Wie man eine DSAR fristgerecht bearbeitet

Als noyb 121 Anfragen auf Auskunft von betroffenen Personen (DSARs) testete, die es für seinen 2026 Digital Omnibus Reality Check, wurden 83,5 % nicht gesetzeskonform beantwortet, und fast 30 % erhielten überhaupt keine Antwort.

Dieses Versagen lässt sich auf eine gemeinsame Ursache zurückführen, da die meisten Organisationen ihre eigenen Daten nicht schnell genug finden können, um innerhalb der Frist zu reagieren. Nur 61 % haben laut dem 2025 Global Privacy Benchmarks Report von TrustArc eine Dateninventarisierung und -kartierung implementiert, und 55 % pflegen laut dem Netwrix 2026 Data and Identity Security Report.

Dieses Problem mit dem Datenstandort zeigt sich bei jeder Anfrage einzeln. Ein DSAR kann an einem Dienstag im gemeinsamen Datenschutz-Posteingang landen, und bis Mittwoch schreibt jemand fünf Abteilungsleitern eine E-Mail und fragt, ob sie Informationen zu Jane Smith haben.

Die 45-Tage-Frist begann in dem Moment, in dem die Anfrage einging, unabhängig davon, ob jemand mit der Suche begonnen hat.Ein Datenindex der die Identität einer Person mit jedem Ort verknüpft, an dem ihre Daten erscheinen, verhindert, dass jede Anfrage bei null beginnt.

Eine effektive DSAR-Bearbeitung verbindet diese Sichtbarkeit mit einem dokumentierten Prozess für Verifizierung, Entdeckung, Überprüfung, Schwärzung, Lieferung und Auditnachweise.

Was ist ein DSAR?

Eine Auskunftsersuchen der betroffenen Person (DSAR) ist eine formelle Anfrage einer Person an eine Organisation, eine Kopie der personenbezogenen Daten zu erhalten, die die Organisation über sie besitzt. Sie umfasst auch, warum die Organisation die Daten speichert, mit wem sie diese teilt und wie lange sie diese aufbewahrt.

Nach Artikel 15 der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union können Sie jede Formulierung in der Anfrage verwenden. Formulierungen wie „subject access request“ oder „Article 15“ sind optional. Der Zugriff ist eines von mehreren Betroffenenrechten, neben Berichtigung, Löschung und Datenübertragbarkeit.

In den Vereinigten Staaten gewähren der California Consumer Privacy Act und der California Privacy Rights Act (CCPA/CPRA) Ihnen 45 Kalendertage zur Antwort, einmalig um weitere 45 Tage verlängerbar, mit einer Empfangsbestätigung, die innerhalb von 10 Werktagen erforderlich ist.

Andere US-Bundesstaatengesetze verwenden in der Regel dasselbe 45-Tage-Fenster; das Basisfenster von Iowa beträgt 90 Tage, verlängerbar um weitere 45 Tage. Wenn Ihre Organisation auch EU-Bewohner bedient, gewährt Ihnen die DSGVO einen Monat ab Erhalt, verlängerbar um zwei weitere Monate, wenn Komplexität oder Umfang dies rechtfertigen. Wenn Sie verlängern, teilen Sie dem Antragsteller innerhalb dieses ersten Monats den Grund mit.

Warum die Erfüllung von DSAR scheitert

Der Bericht des European Data Protection Board (EDPB) zum Koordinierten Durchsetzungsrahmen 2024, angenommen am 16. Januar 2025, basiert auf 30 Aufsichtsbehörden, die 1.185 Verantwortliche geprüft haben. Vier Ursachen treten in ihren Erkenntnissen immer wieder auf und spiegeln die operativen Muster wider, die US-Compliance-Teams unter CCPA.

Personenbezogene Daten sind verstreut und haben keinen einzigen Index

Die Daten eines Mitarbeiters befinden sich in HR-Datenbanken, customer relationship management (CRM)-Aufzeichnungen, Postfächern, Teams-Chats, SharePoint-Bibliotheken, Dateifreigaben und Backups, ohne dass sie miteinander verknüpft sind. Das Verzeichnis der Verarbeitungstätigkeiten (ROPA) einer Organisation verweist nicht auf diese Aufzeichnungen, da es Kategorien der Verarbeitung beschreibt und nicht, wo die Daten einer Person physisch gespeichert sind.

Die International Association of Privacy Professionals hat festgestellt, dass manual ROPAs, die auf diese Weise erstellt werden, unvollständig sind und veralten, weil sie davon abhängen, dass jedes Team genau berichtet, was es verarbeitet. Keine Technologie befreit Sie vom Zugriffsrecht, und archivierte sowie gesicherte Daten zählen.

Manuelle Suchvorgänge beanspruchen den größten Teil des Antwortfensters

Ohne Index sucht jemand System für System. Wenn die Suche Wochen eines 45-Tage-Fensters beansprucht, wird die Überprüfung auf die letzten Tage gedrängt, und ein Prüfer ist am Tag 40 noch mit der Redaktion beschäftigt. Die Überprüfung von EDPB zu Durchsetzungsfällen ergab, dass Verantwortliche routinemäßig bestimmte Dateitypen, Formate oder Datenkategorien aus ihren Antworten auslassen, wobei nicht-textuelle Dateien, Metadaten und Backups im Prozess fehlen.

Identitätsprüfung und Abgrenzung erschweren den Arbeitsbeginn

Die DSGVO erlaubt es, die Identität nur dann zu überprüfen, wenn man wirklich Zweifel daran hat, wer anfragt, und nicht routinemäßig bei jeder Anfrage, und der CCPA bewertet ähnlich die Verifizierung entsprechend der Sensibilität der Anfrage.

Die Eingrenzung der Anfrage erfordert dasselbe Urteilsvermögen, da das EDPB vermutet dass eine allgemeine Anfrage alle personenbezogenen Daten umfasst, sofern der Anfragende sie nicht ausdrücklich einschränkt. Wenn ein Team nicht sehen kann, was die Organisation besitzt, kann es keine sinnvolle klärende Frage formulieren, und die Zeit läuft weiter.

Manuelle Schwärzung von Dritt- und ausgenommenen Daten ist langsam und riskant

Eine Antwort muss die Daten anderer Personen und alles, was durch eine rechtliche Ausnahme abgedeckt ist, ausschließen. Bei manueller Bearbeitung verletzt Überzensur das Zugriffsrecht, und Unterzensur führt zu Datenlecks.

Die Black-Box-Hervorhebung in Word- oder Portable Document Format (PDF)-Dateien lässt den Text darunter oft lesbar; Dateimetadaten bewahren frühere Autoren und nachverfolgte Änderungen, und Tabellenkalkulationen verbergen Zeilen.

Der DSAR-Antwortprozess Schritt für Schritt

Ein dokumentiertes, wiederholbares Verfahren unterscheidet die DSAR-Erfüllung, die einer Prüfung standhält, von einer improvisierten Hektik bei jeder neuen Anfrage, und ein fehlendes Verfahren ist die erste Herausforderung, die im Bericht des Coordinated Enforcement Framework (CEF) des EDPB genannt wird.

Die sieben untenstehenden Schritte spiegeln die aktuellen Erwartungen des EDPB und der California Privacy Protection Agency (CPPA) wider.

1. Protokollieren und bestätigen Sie die Anfrage

Protokollieren Sie jede Anfrage sofort bei Eingang, unabhängig vom Kanal. Ein DSAR ist gültig, egal wie es eingeht, einschließlich mündlich, über Webformulare oder soziale Medien. Erfassen Sie daher, wer es erhalten hat, wann und über welchen Kanal.

Nach der EU-DSGVO zählt der Tag des Eingangs nicht, und eine Frist, die auf ein Wochenende oder einen Feiertag fällt, verschiebt sich auf den nächsten Werktag. Nach dem CCPA bestätigen Sie den Eingang innerhalb von 10 Werktagen und geben die Frist von Tag X bis Tag Y an.

2. Überprüfen Sie die Identität des Antragstellers

Fordern Sie einen formellen Ausweis nur an, wenn Sie dokumentierte begründete Zweifel daran haben, wer anfragt. Die Leitlinien 01/2022 des EDPB betrachten eine Kopie eines Ausweisdokuments als ein schwaches Mittel zur Identitätsbestätigung, da bestehende Zugangsdaten wie Benutzername und Passwort in den meisten Fällen bereits festlegen, wer anfragt.

Wenn Sie einen Ausweis anfordern müssen, informieren Sie den Anfragenden, dass er das Foto und die Dokumentennummer maskieren kann. Kalifornien bewertet die Verifizierung je nach Anforderung, von einem angemessenen Grad an Sicherheit bei Routineanfragen bis zu einem angemessen hohen Grad an Sicherheit bei sensiblen personenbezogenen Daten.

3. Den Umfang der Anfrage festlegen

Wenn die Anfrage unklar ist und Sie viele Informationen haben, bitten Sie den Anfragenden, sie einzuschränken, arbeiten Sie aber weiter, während Sie warten. Eine Klärung anzufordern, pausiert die Frist nach GDPR nicht, und auch CCPA stoppt die Uhr nicht. Wenn der Anfragende nicht antwortet, interpretieren Sie die ursprüngliche Anfrage und handeln entsprechend.

4. Finden Sie die Daten in allen Systemen, in denen sie gespeichert sind

Durchsuchen Sie jedes relevante System nach sensiblen Daten, die mit dem Namen des Antragstellers sowie einer stabilen Kennung wie einer Kunden- oder Mitarbeiternummer verknüpft sind. Der EDPB erwartet, dass die Suche alle IT-Systeme und nicht-IT-Ablagesysteme abdeckt, nicht nur die Datenbanken, die ein Team routinemäßig überprüft.

Die CCPA-Vorschriften erfordern eine ebenso gründliche Überprüfung, die archivierte und gesicherte Daten, Kollaborationstools wie Teams und Slack sowie persönliche Geräte, die für die Arbeit genutzt werden, abdeckt. Die offizielle Dokumentation von Microsoft bestätigt, dass Daten auf lokalen Computern oder lokalen Dateiservern außerhalb ihrer DSR-Tools liegen, daher muss Ihre Suchliste jeden Dateiserver und den Tenant benennen.

5. Überprüfen, redigieren und Ausnahmen anwenden

Wenden Sie vor der Offenlegung von Drittanbieterdaten einen dreistufigen Test an:

• Können Sie antworten, ohne die dritte Partei zu identifizieren?
• Hat diese Person zugestimmt?
• Wenn nicht, ist die Offenlegung ohne deren Zustimmung angemessen?

Schwärzen Sie, wo möglich, und dokumentieren Sie, was Sie zurückgehalten haben. Weitere häufig anerkannte Ausnahmen gemäß DSGVO und US-Bundesstaatengesetzen umfassen das Anwaltsgeheimnis, laufende Verhandlungen, Geschäftsgeheimnisse und vertrauliche Referenzen, die jeweils nur gelten, wenn ihre spezifischen Bedingungen erfüllt sind.

Unter the EU GDPR können Geschäftsgeheimnisse und geistiges Eigentum das Kopieren einschränken, ohne die Anfrage vollständig abzulehnen. Verwenden Sie spezielle Schwärzungssoftware statt Hervorhebungswerkzeugen und geben Sie für jede Schwärzung einen nachvollziehbaren Grund an.

6. Verpacken und liefern Sie die Antwort

Liefern Sie die Daten in einem Format, das der Anfragende ohne Datenanalyst lesen kann. Die DSGVO verlangt eine prägnante und transparente Antwort, die in einer Sprache verfasst ist, die ein normaler Leser versteht, statt eines Systemexports, den nur IT verstehen würde. Wenn die Anfrage elektronisch einging, senden Sie ein gängiges elektronisches Format, sofern der Anfragende nichts anderes verlangt hat.

Die niederländische Autoriteit Persoonsgegevens hat Uber im Januar 2024 mit 10 Millionen Euro belegt, da der Antragsprozess schwer zu bedienen war, Antwortdateien persönliche Daten nicht immer strukturiert enthielten und schwer zu interpretieren waren sowie die Offenlegung von Aufbewahrungsfristen und Datenübertragungen unklar war. Ein roher Export von Datenbankzeilen erfüllt möglicherweise nicht diese Anforderungen.

7. Dokumentieren Sie, was getan wurde

Füllen Sie Ihr DSAR-Protokoll fortlaufend aus und wenden Sie die gleiche Disziplin im Records Management an, die Ihre Organisation an anderer Stelle verwendet, damit ein Prüfer die Anfrage ohne Sie rekonstruieren kann. Erfassen Sie das Empfangsdatum, den Bearbeiter, das Fälligkeitsdatum, das tatsächliche Antwortdatum, Verzögerungsgründe, zurückgehaltene Informationen und deren Gründe, angewandte Ausnahmen und von wem sowie durchgeführte Identitätsprüfungen. Nach CCPA müssen Sie Anfragen und Antworten mindestens 24 Monate lang aufbewahren.

Was es kostet, einen DSAR falsch zu bearbeiten

Die Durchsetzung von DSAR folgt drei wiederkehrenden Mustern: verpasste Fristen, Antworten, die Antragsteller nicht verwenden können, und Identitätsprüfungsanforderungen, die das Gesetz nicht erlaubt. Regulierungsbehörden haben Organisationen für jedes Muster mit Geldstrafen belegt.

Das Versäumen der Frist zieht eine direkte Geldstrafe nach sich

Die belgische Datenschutzbehörde hat einen Telekommunikationsanbieter mit 100.000 € im August 2024 wegen einer Antwort 14 Monate nach einer DSAR-Anfrage bestraft. Die DSGVO begrenzt Bußgelder bei Zugriffsfehlern auf 20.000.000 € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, und die CCPA erlaubt zivilrechtliche Strafen von bis zu 7.500 $ pro vorsätzlicher Verletzung.

Diese Obergrenze folgt dem gleichen Durchsetzungsmuster, das bei anderen GDPR-Strafen zu sehen ist, sodass eine verspätete Reaktion bereits lange vor dem Erreichen eines Falls ein echtes Risiko darstellt.

Eine unvollständige oder unklare Antwort zieht ebenfalls eine Geldstrafe nach sich

Die niederländische Datenschutzbehörde hat Netflix mit 4.750.000 € in einer Entscheidung vom November 2024 bestraft. Die Behörde stellte fest, dass die Datenschutzerklärung von Netflix die Zwecke, Empfänger und Aufbewahrungsfristen nicht klar erklärte und dass Kunden, die nach den bei Netflix gespeicherten Daten fragten, nicht ausreichend informiert wurden, was gegen das Zugriffsrecht der DSGVO gemäß Artikel 15 verstößt. Eine rechtzeitige Antwort begründet dennoch eine Haftung, wenn der Anfragende die gewünschten Informationen nicht erhält.

Mehr Überprüfung zu verlangen, als das Gesetz erlaubt, schafft eigene Haftung

Die irische DPC hat Groupon Ireland Operations Limited im März 2024 gerügt, weil ein Lichtbildausweis verlangt wurde, obwohl eine E-Mail-Verifizierung möglich war und bei der Anmeldung kein Ausweis erforderlich war. Im Jahr 2025 reduzierte der niederländische Staatsrat die Geldstrafe gegen DPG Media von 525.000 € auf 262.500 € und bestätigte, dass das Unternehmen fahrlässig gehandelt hatte, indem es Ausweiskopien verlangte, ohne zu prüfen, ob eine weniger intrusive Alternative wie die E-Mail-Verifizierung möglich war.

Regulierungsbehörden behandeln die Bearbeitung von Zugriffsanfragen als routinemäßige Durchsetzungspriorität

In Kalifornien hat die CPPA American Honda mit 632.500 $ im März 2025 bestraft, weil mindestens acht Datenfelder bei jeder Datenschutzanfrage verlangt und mindestens 20 Opt-out- und Limit-Anfragen durch eine nicht erlaubte Verifizierung abgelehnt wurden. Anfragen auf Auskunft waren die größte Beschwerdekategorie bei der irischen Data Protection Commission (DPC) im Jahr 2025 mit 42 %, was zeigt, dass diese Fälle eher die Regel als die Ausnahme sind.

Worauf Sie bei der Bewertung von DSAR-Tools achten sollten

Nach dem zweiten oder dritten hektischen Versuch fragen die meisten Compliance-Verantwortlichen nach DSAR-Software. Diese Kategorie deckt den gesamten Anforderungslebenszyklus ab, von Erfassung und Protokollierung über Identitätsprüfung, Triage, Zusammenstellung, Validierung bis hin zur Kommunikation. Discovery bestimmt, wie lange Schritt vier dauert, also bewerten Sie es zuerst.

Erkennung überall dort, wo Ihre Daten gespeichert sind

Das Tool sollte das Vorhandensein personenbezogener Daten auf Datei-, Zeilen- und Nachrichtenebene nachweisen, anstatt sich darauf zu verlassen, dass Personen Systeme in einem Fragebogen auflisten. Direkte Scans liefern diesen Nachweis; die Entdeckung und Klassifizierung personenbezogener Daten sollten Hauptkriterien sein.

Hybride Abdeckung ist ebenfalls wichtig, da 77 % der Organisationen in einer hybriden IT-Umgebung arbeiten, laut dem Cybersecurity Trends Report 2025 von Netwrix.

In einer Microsoft-lastigen Umgebung prüfen Sie die Abdeckung von lokalen Dateiservern, Exchange, SharePoint und SQL Server neben Microsoft 365, da Microsofts eigene DSR-Richtlinien für Microsoft 365 lokale Dateiserver als außerhalb des Geltungsbereichs ansehen.

Identitätsprüfung und Erfassung in den Arbeitsablauf integriert

Ein einziger Aufnahmeweg sollte automatisch den Eingang protokollieren, das Fälligkeitsdatum verfolgen (einschließlich etwaiger CCPA-Anerkennungsfenster oder GDPR-Verlängerungsmitteilungen) und die Verifizierungsstufen aus Schritt zwei durchsetzen, sodass jede ID-Anfrage dokumentierten begründeten Zweifel erfordert.

E-Mail- und Tabellenkalkulations-Workflows legen die Prüfungsverantwortung auf einzelne Bearbeiter, die Zeitstempel manuell sichern müssen, und Beweise gehen verloren, wenn jemand das Unternehmen verlässt.

Redaktion, die keinen manuellen Durchgang für jede Datei erfordert

Fragen Sie, wie das Tool Drittanbieternamen in 1.000 Dokumenten behandelt und ob die Ausgabe dauerhaft geschwärzt statt reversibel verborgen wird. Die Dokumentation mancher eDiscovery-Tools warnt vor Grenzen bei Schwärzungs-Metadaten. Ein Tool, das Drittanbieterdaten und ausgenommene Kategorien vor der menschlichen Prüfung markiert, lässt den Prüfern die letzte Woche für Entscheidungen.

Eine automatisch erzeugte Prüfspur

Der Workflow sollte automatisch eine audit trail erzeugen, die jede Suche, Prüferaktion und Lieferung mit Akteur und Zeitstempel protokolliert, sodass Audit-Felder automatisch ausgefüllt werden. Überprüfen Sie die Aufbewahrung der Audit-Protokolle gemäß den 24 Monaten der CCPA.

Wie Netwrix Ihnen hilft, DSARs ohne Stress zu bearbeiten

Netwrix Access Analyzer bietet die Engine für Datenentdeckung, Klassifizierung und Datenzugriffsverwaltung hinter Netwrix DSPM, die diese Funktionen für hybride Umgebungen zusammenführt.

Wissen, wo sich persönliche Daten befinden, bevor eine Anfrage eingeht

Netwrix Access Analyzer entdeckt und kennzeichnet personenbezogene Daten (PII) in hybriden Umgebungen und erstellt das indexierte Inventar, auf das ein DSAR-Workflow angewiesen ist, bevor eine Anfrage eingereicht wird.

Es funktioniert mit mehr als 40 unterstützten Datenquellen, darunter Windows-Dateiserver, SharePoint Online, SQL Server und Oracle.

Wo der Rest des Workflows lebt

Netwrix DSPM stellt die Entdeckungs- und Zugriffsschicht bereit: wo sich personenbezogene Daten befinden und wer darauf zugreifen kann. Die Anforderungsannahme, Identitätsprüfung, Schwärzung und das Antwortprotokoll gehören weiterhin zu einem Datenschutzanfrage- oder Ticket-Workflow und sollten daher anhand der oben genannten Kriterien bewertet werden.

Erstellen Sie einen DSAR-Prozess, der nicht von einem hektischen Vorgehen abhängt

Der Aufbau des Indexes vor Eintreffen einer Anfrage erspart das hektische Durchsuchen, da die Suche nicht mehr der Engpass ist und Schritt vier zu einer Abfrage statt zu einer manuellen Durchsuchung aller Systeme wird. Beginnen Sie mit der Klassifizierung der Speicherorte, an denen sich personenbezogene Daten konzentrieren, wie HR-Freigaben, Postfächer und Kundendatenbanken.

Schreiben Sie dann die Verifizierungsstufen und die Protokollvorlage aus den Schritten zwei und sieben und führen Sie eine Übungsanfrage von Anfang bis Ende durch, um die Zeit zu messen. Wenn diese Übung zeigt, dass die Suche das Fenster weiterhin beansprucht, sehen Sie, wie indexed discovery Ihre Datenquellen durchsuchen und Beweise zur Überprüfung sichern kann.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihnen hilft, personenbezogene Daten über hybride Systeme hinweg zu indexieren, DSAR-Suchen ohne manuelle systembezogene Abfragen durchzuführen und automatisch Auditnachweise zu erstellen.