Jedes Recht aus Kapitel III der Verordnung erreicht ein Softwareunternehmen als Nachricht: ein Nutzer fragt, was das Unternehmen über ihn hat, ein ehemaliger Mitarbeiter verlangt eine Kopie, der Endnutzer eines Kunden will gelöscht werden. Artikel 12 legt das Verfahren für alle fest, und sein Absatz 3 setzt die Frist: Informationen über die auf einen Antrag nach den Artikeln 15 bis 22 ergriffenen Maßnahmen werden unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang zur Verfügung gestellt. Dieser Artikel liest Artikel 12 und Artikel 15 gegen den Katalog, den StandardOS über die Verordnung führt, in dem die Zeile für Artikel 12 Absatz 3 den Monat als Frist trägt, und gegen die kostenlose Seite, die die Frist berechnet und die Antwort schreibt.

Der Monat: ab Eingang, nach der Fristenregel

Die Frist läuft ab Eingang, das ist der Tag, an dem der Antrag das Unternehmen über einen der angebotenen Kanäle erreicht hat, nicht der Tag, an dem ihn jemand gelesen hat. Eine nach Monaten bemessene Frist endet mit Ablauf des Tages des letzten Monats, der dasselbe Datum trägt wie der Tag ihres Beginns, oder mit dem letzten Tag dieses Monats, wenn es ein solches Datum nicht gibt: die Regel der Verordnung (EWG, Euratom) Nr. 1182/71, die der Europäische Datenschutzausschuss in seinen Leitlinien zum Auskunftsrecht auf Artikel 12 Absatz 3 anwendet. Ein am 31. Januar eingegangener Antrag wird also bis zum 28. Februar beantwortet, in einem Schaltjahr bis zum 29.; einer vom 13. eines Monats bis zum 13. des nächsten. Die Seite berechnet das Datum nach dieser Regel und verschiebt eine Frist, die auf ein Wochenende fällt, nicht, weil die sichere Lesart ist, früher zu antworten, nicht später. Artikel 12 Absatz 1 fügt die Form hinzu: schriftlich oder in anderer Form, gegebenenfalls elektronisch, und mündlich nur, wenn die betroffene Person es verlangt und ihre Identität nachgewiesen ist; Artikel 15 Absatz 3 fügt hinzu, dass ein elektronisch gestellter Antrag in einem gängigen elektronischen Format beantwortet wird, sofern die betroffene Person nichts anderes angibt.

Die zwei weiteren Monate und die Mitteilung im ersten

Artikel 12 Absatz 3 zweiter Satz erlaubt, die Frist um zwei weitere Monate zu verlängern, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. Die Verlängerung ist kein zweiter Monat, der durch Schweigen entsteht: der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang über die Verlängerung und deren Gründe, sodass die erste Frist als Tag dieser Mitteilung bestehen bleibt und nur der Inhalt in den dritten Monat rückt. Ein Unternehmen, das einen einzelnen Auskunftsantrag eines Nutzers erhält, kann ihn nicht ehrlich komplex nennen; die Verlängerung ist für das Unternehmen, das nach einer Datenpanne Hunderte erhält, oder für einen Antrag, der Jahre von Aufzeichnungen über mehrere Systeme umfasst. Die Seite hält beide Daten auseinander: den Tag, an dem die Mitteilung fällig war, und den Tag, an dem die Antwort es ist.

Ablehnung, Entgelt und Identität: die drei anderen Absätze

Artikel 12 Absatz 4 betrifft das Unternehmen, das auf den Antrag nicht tätig wird: es unterrichtet die betroffene Person unverzüglich, spätestens aber innerhalb eines Monats nach Eingang über die Gründe sowie über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen und einen gerichtlichen Rechtsbehelf einzulegen. Schweigen ist keine Ablehnung; eine Ablehnung ist ein Schreiben mit Gründen, in derselben Frist. Artikel 12 Absatz 5 macht die Antwort unentgeltlich; nur ein offenkundig unbegründeter oder exzessiver Antrag, insbesondere bei häufiger Wiederholung, erlaubt dem Unternehmen, ein angemessenes Entgelt auf Grundlage der Verwaltungskosten zu verlangen oder sich zu weigern, tätig zu werden, und das Unternehmen trägt die Beweislast für diesen Charakter. Ein zweiter Antrag ein Jahr später ist keine Wiederholung; derselbe Antrag jede Woche schon. Artikel 12 Absatz 6 erlaubt dem Unternehmen, bei begründeten Zweifeln an der Identität der antragstellenden Person zusätzliche Informationen zu ihrer Bestätigung anzufordern, was bei einem Antrag von einer unbekannten Adresse zu einem benannten Konto der Fall ist und bei einem aus dem Konto selbst gesendeten Antrag nicht; die Rückfrage hält die Frist nicht an, und ein Unternehmen, das von jedem Antragsteller eine Passkopie verlangt, hat eine eigene Verarbeitung geschaffen, die es rechtfertigen muss.

Die Auskunft: eine Kopie und acht Informationen

Artikel 15 Absatz 1 gibt der betroffenen Person das Recht, eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden, und, wenn ja, Auskunft über diese Daten und acht Informationen: a) die Verarbeitungszwecke; b) die Kategorien personenbezogener Daten; c) die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern oder bei internationalen Organisationen; d) falls möglich die geplante Speicherdauer oder die Kriterien für ihre Festlegung; e) das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch; f) das Beschwerderecht bei einer Aufsichtsbehörde; g) wenn die Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über ihre Herkunft; h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling nach Artikel 22 Absätze 1 und 4, mit aussagekräftigen Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen für die betroffene Person. Artikel 15 Absatz 3 fügt die Kopie der verarbeiteten personenbezogenen Daten hinzu, weitere Kopien gegen ein angemessenes Entgelt und das elektronische Format; Artikel 15 Absatz 4 bewahrt die Kopie davor, die Rechte und Freiheiten anderer zu beeinträchtigen, weshalb in der Kopie eines Support-Tickets die privaten Notizen des Mitarbeiters über eine dritte Person geschwärzt werden und nicht seine Antworten. Für ein Softwareunternehmen sind sieben der acht bereits geschrieben: es sind die Spalten des Verzeichnisses der Verarbeitungstätigkeiten, und h) ist entweder "keine" oder die Beschreibung, die die Produktdokumentation selbst von dem Modell gibt, das bewertet, sortiert oder entscheidet.

Der Teil des Auftragsverarbeiters und der der Norm

Ein Unternehmen, das die Daten seiner Kunden hostet, erhält Anträge, die es nicht beantworten darf: die betroffene Person gehört zum Kunden, und der Kunde ist der Verantwortliche. Artikel 28 Absatz 3 Buchstabe e lässt den Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen und soweit möglich bei der Beantwortung von Anträgen auf Ausübung der Rechte der betroffenen Person unterstützen, das ist die Bedingung, die die Seite zum Auftragsverarbeitungsvertrag schreibt, und die Export-, Such- und Löschfunktionen, die das Produkt haben muss. ISO/IEC 27701:2025 fasst dieselben Pflichten in Tabelle A.1 als Maßnahmen zu Auskunft, Berichtigung und Löschung, zur Kopie der PII und zur Bearbeitung von Anträgen, die der Katalog jeweils gegen Artikel 12 Absätze 3 und 4 liest, sodass ein zertifiziertes System den Monat als Verfahren mit einer Aufzeichnung dahinter trägt, nicht als Erinnerung.

Was damit zu tun ist

Erfassen Sie jeden Antrag am Tag seines Eingangs an einer Stelle, mit dem Recht, das er ausübt: diese Aufzeichnung ist der Beginn der Frist und der Nachweis, nach dem die Behörde zuerst fragt. Berechnen Sie die Frist nach der Fristenregel und schreiben Sie die Mitteilung über Verlängerung oder Ablehnung zum ersten Datum, nie danach. Beantworten Sie Auskunftsanträge aus dem Verzeichnis der Verarbeitungstätigkeiten und fügen Sie die Kopie aus dem Produkt hinzu; beantworten Sie Lösch- und Berichtigungsanträge und teilen Sie es dann jedem Empfänger der Daten nach Artikel 19 mit. Die Antragsfrist-Seite übernimmt Rechnung und Schreiben; die Meldefrist-Seite steht daneben für den Antrag, der sich als Beschreibung einer Datenpanne erweist, und die Bestimmung der Pflichten sagt, welche der anderen Pflichten dasselbe Unternehmen trägt.