DSAR (Data Subject Access Request) nach Art. 15 DSGVO sind 2026 für deutsche Mittelständler Routine — vor allem Mitarbeiter-Anfragen häufen sich. Wer in 30 Tagen nicht rechtssicher antwortet, riskiert Bußgelder und EuGH-konforme Schadensersatz-Ansprüche. Dieser Guide liefert die konkrete DSAR-Antwort-Vorlage für Mitarbeiter-Anfragen plus 9-Punkte-Checkliste. Für strukturierten Workflow lohnt der Blick auf Hugo DSB mit DSAR-Workflow.
Frist
30 Tage nach Eingang — verlängerbar um 2 Monate bei Komplexität.
EuGH 2024
Sehr weite Auslegung — Logs, E-Mails, Notizen müssen ausgeliefert werden.
Bußgeld-Risiko
5-30 k € bei verspäteter oder unvollständiger Antwort.
Aufwand
5-15 h Arbeitsaufwand pro DSAR-Antwort bei manueller Bearbeitung.
Der 30-Tage-DSAR-Workflow
- Tag 1: Eingangsbestätigung per E-Mail an Betroffene
- Tag 1-3: Identitäts-Prüfung (Personalausweis-Kopie geschwärzt, Mitarbeiter-Nr.)
- Tag 3-7: Daten-Identifizierung in allen Systemen (HR, Mail, Akten, Zeit-Erfassung)
- Tag 7-20: Daten-Zusammenstellung mit Schwärzungen Dritter-Daten
- Tag 20-25: Rechtsprüfung durch DSB
- Tag 25-29: Antwort-Erstellung mit Vorlage
- Tag 30: Versand per E-Mail oder Brief mit Empfangsbestätigung
DSAR-Antwort-Vorlage für Mitarbeiter (Standard-Struktur)
Vorlage:
„Sehr geehrte/r [Name],
vielen Dank für Ihre Anfrage nach Art. 15 DSGVO vom [Datum]. Nachfolgend Auskunft über alle bei uns gespeicherten personenbezogenen Daten zu Ihrer Person:
1. Kategorien der Daten: Stammdaten, Gehaltsdaten, Arbeitszeit-Erfassung, Beurteilungen, E-Mail-Kommunikation, Schulungsnachweise
2. Verarbeitungs-Zwecke: Personalverwaltung, Lohnabrechnung, Fortbildungs-Management
3. Empfänger: Steuerberater, Sozialversicherung, Versicherung, Cloud-Anbieter (siehe Anlage Subprozessor-Liste)
4. Speicherdauer: Stammdaten 10 Jahre nach Beschäftigungs-Ende, Gehaltsdaten 10 Jahre, andere nach Aufbewahrungs-Fristen
5. Rechte: Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Beschwerde bei Aufsichtsbehörde (HmbBfDI)
6. Anlage: Datensätze als PDF/CSV
Bei Rückfragen stehen wir unter [DSB-Kontakt] zur Verfügung.
Mit freundlichen Grüßen
[Datenschutzbeauftragte/r]“
9-Punkte-Checkliste für DSAR-Antwort
- Identitäts-Prüfung dokumentiert
- Alle Datenkategorien benannt
- Verarbeitungs-Zwecke je Kategorie
- Empfänger / Subprozessoren-Liste
- Speicherdauer je Kategorie
- Rechte der Betroffenen erklärt
- Beschwerde-Möglichkeit bei Aufsichtsbehörde
- Tatsächliche Datensätze als Anlage (PDF/CSV)
- Dritter-Daten geschwärzt (DSGVO-Konflikt)
„DSAR-Anfragen häufen sich 2026, vor allem von ausgeschiedenen Mitarbeitenden. Manuelle Bearbeitung kostet 5-15 Stunden pro Anfrage. Mit Hugo DSB-Workflow reduziert sich das auf 1-3 Stunden. Wichtig: 30-Tage-Frist niemals reißen — EuGH-Urteile zu Schadensersatz machen verspätete Antworten teuer.“
— Nils Oehmichen, Geschäftsführer der frag.hugo Informationssicherheit GmbH
FAQ — DSAR-Antwort für Mitarbeiter
In welcher Form muss ich antworten?
Schriftlich (E-Mail oder Brief), klar verständlich, vollständig. Daten als PDF/CSV-Anlage. Auf Wunsch elektronisch verschlüsselt.
Was kostet eine DSAR-Bearbeitung?
Bei manueller Bearbeitung 5-15 Stunden Arbeitsaufwand = 300-1.000 € interne Kosten. Mit Plattform-Workflow 1-3 Stunden = 60-200 €.
Kann ich die Frist verlängern?
Ja, um 2 Monate bei besonderer Komplexität. Aber: Verlängerung muss innerhalb der ersten 30 Tage mit Begründung mitgeteilt werden.
Muss ich E-Mails und Notizen ausliefern?
Nach EuGH-Urteil 2024 ja, im Rahmen der Verhältnismäßigkeit. Strukturierter DSAR-Workflow identifiziert alle Datenkategorien systematisch.
Wie identifiziere ich alle Mitarbeiter-Daten?
Systematisch durch alle Systeme: HR-Software, E-Mail-Server, File-Server, Zeit-Erfassung, Schulungs-Plattform, Bewertungs-Tool, Akten-Archiv. VVT als Inventar-Basis.
Was tun, wenn Daten Dritter betroffen sind?
Schwärzen oder anonymisieren. Dritter-Daten (z.B. Kollegen in E-Mail-CC) dürfen nicht ohne Einwilligung weitergegeben werden.
Fazit: DSAR-Antwort 2026 ist Workflow-Disziplin
Mitarbeiter-DSARs sind 2026 für deutsche Mittelständler Routine. 30-Tage-Frist niemals reißen. Strukturierte Vorlage plus Plattform-Workflow reduziert Aufwand von 15h auf 3h. Lohnt der Blick auf Hugo DSB mit DSAR-Workflow.