Sie haben eine Betroffenenanfrage erhalten, bearbeitet und beantwortet. Sind Sie jetzt fertig? Nicht ganz – Art. 5 Abs. 2 DSGVO verpflichtet Sie, die Einhaltung der Datenschutzgrundsätze nachweisen zu können. Diese Rechenschaftspflicht ist der Kern der Dokumentationspflicht bei Betroffenenanfragen.
Gemäß Art. 5 Abs. 2 DSGVO ist der Verantwortliche für die Einhaltung der Grundsätze der Datenverarbeitung verantwortlich und müssen deren Einhaltung nachweisen können („Rechenschaftspflicht“). Zusätzlich gibt Art. 12 DSGVO vor, dass der Verantwortliche die Kommunikation mit Betroffenen dokumentieren muss, damit er bei Bedarf nachweisen kann, dass und wie er auf Anfragen reagiert hat.
Mehr zum allgemeinen Bearbeitungsprozess: Betroffenenanfrage DSGVO – Fristen, Prozess und Pflichten.
Was muss dokumentiert werden?
Die Dokumentation einer Betroffenenanfrage sollte mindestens folgende Informationen enthalten:
- Eingang der Anfrage: Datum und Uhrzeit, Kanal (z. B. E-Mail, Brief, Telefon), Inhalt der Anfrage
- Identitätsprüfung: Ob und wie die Identität geprüft wurde (bei begründeten Zweifeln)
- Klassifizierung: Welches Betroffenenrecht geltend gemacht wurde (Art. 15, 16, 17 etc.)
- Bearbeitungsschritte: Welche Systeme wurden durchsucht, welche Daten wurden gefunden
- Entscheidung: Ob die Anfrage vollständig, teilweise oder gar nicht erfüllt wurde und warum
- Antwort: Datum und Inhalt der Antwort an den Betroffenen
- Fristenmanagement: Eingangsdatum, Fristende (1 Monat), ggf. Verlängerung
Wie lange müssen die Unterlagen aufbewahrt werden?
Die DSGVO gibt keine explizite Aufbewahrungsfrist für Betroffenenanfragen-Dokumentation vor. Als Faustformel gilt: bis zur Verjährung etwaiger Schadensersatzansprüche nach Art. 82 DSGVO. Die regelmäßige zivilrechtliche Verjährung beträgt drei Jahre (§ 195 BGB). Viele Datenschutzexperten empfehlen eine Aufbewahrung von mindestens vier Jahren nach Abschluss des Vorgangs.
Das LG Frankfurt a. M. (Az. 2-03 O 404/19) hat in einem Präzedenzfall klargestellt, dass fehlende Dokumentation dazu führen kann, dass ein Unternehmen im Streitfall nicht nachweisen kann, die Anfrage korrekt bearbeitet zu haben.
Tools und Best Practices
Einfaches Tracking-System einrichten
Auch ohne spezialisierte Software können Sie Betroffenenanfragen systematisch dokumentieren:
- Zentrales E-Mail-Postfach für alle datenschutzrelevanten Anfragen (z. B. datenschutz@firma.de)
- Tabelle oder Ticket-System mit den Pflichtfeldern (Datum, Recht, Status, Frist, Ergebnis)
- Archivierung aller Schriftverkehr-Dokumente in einem gesicherten Ordner
Verbindung zum Verarbeitungsverzeichnis (VVT)
Das Verarbeitungsverzeichnis nach Art. 30 DSGVO und die Betroffenenanfragen-Dokumentation ergänzen sich: Das VVT enthält welche Daten Sie verarbeiten – die Betroffenenanfragen-Dokumentation zeigt wie Sie auf Anfragen zu diesen Daten reagiert haben. Gemeinsam bilden sie Ihren Nachweis zur Rechenschaftspflicht.
Verbunden: Beim Recht auf Vergessen ist besonders die Löschungs-Dokumentation wichtig: Recht auf Vergessen DSGVO.
Muster-Dokumentationsvorlage
Diese Felder sollte Ihr Dokumentationssystem mindestens erfassen:
| Feld | Inhalt |
|---|---|
| Vorgang-ID | Eindeutige Nummer (z. B. DSGVO-2026-001) |
| Eingangsdatum | TT.MM.JJJJ |
| Kanal | E-Mail / Post / Telefon / Persönlich |
| Name Antragsteller | [Name] |
| Art des Rechts | Art. 15 Auskunft / Art. 16 Berichtigung / Art. 17 Löschung / etc. |
| Identitätsprüfung | Nicht nötig / Methode: […] |
| Fristende | TT.MM.JJJJ (Eingang + 1 Monat) |
| Verlängerung | Ja/Nein, falls ja: Grund + neues Fristende |
| Bearbeiter | [Name] |
| Entscheidung | Erfüllt / Teilweise erfüllt / Abgelehnt + Begründung |
| Antwortdatum | TT.MM.JJJJ |
| Ablagedatum | TT.MM.JJJJ (für Aufbewahrung) |
Integration ins Verarbeitungsverzeichnis
Das Verarbeitungsverzeichnis (Art. 30 DSGVO) dokumentiert welche Daten Sie verarbeiten und zu welchen Zwecken. Die Betroffenenanfragen-Dokumentation ergänzt dies um den Nachweis wie Sie auf Anfragen reagiert haben. Gemeinsam bilden beide Dokumente Ihren vollständigen Nachweis zur Rechenschaftspflicht.
Tipp: Wenn Sie eine Löschanfrage erhalten und ausführen, aktualisieren Sie auch das Verarbeitungsverzeichnis entsprechend. Mehr zum Recht auf Löschung: Recht auf Vergessen DSGVO.
Aufbewahrungsfristen für die Dokumentation
Die DSGVO gibt keine explizite Aufbewahrungsfrist vor. Als Orientierung gilt die zivilrechtliche Verjährungsfrist von drei Jahren (§ 195 BGB), ab der Entscheidung über die Anfrage. Viele Datenschutzexperten empfehlen mindestens vier Jahre. Die Dokumentation müssen Sie auf Anfrage der Aufsichtsbehörde vorlegen können.
Aufbewahrungsfristen für die Dokumentation
Die Dokumentation von Betroffenenanfragen sollte mindestens drei Jahre aufbewahrt werden, um bei Beschwerden oder Prüfungen durch die Aufsichtsbehörde nachweisen zu können, dass Anfragen ordnungsgemäß bearbeitet wurden. Einige Datenschutzbehörden empfehlen eine Aufbewahrung von bis zu fünf Jahren. Die Dokumentation selbst muss sicher aufbewahrt und nur für berechtigte Personen zugänglich sein. Regelmäßige Überprüfungen der Dokumentationsprozesse helfen, Lücken zu identifizieren und die Compliance-Anforderungen dauerhaft zu erfüllen. Nutzen Sie digitale Tools zur automatisierten Fristenverfolgung, um keine Deadlines zu verpassen.
Implementieren Sie ein Ticket-System für Betroffenenanfragen, das automatisch Eingang, Bearbeitung und Erledigung protokolliert. Moderne Datenschutz-Management-Software kann diesen Prozess erheblich vereinfachen und die Compliance-Nachweise automatisiert erstellen.
Ein weiterer Best-Practice-Ansatz ist die regelmäßige interne Revision der Dokumentationsprozesse, idealerweise jährlich. Dabei wird geprüft, ob alle Anfragen vollständig erfasst, Fristen eingehalten und Betroffene korrekt informiert wurden. Diese Revision zeigt der Datenschutzbehörde im Prüfungsfall, dass der Verantwortliche den Datenschutz ernst nimmt.
Häufig gestellte Fragen
Was ist eine Betroffenenanfrage?
Eine Betroffenenanfrage ist ein Antrag einer Person, Auskunft über ihre gespeicherten personenbezogenen Daten zu erhalten, diese löschen zu lassen oder sie übertragen zu bekommen. Dies basiert auf den Rechten, die in der DSGVO verankert sind, wie zum Beispiel Art. 15 DSGVO (Auskunftsrecht).
Warum ist die Dokumentation von Betroffenenanfragen so wichtig?
Ja – die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist umfassend. Jede Anfrage – auch wenn sie einfach und schnell beantwortet werden konnte – sollte mindestens Datum, Art der Anfrage und Bearbeitung festhalten.
Muss ich jede einzelne Anfrage dokumentieren?
Die Dokumentation von Betroffenenanfragen ist entscheidend, um die Rechenschaftspflicht gemäß DSGVO zu erfüllen und nachweisen zu können, dass Sie den Anfragen fristgerecht und korrekt nachgekommen sind. Dies dient auch der internen Nachvollziehbarkeit und dem Schutz vor möglichen Bußgeldern.
Welche Informationen sollte eine Dokumentation einer Betroffenenanfrage mindestens enthalten?
Ihre Dokumentation sollte mindestens das Datum des Eingangs der Anfrage, die Art der Anfrage (z. B. Auskunft nach Art. 15 DSGVO, Löschung nach Art. 17 DSGVO), die Identität des Anfragenden, die durchgeführten Schritte und das Datum der Beantwortung umfassen. Auch die Kommunikation mit dem Betroffenen sollte festgehalten werden.
Wie lange muss ich Betroffenenanfragen dokumentieren?
Es gibt keine explizite gesetzliche Aufbewahrungsfrist für die Dokumentation von Betroffenenanfragen. Es wird jedoch empfohlen, diese Dokumente mindestens für die Dauer der Verjährungsfristen für mögliche Bußgelder oder Schadensersatzansprüche aufzubewahren, in der Regel drei Jahre.
Was passiert, wenn ich eine Betroffenenanfrage nicht oder nicht fristgerecht beantworte?
Wenn Sie eine Betroffenenanfrage nicht oder nicht fristgerecht beantworten, verstoßen Sie gegen die DSGVO, was zu erheblichen Bußgeldern führen kann. Betroffene haben zudem das Recht, sich bei der Aufsichtsbehörde zu beschweren und Schadensersatzansprüche geltend zu machen.
Gibt es Vorgaben zum Format der Dokumentation?
Nein – die DSGVO schreibt kein bestimmtes Format vor. Entscheidend ist, dass die Dokumentation vollständig, nachvollziehbar und bei Bedarf schnell zugänglich ist.
Was passiert, wenn keine Dokumentation vorliegt?
Im Streitfall kann das Unternehmen nicht nachweisen, dass es korrekt gehandelt hat. Bußgeld-Risiko nach Art. 83 DSGVO und Schadensersatzrisiko nach Art. 82 DSGVO erhöhen sich erheblich.
Automatisieren Sie Dokumentation und Bearbeitung: PRIVACY-RESPONDER entdecken.
