeige dir konkret, wo personenbezogene Daten liegen, welche Tools relevant sind und wo Risiken bestehen.

Kannst du uns helfen, Betroffenenanfragen technisch besser abzubilden?

Ja – wenn Anfragen heute manuell, verteilt oder unübersichtlich laufen, setze ich mit OrbitOS eine zentrale Lösung auf, in der Daten, Prozesse und Zuständigkeiten sauber zusammenlaufen. So wird aus Einzelchaos ein nachvollziehbarer Ablauf mit klaren Schritten, weniger Suchaufwand und besserer Reaktionsfähigkeit.

Wir haben keine eigene IT-Leitung – wer denkt das Thema langfristig mit?

Genau dafür gibt es meine Tech-Partnerschaft als externer CTO. Ich unterstütze dich nicht nur einmalig, sondern denke bei Systemen, Prozessen und Datenschutz-nahen Tech-Entscheidungen dauerhaft mit, damit Anforderungen wie Betroffenenrechte nicht erst dann auffallen, wenn es dringend wird.

Lässt sich der Bearbeitungsaufwand für DSGVO-Anfragen mit KI oder Automationen reduzieren?

Teilweise ja – aber sinnvoll nur dort, wo Prozesse klar definiert sind und Datenschutz sauber mitgedacht wird. In meiner KI-Beratung prüfen wir mit dem PUR-Framework, welche Schritte sich automatisieren lassen, wo KI wirklich entlastet und wie du schneller arbeitest, ohne neue Risiken aufzubauen.

Verwandte Begriffe