Top-Themen im Datenschutz:
Betroffene haben nach der DSGVO u. a. Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Unternehmen müssen Anträge unverzüglich, spätestens binnen eines Monats beantworten.
Betroffenenrechte sind gesetzliche Ansprüche von Personen, deren Daten verarbeitet werden. Sie ermöglichen Kontrolle über die eigenen Daten – von Auskunft über Löschung bis Widerspruch.
Betroffene sind alle Menschen, von denen Sie personenbezogene Daten speichern und verarbeiten. Die DSGVO räumt diesen Personen umfangreiche Rechte ein, mit denen sie entscheiden können, was mit ihren Daten geschieht. Diese Rechte werden als Betroffenenrechte bezeichnet und sind in Art. 12 bis 22 DSGVO geregelt. Sie dienen den Betroffenen als Steuerungs- und Kontrollelement hinsichtlich der Verarbeitung ihrer personenbezogenen Daten. Die Übersicht des BfDI zu den Betroffenenrechten erklärt Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch aus Sicht der Betroffenen.
Die DSGVO regelt in Art. 12 bis 22 acht zentrale Betroffenenrechte: Information, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Schutz vor automatisierten Einzelentscheidungen. Hinzu kommen das Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO) und der Anspruch auf Schadensersatz (Art. 82 DSGVO).
Sie müssen Anträge unverzüglich bearbeiten, spätestens innerhalb eines Monats nach Eingang. Eine Verlängerung um zwei Monate ist bei Komplexität oder hoher Antragszahl möglich (Art. 12 Abs. 3 DSGVO). Lehnen Sie einen Antrag ab, begründen Sie das und weisen auf Beschwerde- und Rechtsbehelfsmöglichkeiten hin (Art. 12 Abs. 4 DSGVO).
In vielen Fällen ist die Datenauskunft nur der erste Schritt, weil Betroffene eine bestimmte Absicht mit der Anfrage verbinden. Der Betroffene darf von Ihnen verlangen, die ihn betreffenden Daten umgehend zu berichtigen, zu löschen oder ihre Verarbeitung einzuschränken.
Außerdem darf er Widerspruch gegen die Datenverarbeitung einlegen und sich bei der Aufsichtsbehörde über die Verarbeitung oder unzureichende Auskünfte beschweren.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenWenn Sie personenbezogene Daten erheben, müssen Sie die Betroffenen verständlich über die Verarbeitung informieren. Erheben Sie die Daten bei der betroffenen Person selbst, geben Sie die Informationen zum Zeitpunkt der Erhebung (Art. 13 DSGVO). Erhalten Sie die Daten aus anderer Quelle, informieren Sie innerhalb einer angemessenen Frist, in der Regel spätestens nach einem Monat (Art. 14 DSGVO). Dazu gehören:
Der Betroffene kann von Ihnen eine Bestätigung verlangen, ob Sie personenbezogene Daten verarbeiten. Ist dies der Fall, hat die Person das Recht auf Auskunft über diese Daten und auf eine Kopie. Außerdem erhält sie Informationen zu Zwecken, Kategorien, Empfängern, Speicherdauer und Herkunft der Daten sowie zu ihren Rechten und zum Beschwerderecht (Art. 15 DSGVO).
Wie Sie Auskunftsanträge im Detail prüfen und beantworten, erläutert der Europäische Datenschutzausschuss in seinen Leitlinien 01/2022 zum Auskunftsrecht.
Beantworten Sie bei einer Auskunftsanfrage folgende Fragen:
Tipp: Nennen Sie in der Auskunft Name und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten, damit Rückfragen möglich sind.
Stellt der Betroffene aufgrund seiner Anfrage fest, dass Sie falsche oder unvollständige Daten gespeichert haben, kann er die unverzügliche Berichtigung bzw. Ergänzung verlangen (Art. 16 DSGVO). Informieren Sie die Betroffenen über die Berichtigung (Art. 12 Abs. 3 DSGVO) und teilen Sie sie allen Empfängern mit, denen Sie die Daten offengelegt haben, außer das ist unmöglich oder unverhältnismäßig aufwendig (Art. 19 DSGVO).
Betroffene können der Verarbeitung widersprechen, wenn Sie diese auf ein öffentliches Interesse oder auf Ihre berechtigten Interessen stützen (Art. 6 Abs. 1 lit. e und f DSGVO). Dafür müssen sie Gründe nennen, die sich aus ihrer besonderen Situation ergeben. Sie müssen die Verarbeitung dann beenden, es sei denn, Sie weisen zwingende schutzwürdige Gründe nach, die überwiegen, oder die Daten werden zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt.
Gegen Direktwerbung, auch gegen damit verbundenes Profiling, können Betroffene jederzeit ohne Begründung widersprechen. Dann müssen Sie die Verarbeitung zu diesem Zweck beenden (Art. 21 Abs. 2 und 3 DSGVO). Weisen Sie spätestens bei der ersten Kommunikation ausdrücklich und getrennt von anderen Informationen auf das Widerspruchsrecht hin (Art. 21 Abs. 4 DSGVO).
Bei Verarbeitung auf Basis einer Einwilligung, eines Vertrags oder einer rechtlichen Pflicht gilt Art. 21 nicht. Gegenüber öffentlichen Stellen kann das Recht nach § 36 BDSG, bei Forschung und Statistik nach § 27 Abs. 2 BDSG eingeschränkt sein. Informieren Sie die Betroffenen, sobald Sie die Verarbeitung beendet haben.
Eine Einwilligung können Betroffene jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf muss so einfach sein wie die Erteilung. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig, siehe BfDI: Das Recht auf Widerspruch (Art. 21 DSGVO).
Betroffene dürfen unter den Voraussetzungen des Art. 17 Abs. 1 DSGVO verlangen, dass Sie ihre Daten löschen. Löschen Sie Daten unverzüglich, wenn einer dieser Gründe vorliegt (Art. 17 Abs. 1 DSGVO):
Achtung: Art. 17 Abs. 1 DSGVO verpflichtet Sie, Daten unverzüglich zu löschen, wenn ein Löschgrund vorliegt, auch ohne Antrag. Das betrifft vor allem entfallene Zwecke und unrechtmäßige Verarbeitung. Löschen Sie in allen Systemen. Haben Sie Daten an Empfänger weitergegeben, informieren Sie diese über die Löschung, außer das ist unmöglich oder unverhältnismäßig aufwendig (Art. 19 DSGVO). Haben Sie Daten öffentlich gemacht, treffen Sie angemessene Maßnahmen, um andere Verantwortliche zu informieren (Art. 17 Abs. 2 DSGVO).
Wichtig: Die DSGVO gilt für Unternehmen mit Niederlassung in der EU und für Anbieter, die sich an Personen in der EU richten (Art. 3 DSGVO). Bei Suchmaschinen hat der EuGH entschieden, dass die Auslistung in allen EU-Mitgliedstaaten erfolgen muss, nicht aber weltweit (Urteil vom 24.09.2019, C-507/17).
Erfüllen Sie die Monatsfrist nach Art. 12 DSGVO zuverlässig – mit dem Leitfaden zur rechtssicheren Bearbeitung aller Betroffenenrechte inkl. Ausnahmenprüfung und Verschlüsselungsanforderungen, kostenlos als Download.
Betroffene können die personenbezogenen Daten, die sie Ihnen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und an einen anderen Verantwortlichen übermitteln lassen (Art. 20 DSGVO). Das gilt nur, wenn Sie die Daten auf Grundlage einer Einwilligung oder eines Vertrags und mit automatisierten Verfahren verarbeiten. Das Recht soll beispielsweise den Wechsel zwischen Plattformen erleichtern.
Auf Verlangen übermitteln Sie die Daten direkt an den anderen Verantwortlichen, soweit das technisch machbar ist. Eine vollständige Kopie aller verarbeiteten Daten erhalten Betroffene über das Auskunftsrecht (Art. 15 Abs. 3 DSGVO).
Der Betroffene hat das Recht, von Ihnen die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO), wenn eine der folgenden Voraussetzungen gegeben ist:
In diesen Fällen dürfen Sie Daten nur begrenzt verarbeiten, aber noch speichern. Informieren Sie die Betroffenen, sobald Sie die Verarbeitung eingeschränkt haben. Sollten Sie die Einschränkung später aufheben, müssen Sie den Betroffenen vorab informieren.
Wenn der Betroffene den Eindruck gewinnt, dass Sie Daten nicht DSGVO-konform verarbeiten, hat er das Recht, sich bei der Aufsichtsbehörde zu beschweren. Aus diesem Grund müssen Sie in Ihrer Datenschutzerklärung auf das Beschwerderecht bei einer Aufsichtsbehörde hinweisen (Art. 13 Abs. 2 lit. d DSGVO). Die zuständige Behörde mit Kontaktdaten zu nennen, ist empfehlenswert.
Außerdem kann ein hohes Bußgeld gegen Ihr Unternehmen verhängt werden, wenn Sie Betroffenenanfragen ignorieren oder zu spät beantworten. Die Aufsichtsbehörde muss sich mit jeder Beschwerde befassen und den Gegenstand in angemessenem Umfang untersuchen (Art. 57 Abs. 1 lit. f DSGVO).
Praxisbeispiel aus NRW: Im September 2025 hat die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW gegen eine Personalvermittlung aus Düsseldorf ein Bußgeld von über 35.000 Euro verhängt. Nach zahlreichen Beschwerden stellte sich heraus: Das Unternehmen hatte Auskunfts- und Löschverlangen von Arbeitssuchenden ignoriert und auch auf Schreiben der Aufsichtsbehörde nicht geantwortet. In einigen Fällen erhielten Betroffene die Mitteilung, ihre Daten seien gelöscht, und bekamen trotzdem weiter Newsletter-Werbung. Daraus folgt für Ihre Praxis: Beantworten Sie jede Anfrage und jede Rückfrage der Behörde fristgerecht. Bestätigen Sie eine Löschung erst, wenn die Daten in allen Systemen gelöscht sind, auch in Werbeverteilern.
Art. 22 DSGVO schützt Betroffene vor Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen. Betroffene haben das Recht, keiner solchen Entscheidung unterworfen zu werden, wenn sie ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Beispiele sind die automatische Ablehnung eines Kreditantrags oder Online-Eignungstests ohne menschliche Prüfung.
Ausnahmen (Art. 22 Abs. 2 DSGVO):
Eine automatisierte Entscheidung ist zulässig, wenn sie
In den Fällen Vertrag und Einwilligung müssen Sie angemessene Schutzmaßnahmen treffen, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung (Art. 22 Abs. 3 DSGVO). Bei besonderen Kategorien personenbezogener Daten gelten zusätzliche Einschränkungen (Art. 22 Abs. 4 DSGVO).
Betroffenenrechte sind nicht absolut. Gesetzliche Aufbewahrungsfristen, öffentliche Sicherheit und Forschungszwecke können Ausnahmen rechtfertigen.
Die Informationspflicht entfällt, soweit die betroffene Person bereits über die Informationen verfügt (Art. 13 Abs. 4, Art. 14 Abs. 5 lit. a DSGVO). Bei Dritterhebung entfällt sie außerdem, wenn die Information unmöglich oder unverhältnismäßig aufwendig wäre, die Erlangung oder Offenlegung ausdrücklich gesetzlich geregelt ist oder die Daten einer Geheimhaltungspflicht unterliegen (Art. 14 Abs. 5 lit. b bis d DSGVO). Weitere Ausnahmen enthalten §§ 32 und 33 BDSG.
Das Recht auf Löschung gilt nicht, soweit die Verarbeitung erforderlich ist: zur Ausübung des Rechts auf freie Meinungsäußerung und Information; zur Erfüllung einer rechtlichen Verpflichtung, etwa gesetzlicher Aufbewahrungsfristen, oder einer Aufgabe im öffentlichen Interesse; aus Gründen der öffentlichen Gesundheit; für Archiv-, Forschungs- und Statistikzwecke; zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 DSGVO).
Betroffene können dann unter Umständen die Einschränkung der Verarbeitung verlangen (Art. 18 DSGVO). Informieren Sie die Betroffenen umgehend, sobald Sie Daten gelöscht haben.
Tipp: Stellen Sie bereits im Vorhinein ein detailliertes Löschkonzept auf, damit Sie Löschungen zuverlässig, vollständig und schnellstmöglich durchführen können.
Betroffene brauchen eine Auskunftsanfrage nicht zu begründen und müssen nicht in irgendeiner Beziehung zu Ihrem Unternehmen stehen. Nur beim Widerspruch nach Art. 21 Abs. 1 DSGVO müssen sie Gründe aus ihrer besonderen Situation nennen. Liegen keine Daten vor oder haben Sie diese unumkehrbar anonymisiert, erteilen Sie eine Negativauskunft.
Der Fragesteller darf seine Anfrage formlos und auf jedem beliebigen Weg stellen. Er braucht sich weder auf die DSGVO zu beziehen noch das Wort „Betroffenenanfrage“ oder „Auskunftsersuchen“ zu verwenden.
Schon die einfache Frage „Woher haben Sie meine Daten?“ oder „Ich habe eine Frage zum Datenschutz“ kann eine Betroffenenanfrage sein. Auch eine Beschwerde über unerwünschte Werbung, Anrufe oder Spam oder der Wunsch nach Dateneinsicht kann eine Betroffenenanfrage darstellen.
Gemäß Artikel 12 Abs. 1 DSGVO muss der Verantwortliche geeignete Maßnahmen ergreifen, um die angeforderten Informationen zu übermitteln.
Die Bearbeitung muss nicht intern erfolgen. Sie haben die Möglichkeit, einen externen Datenschutzbeauftragten als Dienstleister in Anspruch zu nehmen. Beachten Sie jedoch, dass der Verantwortliche derjenige bleibt, der die Informationen zusammenträgt und die Betroffenenanfrage beantwortet. Der Datenschutzbeauftragte darf die Entscheidung nicht an Ihrer Stelle treffen, wenn dadurch ein Interessenkonflikt entstünde (Art. 38 Abs. 6 DSGVO).
Beim Umgang mit Betroffenenanfragen müssen Sie bestimmte formale Voraussetzungen einhalten: Form, Frist, Identitätsprüfung und Kostenfreiheit.
DSGVO Art. 12 sieht vor, dass Sie die relevanten Informationen in präziser, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache übermitteln. Dies kann entweder schriftlich oder elektronisch erfolgen. Sie müssen die Betroffenenanfrage unverzüglich, aber spätestens innerhalb eines Monats bearbeiten.
Eine Fristverlängerung von zwei Monaten ist unter bestimmten Umständen möglich. Teilen Sie die Verlängerung der betroffenen Person innerhalb eines Monats nach Eingang des Antrags mit und nennen Sie die Gründe.
Der konkrete Wortlaut im Gesetz lautet: „Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung.“
Hinweis: Die Frist von einem Monat läuft ab dem Eingangstag der Anfrage. Stellen Sie eine Vertretung sicher: Urlaub oder Krankheit der zuständigen Person verlängern die Frist nicht. Richten Sie bei Abwesenheit eine automatische Antwort mit alternativem Ansprechpartner ein.
Haben Sie begründete Zweifel an der Identität, können Sie zusätzliche Informationen zur Bestätigung anfordern (Art. 12 Abs. 6 DSGVO). Fragen Sie zuerst nach Merkmalen, die Sie ohnehin gespeichert haben, etwa Kundennummer, Login oder hinterlegte E-Mail-Adresse. Einen Ausweis verlangen Sie nur, wenn das erforderlich und verhältnismäßig ist, zum Beispiel bei sensiblen Daten.
Betroffene dürfen alle Angaben schwärzen, die Sie für die Prüfung nicht brauchen. Vermerken Sie nach der Prüfung „Ausweis geprüft“, statt eine Kopie aufzubewahren. Klärt die Person Ihre Rückfrage nicht, müssen Sie nicht tätig werden. Teilen Sie ihr das mit Gründen und dem Hinweis auf Beschwerde- und Rechtsbehelfe mit (Art. 12 Abs. 4 DSGVO).
Bearbeiten Sie Betroffenenanfragen nach Art. 15-22 DSGVO strukturiert und revisionssicher – mit automatischer Fristenkontrolle und lückenloser Dokumentation.
Jede natürliche Person, deren Daten Sie verarbeiten, kann Betroffenenrechte geltend machen, zum Beispiel Kunden, Website-Besucher, Beschäftigte, Bewerber oder Ansprechpartner bei Lieferanten. Juristische Personen wie eine GmbH haben keine Betroffenenrechte.
Sie müssen die Antwort in verständlicher Form, präzise und transparent geben (einfache und klare Sprache, wenig Fachausdrücke, keine Fachkenntnisse voraussetzen) und für den Fragesteller leicht technisch zugänglich sein.
Um die Beantwortung zu dokumentieren, sollten Sie immer einen schriftlichen Antwortweg wählen. Die DSGVO sieht vor, dass Sie elektronisch gestellte Anfragen auch elektronisch beantworten.
Diese Auskunft müssen Sie für den Anfragenden kostenlos erteilen. Nur zusätzliche Kopien dürfen Sie eventuell in Rechnung stellen. Falls Sie über sehr große Datenmengen verfügen, dürfen Sie eine Präzisierung der Anfrage verlangen.
Betroffene dürfen Auskunft erneut verlangen. Eine Wiederholung ist nach den EDSA-Leitlinien nicht automatisch exzessiv. Erst bei offenkundigem Missbrauch dürfen Sie ein Entgelt verlangen oder die Auskunft verweigern. Das müssen Sie nachweisen (Art. 12 Abs. 5 DSGVO).
Die Auskunft können Sie nur in engen Grenzen einschränken: bei Rechten und Freiheiten anderer Personen, auch Geschäftsgeheimnissen (Art. 15 Abs. 4 DSGVO), bei offenkundig unbegründeten oder exzessiven Anträgen (Art. 12 Abs. 5 DSGVO) und nach nationalen Ausnahmen wie § 34 BDSG.
Wichtig: Sollte es in Ihrem Unternehmen zu einer Datenschutzpanne gekommen sein, durch die Daten in falsche Hände oder die Öffentlichkeit geraten sind, müssen Sie die Betroffenen über das Datenleck informieren, wenn ein hohes Risiko besteht (Artikel 34 DSGVO).
Hierzu müssen Sie das Risiko für die Betroffenen bewerten (Art. 33 und 34 DSGVO). Eine Datenschutz-Folgenabschätzung ist davon getrennt und dient der Prüfung geplanter Verarbeitungen (Art. 35 DSGVO). In Fällen mit hohem Risiko kann auch die Aufsichtsbehörde fordern, dass Sie die Betroffenen informieren.
Eine unzureichende Beantwortung von Betroffenenanfragen kann eine Beschwerde bei der Aufsichtsbehörde nach sich ziehen. Stellen Sie daher sicher, dass Ihre Dokumentation vollständig ist, bevor Anfragen eintreffen. Die Datenauskunft und die daraus folgenden Schritte sollten Sie nicht „kurz mal nebenbei“ vom Kundendienst bearbeiten lassen. Legen Sie feste Zuständigkeiten und einen festen Prozess fest. Der Datenschutzbeauftragte berät und überwacht dabei (Art. 39 Abs. 1 DSGVO). Die Verantwortung für die Antwort bleibt bei Ihrem Unternehmen.
Zum einen fühlt sich der Betroffene ernster genommen und gewinnt einen professionelleren Eindruck, wenn ein geschulter Ansprechpartner das Anliegen nach festem Prozess bearbeitet. Zum anderen haben Kundendienstmitarbeiter nicht die Befugnisse und Möglichkeiten, in sämtliche Systeme einzugreifen. Ein Datenschutzkoordinator kann als interne Schnittstelle zwischen Fachbereichen und Datenschutzbeauftragtem fungieren.
Für die Erfassung einer Datenschutzanfrage empfiehlt sich ein Ticketsystem, in dem Sie die einzelnen Bearbeitungsschritte mit Zeitstempel versehen und gut dokumentierbar nachverfolgen können.
1. Leiten Sie die Anfrage an die zuständige Stelle weiter
Leiten Sie die Anfrage sofort an die zuständige Stelle weiter, zum Beispiel an den Datenschutzkoordinator oder den Datenschutzbeauftragten. In Konzernen ist die Gesellschaft zuständig, die über Zwecke und Mittel der Verarbeitung entscheidet. Bei gemeinsamer Verantwortlichkeit regelt die Vereinbarung nach Art. 26 DSGVO die Zuständigkeit.
2. Bestätigen Sie dem Fragesteller den Eingang seiner Anfrage
Nutzen Sie dafür den Kommunikationsweg, den der Fragesteller gewählt hat, und dokumentieren Sie diese Bestätigung und nennen Sie in der Bestätigung das Datum, an dem die Frist endet.
3. Überprüfen Sie die Identität des Fragestellers
Da Sie die Auskunft nur dem Betroffenen selbst oder einer von ihm bevollmächtigten Person erteilen dürfen, müssen Sie zunächst überprüfen, ob der Fragende tatsächlich der Betroffene ist. Nutzen Sie Merkmale, die Sie bereits gespeichert haben, etwa Kundennummer, Login oder hinterlegte E-Mail-Adresse. Verlangen Sie nicht mehr Angaben, als für die Identifizierung nötig sind. Bei besonders schützenswerten Daten kann ein Ausweis verhältnismäßig sein.
4. Stellen Sie die Unterlagen zügig zusammen
Als internen Richtwert empfehlen wir drei Wochen, damit Ihnen Zeit für Prüfung und Versand bleibt. Eine Betroffenenauskunft umfasst auf Verlangen eine Kopie aller personenbezogenen Daten, die Sie besitzen, samt den Antworten auf die genannten Fragen.
Suchen Sie die Daten der Person in allen Systemen und Papierakten und stellen Sie eine Kopie der Daten zusammen. Sollten in diesen Unterlagen auch personenbezogene Informationen zu anderen Personen oder zu Geschäftsgeheimnissen enthalten sein, machen Sie diese unkenntlich.
5. Prüfen Sie, ob die ermittelten Daten sich wirklich auf den Anfrager beziehen
In diesem Schritt sollten Sie beispielsweise Namensgleichheiten ausschließen.
6. Beantworten Sie die Anfrage wahrheitsgemäß
Nutzen Sie für die Auskunft und die Übermittlung ein sicheres Verfahren. Wenn Sie elektronische Auskünfte versenden möchten, verschlüsseln Sie die entsprechende E-Mail und alle Anlagen. Bei großen Datenmengen kann auch ein verschlüsselter Datenträger oder eine abgesicherte Datenverbindung infrage kommen. Eine mündliche Auskunft ist nur möglich, wenn die betroffene Person sie verlangt und ihre Identität nachgewiesen ist (Art. 12 Abs. 1 DSGVO).
7. Dokumentieren Sie Schritte 1-6
Je nach Dokumentationssystem kann dies elektronisch oder per Datenschutzordner geschehen.
Eine umfassende Beratung zu allen Themen rund um die DSGVO aus einer Hand, damit Sie gesetzliche Anforderungen effizient umsetzen und Ihre Daten sicher verwalten können.
Sie müssen Betroffenenanfragen unverzüglich, spätestens aber innerhalb eines Monats ab Eingang beantworten. Eine Verlängerung um zwei weitere Monate ist möglich, wenn die Komplexität oder die Anzahl der Anfragen dies erfordert. Sie müssen den Betroffenen über die Verlängerung und die Gründe innerhalb des ersten Monats informieren.
Ja. Auskunft und erste Kopie sind kostenlos (Art. 12 Abs. 5, Art. 15 Abs. 3 DSGVO). Für weitere Kopien dürfen Sie ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangen. Bei offenkundig unbegründeten oder exzessiven Anträgen dürfen Sie ein angemessenes Entgelt verlangen oder sich weigern, tätig zu werden.
Ja. Entsteht durch einen DSGVO-Verstoß ein materieller oder immaterieller Schaden, besteht ein Anspruch (Art. 82 DSGVO). Der Verantwortliche haftet, außer er weist nach, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist.
Ignorieren Sie Betroffenenanfragen oder beantworten Sie diese zu spät, kann die Aufsichtsbehörde ein Bußgeld verhängen. Verstöße gegen Betroffenenrechte können mit bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 lit. b DSGVO).
Nach der Beantwortung dieser kritischen Compliance-Fragen empfiehlt sich ein Datenschutzaudit, um sicherzustellen, dass Ihre Prozesse DSGVO-konform sind.
Das hängt davon ab, wer die Daten verarbeitet. Die DSGVO gilt für Unternehmen mit Niederlassung in der EU und für Anbieter, die sich an Personen in der EU richten (Art. 3 DSGVO). Bei Suchmaschinen muss die Auslistung in allen EU-Mitgliedstaaten erfolgen, nicht aber weltweit (EuGH, C-507/17).
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen