Während viele noch im Sommerurlaub sind, sollte eines unbedingt erreichbar bleiben: der Datenschutz. Denn ein nicht erreichbares Postfach ist kein kleines Versehen – sondern kann schnell 15.000 Euro kosten.
Die Pflicht zur tatsächlichen Erreichbarkeit
Die Einhaltung datenschutzrechtlicher Vorgaben endet nicht mit der Veröffentlichung einer Datenschutzerklärung oder einem korrekt eingebundenen Kontaktformular. Die Datenschutz-Grundverordnung (DSGVO) (wie auch das DSG-EKD) verpflichtet Verantwortliche dazu, die Rechte betroffener Personen aktiv zu ermöglichen – und das beginnt bei einer funktionierenden Erreichbarkeit.
Denn ohne echte Kommunikationsfähigkeit verlieren zentrale Betroffenenrechte wie Auskunft, Berichtigung oder Löschung ihre Wirkung. Die Konsequenzen reichen von Vertrauensverlust bis hin zu empfindlichen Bußgeldern. Dieser Beitrag beleuchtet, welche Anforderungen an die Erreichbarkeit des Verantwortlichen gestellt werden, welche Fehler in der Praxis häufig vorkommen und wie sie sich vermeiden lassen.
Was die DSGVO (DSG-EKD) zur Erreichbarkeit verlangt
Betroffene Personen müssen ihre Rechte „leicht zugänglich und in einfacher Sprache“ ausüben können. Die DSGVO verpflichtet Verantwortliche dazu, Prozesse und Kommunikationswege so zu gestalten, dass Anfragen unkompliziert gestellt und fristgerecht bearbeitet werden können.
Das sogenannte Erleichterungsgebot nach Art. 12 Abs. 2 DSGVO (16 Abs. 2 DSG-EKD) geht über ein bloßes „Nicht-behindern“ hinaus. Verantwortliche müssen strukturell sicherstellen, dass Anfragen nicht nur eingehen, sondern auch bearbeitet werden – über alle üblichen Kommunikationskanäle hinweg, wie z. B. E-Mail, Post, Telefon oder Webformulare. Reine Formalangaben ohne funktionierende Rückkanäle reichen nicht aus.
Praxisbeispiel: 15.000 Euro Bußgeld wegen nicht erreichbarem Datenschutzbeauftragten
Ein konkreter Fall aus Österreich verdeutlicht, wie schnell Versäumnisse bei der Erreichbarkeit zu einem Datenschutzverstoß führen können. Ein Unternehmen hatte auf seiner Website eine eigene E-Mail-Adresse für den Kontakt zum Datenschutzbeauftragten veröffentlicht – diese existierte jedoch gar nicht. Anfragen gelangten nie zum Empfänger.
Eine betroffene Person, die ihr Recht auf Löschung geltend machen wollte, erhielt keine Rückmeldung und wandte sich an die Datenschutzbehörde. Diese stellte gleich mehrere Verstöße fest:
- Verletzung des Erleichterungsgebots (Art. 12 Abs. 2 DSGVO): Die Wahrnehmung der Betroffenenrechte wurde faktisch unmöglich gemacht.
- Nicht-Einhaltung der Fristen für die Bearbeitung (Art. 12 Abs. 3 i.V.m. Art. 17 DSGVO).
- Fehlende Kooperation mit der Aufsichtsbehörde (Art. 31 DSGVO).
Das Bundesverwaltungsgericht Österreich bestätigte die Entscheidung in seinem Urteil vom 28.03.2025 (Az. W298 2285480-1/10E) und verhängte ein Bußgeld in Höhe von 15.000 Euro. Der Umstand, dass die technische Störung unbeabsichtigt war, wurde nicht als Entlastung anerkannt – denn die Verantwortung für funktionierende Kommunikationswege liegt beim Unternehmen.
Kommunikationskanäle: Kein Monopol auf den bevorzugten Weg
Ein häufiger Fehler besteht auch darin, betroffenen Personen lediglich einen einzigen, unternehmenseigenen Kommunikationskanal aufzuzwingen – etwa eine spezielle E-Mail-Adresse in der Datenschutzerklärung. Zwar ist es zulässig, zentrale Kontaktstellen zu benennen, doch gleichzeitig müssen auch alle realistisch nutzbaren Kontaktwege berücksichtigt werden.
So gilt beispielsweise eine Rückmeldung über ein Kontaktformular oder eine Antwort auf eine automatisch versendete E-Mail als zulässiger Kommunikationsweg – sofern dieser technisch möglich ist. „No-reply“-Adressen, die Rückmeldungen unterbinden, sind daher kritisch zu bewerten. Wird eine solche genutzt, muss zwingend eine alternative, aktiv betreute Adresse angegeben werden, an die Datenschutzanfragen gerichtet werden können.
Organisatorische Vorkehrungen für eine datenschutzkonforme Erreichbarkeit
Die Erreichbarkeit des Verantwortlichen erfordert mehr als die bloße Angabe von Kontaktdaten. Entscheidend sind verlässliche interne Prozesse, technische Überprüfung und geschultes Personal. Die folgenden Maßnahmen helfen bei der rechtskonformen Umsetzung:
- Technische Funktionalität regelmäßig prüfen
Die Erreichbarkeit per E-Mail, Telefon oder Formular sollte regelmäßig intern getestet werden. Empfehlenswert sind stichprobenartige Selbstanfragen mindestens quartalsweise. Prüfen Sie insbesondere auch Funktions-Email-Adressen, welche auf der Website veröffentlicht aber vielleicht nicht so oft genutzt werden, wie info@[...]; service@[...].
- Vertretungsregelungen bei Abwesenheit
Datenschutzanfragen müssen unabhängig von Urlaub, Krankheit oder interner Abwesenheit zeitnah bearbeitet werden. Dazu sind klare Vertretungen und Übergabeprozesse erforderlich.
- Sensibilisierung der Mitarbeitenden
Alle Mitarbeitenden mit externem Kontakt – ob Kundenservice, Vertrieb oder Empfang – sollten in der Lage sein, Datenschutzanfragen zu erkennen und umgehend weiterzuleiten. Denn die Bearbeitungsfrist beginnt mit dem Eingang der Anfrage im Unternehmen.
- Transparente Darstellung in der Datenschutzerklärung
Die Angaben zur Kontaktaufnahme mit dem Verantwortlichen oder Datenschutzbeauftragten sollten gut sichtbar, aktuell und eindeutig sein – ohne versteckte Hinweise oder unnötige Umwege.
Fazit: Erreichbarkeit ist Teil der datenschutzrechtlichen Verantwortung
Die DSGVO (und DSG-EKD) verlangt von Verantwortlichen eine klare, verlässliche und niederschwellige Kommunikationsstruktur – nicht nur im Sinne der Rechtssicherheit, sondern auch als Ausdruck von Transparenz und Vertrauen.
Wer seine internen und externen Prozesse so gestaltet, dass Anfragen zuverlässig ankommen und fristgerecht bearbeitet werden, reduziert nicht nur das Risiko von Sanktionen, sondern positioniert sich auch als verantwortungsvoll und datenschutzbewusst gegenüber Kunden, Partnern und Behörden.
