Datenschutz
Betroffenenrechte: Auskunft, Löschung und Co. im Griff
Die DSGVO gibt jeder Person einklagbare Rechte. Gut organisiert sind sie Routine.
Auskunft, Berichtigung, Löschung, Widerspruch: Diese Rechte gelten uneingeschränkt auch dann, wenn KI im Spiel ist, und die Frist von einem Monat läuft ab dem Ersuchen. Dieser Beitrag erklärt die Rechte verständlich und zeigt den Ablauf, mit dem ein Ersuchen zur Routineaufgabe wird statt zum Krisenfall.
Die Eckdaten auf einen Blick
Ein Monat. Antwortfrist ab Eingang des Ersuchens, bei komplexen Fällen begründet verlängerbar.
Formfrei. Eine einfache E-Mail genügt. Kein Formular, keine Begründung nötig.
Unentgeltlich. Die erste Kopie der Daten ist für die anfragende Person kostenlos.
Diese Rechte gelten gegenüber jedem Unternehmen, unabhängig von Größe und Branche.
Kurz erklärt
Was sind Betroffenenrechte?
Die Rechte, die die DSGVO jeder Person an ihren eigenen Daten gibt: zu erfahren, was über sie gespeichert ist (Auskunft), Fehler korrigieren zu lassen (Berichtigung), Daten entfernen zu lassen (Löschung) und einer Verarbeitung zu widersprechen. Unternehmen müssen binnen eines Monats reagieren, auch für Daten in KI-Systemen, Chat-Verläufen und Protokollen.
Die Rechte
Vier Rechte, die du kennen musst
Es gibt weitere (Einschränkung, Datenübertragbarkeit), aber diese vier machen den Alltag aus.
Auskunft (Art. 15)
Jede Person darf fragen: Welche Daten habt ihr über mich, woher, wofür, und an wen gebt ihr sie weiter? Die Antwort muss vollständig sein, auch über Daten in KI-Verläufen und Protokollen.
Berichtigung (Art. 16)
Falsche Daten müssen korrigiert werden, unverzüglich. Das klingt banal, wird aber anspruchsvoll, sobald dieselbe Angabe in mehreren Systemen und Kopien lebt.
Löschung (Art. 17)
Das „Recht auf Vergessenwerden“: Sind die Daten für den Zweck nicht mehr nötig oder wird die Einwilligung widerrufen, müssen sie weg, auch aus Backups-Konzepten und beim Auftragsverarbeiter.
Widerspruch und automatisierte Entscheidungen (Art. 21, 22)
Personen können der Verarbeitung widersprechen und haben das Recht, keiner rein automatisierten Entscheidung mit rechtlicher Wirkung unterworfen zu werden. Für KI-Einsatz heißt das: Ein Mensch muss das letzte Wort haben können.
Der Ablauf
Ein Ersuchen in vier Schritten beantworten
Vom Eingang bis zur dokumentierten Antwort.
Der Unterschied zwischen Routine und Krise liegt fast immer in Schritt 02: Wer weiß, wo welche Daten liegen, hat den Rest schnell erledigt.
- 01
Eingang festhalten und Identität prüfen: Das Ersuchen ist formfrei gültig, auch per E-Mail. Ab jetzt läuft die Monatsfrist, also Datum dokumentieren und bei Zweifeln die Identität klären.
- 02
Daten vollständig auffinden: Kundendatenbank (CRM), Mail, Dateiablagen, und beim KI-Einsatz auch Chat-Verläufe, Gedächtnis-Einträge und Verarbeitungsprotokolle. Wer seine Datenhaltung kennt, ist hier in Stunden fertig statt in Wochen.
- 03
Dienstleister einbeziehen: Auftragsverarbeiter müssen laut AVV bei Betroffenenanfragen unterstützen. Jetzt zahlt sich aus, ob der Anbieter Auskunfts- und Löschwege eingebaut hat oder nur versprochen.
- 04
Fristgerecht und verständlich antworten: innerhalb eines Monats, unentgeltlich, in klarer Sprache. Die Antwort und die durchgeführten Schritte dokumentieren, das ist die Rechenschaft aus Art. 5 Abs. 2.
Der rote Faden: Betroffenenrechte sind ein Datenhaltungs-Thema. Geordnete Daten machen jedes Ersuchen einfach; verstreute Kopien machen jedes Ersuchen teuer.
Verwandte Themen
Tiefer einsteigen
Betroffenenrechte hängen an Datenhaltung, Verträgen und Nachweisen. Hier sind die Nachbarthemen.
DSGVO und KI
Der große Rahmen: Rechtsgrundlagen, Datenminimierung und die Pflichtenlage beim KI-Einsatz.
PII-Anonymisierung
Der beste Weg, Betroffenenrechte zu vereinfachen: Daten maskieren, bevor ein Modell sie sieht.
Audit-Trail
Die Nachweisgrundlage: Wer belegen kann, was wann geschah, beantwortet jedes Ersuchen gelassener.
Häufige Fragen
Häufige Fragen zu Betroffenenrechten
Von der Monatsfrist bis zur Frage, ob ein Modell vergessen kann.
Gilt das Auskunftsrecht auch für KI-Chat-Verläufe?
Ja. Sobald in Verläufen, Protokollen oder einem KI-Gedächtnis personenbezogene Daten stehen, fallen sie unter Art. 15, genauso wie eine E-Mail oder ein Eintrag in der Kundendatenbank. Deshalb ist eine geordnete Datenhaltung mit klarer Zuordnung pro Organisation und Person die halbe Miete: Was auffindbar ist, ist auch beauskunftbar.
Kann ein KI-Modell eine Person „vergessen“?
Hier muss man zwei Dinge trennen. Gespeicherte Daten (Verläufe, Gedächtnis, Dokumente) lassen sich löschen, das ist der Normalfall und technisch lösbar. Einmal in das Training eines Modells eingeflossene Daten lassen sich dagegen praktisch nicht mehr gezielt entfernen. Die ehrliche Konsequenz: Personenbezogene Daten gehören gar nicht erst ins Training, vertraglich ausgeschlossen und technisch durch Anonymisierung abgesichert.
Was ist eine „automatisierte Entscheidung im Einzelfall“ (Art. 22)?
Eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung, die ausschließlich eine Maschine trifft, etwa eine automatische Kreditablehnung oder Bewerber-Aussortierung. Solche Entscheidungen sind nur in engen Ausnahmen erlaubt, und Betroffene haben das Recht auf menschliches Eingreifen. KI darf vorbereiten und vorschlagen; entscheiden sollte ein Mensch.
Wie schnell müssen wir antworten, und was kostet es die Person?
Innerhalb eines Monats nach Eingang, bei komplexen Fällen mit Begründung verlängerbar um zwei weitere Monate. Die erste Kopie ist für die Person kostenlos. Die Frist läuft ab Eingang des Ersuchens, nicht ab dem Tag, an dem es intern die richtige Stelle erreicht, ein häufiger und vermeidbarer Stolperstein.
Was passiert, wenn wir ein Ersuchen ignorieren?
Betroffene können sich bei der Aufsichtsbehörde beschweren, die Auskunft anordnen und Bußgelder verhängen kann (bis 20 Mio. € oder 4 % des Jahresumsatzes, Art. 83 Abs. 5). In der Praxis beginnt fast jede datenschutzrechtliche Auseinandersetzung mit einem schlecht beantworteten Auskunftsersuchen.
Wie unterstützt AI Link bei Betroffenenrechten?
Durch Ordnung von Anfang an: Daten liegen klar pro Organisation und Nutzer strukturiert vor, das Gedächtnis kennt Berechtigungsgrenzen, Aufbewahrung und Löschung folgen definierten Fristen, und das Prüfprotokoll (der Audit-Trail) belegt, was wann geschah. Ein Auskunfts- oder Löschersuchen wird damit zur Routineaufgabe statt zur Archäologie, und als Auftragsverarbeiter unterstützt AI Labs vertraglich zugesichert.
Ordnung ab Werk
Mach Betroffenenrechte zur Routineaufgabe.
Klare Datenhaltung, Löschkonzept und Prüfprotokoll: AI Link bringt die Ordnung mit, die Art. 15 bis 22 leicht macht.