Data Subject Access Request (DSAR)
Definition: Ein Data Subject Access Request (DSAR) ist ein formaler Antrag einer natürlichen Person an ein Unternehmen, Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu erhalten. Organisationen müssen innerhalb gesetzlicher Fristen, in der Regel 30 Tage, umfassend und kostenfrei über Datenumfang, Verarbeitungszwecke und Empfängerkategorien informieren.
Definition und rechtlicher Rahmen
Der Data Subject Access Request ist das wohl mächtigste Instrument der Betroffenenrechte. Er verleiht jeder natürlichen Person das Recht, von einem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, entsteht ein umfassender Auskunftsanspruch: die Daten selbst, Verarbeitungszwecke, Empfängerkategorien, Speicherdauer sowie die Herkunft der Daten. Rechtsgrundlage bildet primär die Datenschutz-Grundverordnung, konkret deren Artikel 15. Im B2B-Kontext ist der DSAR besonders relevant, da Geschäftskunden, Mitarbeiter oder Bewerber als betroffene Personen auftreten können. Die Anforderungen gelten unabhängig von der Unternehmensgröße, sofern die Verarbeitung in den Anwendungsbereich der Verordnung fällt.
Ein DSAR ist kein Gefallen, sondern ein einklagbares Recht. Die Beweislast für die ordnungsgemäße Bearbeitung liegt beim Unternehmen.
Der Prozess: Vom Eingang bis zur Erfüllung
Die operative Abwicklung eines DSAR folgt einem strukturierten Workflow. Zunächst muss der Antrag zweifelsfrei identifiziert werden – nicht jede Anfrage ist formal ein DSAR. Anschließend erfolgt die Verifikation der Identität des Antragstellers, wobei das Prinzip der Verhältnismäßigkeit gilt: Bei geringem Risiko genügt eine einfache E-Mail-Bestätigung, bei sensiblen Daten sind strengere Nachweise zulässig. Die eigentliche Datenermittlung gestaltet sich in heterogenen Systemlandschaften als Herausforderung. CRM-Systeme, Ticket-Tools, E-Mail-Archive und Cloud-Speicher müssen durchsucht werden. Die Frist beträgt grundsätzlich einen Monat, verlängerbar um zwei weitere Monate bei komplexen Anträgen. Die Antwort muss in einem verständlichen, maschinenlesbaren Format erfolgen. Kosten sind nur in eng begrenzten Ausnahmefällen, etwa bei offensichtlich exzessiven Anträgen, zulässig.
| Prozessschritt | Typische Dauer | Verantwortliche Funktion |
|---|---|---|
| Antragserfassung & Identitätsprüfung | 1–3 Werktage | Datenschutzbeauftragter |
| Datenermittlung & Systemabfrage | 5–15 Werktage | IT & Fachabteilungen |
| Prüfung auf Ausnahmen & Redaktion | 2–5 Werktage | Legal & Compliance |
| Übermittlung & Dokumentation | 1–2 Werktage | Datenschutzbeauftragter |
Abgrenzung zu verwandten Konzepten und interdisziplinäre Perspektive
Der DSAR wird häufig mit anderen Instrumenten verwechselt. Das Recht auf Löschung (Recht auf Vergessenwerden) ist ein eigenständiges Recht, das separat beantragt werden muss. Auch das Recht auf Datenübertragbarkeit unterscheidet sich: Es bezieht sich nur auf selbst bereitgestellte Daten und setzt eine Verarbeitung auf Basis von Einwilligung oder Vertrag voraus. Aus Sicht des Datenschutzmanagements ist der DSAR ein Compliance-Gate, das in das Governance-System integriert werden muss. In der IT-Architektur erfordert er eine durchdachte Datenlandkarte, um Suchprozesse zu automatisieren. Aus betriebswirtschaftlicher Perspektive entstehen echte Kosten: Studien zeigen, dass ein einzelner DSAR je nach Komplexität zwischen 100 und 1.000 Euro verursachen kann. Diese Kosten sind als Teil der Unit Economics der Datenverarbeitung zu kalkulieren. Im Vertriebskontext kann ein DSAR zudem als Signal für eine bevorstehende Kündigung oder ein Eskalationsverfahren gedeutet werden – ein Aspekt, den RevOps-Teams im Blick behalten sollten.
Praktische Herausforderungen und strategische Empfehlungen
Die größte operative Hürde liegt in der Datenauffindbarkeit. Viele Unternehmen betreiben Dutzende Systeme ohne zentrale Datenübersicht. Eine automatisierte DSAR-Bearbeitung über API-Schnittstellen und Datenbankabfragen reduziert manuelle Aufwände erheblich. Empfehlenswert ist die Einrichtung eines dedizierten Postfachs sowie die Implementierung eines Ticketsystems zur Fristüberwachung. Rechtlich heikel sind Fälle, in denen der DSAR die Rechte Dritter berührt – etwa bei internen E-Mails, die mehrere Personen betreffen. Hier ist eine sorgfältige Abwägung erforderlich. Auch die Frage der Gebührenerhebung bei exzessiven Anträgen sollte vorab durch eine klare Policy geregelt sein. Strategisch betrachtet ist ein effizienter DSAR-Prozess ein Vertrauenssignal: Unternehmen, die Auskunftsanfragen schnell und transparent bearbeiten, positionieren sich als verlässliche Partner im B2B-Umfeld.
« Back to Glossary IndexDie Qualität der DSAR-Bearbeitung ist ein stiller Indikator für die Reife des gesamten Datenschutzmanagements eines Unternehmens.