¶ Betroffenenanfragen und Identitätsprüfung
Beispieldokument: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Anfragen, Identitätsdaten, Antworten oder organisationsbezogenen Zuständigkeitsentscheidungen.
Erkennungsregel: Eine Betroffenenanfrage ist nicht an ein bestimmtes Formular oder das Wort „DSGVO“ gebunden. Mitarbeitende und Dienstleister müssen Anliegen unabhängig vom Eingangskanal erkennen und unverzüglich weiterleiten.
Identitätsregel: Die Identität wird risikogerecht bestätigt. Zusätzliche Informationen werden nur bei begründeten Zweifeln und nur im erforderlichen Umfang verlangt. Eine routinemäßige Ausweiskopie ist nicht vorgesehen.
Fristregel: Maßnahmen und Antworten erfolgen unverzüglich, grundsätzlich innerhalb eines Monats nach Eingang. Eine zulässige Verlängerung wird innerhalb des ersten Monats mit Gründen mitgeteilt.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-03-01 |
| Dokumentenart | übergreifendes Verfahren für Betroffenenrechte |
| Wiki.js-Pfad | /DSGVO/03-Betroffenenrechte/Betroffenenanfragen-und-Identitaetspruefung |
| Verantwortlich | Geschäftsführung als Verantwortlicher / festzulegende Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Kundenservice, Personal, IT und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine organisationsbezogenen Meldekanäle, Rollen, Register oder Antwortwege freigegeben |
| Version | 1.0 |
| Stand | 10.08.2026 |
| Gültig ab | Nach fachlicher Prüfung, Praxistest und formaler Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie nach Fristüberschreitungen, Beschwerden oder wesentlichen Prozessänderungen |
| Schutzklasse | Vertraulich; Anfragen, Identitätsnachweise, Suchergebnisse, Entscheidungen und Antworten besonders geschützt |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 2, Artikel 11, 12 und 15 bis 23 DSGVO |
| Nationaler Bezug | BDSG und weitere gesetzliche Beschränkungen oder Spezialregelungen nur nach dokumentierter Einzelfallprüfung |
| Schnittstellen | Informationspflichten, VVT, Rechtsgrundlagen, Löschung, Empfänger, Auftragsverarbeiter, Vorfälle, Beschwerden und Nachweislenkung |
Einheitlicher Prozess für alle Betroffenenrechte mit risikogerechter Identitätsprüfung und kontrollierter Frist. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Das Verfahren stellt sicher, dass:
- Anliegen über alle Eingangskanäle erkannt werden,
- Rechte und tatsächliches Begehren korrekt eingeordnet werden,
- Eingang, Fristen, Zuständigkeiten und Kommunikation kontrolliert werden,
- anfragende und betroffene Person sicher zugeordnet werden,
- nur erforderliche Identitätsinformationen erhoben werden,
- Daten vollständig gesucht und rechtlich geprüft werden,
- Rechte anderer Personen und Geheimnisse geschützt bleiben,
- die Antwort verständlich, sicher und nachweisbar bereitgestellt wird.
¶ 2. Erfasste Rechte und Anliegen
Der Prozess gilt insbesondere für:
- Bestätigung und Auskunft nach Artikel 15,
- Berichtigung und Vervollständigung nach Artikel 16,
- Löschung nach Artikel 17,
- Einschränkung der Verarbeitung nach Artikel 18,
- Mitteilung an Empfänger nach Artikel 19,
- Datenübertragbarkeit nach Artikel 20,
- Widerspruch nach Artikel 21,
- Rechte bei automatisierten Entscheidungen nach Artikel 22,
- Widerruf einer Einwilligung,
- Beschwerden über Verarbeitung, Transparenz oder Sicherheit.
Ein Anliegen kann mehrere Rechte gleichzeitig auslösen. Die anfragende Person muss keine Artikelnummer nennen.
¶ 3. Eingangskanäle
Anfragen können eingehen über:
- Datenschutz- oder allgemeine E-Mail-Adresse,
- Kontaktformular, Portal, App oder Nutzerkonto,
- Brief, Telefon oder persönliches Gespräch,
- Kundenservice, Vertrieb, Personalwesen oder Beschwerdestelle,
- soziale Medien und andere offiziell genutzte Kommunikationskanäle,
- Bevollmächtigte, Sorgeberechtigte oder gesetzliche Vertretungen,
- Auftragsverarbeiter oder andere Empfänger.
Jede empfangende Rolle leitet die Anfrage unverzüglich an die festgelegte Koordination weiter. Die Eingangszeit beim Verantwortlichen ist für die Frist maßgeblich, nicht der spätere Eingang in der Fachstelle.
¶ 3.1 Erkennungsbeispiele für Mitarbeitende
Eine Betroffenenanfrage kann in Alltagssprache formuliert sein. Typische Aussagen sind beispielsweise:
| Formulierung der Person | Möglicherweise betroffenes Recht | Erste Aktion |
|---|---|---|
| „Welche Daten haben Sie über mich?“ | Auskunft | Originalnachricht und Eingangszeit sichern |
| „Meine Adresse ist falsch.“ | Berichtigung | Datensatz nicht ungeprüft überschreiben; Vorgang weiterleiten |
| „Löschen Sie mein Konto und alle Daten.“ | Löschung, gegebenenfalls Einschränkung | Umfang und Aufbewahrungspflichten fachlich prüfen lassen |
| „Nutzen Sie meine Daten nicht mehr für Werbung.“ | Widerspruch gegen Direktwerbung | Werbestopp unverzüglich anstoßen und Vorgang dokumentieren |
| „Schicken Sie mir meine Daten in einem übertragbaren Format.“ | Datenübertragbarkeit | Datenquelle, Rechtsgrundlage und Format prüfen |
| „Ein System hat mich automatisch abgelehnt.“ | Artikel 22, Auskunft, Berichtigung | Entscheidung und Systemversion sichern; Eskalation an Fachstelle |
| „Ich möchte meine Einwilligung zurückziehen.“ | Widerruf | betroffene Einwilligung und Verarbeitung bestimmen |
| „Warum hat ein fremder Empfänger meine Daten erhalten?“ | Auskunft und möglicher Datenschutzvorfall | Anfrage und Vorfallsprüfung parallel starten |
Die empfangende Person entscheidet nicht abschließend über Bestehen oder Umfang des Rechts. Sie sichert den Eingang, vermeidet weitere Offenlegungen und leitet über den festgelegten Meldeweg weiter.
¶ 4. Soforterfassung
Das geschützte Register enthält zunächst:
- eindeutige Vorgangs-ID,
- Datum, Uhrzeit und Eingangskanal,
- Anliegen in eigenen Worten der anfragenden Person,
- bekannte Kontakt- und Zuordnungsdaten,
- betroffene Rechte und Fachbereiche als vorläufige Einordnung,
- Fristbeginn und berechnetes Fristende,
- verantwortliche Koordination und Vertretung,
- Status der Identitäts- oder Vertretungsprüfung,
- Kommunikation, Entscheidungen und Abschluss.
Der öffentliche Wiki-Inhalt enthält keine realen Vorgänge.
¶ 4.1 Triage unmittelbar nach Eingang
| Prüffrage | Bedeutung | Steuerungsmaßnahme |
|---|---|---|
| Ist das Anliegen erkennbar? | Recht und tatsächliches Begehren vorläufig einordnen | bei Unklarheit freundlich rückfragen, erkennbare Teile parallel bearbeiten |
| Droht eine weitere Offenlegung oder Fehlentscheidung? | möglicher Datenschutzvorfall oder laufende erhebliche Wirkung | Vorfalls- beziehungsweise Facheskalation parallel auslösen |
| Ist Direktwerbung betroffen? | besonderer Widerspruchsfall | Sperre ohne unnötige Verzögerung an zuständige Systeme geben |
| Geht es um Berichtigung, Löschung oder Einschränkung? | operative Datenänderung kann Folgeprozesse betreffen | Beweissicherung, Aufbewahrung und Empfänger berücksichtigen |
| Ist die anfragende Person vulnerabel? | Kommunikation und Identitätsprüfung können besondere Unterstützung benötigen | verständlichen und barrierearmen Kanal anbieten |
| Ist eine Vertretung erkennbar? | Antwort darf nicht vorschnell an Dritte gehen | Vollmacht, Vertretungsumfang und Antwortempfänger prüfen |
| Sind mehrere Gesellschaften betroffen? | Verantwortlichkeiten und Fristen dürfen nicht vermischt werden | richtigen Verantwortlichen bestimmen und Weiterleitung dokumentieren |
Die Triage ist keine Rechtsentscheidung. Sie bestimmt Priorität, Sicherheitsmaßnahmen, beteiligte Rollen und den nächsten kontrollierten Schritt.
¶ 5. Fristensteuerung
| Ereignis | Regel |
|---|---|
| Eingang | unverzüglich erfassen und Eingangsdatum sichern |
| Maßnahme / Antwort | unverzüglich, spätestens grundsätzlich innerhalb eines Monats |
| Verlängerung | bei Erforderlichkeit wegen Komplexität oder Anzahl um bis zu zwei weitere Monate |
| Information über Verlängerung | innerhalb eines Monats nach Eingang mit Gründen |
| Nichttätigwerden | ohne Verzögerung, spätestens innerhalb eines Monats begründen und auf Beschwerde sowie Rechtsbehelf hinweisen |
Die konkrete Monatsberechnung wird anhand des anwendbaren Rechts und Kalenders im Register technisch und organisatorisch geprüft. Interne Zieltermine liegen vor dem gesetzlichen Ende und berücksichtigen Abwesenheit, Feiertage, Abstimmung und sicheren Versand.
¶ 5.1 Fristencockpit
| Steuerungsdatum | Zweck | Beispielstatus |
|---|---|---|
| Eingang | unveränderter Startpunkt und Beleg des Kanals | erfasst |
| Erstprüfung | Recht, Risiko, Identität und zuständige Stellen vorläufig einordnen | offen / erledigt |
| interne Rücklauffrist | Zeit für Suche, Umsetzung und Dienstleisterantworten | je Auftrag überwacht |
| Qualitätsprüfung | Antwort, Anlagen, Schwärzungen und Maßnahmen prüfen | geplant |
| spätester Versand | gesetzliches Fristende mit Sicherheitsreserve | technisch berechnet und geprüft |
| Verlängerungsentscheidung | Komplexität oder Anzahl konkret bewerten | nicht erforderlich / zu entscheiden / mitgeteilt |
| Eskalationsdatum | gefährdete Rückläufe und Freigaben an Leitung melden | aktiv / geschlossen |
Das Register arbeitet mit Kalenderdatum, Verantwortlichkeit und Status – nicht nur mit einer farbigen Ampel. Ein grüner Status ohne vollständige Antwort, sichere Bereitstellung und erforderliche Systemmaßnahmen ist kein abgeschlossener Vorgang. Zusätzliche Identitätsinformationen werden bei begründeten Zweifeln unverzüglich angefordert; eine automatische Neuberechnung oder pauschale Unterbrechung der Frist wird nicht ohne dokumentierte rechtliche Bewertung unterstellt.
¶ 6. Eingangsbestätigung
Eine angemessene Bestätigung enthält:
- Vorgangsreferenz,
- erfasstes Anliegen und gegebenenfalls Bitte um Präzisierung,
- Kontaktstelle und sicherer Kommunikationsweg,
- Hinweis auf mögliche Identitäts- oder Vertretungsprüfung,
- keine voreilige Zusage, dass das geltend gemachte Recht vollständig besteht,
- keine unnötige Wiederholung sensibler Daten.
Eine Eingangsbestätigung setzt die gesetzliche Frist nicht neu in Gang.
¶ 7. Identifikation und Authentisierung unterscheiden
| Begriff | Zweck | Beispiel |
|---|---|---|
| Identifikation | feststellen, auf welche Person und Datenbestände sich die Anfrage bezieht | Kundennummer, Beschäftigten-ID, verwendete E-Mail-Adresse |
| Authentisierung | hinreichend bestätigen, dass die anfragende Person berechtigt ist | Anmeldung im bestehenden Konto, bestätigter Rückkanal, risikogerechte Zusatzfrage |
Der Verantwortliche erhebt keine zusätzlichen Daten allein deshalb, weil ein Recht ausgeübt wird, wenn eine sichere Zuordnung mit vorhandenen Verfahren möglich ist.
¶ 8. Risikogerechte Identitätsprüfung
Die Prüftiefe richtet sich nach:
- Art und Sensibilität der betroffenen Daten,
- Risiko einer Offenlegung oder unberechtigten Änderung,
- bestehender Kunden-, Beschäftigten- oder Kontobeziehung,
- Sicherheit des Eingangskanals,
- Plausibilität der vorhandenen Zuordnungsmerkmale,
- Umfang und Folgen der beantragten Maßnahme,
- bekannten Betrugs-, Konflikt- oder Vertretungsrisiken.
Mögliche gestufte Verfahren:
- Antwort oder Bestätigung über einen bereits verifizierten Kontakt- oder Kontokanal.
- Abgleich weniger vorhandener, nicht leicht öffentlich zugänglicher Merkmale.
- zusätzliche Information bei begründeten Zweifeln.
- stärkerer Nachweis nur bei entsprechend hohem Risiko und dokumentierter Erforderlichkeit.
Nicht benötigte Angaben einer ausnahmsweise verwendeten Ausweiskopie werden geschwärzt; die Kopie wird ausschließlich für die Identitätsprüfung genutzt und nach Wegfall des Zwecks gelöscht.
¶ 8.1 Gestufte Prüfmatrix
| Risikolage | Beispielhafte Situation | Geeigneter erster Schritt | Nicht automatisch erforderlich |
|---|---|---|---|
| niedrig | Berichtigungswunsch aus angemeldetem Konto ohne sensible Änderung | bestehende Sitzung und Kontozuordnung verwenden | zusätzlicher Ausweis |
| mittel | Anfrage von bekannter E-Mail-Adresse mit umfangreicher Datenkopie | bestätigter Rückkanal oder wenige vorhandene Merkmale | vollständige Ausweiskopie |
| erhöht | neue Kontaktadresse, sensible Daten oder weitreichende Löschung | zusätzlicher unabhängiger Kanal und fallbezogene Merkmale | Sammlung neuer Identitätsdaten ohne Begründung |
| hoch | widersprüchliche Angaben, Vertretung, Betrugsanzeichen oder besonders sensible Daten | dokumentierte Einzelfallentscheidung und stärkerer Nachweis | Versand vor Ausräumung der begründeten Zweifel |
Die Methode muss zur beantragten Maßnahme passen. Eine Auskunft mit umfangreichen Gesundheits-, Personal- oder Finanzdaten kann eine stärkere Authentisierung verlangen als die Entgegennahme eines Werbewiderspruchs. Das Recht wird dennoch nicht durch unnötige oder für die Organisation bequeme Nachweise erschwert.
¶ 8.2 Entscheidung bei verbleibenden Zweifeln
| Ergebnis | Vorgehen |
|---|---|
| Zweifel ausgeräumt | Bearbeitung und sicherer Antwortweg fortsetzen |
| Identität teilweise geklärt | nur eindeutig zuordenbare und sicher erfüllbare Teile bearbeiten; weiteren Bedarf erklären |
| Nachweis unvollständig | konkrete fehlende Information und geeignete Alternative mitteilen |
| begründete Zweifel bleiben bestehen | keine Daten offenlegen oder irreversible Maßnahme für eine möglicherweise falsche Person ausführen |
| Verdacht auf Missbrauch | Vorgang sichern, Datenschutz- und gegebenenfalls Sicherheitsprozess einbeziehen |
Die Entscheidung dokumentiert Zweifel, verlangte Zusatzinformation, mildere Alternativen und Ergebnis. Nicht benötigte Identitätsunterlagen werden nicht vorsorglich in die Kunden-, Personal- oder Fachdatenbestände übernommen.
¶ 9. Vertretung und Vollmacht
Bei Anfragen durch Dritte werden geprüft:
- Identität der betroffenen Person und der vertretenden Person,
- Umfang, Aktualität und Echtheit der Vertretungsbefugnis,
- gewünschter und sicherer Antwortempfänger,
- mögliche Interessenkonflikte,
- besondere Regeln bei Kindern, Betreuung, Nachlass oder Beschäftigung.
Eine Vollmacht wird nur in dem Umfang gespeichert, der für Bearbeitung und Nachweis erforderlich ist.
¶ 10. Präzisierung ohne Erschwerung
Bei großer Datenmenge kann die anfragende Person um Konkretisierung gebeten werden. Die Organisation unterstützt verständlich bei der Eingrenzung, ohne das Recht von einer unnötigen Präzisierung abhängig zu machen. Die Suche beginnt parallel dort, wo Umfang und Zuordnung bereits klar sind.
¶ 11. Interne Bearbeitung
- Recht und Umfang fachlich einordnen.
- Identität beziehungsweise Vertretung angemessen bestätigen.
- betroffene VVT-Einträge, Systeme, Dateien, Archive und Dienstleister bestimmen.
- Suchaufträge mit Termin und Nachweis an Fachrollen verteilen.
- Ergebnisse auf Vollständigkeit, Richtigkeit und Personenbezug prüfen.
- Rechte anderer, Geheimnisse und gesetzliche Beschränkungen bewerten.
- erforderliche Maßnahmen technisch und organisatorisch umsetzen.
- Antwort und Anlagen im Vier-Augen-Prinzip prüfen, soweit Risiko oder Umfang dies erfordern.
- sicheren Versand durchführen und Abschluss dokumentieren.
¶ 11.1 Standardisierter Fachbereichsauftrag
Jeder interne oder externe Bearbeitungsauftrag enthält nur die für die Suchstelle erforderlichen Informationen:
| Feld | Inhalt |
|---|---|
| Fall-ID | pseudonymisierte Vorgangsreferenz |
| vorläufiges Recht | Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch oder Artikel 22 |
| Such- oder Umsetzungsbereich | konkrete Systeme, Prozesse, Zeiträume und Datenbeziehungen |
| zulässige Suchmerkmale | nur benötigte Identifikatoren und Varianten |
| Rücklauffrist | verbindliches internes Kalenderdatum |
| erwartetes Ergebnis | Treffer, Negativmeldung, Umsetzung, Hindernis und Nachweisreferenz |
| Schutz und Übertragung | zulässiger Speicher- und Rückgabekanal |
| Ansprechpartner | fachliche und datenschutzbezogene Rückfragewege |
Pauschale Rundmails mit vollständiger Anfrage, Ausweiskopie oder allen personenbezogenen Angaben werden vermieden. Rückmeldungen werden auf Plausibilität geprüft; ein bloßes „erledigt“ oder „nichts gefunden“ genügt nicht.
¶ 12. Auftragsverarbeiter und Empfänger
Verträge und Weisungswege stellen sicher, dass Auftragsverarbeiter:
- Anfragen unverzüglich weiterleiten,
- bei Suche, Berichtigung, Löschung, Einschränkung und Export unterstützen,
- keine eigenständige Antwort im Namen des Verantwortlichen ohne Befugnis geben,
- Fristen und sichere Übergaben einhalten,
- Umsetzung und verbleibende Einschränkungen nachweisen.
Bei Artikel 16, 17 oder 18 werden erforderliche Mitteilungen an Empfänger nach Artikel 19 geprüft und dokumentiert.
¶ 13. Rechte und Freiheiten anderer
Vor Offenlegung oder Maßnahme werden geschützt:
- personenbezogene Daten anderer Personen,
- Geschäfts- und Betriebsgeheimnisse,
- geistiges Eigentum,
- vertrauliche Kommunikation und Hinweisgeber,
- Sicherheitsinformationen und Zugriffsschutz,
- gesetzlich geschützte Berufs- oder Amtsgeheimnisse.
Konflikte führen nicht automatisch zur vollständigen Ablehnung. Es werden Schwärzung, Auszug, Zusammenfassung, Trennung oder andere verhältnismäßige Lösungen geprüft.
¶ 14. Beschränkungen und Ablehnungen
Eine Beschränkung oder Ablehnung wird nur auf konkrete DSGVO-, BDSG- oder Spezialrechtsgrundlagen gestützt. Dokumentiert werden:
- anwendbare Vorschrift,
- betroffene Daten oder Verarbeitung,
- Tatsachen und Abwägung,
- mögliche Teilgewährung,
- Freigabe der Entscheidung,
- verständliche Begründung gegenüber der anfragenden Person,
- Hinweis auf Beschwerde bei einer Aufsichtsbehörde und gerichtlichen Rechtsbehelf.
„Geschäftsgeheimnis“, „zu aufwendig“ oder „Sicherheitsgründe“ sind ohne konkrete Prüfung keine ausreichende Begründung.
¶ 15. Sichere Antwort
Antwortweg und Schutz richten sich nach Inhalt und Risiko. Geprüft werden:
- elektronischer Kanal bei elektronischer Anfrage, sofern nichts anderes gewünscht und sicher möglich,
- Verschlüsselung oder geschütztes Portal bei sensiblen oder umfangreichen Daten,
- getrennte Übermittlung von Zugangsinformationen,
- korrekte Empfängeradresse und Dateianlagen,
- gängiges, zugängliches Format,
- verständliche Sprache und strukturierte Erläuterung,
- Versand- und Zugriffsprotokoll ohne unnötige Inhaltskopien.
¶ 15.1 Versandfreigabe
Unmittelbar vor der Übermittlung wird ein Vier-Augen-Check durchgeführt, wenn Umfang oder Schutzbedarf dies erfordern:
- Stimmen Person, Vorgangs-ID und freigegebener Empfänger überein?
- Ist der Antwortkanal für Schutzbedarf und Dateigröße geeignet?
- Sind alle vorgesehenen Anlagen vorhanden und lesbar?
- Enthalten Dateien versteckte Tabellen, Kommentare, frühere Versionen oder fremde Metadaten?
- Sind Schwärzungen technisch dauerhaft und nicht nur optisch überlagert?
- Werden Passwort oder Zugangsinformationen getrennt übermittelt?
- Sind Abrufdauer, Fehlversandreaktion und kontrollierte Löschung temporärer Exporte geregelt?
Bei einem Fehlversand oder unberechtigten Zugriff wird nicht nur der Betroffenenrechte-Vorgang korrigiert. Parallel wird geprüft, ob ein Datenschutzvorfall vorliegt und weitere Maßnahmen oder Meldungen erforderlich sind.
¶ 16. Gebühren und exzessive Anträge
Informationen und Maßnahmen sind grundsätzlich unentgeltlich. Nur bei offenkundig unbegründeten oder exzessiven, insbesondere häufig wiederholten Anträgen werden die Voraussetzungen des Artikel 12 Absatz 5 konkret geprüft. Der Verantwortliche trägt die Nachweislast. Eine aufwändige Suche allein macht einen Antrag nicht automatisch exzessiv.
¶ 17. Abschluss und Nachweis
Der Abschluss dokumentiert:
- erfasste Rechte und endgültige Entscheidung,
- Identitäts- und Vertretungsprüfung ohne unnötige Originalkopien,
- Suchbereiche, Rückmeldungen und offene Grenzen,
- umgesetzte Maßnahmen und Empfängerinformation,
- Antwortfassung, Anlagen, Versandweg und Datum,
- Fristeinhaltung oder Ursache einer Abweichung,
- Beschwerden, Verbesserungsmaßnahmen und Reviewbedarf,
- Aufbewahrungs- und Löschfrist des Vorgangs.
Der Nachweis wird geschützt außerhalb der öffentlich zugänglichen Wiki-Seite geführt.
¶ 17.1 Mindestinhalt der geschützten Fallakte
| Nachweisgruppe | Beispiele |
|---|---|
| Eingang | Originalanfrage, Kanal, Zeitstempel und Eingangsbestätigung |
| Zuordnung | vorläufige und endgültige Rechte, Umfang und verantwortliche Gesellschaft |
| Identität / Vertretung | Prüfmethode, Ergebnis und Löschung nicht benötigter Nachweise |
| Fristen | Berechnung, interne Termine, Eskalationen und Verlängerungsentscheidung |
| Bearbeitung | Such- und Umsetzungsaufträge, Ergebnisse, Negativmeldungen und offene Grenzen |
| Entscheidung | Rechtsprüfung, Teilgewährung, Beschränkung, Ablehnung und Freigabe |
| Antwort | freigegebene Fassung, Anlagenverzeichnis, Kanal und Versandnachweis |
| Folgemaßnahmen | Empfängerinformation, Systemkorrektur, Beschwerde, Abweichung und Verbesserung |
Die Fallakte enthält nicht automatisch jede Arbeitskopie. Temporäre Exporte und Identitätsunterlagen erhalten eigene Löschtermine; führende Nachweise werden nach dem festgelegten Aufbewahrungskonzept geschützt aufbewahrt.
¶ 18. Statusmodell
| Status | Bedeutung |
|---|---|
| Eingegangen | Anfrage erfasst, noch nicht vollständig eingeordnet |
| Identität offen | begründete Zusatzprüfung erforderlich |
| In Bearbeitung | Such- und Umsetzungsaufträge laufen |
| Prüfung | Ergebnis, Beschränkungen und Antwort werden kontrolliert |
| Verlängert | Verlängerung rechtzeitig begründet mitgeteilt |
| Beantwortet | Antwort sicher versandt, technische Maßnahmen noch zu prüfen |
| Abgeschlossen | Maßnahmen und Nachweise vollständig dokumentiert |
| Abgelehnt / teilweise erfüllt | konkrete Rechtsgrundlage, Begründung und Rechtsbehelf mitgeteilt |
„Beantwortet“ bedeutet nicht automatisch, dass alle internen Maßnahmen abgeschlossen oder wirksam sind.
¶ 19. Kennzahlen und Kontrollen
- Anzahl und Art der Anfragen,
- fristgerecht abgeschlossene Vorgänge,
- Anzahl und Begründung von Verlängerungen,
- Identitätsprobleme und unnötig erhobene Nachweise,
- Nacharbeiten wegen unvollständiger Suche oder fehlerhafter Antwort,
- Beschwerden, Datenschutzverletzungen und Fehlversendungen,
- Reaktionszeiten von Fachbereichen und Dienstleistern,
- wiederkehrende Datenqualitäts-, Lösch- oder Transparenzprobleme.
Eine hohe Abschlussquote ist kein Wirksamkeitsnachweis, wenn Antworten unvollständig oder unsicher sind.
¶ 19.1 End-to-End-Praxistest
Vor der Freigabe und danach regelmäßig wird ein erfundener Testfall über einen real genutzten Eingangskanal eingespielt. Der Fall enthält mindestens zwei Rechte, mehrere Datenquellen, eine unklare Identität und eine Frist- oder Sicherheitsbesonderheit.
| Testphase | Prüferwartung |
|---|---|
| Erkennung | Mitarbeitende erkennen das Anliegen ohne Artikelnummer und leiten es korrekt weiter |
| Register | Eingang, Rechte, Frist, Verantwortlichkeit und Identitätsstatus sind richtig erfasst |
| Identität | mildeste geeignete Methode wird gewählt; unnötige Daten werden nicht erhoben |
| Suche und Umsetzung | Fachbereiche und Dienstleister liefern nachvollziehbare Ergebnisse oder Negativmeldungen |
| Entscheidung | Beschränkungen, Rechte Dritter und mehrere Rechte werden konsistent geprüft |
| Antwort | Sprache, Anlagen, Format, Empfänger und Schutzmaßnahmen sind angemessen |
| Abschluss | technische Maßnahmen, Empfängerinformationen, Nachweise und Löschtermine sind vollständig |
Der Testbericht trennt „rechtzeitig beantwortet“, „inhaltlich vollständig“, „sicher bereitgestellt“ und „technisch umgesetzt“. Feststellungen erhalten Maßnahme, Verantwortlichkeit, Termin und Wiederholungstest. Ein fristgerechter Versand allein beweist keine wirksame Erfüllung.
¶ 20. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| DSGVO-Startseite | Navigation und Gesamtstatus |
| Informationspflichten | transparente Kommunikation und Rechtehinweise |
| Verzeichnis von Verarbeitungstätigkeiten | Systeme, Daten, Empfänger und Fristen |
| Kinder und Schutzbedürftige | zielgruppengerechte Kommunikation und Vertretungsfragen |
| Dokumenten- und Nachweislenkung | geschützte Fassung, Aufbewahrung und Nachweisführung |
| Betroffenenanfrage-Vorlage | öffentliches Feldmodell für eine geschützte Fallakte |
Vorhandene Detailseite:
- Auskunft – Bestätigung, Informationskatalog, Datenkopie, Rechte Dritter und sichere Bereitstellung
- Berichtigung – Richtigkeitsprüfung, Vervollständigung, systemweite Korrektur und Empfängerinformation
- Löschung und Einschränkung – Löschgründe, Ausnahmen, wirksame Einschränkung, Systemumsetzung und Empfängerinformation
- Widerspruch – besondere Situation, Direktwerbestopp, Interessenprüfung und systemweite Sperre
- Datenübertragbarkeit – Voraussetzungen, Datenumfang, maschinenlesbares Format und sichere Übermittlung
- Automatisierte Entscheidungen und Profiling – Artikel-22-Prüfung, Transparenz, menschliches Eingreifen und Modellkontrollen
- Fristen- und Nachweisregister – führende Fristensteuerung, Status, Eskalation und geschützter Vorgangsnachweis
Alle in dieser Übersicht vorgesehenen Detailseiten für Betroffenenrechte sind als Musterentwürfe angelegt. Ihre organisationsbezogene Konfiguration, Prüfung und Freigabe bleibt offen.
¶ 21. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 11, 12 und 15 bis 23 – EUR-Lex
- EDSA-Leitlinien 01/2022 zum Auskunftsrecht
- Betroffenenrechte – Europäischer Datenschutzausschuss
- Auskunftsrecht – Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
¶ 22. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Betroffenenrechte-Prozessen, Fristensteuerung, sicheren Antworten und geschützter Nachweisführung
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 23. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 1.0 | 10.08.2026 | Erkennungsbeispiele, Eingangstriage, Fristencockpit, gestufte Identitätsprüfung, Fachbereichsauftrag, Versandfreigabe, Fallaktenstruktur und End-to-End-Praxistest ergänzt; amtliche Links in neuem Tab | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Übergreifendes Musterverfahren für Betroffenenanfragen und Identitätsprüfung erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |