Kurz beantwortet: Betroffene können jederzeit Auskunft (Art. 15 DSGVO), Löschung (Art. 17 DSGVO) oder Datenübertragbarkeit (Art. 20 DSGVO) verlangen. Als SaaS-Anbieter müssen Sie grundsätzlich innerhalb eines Monats reagieren, wobei die Löschung wichtige Ausnahmen kennt und die Übertragbarkeit nur bei Einwilligung oder Vertrag greift.

Das Wichtigste in Kürze

  • Betroffene können jederzeit Auskunft (Art. 15 DSGVO), Löschung (Art. 17 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) verlangen.
  • Betroffenenanfragen sind grundsätzlich innerhalb eines Monats zu beantworten.
  • Die Löschung kennt wichtige Ausnahmen: Bei gesetzlicher Aufbewahrungspflicht oder zur Verteidigung von Rechtsansprüchen dürfen und müssen Sie nicht löschen.
  • Die Datenübertragbarkeit greift nur bei automatisierter Verarbeitung auf Grundlage von Einwilligung oder Vertrag, nicht beim berechtigten Interesse.

Was verlangt das Auskunftsrecht nach Art. 15 DSGVO?

Solche Anfragen sind kein Ausnahmefall, sondern werden zur Routine: „Bitte teilen Sie mir alle Daten mit, die Sie über mich gespeichert haben, und löschen Sie danach alles.“ Wer als SaaS-Unternehmen darauf nicht vorbereitet ist, reagiert hektisch, verfehlt Fristen und riskiert Beschwerden. Dabei sind die drei wichtigsten Betroffenenrechte klar geregelt.

Nach Art. 15 DSGVO kann jede betroffene Person Bestätigung verlangen, ob Sie Daten über sie verarbeiten, und wenn ja, Auskunft darüber. Diese Auskunft umfasst nach Abs. 1 unter anderem die Verarbeitungszwecke, die Datenkategorien, die Empfänger, die geplante Speicherdauer und die bestehenden Rechte. Nach Abs. 3 müssen Sie außerdem eine Kopie der verarbeiteten Daten bereitstellen, die erste kostenlos, bei elektronischer Anfrage in einem gängigen elektronischen Format. Die Auskunft ist damit oft der aufwendigste Teil, weil die Daten quer durch Ihre Systeme verstreut liegen.

Wann müssen Sie tatsächlich löschen?

Das „Recht auf Vergessenwerden“ nach Art. 17 DSGVO verpflichtet Sie, Daten unverzüglich zu löschen, wenn einer der Gründe des Abs. 1 vorliegt, etwa weil die Daten für ihren Zweck nicht mehr nötig sind, die Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war. Entscheidend für die Praxis sind aber die Ausnahmen des Abs. 3: Besteht eine gesetzliche Aufbewahrungspflicht (lit. b) oder brauchen Sie die Daten zur Geltendmachung oder Verteidigung von Rechtsansprüchen (lit. e), müssen und dürfen Sie nicht löschen. „Alles löschen“ ist deshalb fast nie die richtige Antwort, es geht um differenziertes Löschen mit Augenmaß.

Wann greift die Datenübertragbarkeit?

Nach Art. 20 DSGVO kann die betroffene Person die Daten, die sie Ihnen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und einem anderen Anbieter übermitteln. Dieses Recht ist enger, als viele denken: Es greift nur, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt. Auf das berechtigte Interesse gestützte Verarbeitungen sind nicht erfasst. Für SaaS-Anbieter ist die Portabilität dennoch relevant, sie berührt unmittelbar die Exportfunktionen Ihres Produkts.

Was sollten Sie als Anbieter konkret vorbereiten?

  • Fristen im Griff: Betroffenenanfragen sind grundsätzlich innerhalb eines Monats zu beantworten, planen Sie den Prozess, nicht den Einzelfall;
  • Datenlandkarte: wissen, wo welche Daten liegen, macht die Auskunft überhaupt erst leistbar, verzahnt mit Ihrem Verarbeitungsverzeichnis;
  • Löschkonzept: definierte Fristen und Ausnahmen verhindern sowohl verspätete als auch verfrühte Löschung;
  • Identitätsprüfung: geben Sie Daten nur an die wirklich berechtigte Person heraus, ohne dabei übermäßig zusätzliche Daten zu verlangen;
  • Exportfunktion: eine saubere Datenexport-Funktion erledigt Auskunft und Portabilität halb automatisch.

Wer diese Prozesse einmal aufsetzt, verwandelt eine gefürchtete Anfrage in eine Routineaufgabe. Wie die zugrundeliegenden Verarbeitungen dokumentiert werden, aus denen sich eine Auskunft überhaupt zusammensetzen lässt, zeigt der Beitrag zum Verarbeitungsverzeichnis nach Art. 30 DSGVO.

Häufige Fragen

Was umfasst das Auskunftsrecht nach Art. 15 DSGVO?

Jede betroffene Person kann Bestätigung verlangen, ob Sie Daten über sie verarbeiten, und Auskunft über Verarbeitungszwecke, Datenkategorien, Empfänger, geplante Speicherdauer und bestehende Rechte. Nach Art. 15 Abs. 3 DSGVO müssen Sie zudem eine Kopie der Daten bereitstellen, die erste kostenlos und bei elektronischer Anfrage in einem gängigen elektronischen Format.

Müssen Sie auf Verlangen immer alles löschen?

Nein. Das Recht auf Löschung nach Art. 17 DSGVO greift beim Vorliegen bestimmter Gründe, kennt aber wichtige Ausnahmen. Besteht eine gesetzliche Aufbewahrungspflicht oder brauchen Sie die Daten zur Geltendmachung oder Verteidigung von Rechtsansprüchen, dürfen und müssen Sie nicht löschen. Gefragt ist differenziertes Löschen mit Augenmaß.

Wann greift das Recht auf Datenübertragbarkeit?

Nach Art. 20 DSGVO nur, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt. Auf das berechtigte Interesse gestützte Verarbeitungen sind nicht erfasst. Die betroffene Person kann die von ihr bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.

Welche Frist gilt für Betroffenenanfragen?

Betroffenenanfragen sind grundsätzlich innerhalb eines Monats zu beantworten. Sinnvoll ist, den Prozess vorab aufzusetzen, statt jeden Einzelfall unter Zeitdruck zu bearbeiten, unterstützt durch eine Datenlandkarte, ein Löschkonzept, eine Identitätsprüfung und eine saubere Exportfunktion.

Quellen & Rechtsgrundlagen

Sie wollen Ihre Prozesse für Betroffenenanfragen aufsetzen? In einem 30-minütigen Erstgespräch klären wir, was Ihr Produkt und Ihre Organisation dafür brauchen. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen