Was genau passiert – und warum es gefährlich ist

Eine DSGVO-Auskunftsanfrage landet im Postfach – und plötzlich herrscht Unsicherheit: Was muss ich eigentlich herausgeben? Was darf ich zurückhalten? Und wie lange habe ich Zeit? Für viele lokale Dienstleister – ob Handwerksbetrieb, Arztpraxis oder Kanzlei – ist genau dieser Moment der Beginn eines teuren Fehlers. Denn wer falsch reagiert, riskiert nicht nur Bußgelder, sondern auch Beschwerden bei der Datenschutzbehörde und handfesten Reputationsschaden.

Was genau passiert – und warum es gefährlich ist

Das Auskunftsrecht nach Artikel 15 DSGVO gibt jeder betroffenen Person das Recht, von Ihnen zu erfahren, welche personenbezogenen Daten Sie über sie gespeichert haben, zu welchem Zweck, wie lange und an wen Sie diese weitergegeben haben. Klingt überschaubar – ist es aber nicht. In der Praxis bedeutet das: Sie müssen sämtliche Daten aus CRM-Systemen, E-Mail-Archiven, Buchhaltungssoftware, Terminkalendern und handschriftlichen Notizen zusammensuchen. Wer das unterschätzt, liefert entweder zu wenig (und riskiert eine Beschwerde) oder zu viel (und verletzt dabei Rechte Dritter).

Die Fristen sind dabei absolut bindend: Sie haben grundsätzlich einen Monat Zeit, um auf eine Auskunftsanfrage zu antworten. Bei komplexen Fällen kann diese Frist auf maximal drei Monate verlängert werden – aber nur, wenn Sie die betroffene Person innerhalb des ersten Monats darüber informieren. Wer diese Frist stillschweigend verstreichen lässt, begeht bereits einen Verstoß. Die deutschen Datenschutzbehörden haben in den vergangenen Jahren Bußgelder in fünf- bis sechsstelliger Höhe verhängt – auch gegen kleine Unternehmen.

Besonders gefährlich: Viele Betriebe wissen gar nicht, wie viele Daten sie tatsächlich speichern. Eine Arztpraxis etwa hält Patientendaten in der Praxissoftware, in E-Mails, auf Rezeptblöcken und in Abrechnungssystemen. Ein Handwerksbetrieb speichert Kundendaten in Angebotssoftware, WhatsApp-Chats und Excel-Tabellen. Wer keinen Überblick hat, kann keine vollständige Auskunft erteilen – und das ist ein Problem, das sich rächt.

Wer besonders betroffen ist

Handwerksbetriebe arbeiten oft mit einer Mischung aus digitalen Tools und analogen Prozessen. Kundendaten liegen verteilt in Auftragsformularen, Buchhaltungsprogrammen, dem Smartphone des Chefs und gelegentlich auch in WhatsApp-Gruppen. Genau diese Unstrukturiertheit macht es schwer, auf eine Auskunftsanfrage vollständig und fristgerecht zu reagieren. Wir sehen in unserer Beratungspraxis regelmäßig, dass Betriebe schlicht nicht wissen, wo sie anfangen sollen.

Arztpraxen und Therapeuten verarbeiten besonders sensible Daten – Gesundheitsdaten gelten nach Artikel 9 DSGVO als besondere Kategorie und unterliegen noch strengeren Anforderungen. Hier ist das Risiko besonders hoch: Eine unvollständige oder verspätete Auskunft kann nicht nur zu Bußgeldern führen, sondern auch zu Beschwerden bei der Ärztekammer oder dem zuständigen Landesbeauftragten für Datenschutz. Unsere Kunden aus dem Gesundheitsbereich berichten, dass Auskunftsanfragen häufig von ehemaligen Patienten kommen – oft im Kontext von Streitigkeiten.

Kanzleien und Steuerberater stehen vor einem besonderen Dilemma: Sie verarbeiten Mandantendaten, die gleichzeitig durch das Berufsgeheimnis geschützt sein können. Hier kollidieren zwei Rechtsbereiche – und wer ohne klare Strategie antwortet, macht es falsch. Entweder werden zu viele Informationen herausgegeben (Verletzung der Verschwiegenheitspflicht) oder zu wenige (DSGVO-Verstoß). Ohne rechtlich sauberes Verfahren ist ein Fehler fast unvermeidlich.

Die 3 häufigsten Fehler die Unternehmen jetzt machen

Fehler 1: Die Anfrage wird ignoriert oder verschleppt. Viele Betriebe reagieren nicht sofort, weil sie die Anfrage nicht als rechtlich bindend einordnen oder schlicht überfordert sind. Manche warten ab, ob sich die anfragende Person nochmals meldet. Das ist gefährlich: Die Frist läuft ab dem Eingang der Anfrage – unabhängig davon, ob Sie geantwortet haben oder nicht. Eine einzige Beschwerde bei der Datenschutzbehörde kann ein Verfahren auslösen, das Monate dauert und erhebliche Kosten verursacht.

Fehler 2: Es wird zu viel herausgegeben. Im Bemühen, kooperativ zu wirken, geben manche Unternehmen Informationen heraus, die Dritte betreffen – zum Beispiel interne Kommunikation, in der andere Personen namentlich erwähnt werden. Das ist ein klarer Verstoß gegen die Datenschutzrechte dieser Dritten. Auskunft bedeutet nicht, alle Dokumente ungeschwärzt zu übermitteln. Wir empfehlen, jede Antwort vor dem Versand von einer fachkundigen Person prüfen zu lassen.

Fehler 3: Es gibt keinen definierten Prozess. Wer zum ersten Mal eine Auskunftsanfrage erhält, improvisiert. Das kostet Zeit, führt zu Fehlern und erzeugt Stress im Team. In der Praxis beobachten wir, dass Unternehmen ohne dokumentierten Prozess im Schnitt dreimal so lange brauchen wie Betriebe mit einer klaren internen Zuständigkeit und einer Checkliste. Ein fehlender Prozess ist kein Kavaliersdelikt – er ist ein strukturelles Datenschutzrisiko.

Was Sie jetzt sofort tun können

Schritt 1: Bestandsaufnahme aller Datenspeicherorte. Erstellen Sie eine Liste aller Systeme, in denen Sie personenbezogene Daten speichern – von der Buchhaltungssoftware über das E-Mail-Postfach bis hin zu physischen Aktenordnern. Diese Liste ist die Grundlage für jede künftige Auskunftsanfrage. Wer nicht weiß, wo Daten liegen, kann keine vollständige Auskunft geben. Dieser Schritt dauert in einem kleinen Betrieb oft nur wenige Stunden – und er ist der wichtigste.

Schritt 2: Interne Zuständigkeit festlegen und dokumentieren. Bestimmen Sie eine konkrete Person in Ihrem Betrieb, die für den Eingang und die Bearbeitung von Auskunftsanfragen verantwortlich ist. Legen Sie schriftlich fest, wie die Anfrage intern weitergeleitet wird, wer die Daten zusammenstellt und wer die Antwort freigibt. Dieser Prozess muss nicht kompliziert sein – aber er muss existieren. Wir empfehlen außerdem, eine Vorlage für die Eingangsbestätigung bereitzuhalten, damit die Frist sauber dokumentiert ist.

Schritt 3: Prüfen, was herausgegeben werden darf – und was nicht. Nicht alles, was Sie über eine Person gespeichert haben, muss uneingeschränkt herausgegeben werden. Interne Vermerke, die ausschließlich zur eigenen Meinungsbildung dienen, können unter Umständen zurückgehalten werden. Informationen über Dritte müssen geschwärzt werden. Wenn Sie unsicher sind, holen Sie sich rechtliche Unterstützung – bevor Sie antworten, nicht danach. Ein Fehler in der Auskunft lässt sich kaum korrigieren, ohne weiteren Schaden anzurichten.

Fazit: Jetzt handeln, nicht abwarten

DSGVO-Auskunftsanfragen werden häufiger – nicht seltener. Verbraucher sind informierter, Datenschutzbehörden aktiver, und die Bußgeldpraxis hat sich in den letzten Jahren deutlich verschärft. Wer heute keinen funktionierenden Prozess hat, wird beim nächsten Eingang einer Anfrage unter Zeitdruck improvisieren – und dabei Fehler machen, die teuer werden. Die gute Nachricht: Mit der richtigen Vorbereitung ist das Thema beherrschbar, auch für kleine Betriebe ohne eigene Rechtsabteilung.

Wir helfen Ihnen dabei, einen rechtssicheren Prozess für Auskunftsanfragen aufzusetzen – praxisnah, verständlich und auf Ihren Betrieb zugeschnitten. Sprechen Sie uns an, bevor die nächste Anfrage im Postfach landet.

→ Jetzt kostenlos anfragen