Wenn eine Person einen Antrag auf Zugang zu personenbezogenen Daten stellt, macht sie von ihrem Recht Gebrauch, die personenbezogenen Daten, die ein Unternehmen über sie gespeichert hat, einzusehen, zu ändern oder zu kontrollieren.
Die über Termly eingereichten DSAR-Mengen zeigen, wie stark der Anstieg war: Die CCPA-Anträge stiegen zwischen 2021 und 2024 um 246 %, während dieDSGVO im gleichen Zeitraum um 222 % zunahmen.
Mit der Einführung neuer staatlicher Datenschutzgesetze und der zunehmenden Sensibilisierung der Nutzer kann man mit Sicherheit sagen, dass DSARs für Unternehmen nicht mehr selten oder optional sind.
In diesem Artikel gehe ich auf die fünf häufigsten Arten von DSARs ein, die Sie wahrscheinlich erhalten werden, und erläutere praktische Schritte, die Sie ergreifen können, um sie reibungslos zu bearbeiten.
Die häufigsten Arten von DSARs
Zwar unterscheiden sich die Datenschutzgesetze in ihrem genauen Wortlaut und ihren Richtlinien, doch gibt es fünf allgemeine Datenschutzrechte, für die Verbraucher in der Regel DSARs einreichen, um sie durchzusetzen, wie die Termlymit fast 60.000 Anfragen zeigt .
Im Folgenden erläutere ich die einzelnen Arten, warum sie wichtig sind und wie Ihr Unternehmen darauf reagieren sollte.
1. "Sagen Sie mir, welche Daten Sie haben" (Request to Know)
Prozentsatz aller Anfragen: 43.9% (Termly)
Die bei weitem häufigste Anfrage, diese DSARs, verlangt Klarheit darüber, welche persönlichen Daten ein Unternehmen über eine Person gesammelt hat, warum sie gesammelt wurden und/oder an wen sie weitergegeben wurden.
Dieses Recht steht im Mittelpunkt fast aller Datenschutzgesetze, einschließlich des CCPA und der DSGVO, die Transparenz als Grundlage des Datenschutzes betrachten.
Warum Benutzer diesen Antrag stellen
Viele Menschen sind sich nicht sicher, was Unternehmen tatsächlich verfolgen, daher ist diese Anfrage oft der erste Schritt zur Vertrauensbildung.
Einige Nutzer stellen Zugriffsanträge, bevor sie entscheiden, ob sie ihre Daten löschen wollen.
Wie Unternehmen darauf reagieren sollten
Um Zugangsanfragen effektiv zu bearbeiten, sollten sich Unternehmen auf Klarheit, Genauigkeit und die Bereitstellung von Informationen in einer benutzerfreundlichen Form konzentrieren.
- Führen Sie ein detailliertes Dateninventar und kartieren Sie, wo personenbezogene Daten gespeichert sind.
- Geben Sie Antworten, die klar und in einfacher Sprache und nicht in Juristensprache verfasst sind.
- Freigabe von Kategorien, Zwecken und Offenlegungen gegenüber Dritten und sichere Übermittlung der Informationen innerhalb des erforderlichen Zeitrahmens.
2. "Meine Daten löschen" (Löschantrag)
Prozentualer Anteil an allen Anfragen: 17.7% (Termly)
An zweiter Stelle nach den Auskunftsersuchen stehen die Löschungsersuchen, die es den Nutzern ermöglichen, die Löschung ihrer personenbezogenen Daten zu verlangen.
Nach der DSGVO ist dies als "Recht auf Vergessenwerden" bekannt, und nach dem CCPA müssen Unternehmen die Löschung anerkennen, sofern keine Ausnahmeregelung gilt.
Warum Benutzer diesen Antrag stellen
Personen können die Löschung aus beliebigen Gründen beantragen.
Zum Beispiel, wenn sie einen Dienst nicht mehr nutzen, wenn sie mit der Datennutzung unzufrieden sind oder wenn sie einfach ihren digitalen Fußabdruck verringern wollen.
Wie Unternehmen darauf reagieren sollten
Bei der Beantwortung von Löschungsanträgen kommt es darauf an, ein Gleichgewicht zwischen den gesetzlichen Aufbewahrungspflichten und dem Recht des Nutzers auf Löschung seiner Daten zu finden.
- Prüfen Sie, ob Sie eine rechtmäßige Grundlage für die Aufbewahrung der Daten haben (z. B. Compliance-Verpflichtungen).
- Erstellen Sie Arbeitsabläufe, die Informationen über alle Systeme hinweg entfernen, nicht nur über die primäre Datenbank.
- Bestätigen Sie dem Benutzer immer, wenn die Löschung abgeschlossen ist.
3. "Meine Daten nicht verkaufen oder weitergeben" (Opt-Out-Anfragen)
Prozentualer Anteil an allen Anfragen: 12.3% (Termly)
Diese Opt-out-Anträge zielen in erster Linie darauf ab, Unternehmen daran zu hindern, personenbezogene Daten zu verkaufen oder weiterzugeben, insbesondere zu Werbe- oder Profilingzwecken.
Mit dem CPRA wurden die kalifornischen Opt-out-Rechte auf kontextübergreifende verhaltensbezogene Werbung ausgeweitet, so dass die Nutzer verhindern können, dass ihre Daten zur Erstellung gezielter Profile verwendet werden.
Warum Benutzer diesen Antrag stellen
Datenschutzbewusste Nutzer möchten vielleicht nicht, dass ihre Daten für zielgerichtete Werbung verwendet werden, und neue staatliche Gesetze geben ihnen mehr Kontrolle denn je.
Wie Unternehmen darauf reagieren sollten
Opt-out-Anträge erfordern klare Prozesse, um sicherzustellen, dass die Entscheidungen der Nutzer in allen Systemen und bei allen Partnern konsequent beachtet werden.
- Zeigen Sie auf Ihrer Website einen eindeutigen Link "Meine persönlichen Daten nicht verkaufen oder weitergeben" an.
- Stellen Sie sicher, dass Opt-outs in allen Tools und Werbenetzwerken beachtet werden.
- Integrieren Sie die Opt-out-Präferenzen in Ihre consent management platform , damit sie automatisch gelten.
4. "Senden Sie mir meine Daten" (Antrag auf Übertragbarkeit)
Prozentualer Anteil an allen Anfragen: 12.3% (Termly)
Auch bekannt als das Recht auf Datenübertragbarkeit, verlangen diese Anfragen, dass Sie den Nutzern eine Kopie ihrer personenbezogenen Daten in einem Format zur Verfügung stellen, das sie an anderer Stelle verwenden können.
Die DSGVO hat dieses Recht erstmals bekannt gemacht, aber es ist inzwischen auch in mehreren Gesetzen der US-Bundesstaaten verankert.
Warum Benutzer diesen Antrag stellen
Bei der Datenübertragbarkeit geht es darum, den Nutzern Flexibilität und Kontrolle zu geben.
Einige Personen stellen diesen Antrag, um ein persönliches Archiv zu führen, während andere ihre Daten leichter an einen Konkurrenten oder einen neuen Dienst weitergeben möchten.
Wie Unternehmen darauf reagieren sollten
Übertragbarkeitsanträge erfordern sichere, strukturierte Übermittlungsmethoden, die den Nutzern die Kontrolle über ihre Informationen geben, ohne sie einem Risiko auszusetzen.
- Stellen Sie die Daten in einem allgemein gebräuchlichen, maschinenlesbaren Format, z. B. CSV, bereit.
- Übermitteln Sie sie sicher, mit geeigneter Verschlüsselung und erst nach Überprüfung der Identität des Antragstellers.
- Führen Sie Aufzeichnungen darüber, was geteilt wurde, falls später Fragen auftauchen.
5. "Ich habe eine besondere Bitte" (Kommentar angeben)
Prozentualer Anteil an allen Anfragen: 6.4% (Termly)
DSAR-Formulare enthalten häufig ein Freitextfeld für Kommentare.
Obwohl es sich hierbei nicht um eine formale Kategorie von Rechten handelt, können die Nutzer hier ihr Anliegen erläutern, mehrere Rechte kombinieren oder einzelne Anliegen vorbringen.
Warum Benutzer diesen Antrag stellen
Sie können eine engere Suche wünschen (z. B. "Zeigen Sie mir nur, was Sie im letzten Jahr gesammelt haben"), oder sie können ein Anliegen vorbringen, das nicht in die bestehenden Rechte passt.
Wie Unternehmen darauf reagieren sollten
Da Anfragen, die auf Kommentaren beruhen, oft nicht in strenge rechtliche Kategorien fallen, sind Flexibilität und offene Kommunikation die beste Antwort.
- Lesen Sie diese Kommentare aufmerksam durch; sie liefern oft einen Kontext, der Zeit spart.
- Bei Unklarheiten wenden Sie sich an den Antragsteller, um eine Klärung herbeizuführen, bevor Sie fortfahren.
- Auch wenn der Kommentar keine neue rechtliche Verpflichtung begründet, trägt eine respektvolle Antwort wesentlich zur Vertrauensbildung bei.
Was sind DSARs?
Ein DSAR ist ein förmlicher Antrag einer Person auf Wahrnehmung ihrer Datenschutzrechte. Während die genauen Rechte je nach Gesetz variieren, erlauben DSARs im Allgemeinen den Menschen,:
- Zugang zu ihren persönlichen Daten haben und verstehen, wie sie verwendet werden
- ihre Daten zu löschen, wenn sie nicht mehr wollen, dass ein Unternehmen sie speichert
- Korrigieren Sie ungenaue oder überholte Angaben
- Bestimmte Arten der Datenverarbeitung, wie z. B. gezielte Werbung, einzuschränken oder abzulehnen
- eine Kopie ihrer Daten in einem portablen Format zu erhalten
Kurz gesagt: DSARs geben dem Einzelnen mehr Kontrolle über seinen digitalen Fußabdruck und machen Unternehmen für den Umgang mit personenbezogenen Daten verantwortlich.
Die wachsende DSAR-Landschaft
Die letzten Jahre haben eines deutlich gemacht: Die DSAR-Aktivität verlangsamt sich nicht, sie beschleunigt sich.
Aufgrund neuer Datenschutzgesetze, eines wachsenden Verbraucherbewusstseins und einer strengeren Durchsetzung werden Unternehmen mit mehr Anfragen konfrontiert als je zuvor. Das zeigen die Zahlen:
Das DSAR-Volumen steigt.
Die über Termly eingereichten CCPA-Anträge haben zwischen 2021 und 2024 um 246 % zugenommen und sich allein von 2023 bis 2024 fast verdoppelt.
Die DSGVO sind im gleichen Zeitraum um 222 % gestiegen, was ein wachsendes globales Bewusstsein für Datenrechte widerspiegelt.
Im ersten Quartal 2025 verzeichneten Websites, die Termly nutzen, bereits mehr Anfragen als in jedem vorherigen Quartal, was auf ein weiteres Wachstumsjahr hindeutet.
Neue staatliche Gesetze sorgen für neue Aktivitäten.
Die Verordnungen in Colorado, Connecticut, Utah und Virginia haben zusätzliche DSAR-Kategorien eingeführt, vom Recht auf Datenkorrektur bis hin zu neuen Opt-outs für sensible persönliche Daten.
Das Engagement der Nutzer ist höher denn je.
Laut Statista werden im Jahr 2024 weltweit 36 % der Internetnutzer ihre DSAR-Rechte wahrnehmen, 2022 waren es nur 24 %.
Zusammengenommen deuten diese Veränderungen darauf hin, dass die Zahl der DSARs nicht nur zunimmt, sondern auch komplexer und folgenreicher wird.
Für Unternehmen besteht die Herausforderung nicht nur darin, auf Anfragen zu reagieren, sondern dies schnell, konsequent und auf eine Weise zu tun, die das Vertrauen der Nutzer stärkt.
Warum Unternehmen vorbereitet sein müssen
Der Anstieg der DSAR-Aktivitäten ist nicht nur ein Trend. Sie stellt die Unternehmen vor echte operative, finanzielle und rufschädigende Herausforderungen.
Unternehmen, die nicht über einen klaren Prozess verfügen, laufen Gefahr, in mehreren Schlüsselbereichen ins Hintertreffen zu geraten.
Operative Belastung
Die durchschnittliche Anzahl der DSARs pro Website, die Termly nutzt, stieg von 19,4 im Jahr 2021 auf 61,0 im Jahr 2024. Das bedeutet, dass selbst kleine und mittelständische Unternehmen mehrere Anfragen pro Monat erhalten.
Jede Anfrage kann eine Identitätsüberprüfung, Datenabfragen über mehrere Plattformen hinweg und eine sorgfältige Überprüfung dessen, was rechtmäßig freigegeben oder gelöscht werden kann, beinhalten.
Für Unternehmen, die auf mehrere Tools angewiesen sind oder Kundendaten an verschiedenen Orten speichern, kann sich die Arbeitslast schnell summieren.
Zunehmende Beschwerden
Die Nutzer werden immer lauter, wenn es um den Umgang mit ihren Daten geht, und sie scheuen sich nicht, sich zu wehren, wenn ein Unternehmen nur langsam reagiert oder unklar kommuniziert.
Selbst wenn ein Unternehmen eine Anfrage letztendlich erfüllt, kann ein ungeschickter Prozess zu frustrierten Nutzern und negativem Feedback führen.
Nach Angaben von EY Law gaben 51 % der Unternehmen an, Beschwerden über ihren Umgang mit DSARs erhalten zu haben.
Diese Beschwerden zehren nicht nur an den Ressourcen, sondern können auch das Vertrauen der Kunden untergraben und möglicherweise zu einer Eskalation bei den Aufsichtsbehörden führen, wenn sie ungelöst bleiben.
Regulatorisches Risiko
Die Regulierungsbehörden werden aufmerksam. Das britische Information Commissioner's Office beispielsweise verzeichnete zwischen 2023 und 2024 einen Anstieg der DSAR-bezogenen Beschwerden um 15 %.
Nach der DSGVO gilt die nicht ordnungsgemäße Beantwortung einer DSAR als Verletzung der Rechte der betroffenen Person, und diese Verstöße fallen unter die höchste Sanktionsstufe.
Das bedeutet, dass die Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes eines Unternehmens betragen können, je nachdem, welcher Betrag höher ist.
Bei der Vorbereitung auf DSARs geht es nicht darum, ein Kästchen für die Einhaltung von Vorschriften anzukreuzen, sondern darum, nachhaltige Prozesse aufzubauen, die das Risiko verringern und die Beziehungen zu Ihren Nutzern stärken.
Unternehmen, die jetzt in die DSAR-Bereitschaft investieren, werden besser gerüstet sein, um die wachsende Komplexität der Anfragen in den kommenden Jahren zu bewältigen.
Wie Termly Ihnen bei der Handhabung von DSARs hilft
Zu wissen, welche Arten von Anfragen Sie erhalten werden, ist nur die halbe Miete. Die eigentliche Herausforderung besteht darin, sie effizient, konsequent und im Einklang mit den für Ihr Unternehmen geltenden Gesetzen zu bearbeiten.
Hier kommt die DSAR-Lösung von Termlyins Spiel.
Mit Termly können Sie:
- Erstellen Sie ein DSAR-Formular in wenigen Minuten: Konfigurieren Sie ein einbettbares Formular oder verwenden Sie einen Termly Link, damit die Benutzer ihre Anträge einfach einreichen können.
- Machen Sie es überall zugänglich: Fügen Sie das Formular direkt in Ihre Website oder App ein, damit die Nutzer immer wissen, wie sie Sie erreichen können.
- Erhalten Sie automatische Benachrichtigungen: Lassen Sie sich per E-Mail benachrichtigen, sobald jemand einen DSAR einreicht, damit nichts durch die Maschen rutscht.
- Erfüllen Sie die CCPA/CPRA-Anforderungen: Verwenden Sie vorgefertigte Links wie "Meine persönlichen Daten nicht verkaufen oder weitergeben" und "Die Verwendung meiner sensiblen persönlichen Daten einschränken" direkt in Ihrem Termly Dashboard.
- Erfüllen Sie globale Gesetze mit einer Lösung: Egal, ob Sie unter die DSGVO, CCPA/CPRA, VCDPA, UCPA oder andere Rahmenwerke fallen, Termly hilft Ihnen, die weltweiten DSAR-Anforderungen zu erfüllen.
Unsere DSAR-Lösung ist für kleine und mittlere Unternehmen gedacht, die nicht die Zeit oder die Ressourcen haben, um Compliance-Workflows von Grund auf zu entwickeln.
Anstatt sich bei Anfragen zu verheddern, sorgt Termly für einen rationalisierten Prozess, der Zeit spart, Risiken reduziert und den Nutzern zeigt, dass Sie ihre Privatsphäre ernst nehmen.
Mehr über die Autorin
Geschrieben von Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha ist Spezialistin für Informationssicherheit und Datenschutz und zertifizierte Datenschutzbeauftragte. In den letzten sechs Jahren war sie als Datenschutzbeauftragte tätig und half kleinen und mittleren Unternehmen bei der Einhaltung von Rechtsvorschriften. Außerdem war sie Mentorin für die Einhaltung von Datenschutzbestimmungen bei vielen internationalen Business Accelerators. Sie ist spezialisiert auf die Umsetzung, Überwachung und Prüfung der Einhaltung von Datenschutzvorschriften (HIPAA, PIPEDA, ePrivacy-Richtlinie, DSGVO, CCPA, POPIA, LGPD). Masha hat an der Universität Belgrad Jura studiert und 2016 die Anwaltsprüfung abgelegt. Mehr über die Autorin
