Betroffenenanfragen ohne Sammelpostfach

So läuft es heute in den meisten Unternehmen

Im Impressum steht eine Adresse wie „datenschutz@unternehmen.de". Dahinter liegt ein geteiltes Postfach, auf das drei oder vier Personen Zugriff haben. Was dort eingeht, wird gelesen und in den Outlook-Ordner „Betroffenenanfragen" verschoben. Wenn es gut läuft, entsteht zusätzlich ein Eintrag in einer Liste mit Namen, Eingangsdatum und Status.

Für die ersten Fälle funktioniert das. Jemand schreibt „Bitte senden Sie mir alle Daten, die Sie über mich gespeichert haben", eine Person aus dem Team antwortet, die Sache ist erledigt. Schwierig wird es, sobald mehrere Anfragen parallel laufen und jede davon ihren eigenen Zeitplan hat.

Die Frist startet früher, als alle denken

Die Monatsfrist nach Art. 12 Abs. 3 DSGVO läuft ab Eingang der Anfrage – nicht ab dem Tag, an dem jemand sie im Postfach entdeckt. Eine Mail, die freitags um 17 Uhr eintrifft, während die zuständige Person zwei Wochen im Urlaub ist, verbraucht die halbe Frist, bevor die Bearbeitung überhaupt beginnt. Ein geteiltes Postfach kennt dafür keine Vertretungsregel: Eine Nachricht ist gelesen oder ungelesen, aber niemandem zugewiesen.

Hinzu kommt, dass längst nicht jede Anfrage eine Auskunft ist. Löschung, Berichtigung, Einschränkung, Datenübertragbarkeit, Widerspruch und der Widerruf einer Einwilligung sind eigene Rechte mit eigenen Folgen. Wer alles als Auskunftsersuchen behandelt, beantwortet regelmäßig etwas anderes als das, was verlangt wurde.

Die Zusammenstellung wird zur Mail-Kette

Steht fest, was verlangt wird, beginnt die Sammlung. Personal, CRM, Buchhaltung, Marketing, Support: An jede Stelle geht eine E-Mail mit der Bitte, „einmal nachzusehen". Antworten kommen als Screenshot, als Fließtext oder gar nicht. Wer bereits geliefert hat und wer noch aussteht, weiß nur die Person, die die Kette angestoßen hat – aus dem Gedächtnis.

Zwei Punkte bleiben dabei fast immer ungeregelt. Erstens die Identitätsprüfung: Dass vor der Auskunft ein Nachweis angefordert wurde, steht bestenfalls in einer Mail im Postfach, nicht im Vorgang. Zweitens die Verlängerung: Bei komplexen Anfragen darf die Frist um zwei weitere Monate verlängert werden, aber nur, wenn die betroffene Person innerhalb des ersten Monats informiert wird und die Verzögerung begründet ist.

Der Moment, in dem es auffällt

Auffällig wird das selten im Alltag, sondern in drei Situationen: wenn eine betroffene Person sich bei der Aufsichtsbehörde beschwert, wenn ein Kunde im Rahmen einer Lieferantenprüfung nach dem Prozess fragt, oder wenn die zuständige Person das Unternehmen verlässt. Die Frage lautet dann nicht „Haben Sie geantwortet?", sondern „Wann ist die Anfrage eingegangen, wann wurde sie beantwortet, wie wurde die Identität geprüft und was genau wurde herausgegeben?" Auf keine dieser Fragen hat ein Postfach eine belastbare Antwort.

Der Soll-Prozess in sechs Schritten

Ein belastbarer Ablauf unterscheidet sich vom Postfach nicht durch mehr Aufwand, sondern durch feste Punkte, an denen etwas verbindlich festgehalten wird. Diese sechs Schritte beschreiben ihn – unabhängig davon, mit welchem Werkzeug Sie arbeiten.

1. Eingang als Vorgang erfassen. Jede Anfrage wird als eigener Fall angelegt: mit Eingangsdatum, anfragender Person und Kontaktweg. Damit der Prozess nicht am Postfach hängt, kann ein Webformular auf der Website oder im Intranet die Anfrage direkt in den Vorgang leiten. Frei definierbare Empfänger werden über den Eingang informiert, sodass der Start nicht von einer einzelnen Person abhängt.

2. Antragsart bestimmen. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung: Die Einordnung entscheidet darüber, was zu tun ist und was am Ende herausgegeben wird. Sie gehört an den Anfang des Vorgangs, nicht in die letzte Woche der Frist.

3. Identität dokumentiert prüfen. Der Nachweis wird angefordert, der Zeitpunkt der Anforderung festgehalten, das Ergebnis ebenfalls. Bleibt der Nachweis aus, ist das ein dokumentierter Ablehnungsgrund – ebenso wie offenkundig unbegründete oder exzessive Anträge. Beides gehört in den Vorgang, nicht in einen Mail-Verlauf.

4. Teilaufgaben an die Fachbereiche geben. Statt einer Mail-Kette entsteht je Fachbereich eine Aufgabe mit zuständiger Person und eigenem Termin. Die Verknüpfung mit den betroffenen Verarbeitungstätigkeiten zeigt, welche Datenverarbeitungssysteme und Datenfelder überhaupt in Frage kommen – damit wird aus „Wen müssen wir fragen?" eine beantwortbare Frage.

5. Frist sichtbar führen. Die Monatsfrist wird ab Eingang automatisch überwacht, fällige und überfällige Vorgänge erscheinen im Dashboard und lösen Benachrichtigungen aus. Ist eine Verlängerung nötig, wird sie als eigener Schritt behandelt: begründen, der betroffenen Person innerhalb des ersten Monats mitteilen, im Vorgang vermerken.

6. Antworten und schließen. Die Antwort geht per E-Mail direkt aus dem System heraus, Schnellbausteine decken wiederkehrende Formulierungen ab. Alle Bearbeitungsschritte landen im Aktivitätenprotokoll, der Vorgang lässt sich als PDF oder DOCX exportieren.

Warum die Identitätsprüfung der heikelste Schritt ist

Sie kollidiert mit sich selbst: Wer zu wenig prüft, gibt personenbezogene Daten womöglich an die falsche Person heraus. Wer zu viel verlangt – etwa eine Ausweiskopie, obwohl die Person seit Jahren unter derselben Kundennummer schreibt – erhebt zusätzliche Daten und verzögert die Bearbeitung. Beides lässt sich nur mit einer festen Regel auflösen, die vorab definiert, wann welcher Nachweis nötig ist.

Entscheidend ist deshalb weniger die Strenge der Prüfung als ihre Dokumentation: Was wurde wann angefordert, was wurde vorgelegt, wer hat entschieden. Genau diese drei Angaben fehlen im Postfach-Prozess regelmäßig – und genau sie werden im Beschwerdefall verlangt.

Vorher und nachher im direkten Vergleich

Was der Umstieg praktisch bedeutet

Der Aufwand liegt nicht in der Technik, sondern in zwei Festlegungen, die ohnehin fällig sind: Wer entscheidet über die Identitätsprüfung, und wer liefert aus welchem System zu? Sind diese beiden Fragen einmal beantwortet, ist der Rest Routine – jede weitere Anfrage folgt demselben Weg, statt neu organisiert zu werden.

Sinnvoll ist ein Start mit dem nächsten realen Fall statt mit einem Konzept. Die erste Anfrage, die vollständig im System läuft, zeigt zuverlässiger als jede Prozessbeschreibung, welcher Fachbereich schnell liefert, welches System übersehen wurde und wie viel der Monatsfrist tatsächlich für die Zusammenstellung draufgeht.

Auch die Zahl der Anfragen relativiert den Aufwand selten so, wie erwartet. Viele Unternehmen bearbeiten nur eine Handvoll Fälle im Jahr – und genau deshalb ist der Ablauf jedes Mal neu. Ein festgelegter Prozess spart in dieser Konstellation weniger Bearbeitungszeit als Anlaufzeit: Niemand muss sich erinnern, wie es beim letzten Mal lief.

Drei Fehler, die den neuen Prozess unnötig schwer machen

Das Sammelpostfach parallel weiterlaufen lassen. Zwei Eingangskanäle bedeuten zwei Wahrheiten über den Fristenlauf. Die Adresse aus dem Impressum sollte in den Vorgang führen, nicht daneben.

Nur die Auskunft abbilden. Löschungs-, Berichtigungs- und Widerspruchsverlangen kommen seltener, aber sie kommen. Wer sie nicht von Anfang an als eigene Antragsarten führt, behandelt sie später wieder als Sonderfall per Mail.

Die Fachbereiche erst im Ernstfall einbinden. Wer erst bei der ersten Anfrage klärt, welches System welche Daten hält, verliert genau die Tage, die am Ende fehlen. Die Zuordnung von Verarbeitungstätigkeit, System und zuständiger Person gehört vorher erledigt.

Woran Sie erkennen, dass es Zeit ist

Ein geteiltes Postfach ist kein Fehler. Es wird zum Risiko, sobald mindestens einer dieser Punkte zutrifft:

• Sie können bei einer beliebigen Anfrage nicht sofort sagen, wann sie eingegangen ist.
• Während Urlaub oder Krankheit bleibt die Bearbeitung liegen.
• Die Identitätsprüfung ist geübte Praxis, aber nirgends dokumentiert.
• Mehr als zwei Fachbereiche müssen für eine Auskunft zuliefern.
• Sie haben eine Frist schon einmal überschritten, ohne sie förmlich zu verlängern.

Trifft davon nichts zu, reicht das Postfach. Trifft davon zwei oder mehr zu, arbeitet es bereits gegen die Frist.