Das Datenschutzrecht gibt Einzelpersonen Rechte an ihren Daten. Nutzer können verlangen, zu sehen, was du über sie erfasst hast, falsche Daten zu korrigieren, sie zu löschen oder anderswohin zu übertragen. Solche Anfragen sind häufig und rechtlich bindend. Du brauchst Abläufe, um sie schnell und vollständig zu beantworten. Dieses Kapitel behandelt die wichtigsten Nutzerrechte und wie du sie im Alltag umsetzt.
Die wichtigsten Nutzerrechte
Recht auf Auskunft
Nutzer können eine Kopie aller Daten verlangen, die du über sie gespeichert hast. Du hast dafür 30 Tage Zeit (DSGVO). Die Daten müssen in einem gängigen, übertragbaren Format vorliegen (CSV, PDF). Du musst alle Datenarten einbeziehen: Analyseereignisse, Kontoangaben, Mitteilungen, Transaktionsverlauf.
Das ist aufwendig, weil Daten oft in mehreren Systemen liegen. Du musst alle Systeme abfragen, die Daten zusammenstellen, lesbar aufbereiten und sicher senden.
Recht auf Berichtigung
Nutzer können verlangen, dass du falsche Daten korrigierst. Wenn dein System den Namen eines Nutzers als Jhn statt John zeigt, kann er eine Korrektur verlangen. Du musst sie zügig vornehmen. Das gilt für alle Daten, die der Nutzer als falsch bestreitet.
Recht auf Löschung
Im vorigen Kapitel behandelt. Nutzer können verlangen, dass du ihre Daten löschst. Du hast 30 Tage Zeit (mit Ausnahmen für rechtliche Pflichten).
Recht auf Einschränkung der Verarbeitung
Nutzer können dich bitten, die Nutzung ihrer Daten einzuschränken. Beispiel: Nutze meine Daten nicht für Marketing, aber du darfst sie für die Kontoverwaltung behalten. Du musst diese Einschränkung einhalten und die Daten in deinen Systemen als eingeschränkt markieren.
Recht auf Datenübertragbarkeit
Nutzer können ihre Daten in einem Format verlangen, das sie zu einem anderen Unternehmen mitnehmen können. Das ist besonders beim Wechsel von Diensten wichtig. Du musst die Daten in einem strukturierten, gängigen Format liefern (JSON, CSV). Sie müssen maschinenlesbar sein, damit sie sich anderswo importieren lassen.
Recht auf Widerspruch
Nutzer können der Verarbeitung ihrer Daten für bestimmte Zwecke widersprechen. Wenn du Daten für Marketing nutzt, können sie widersprechen. Du musst aufhören, außer du hast einen zwingenden rechtlichen Grund weiterzumachen.
Rechte bei automatisierten Entscheidungen
Wenn du Algorithmen nutzt, um Entscheidungen über Nutzer zu treffen (Kreditentscheidungen, Zugang zu Leistungen), haben Nutzer das Recht zu verstehen, wie die Entscheidung zustande kam, und eine Prüfung durch einen Menschen zu verlangen. Das geht über Analysen hinaus, ist aber gut zu wissen.
Einen Ablauf für Auskunftsanfragen aufbauen
Schritt 1: Einen Weg für Anfragen schaffen
Biete Nutzern einen einfachen Weg, Anfragen zu stellen. Möglich sind ein Webformular, eine E-Mail-Adresse (data-requests@yourcompany.com) oder ein Self-Service-Bereich in den Kontoeinstellungen. Mach ihn auffindbar (Link im Footer, in der Datenschutzerklärung und in den Kontoeinstellungen).
Schritt 2: Identität prüfen
Bestätige, dass die Anfrage vom tatsächlichen Nutzer oder einer bevollmächtigten Person kommt. Frage je nach Sensibilität eine Bestätigung per E-Mail, eine Passwortprüfung oder einen Ausweis ab. Du willst keine personenbezogenen Daten an jemanden schicken, der sich als der Nutzer ausgibt.
Schritt 3: Festlegen, welche Daten du lieferst
Frage alle Systeme ab, in denen Nutzerdaten liegen: Konten, Analysen, Support, E-Mail-Listen, CRM, Backups. Stelle alles zusammen. Dazu gehören: E-Mails an den Nutzer, Formularangaben, Support-Tickets, Käufe, Tracking-Ereignisse, Einstellungen, Kommunikationsverlauf.
Sei vollständig. Ein häufiger Verstoß: einen Teil der Daten liefern, aber nicht alle. Wenn eine Aufsichtsbehörde prüft und Daten findet, die du nicht offengelegt hast, gibt es Ärger.
Schritt 4: Lesbar aufbereiten
Liefere die Daten in einem klaren Format. Rohe Datenbank-Auszüge sind nicht zulässig. Erstelle ein strukturiertes Dokument: zuerst die Kontoangaben, dann die Ereignisse, dann die Mitteilungen. Nutze Tabellen und klare Überschriften. Wenn der Nutzer Übertragbarkeit braucht, liefere ein Format, das er importieren kann (JSON, CSV).
Schritt 5: Sicher übermitteln
Sende personenbezogene Daten nicht per unverschlüsselter E-Mail. Nutze einen sicheren Dienst für Dateiübertragung (Download-Link, der abläuft, verschlüsselte E-Mail, SFTP). Lass dir den Empfang bestätigen.
Schritt 6: Dokumentieren
Protokolliere die Anfrage: wann eingegangen, wann bearbeitet, welche Daten geliefert, wie gesendet. Das ist dein Nachweis der Konformität, falls eine Aufsichtsbehörde prüft.
Anfragen in großer Zahl bearbeiten
Automatisch oder von Hand
Für kleine Unternehmen ist die Bearbeitung von Hand machbar. Bei Unternehmen mit Millionen von Nutzern brauchst du Automatisierung. Baue ein System, das Anfragen entgegennimmt, die Identität prüft, Datenbanken abfragt, Daten aufbereitet und sie ausliefert, alles mit möglichst wenig Handarbeit.
Vorlagen und Checklisten
Erstelle Vorlagen für Antworten: Wir haben deine Anfrage am [Datum] erhalten. Hier sind deine Daten... Erstelle Checklisten: Kontodaten erledigt, Analysen erledigt, Support erledigt. Checklisten verhindern, dass du versehentlich Datenarten auslässt.
Typische Fehler bei Datenanfragen
Nicht rechtzeitig antworten: Die Frist von 30 Tagen ist nicht optional. Sie zu verpassen ist ein Verstoß. Setze Erinnerungen und verfolge die Fristen.
Unvollständige Daten liefern: Wenn du einen Teil der Daten lieferst, aber nicht alle, bist du nicht konform. Achte darauf, dass deine Abfrage alle Systeme erfasst.
Schlechte Aufbereitung: Rohe Datenbank-Ausgaben zu liefern ist nicht konform. Bereite die Daten lesbar auf.
Identität nicht prüfen: Personenbezogene Daten an jemanden zu schicken, der sich als der Nutzer ausgibt, schafft Haftung. Prüfe immer.
Spätere Anfragen ignorieren: Wenn derselbe Nutzer mehrmals anfragt, bearbeite jede Anfrage. Nimm nicht an, dass frühere Anfragen alles abdecken.
Gebühren verlangen: Die DSGVO erlaubt Gebühren nur, wenn Anfragen offensichtlich unbegründet oder exzessiv sind. Nutze Gebühren nicht, um berechtigte Anfragen zu verhindern.
Nutzerrechte und Geschäftsbetrieb
Datenanfragen zu bearbeiten ist eine Belastung im Betrieb. Doch Unternehmen, die Nutzerrechte achten, schaffen Vertrauen, vermeiden Bußgelder, gewinnen datenschutzbewusste Kunden und ziehen Fachkräfte an (Mitarbeitende arbeiten gern für ethisch handelnde Unternehmen). Der Aufwand ist eine Investition in Kultur und Konformität.
Nutzerrechte in das Produkt einbauen
Der klügste Weg: Baue Nutzerrechte von Anfang an in dein Produkt ein. Gib Nutzern einen Self-Service-Bereich, in dem sie ihre Daten ansehen, herunterladen, löschen und Einstellungen ändern können. Das senkt den Aufwand im Support und stärkt die Nutzer. Die meisten modernen Apps haben das (Kontoeinstellungen, Datenexport, Button zum Löschen des Kontos).
Wie stelle ich systematisch sicher, dass ich alle Daten eines Nutzers in meine Antwort aufnehme?
Lege ein Verzeichnis an: (1) Kontosysteme (E-Mail, Name, Telefon, Einstellungen). (2) Analysen (Ereignisse, Zeitstempel, Geräteangaben, Standort). (3) Mitteilungen (gesendete E-Mails, Support-Tickets, Chatprotokolle). (4) Transaktionen (Käufe, Erstattungen, fehlgeschlagene Zahlungen). (5) Daten bei Dritten (Daten, die du an Anbieter weitergegeben hast). Frage jedes System über die Nutzer-ID ab. Verlasse dich nicht auf manuelle Suchen, sondern automatisiere. Dokumentiere, was du wann abgefragt hast.
Wie bereite ich eine Auskunft am besten auf und liefere sie aus?
Erstelle ein PDF- oder HTML-Dokument mit Abschnitten: Deine Kontoangaben, Deine Aktivität, Mitteilungen. Nutze Tabellen für Ereignisse (Datum, Aktion, Details). Bei Anfragen zur Übertragbarkeit liefere zusätzlich CSV oder JSON. Nutze eine sichere Übermittlung: Download-Link mit Passwortschutz (läuft nach 14 Tagen ab), verschlüsselte E-Mail oder ein sicherer Dienst für Dateiübertragung. Lass dir den Empfang vom Nutzer bestätigen. Bewahre einen Nachweis der Übermittlung für die Konformität auf.
Wann darf ich für eine Auskunftsanfrage eine Gebühr verlangen, und wie viel?
DSGVO: nur, wenn die Anfrage offensichtlich unbegründet oder exzessiv ist (sehr selten). In der Regel kostenlos. CCPA: nur angemessene Gebühren. In der Praxis: Verlange für die erste Anfrage nichts. Gebühren nur bei wiederholten Anfragen desselben Nutzers in kurzer Zeit (jenseits der Schwelle des Missbrauchs). Beantworte die erste Anfrage immer kostenlos. Teile die Regel vorab in der Datenschutzerklärung mit.
Wie gehe ich mit Daten um, die ich nicht finden kann, und muss ich weitersuchen?
Angemessene Suche: alle Live-Systeme abfragen, die du kontrollierst, und Backups prüfen, falls zugänglich. Wenn in deinen Hauptsystemen keine Daten existieren, ist das konform. Wenn du nur einen Teil gefunden hast (Analysedaten gibt es, Kontoangaben nicht), dokumentiere, welche Systeme du geprüft hast. Schreibe dem Nutzer: Wir haben [Liste der Systeme] durchsucht und [X] gefunden. In [Systeme Y] haben wir keine Daten gefunden, weil [Grund].
Wie läuft es rechtlich ab, wenn jemand im Namen eines Nutzers anfragt?
Schritt 1: Bitte die bevollmächtigte Person um eine schriftliche Vollmacht des Nutzers (beglaubigter Ausweis bei Minderjährigen oder Handlungsunfähigkeit). Schritt 2: Prüfe, ob der Unterzeichner der ist, der er zu sein vorgibt (Abgleich mit dem Ausweis). Schritt 3: Prüfe, ob die Vollmacht die konkrete Art der Anfrage abdeckt (Auskunft, Löschung und so weiter). Schritt 4: Antworte der bevollmächtigten Person oder dem Nutzer (beachte die Rechtslage, manche Länder verlangen eine Kopie an den Nutzer). Lege die Vollmacht in deiner Akte ab.
Was ist mein Plan, wenn ich Fristen für Datenanfragen derzeit nicht einhalte?
Sofort: (1) Alle offenen Anfragen finden und die Frist mit Erklärung um 30 Tage verlängern. (2) Ein System zur Verfolgung von Anfragen aufbauen (mindestens eine Tabelle, bei größerem Umfang ein Tool für Datenschutzanfragen). (3) Eine verantwortliche Person bestimmen (eine Person, die zuständig ist). (4) Eine interne Frist von 20 Tagen setzen (10 Tage Puffer vor der gesetzlichen Frist von 30 Tagen). (5) Den Ablauf dokumentieren: Anfrage eingegangen → Systeme durchsuchen → Antwort aufbereiten → ausliefern. Teste zuerst mit einer Probeanfrage.