Betroffenenanfragen professionell bearbeiten.

Ja. Der EuGH hat klargestellt, dass ein immaterieller Schaden, also Ärger, Sorge oder Kontrollverlust über eigene Daten, für einen Schadensersatzanspruch nach Art. 82 DSGVO ausreichen kann. Eine Bagatellgrenze kennt die DSGVO nicht. Unternehmen sollten Betroffenenrechte deshalb nicht nur fristgerecht, sondern auch sorgfältig dokumentiert wahrnehmen, da die Beweislast für eine rechtmäßige Verarbeitung beim Verantwortlichen liegt.

Die DSGVO sieht eine Frist von einem Monat vor. Diese kann bei komplexen oder umfangreichen Anfragen um weitere zwei Monate verlängert werden, wenn der Betroffene über die Verlängerung und den Grund informiert wird. Bei Untätigkeit drohen Bußgelder und Beschwerden bei der Aufsichtsbehörde.

Grundsätzlich ja. Nur bei offensichtlich unbegründeten oder exzessiven Anfragen kann ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden. Die Beweislast für die Unbegründetheit oder Exzessivität liegt beim Verantwortlichen.

Wenn gesetzliche Aufbewahrungspflichten bestehen, muss nicht sofort gelöscht werden. In diesem Fall kann die Verarbeitung eingeschränkt werden: Die Daten bleiben vorhanden, werden aber nur noch für die Erfüllung der Aufbewahrungspflicht genutzt. Nach Ablauf der Frist erfolgt die Löschung.

Jede Anfrage sollte mit Eingangsdatum, Identitätsverifizierung, ergriffenen Maßnahmen und Antwortdatum dokumentiert werden. Diese Dokumentation ist wichtiger Bestandteil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Betroffene können bei Untätigkeit Beschwerde bei der Datenschutz-Aufsichtsbehörde einlegen, die dann ein Verfahren gegen das Unternehmen einleiten kann. Zusätzlich können Betroffene Schadensersatz nach Art. 82 DSGVO geltend machen. Bußgelder wegen Verletzung der Betroffenenrechte sind möglich, auch wenn kein tatsächlicher Schaden entstanden ist. Gerade häufig anfragende Branchen wie E-Commerce oder HR-Dienstleister sollten deshalb einen strukturierten Prozess etablieren.

Ja, und das ist seit dem EuGH-Urteil C-526/24 vom 19. März 2026 bereits beim ersten Antrag möglich. Das Gericht hat klargestellt, dass ein Auskunftsantrag nach Art. 15 DSGVO als exzessiv abgewiesen werden kann, wenn das Unternehmen zwei Kriterien nachweist: Der Antragsteller verfolgt erkennbar keinen echten Informationszweck und beabsichtigt, eine künstliche Grundlage für Schadensersatzansprüche zu schaffen. Die Beweislast liegt vollständig beim Unternehmen. Wer vorschnell ablehnt, riskiert seinerseits Ansprüche nach Art. 82 DSGVO. Eine sorgfältige Dokumentation ist deshalb in jedem Fall erforderlich.