Auskunftsersuchen richtig beantworten

Irgendwann kommt sie in jedem Unternehmen an: eine E-Mail, oft knapp, manchmal mit Verweis auf einen Paragrafen. „Hiermit verlange ich Auskunft über alle zu meiner Person gespeicherten Daten nach Art. 15 DSGVO.“ Absender kann ein Kunde sein, ein ehemaliger Mitarbeiter, ein Bewerber oder jemand, der sich über eine Rechnung ärgert. Nicht selten ist das Ersuchen Teil einer größeren Auseinandersetzung.

Das Auskunftsrecht ist eines der wirksamsten Rechte der DSGVO, und es wird zunehmend genutzt. Wer darauf nicht vorbereitet ist, gerät schnell unter Zeitdruck – und riskiert neben Ärger mit der Aufsichtsbehörde inzwischen auch Schadensersatzforderungen. Wer einen klaren Ablauf hat, erledigt die meisten Anfragen dagegen in wenigen Stunden – und behält auch in angespannten Situationen einen kühlen Kopf.

1. Was die Person verlangen kann

Art. 15 gibt jeder Person das Recht, zu erfahren, ob ein Unternehmen Daten über sie verarbeitet. Ist das der Fall, hat sie Anspruch auf Auskunft über diese Daten und auf eine Reihe weiterer Informationen: die Zwecke der Verarbeitung, die Kategorien der Daten, die Empfänger, die geplante Speicherdauer, ihre Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch, das Beschwerderecht bei der Aufsichtsbehörde, die Herkunft der Daten, falls sie nicht bei ihr selbst erhoben wurden, und gegebenenfalls das Bestehen automatisierter Entscheidungen.

Hinzu kommt nach Art. 15 Abs. 3 der Anspruch auf eine Kopie der Daten. Der Europäische Gerichtshof hat 2023 klargestellt, dass damit eine originalgetreue und verständliche Reproduktion gemeint ist – wenn nötig auch Auszüge aus Dokumenten oder ganze Dokumente, soweit sie für das Verständnis der Daten erforderlich sind. Eine bloße Zusammenfassung genügt nicht. Die erste Kopie ist unentgeltlich.

2. Die Frist

Nach Art. 12 Abs. 3 muss die Auskunft unverzüglich, spätestens aber innerhalb eines Monats nach Eingang erteilt werden. Die Frist beginnt mit dem Eingang des Antrags, nicht mit dem Zeitpunkt, an dem die zuständige Person ihn liest. Eine Anfrage, die zwei Wochen in einem allgemeinen Postfach liegt, hat also bereits die Hälfte ihrer Frist verbraucht. Bei komplexen Anträgen oder einer großen Zahl von Anträgen kann die Frist um zwei Monate verlängert werden – die Verlängerung muss der Person aber innerhalb des ersten Monats mitgeteilt und begründet werden.

3. Der Ablauf in fünf Schritten

Erstens wird der Eingang mit Datum festgehalten und an die zuständige Stelle weitergeleitet. Zweitens wird die Identität geprüft. Das ist wichtig, denn eine Auskunft an die falsche Person wäre selbst ein Datenschutzverstoß. Kommt die Anfrage von der bekannten E-Mail-Adresse eines Kunden, genügt das meist. Bestehen Zweifel, dürfen zusätzliche Angaben verlangt werden – aber nicht mehr als nötig. Eine Ausweiskopie ist nur in Ausnahmefällen angemessen.

Drittens werden die Daten aus allen Systemen zusammengetragen: Kundensystem, E-Mail-Postfächer, Buchhaltung, Ticketsystem, Newsletter-Dienst, gegebenenfalls Papierakten. Hier zeigt sich, wie gut das Verzeichnis der Verarbeitungstätigkeiten gepflegt ist. Viertens werden Angaben über Dritte geschwärzt, etwa Namen anderer Kunden in einer E-Mail-Korrespondenz oder interne Einschätzungen von Kollegen, soweit ihre Rechte überwiegen. Geschäftsgeheimnisse dürfen ebenfalls geschützt werden. Fünftens geht die Antwort fristgerecht und auf sicherem Weg an die Person, mit Kopie der Daten und den Informationen nach Art. 15 Abs. 1.

4. Schwierige Fälle

Häufig kommt das Auskunftsersuchen mitten in einem Streit – vom gekündigten Mitarbeiter, vom unzufriedenen Kunden, vom Anwalt der Gegenseite. Die Versuchung ist groß, es als taktisches Manöver abzutun. Das ist aber kein Grund zur Ablehnung. Der EuGH hat 2023 entschieden, dass eine Person ihr Auskunftsrecht auch dann ausüben darf, wenn sie damit andere als datenschutzrechtliche Zwecke verfolgt, etwa die Vorbereitung eines Prozesses. Die Grenze liegt erst bei offenkundig unbegründeten oder exzessiven Anträgen nach Art. 12 Abs. 5 – und die Beweislast dafür trägt das Unternehmen.

Die Konsequenzen einer mangelhaften Auskunft sind in den letzten Jahren spürbarer geworden. Neben Maßnahmen der Aufsichtsbehörde kann die Person nach Art. 82 DSGVO Schadensersatz verlangen, auch für immaterielle Schäden. Die Beträge sind im Einzelfall oft überschaubar, summieren sich aber und binden Zeit. Eine vollständige, fristgerechte Antwort ist deshalb auch wirtschaftlich die beste Verteidigung. Sie nimmt einem Streit zudem oft die Schärfe, weil sie zeigt, dass das Unternehmen nichts zu verbergen hat.

5. Vorbereitung spart Stunden

Unternehmen, die Auskunftsersuchen souverän beantworten, haben meist drei Dinge vorbereitet. Erstens eine klare Zuständigkeit: Jeder im Team weiß, dass solche Anfragen sofort an eine bestimmte Person oder Adresse weitergeleitet werden. Zweitens eine Übersicht der Systeme, in denen personenbezogene Daten liegen – idealerweise das Verzeichnis der Verarbeitungstätigkeiten, ergänzt um die Frage, wie man dort nach einer Person sucht. Drittens eine Antwortvorlage, die die Pflichtangaben nach Art. 15 Abs. 1 bereits enthält und nur um die konkreten Daten ergänzt werden muss.

Mit dieser Vorbereitung dauert eine typische Auskunft an einen Kunden oft nur ein bis zwei Stunden. Ohne sie wird jede Anfrage zur Suchaktion, bei der am Ende niemand sicher ist, ob wirklich alles gefunden wurde. Die Vorbereitung hat einen angenehmen Nebeneffekt: Wer einmal alle Systeme nach den Daten einer Person durchsucht hat, entdeckt fast immer Altbestände, die längst hätten gelöscht werden müssen. Jedes Auskunftsersuchen ist damit auch eine kleine, kostenlose Prüfung des eigenen Löschkonzepts.

Ein letzter Hinweis zur Form: Die Antwort sollte verständlich sein. Eine unkommentierte Datenbankausgabe mit internen Feldnamen erfüllt den Anspruch kaum, denn Art. 12 verlangt eine präzise, transparente und leicht zugängliche Form in klarer Sprache. Zwei, drei erklärende Sätze zu den Kategorien und Systemen machen den Unterschied – und ersparen Rückfragen, die die Bearbeitung nur verlängern würden.

Stand: September 2026. Kursmaterial der Klarwerk Akademie, keine Rechtsberatung. Abbildungen sind vereinfachte, schematische Darstellungen.