Betroffenenanfrage beantworten: Ein Monat, und die Uhr läuft ab Eingang
Wer Auskunft, Löschung oder Berichtigung verlangt, hat Anspruch auf eine Antwort innerhalb eines Monats. Verlängern geht, aber nur mit Unterrichtung innerhalb derselben Frist. Und auch wer nicht tätig wird, muss antworten.
Betroffenenrechte kommen selten angekündigt. Eine Mail mit der Bitte um Auskunft nach Art. 15 DSGVO landet im allgemeinen Postfach, wird weitergereicht und liegt drei Wochen, bevor jemand merkt, dass eine Frist läuft. Art. 12 Absatz 3 setzt sie: Informationen über die ergriffenen Maßnahmen sind unverzüglich zur Verfügung zu stellen, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Zwei Dinge daran werden im Betrieb regelmäßig übersehen. Die Frist beginnt mit dem Eingang, nicht damit, dass die zuständige Person davon erfährt. Und die mögliche Verlängerung um zwei Monate ist kein stilles Recht: Sie muss der betroffenen Person innerhalb des ersten Monats mitgeteilt werden, samt Gründen.
Ein Monat ab Eingang, nicht ab Kenntnis
Die Frist beginnt mit dem Eingang im Betrieb. Wer sie ab dem Weiterleiten an die zuständige Person rechnet, hat oft schon zwei Wochen verloren.
Art. 12 Absatz 3 verlangt, dass der Verantwortliche der betroffenen Person Informationen über die auf ihren Antrag hin ergriffenen Maßnahmen unverzüglich zur Verfügung stellt, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Maßgeblich ist der Eingang beim Verantwortlichen, also im Betrieb, und nicht der Tag, an dem die Anfrage die richtige Person erreicht.
Das ist der Grund, warum diese Frist häufiger gerissen wird als jede andere im Datenschutz: Sie läuft in einer Zeit, in der niemand von ihr weiß. Eine Anfrage im allgemeinen Postfach, im Kontaktformular oder mündlich an der Theke startet die Uhr genauso wie eine an die Datenschutzadresse.
Wie bei der Meldung einer Datenpanne steht auch hier ein unverzüglich vor der Zahl. Der Monat ist die Obergrenze, nicht der Zielwert.
Anfragen mit Eingangsdatum statt im Postfach Im Musterbetrieb ansehen oder 14 Tage kostenlos testen. Der Text geht darunter weiter.
Verlängern ist möglich, aber nicht stillschweigend
Die Frist kann nach Art. 12 Absatz 3 um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Damit stehen im Höchstfall drei Monate zur Verfügung.
Die Bedingung steht im nächsten Satz und wird gern überlesen: Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Wer schweigt und im zweiten Monat antwortet, hat die Frist nicht verlängert, sondern verletzt.
Stellt die betroffene Person den Antrag elektronisch, ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
Auch ein Nein ist eine Antwort mit Frist
Eine Ablehnung ohne Begründung und ohne Hinweis auf Beschwerde und Rechtsbehelf erfüllt Art. 12 Absatz 4 nicht.
Nicht jeder Antrag führt zu einer Maßnahme. Ein Löschverlangen kann an einer Aufbewahrungspflicht scheitern, ein Auskunftsbegehren an fehlender Identifizierbarkeit. Die Verordnung sieht dafür keinen stillen Weg vor.
Art. 12 Absatz 4 verlangt: Wird der Verantwortliche auf den Antrag hin nicht tätig, unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang, über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
Der Hinweis auf die Beschwerdemöglichkeit ist Teil der Pflicht und kein Zugeständnis. Er fehlt in fast jeder Ablehnung, die man zu sehen bekommt.
Was es kosten darf, und wo die Grenze liegt
Art. 12 Absatz 5 stellt klar: Informationen nach den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen nach den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Eine Bearbeitungsgebühr ist der Regelfall ausdrücklich nicht.
Der Absatz nennt eine Ausnahme für offenkundig unbegründete oder, insbesondere im Fall häufiger Wiederholung, exzessive Anträge. Dann kommen ein angemessenes Entgelt oder die Weigerung in Betracht. Wann ein Antrag exzessiv ist, sagt die Verordnung nicht, und die Beweislast dafür liegt beim Verantwortlichen. Diese Seite trifft dazu bewusst keine Aussage.
Eine zweite Grenze steht in Art. 12 Absatz 2: In den Fällen des Art. 11 Absatz 2 darf sich der Verantwortliche nur dann weigern, tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. Zweifel an der Identität sind also kein Freibrief, sondern eine Darlegungslast.
Was vorher stehen sollte
Damit ein Monat reicht, braucht es dieselben drei Dinge wie bei der Datenpanne: einen bekannten Eingangsweg, eine benannte zuständige Person und eine Stelle, an der der Eingang mit Datum festgehalten wird.
Der Eingang mit Datum ist dabei der wichtigste Teil. Ohne ihn lässt sich später weder die Frist berechnen noch belegen, dass sie eingehalten wurde.
Verwandte Themen
Anfragen mit Eingangsdatum statt im Postfach
In Sicherio wird jede Betroffenenanfrage zum Vorgang mit Eingangsdatum, Zuständigkeit und Frist. Die Verlängerung nach Art. 12 Absatz 3 und die Antwort nach Absatz 4 sind als Schritte hinterlegt, damit die Unterrichtung nicht vergessen wird. 14 Tage kostenlos testen.
Häufige Fragen
Zum Mitnehmen
Bestandsaufnahme Datenschutz
Die Fragen, die beim Lieferantencheck und bei einer Anfrage der Aufsicht zuerst kommen. Zum Durchgehen, bevor jemand anderes sie stellt.
PDF, 3 Seiten, Fragen in 5 Bereichen
- Was im Verzeichnis der Verarbeitungstätigkeiten steht und was fehlt
- Welche Auftragsverarbeiter erfasst sind
- Wie eine Betroffenenanfrage im Haus abläuft
- Woran auffällt, dass das Verzeichnis nicht mehr stimmt
Öffnet das PDF direkt. Oder unten eintragen, dann kommt die ausfüllbare Fassung per Mail.
Zum Inhalt dieser Seite
Diese Seite gibt den Wortlaut von Art. 12 DSGVO und den Rahmen der Betroffenenrechte wieder. Ob ein konkreter Antrag begründet ist, wie weit die Auskunft reicht und wie die Identität der antragstellenden Person zu prüfen ist, sind Fragen des Einzelfalls und gehören zu Ihrer oder Ihrem Datenschutzbeauftragten, im Zweifel zu einer Rechtsberatung.
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 3. September 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Datenschutzbeauftragten oder eine qualifizierte Fachberatung. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze