Auskunftsanfrage nach der DSGVO: Was Sie herausgeben müssen und was nicht
·
Auf Ihrem Schreibtisch liegt ein Schreiben. Jemand verlangt „Auskunft über sämtliche zu meiner Person gespeicherten Daten sowie Kopien aller Dokumente, E-Mails und internen Vermerke“. Oft ist es ein ausgeschiedener Mitarbeiter, oft steht daneben gleich eine Schadensersatzforderung, und meistens ist eine Frist gesetzt, die deutlich kürzer ist als das, was das Gesetz vorsieht.
Die erste Frage, die mir Geschäftsführer in dieser Lage stellen, lautet: Muss ich dem wirklich alles geben? Die Antwort ist nein. Es gibt ein starkes Auskunftsrecht, und Sie sollten es ernst nehmen. Aber es ist kein Blankoscheck. Ich sortiere Ihnen hier, was Sie schulden, was nicht, und in welcher Reihenfolge Sie vorgehen.
Vorweg in eigener Sache: Ich bin zertifizierter Datenschutzbeauftragter und begleite solche Anfragen regelmäßig. Ich sage Ihnen deshalb nicht, was theoretisch alles denkbar wäre, sondern was Sie in den nächsten vier Wochen konkret tun sollten.
Zuerst die Uhr, alles andere danach
Das ist der Fehler, der am häufigsten passiert und der am leichtesten zu vermeiden ist.
Sie haben einen Monat ab Eingang der Anfrage. Nicht ab dem Tag, an dem jemand im Haus sie als Auskunftsanfrage erkennt. Diese Frist können Sie um zwei weitere Monate verlängern, wenn die Sache aufwendig ist. Aber nur unter einer Bedingung: Sie müssen die Verlängerung innerhalb des ersten Monats ankündigen und begründen. Stillschweigend geht das nicht (Art. 12 DSGVO).
Der typische Ablauf, der schiefgeht: Die Mail liegt zwei Wochen im info-Postfach. Dann fällt sie jemandem auf. In Woche vier merkt der Betrieb, dass die Recherche länger dauert. Gearbeitet wird bis Woche sechs, dann kommt die Antwort. Die Verlängerung wurde nie angekündigt. Damit steht eine Fristüberschreitung im Raum, die eine einzige kurze Mail verhindert hätte.
Zwei Dinge noch: Die kurze Frist, die Ihnen der Absender selbst setzt, ist keine Rechtsgrundlage. Es bleibt bei einem Monat. Und wenn Sie nicht tätig werden wollen, müssen Sie das trotzdem innerhalb des Monats mitteilen, mit Gründen und mit dem Hinweis auf das Beschwerderecht bei der Aufsichtsbehörde. Schweigen ist immer falsch.
Was Sie herausgeben müssen
Die DSGVO gibt der anfragenden Person zwei verschiedene Dinge, und die werden ständig durcheinandergeworfen.
Die Auskunft. Die Person darf erfahren, ob und welche Daten Sie über sie verarbeiten: welche Kategorien, zu welchen Zwecken, wie lange gespeichert, an wen übermittelt, woher die Daten stammen. Dazu der Hinweis, dass sie Berichtigung, Löschung und Beschwerde verlangen kann. Diesen Teil müssen Sie fast immer vollständig liefern (Art. 15 DSGVO).
Die Kopie. Zusätzlich schulden Sie eine Kopie der personenbezogenen Daten. Hier liegt das größte Missverständnis: „Kopie“ heißt nicht „jedes Dokument, in dem der Name vorkommt“. Es heißt: die Daten in einer Form, die verständlich und nachprüfbar ist. Ganze Dokumente oder Auszüge müssen nur dann heraus, wenn das nötig ist, damit die Person ihr Recht überhaupt wirksam ausüben kann. Um diesen Punkt dreht sich in der Praxis fast jeder Streit.
Ein Punkt, der Sie entlastet: Sie müssen keine Daten erzeugen, die Sie nicht haben. Wenn Sie keine strukturierte Historie führen, müssen Sie keine anlegen, nur um sie herauszugeben. Sie geben Auskunft über den Bestand, der da ist.
Ein Punkt, der Sie belastet: Bei den Empfängern reicht „wir geben Daten an Dienstleister weiter“ nicht. Die Person hat grundsätzlich Anspruch darauf, die konkreten Empfänger namentlich zu erfahren (EuGH, C-154/21). Wer sein Verzeichnis von Verarbeitungstätigkeiten aktuell hält, hat diese Antwort in fünf Minuten. Wer es nicht hat, sitzt eine Woche daran.
Wann Sie schwärzen oder ablehnen dürfen
Identität unklar. Sie dürfen zusätzliche Informationen verlangen, wenn Sie begründete Zweifel haben, wer da schreibt. Das ist keine Schikane, sondern Pflicht: Wer Daten an die Falsche herausgibt, begeht selbst eine Datenschutzverletzung. Es muss aber verhältnismäßig bleiben. Eine Ausweiskopie von jemandem zu verlangen, der aus der seit Jahren hinterlegten Kundenmailadresse schreibt, ist keine Prüfung, sondern eine Hürde. Und wichtig: Ihre Rückfrage stoppt die Frist nicht. Also sofort nachfragen, nicht in Woche drei.
Rechte anderer Personen. Angenommen, eine interne Mail enthält Daten des Anfragenden, daneben aber auch Angaben über einen Kollegen. Der richtige Weg ist weder Zurückhalten noch vollständiges Herausgeben, sondern: die Daten des Anfragenden mitteilen, die Angaben Dritter schwärzen, die Schwärzung begründen. Dasselbe gilt für Geschäftsgeheimnisse, für die es im Bundesdatenschutzgesetz eine eigene Grenze gibt (§ 29 BDSG).
Merken Sie sich die Richtung: Rechte Dritter rechtfertigen Schwärzung und Teilauskunft. Sie rechtfertigen fast nie, dass Sie gar nichts herausgeben. Die Teilauskunft ist der Regelfall, die Totalverweigerung die Ausnahme.
Offenkundig unbegründete oder exzessive Anträge. Hier dürfen Sie ein angemessenes Entgelt verlangen oder die Bearbeitung ablehnen. Und hier steht der Satz, den Sie kennen sollten, bevor Sie sich darauf berufen:
„Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.“
(Art. 12 Abs. 5 Satz 3 DSGVO)
Die Beweislast liegt bei Ihnen. Der Europäische Gerichtshof hat im März 2026 entschieden, dass sogar eine allererste Anfrage abgelehnt werden kann, wenn das Unternehmen eine missbräuchliche Absicht nachweist, etwa bei jemandem, der nachweislich reihenweise nach demselben Muster vorgeht (C-526/24). Der gleiche Gerichtshof hat im selben Urteil betont, dass diese Ausnahme eng auszulegen ist. Eine hohe Zahl von Anfragen allein trägt die Ablehnung nicht.
Praktisch heißt das: Ein einzelner unbequemer Antrag eines verärgerten Ex-Kunden erfüllt das nicht. Wenn Sie sich zu Unrecht auf „exzessiv“ berufen, machen Sie aus einer lästigen Anfrage einen Anspruch gegen sich. Im Zweifel ist das Entgelt der bessere Weg als die Verweigerung.
Backups. Reine Sicherungsbestände, die getrennt liegen und ausschließlich der Wiederherstellung dienen, müssen Sie in aller Regel nicht durchsuchen (§ 34 BDSG). Automatisch gilt das nicht: Wer seine Sicherungen auch für Auswertungen oder Recherchen nutzt, kann sich darauf nicht berufen. Und Ihr laufendes CRM müssen Sie in jedem Fall durchsehen.
Was kein Ablehnungsgrund ist
Vier Argumente höre ich ständig, und keines trägt.
Das Motiv der anfragenden Person ist unerheblich. Auch wer Auskunft verlangt, um damit einen Anspruch gegen Sie vorzubereiten, hat den Anspruch. „Zu aufwendig“ ist für sich genommen kein Grund; der Aufwand kann die Fristverlängerung rechtfertigen, nicht die Verweigerung. Ein laufender Rechtsstreit beseitigt das Auskunftsrecht nicht. Und Betriebsgröße spielt keine Rolle: Ein Zwei-Personen-Betrieb hat dieselbe Auskunftspflicht wie ein Konzern.
Kostet Sie das Geld?
Die erste Auskunft und die erste Kopie sind unentgeltlich. Für weitere Kopien derselben Daten dürfen Sie ein angemessenes Entgelt auf Basis Ihrer Verwaltungskosten verlangen. Ein Entgelt kommt außerdem bei offenkundig unbegründeten oder exzessiven Anträgen in Betracht, als milderes Mittel gegenüber der Ablehnung.
Was passiert, wenn Sie die Frist reißen?
Zwei Dinge sind möglich: eine Beschwerde bei der Aufsichtsbehörde mit anschließender Anordnung, und eine Forderung auf immateriellen Schadensersatz. Solche Forderungen sind inzwischen der Regelfall, nicht die Ausnahme.
Automatisch Geld gibt es dafür aber nicht. Der Betroffene muss darlegen, dass ihm tatsächlich ein Schaden entstanden ist. Ob eine bloße Verspätung dafür ausreicht, liegt derzeit beim Europäischen Gerichtshof. Für Sie ändert das an der Handlung nichts: Die Frist zu halten ist billiger als jede Diskussion darüber, was eine Verspätung wert ist.
Wenn morgen so ein Schreiben eintrifft
- Eingangsdatum notieren, an einer Stelle, die Sie in vier Wochen wiederfinden. Ab diesem Tag läuft der Monat.
- Kurz den Eingang bestätigen. Rechtlich nicht zwingend, praktisch das wirksamste Mittel gegen Eskalation.
- Identität prüfen, wenn nötig, und zwar sofort.
- Datenbestand durchgehen. Ihr Verzeichnis von Verarbeitungstätigkeiten ist dabei die Landkarte. Es sagt Ihnen, welche Systeme Daten halten und an welche Dienstleister sie gehen. Wenn Sie an dieser Stelle merken, dass Sie keines haben, haben Sie ein größeres Problem als diese eine Anfrage.
- Auskunft und Kopie trennen. Die Auskunft geht fast immer vollständig raus. Beim Umfang der Kopie liegt der Spielraum.
- Rechte Dritter schwärzen statt zurückhalten, und die Schwärzung begründen.
- Falls es länger dauert: Verlängerung ankündigen, innerhalb des ersten Monats, mit Grund.
- Alles dokumentieren: Eingang, Prüfschritte, Entscheidung, Begründung, Antwortdatum.
Wer einmal drei Musterschreiben vorbereitet, für die vollständige Auskunft, für die Rückfrage und für die Fristverlängerung, spart bei jeder Anfrage zwei Tage.
Häufige Fragen
Muss die Anfrage schriftlich per Post kommen?
Nein. Sie sind sogar verpflichtet, der Person die Ausübung ihrer Rechte zu erleichtern. Formale Hürden, die Sie selbst aufstellen, wirken in die falsche Richtung. Eine Anfrage per E-Mail ist wirksam.
Ein Bewerber fragt Monate nach der Absage an, wir haben längst gelöscht.
Dann lautet die vollständige Antwort: Wir verarbeiten keine Daten mehr, seit welchem Datum und aus welchem Grund gelöscht. Das ist eine ordnungsgemäße Auskunft, keine Ablehnung. Wichtig ist, dass Sie es belegen können. Wenn Sie die Unterlagen dagegen noch aufbewahren, weil ein Verfahren im Raum steht, verarbeiten Sie die Daten und müssen Auskunft geben.
Was ist mit Daten auf privaten Handys von Mitarbeitenden?
Wenn die Verarbeitung Ihnen zuzurechnen ist, gehören sie dazu. Das ist einer der Gründe, warum unkontrollierte private Geräte und Messenger im Betrieb ein Problem sind, das über diese eine Anfrage hinausreicht.
Wie oft darf dieselbe Person anfragen?
Eine feste Zahl gibt es nicht. Häufige Wiederholung ist ein Indiz für einen exzessiven Antrag, trägt die Ablehnung aber nicht allein.
Gilt das auch bei Anfragen aus dem Ausland?
Ja, unabhängig davon, wo die anfragende Person sitzt, solange die DSGVO auf Ihre Verarbeitung anwendbar ist.
Wenn Sie das einmal sauber aufsetzen wollen
Wenn Sie beim Lesen gemerkt haben, dass Sie zwar von Art. 15 gehört haben, aber nicht wissen, wer bei Ihnen im Haus so eine Anfrage überhaupt erkennt, wo Ihre Daten liegen und was Sie im Zweifel schwärzen dürfen: genau dafür sind wir da.
Als max2-consulting begleiten wir kleine und mittlere Unternehmen in Bayern und im DACH-Raum. Ich bringe als zertifizierter Datenschutzbeauftragter die rechtliche und die technische Seite zusammen, und bei diesem Thema ist beides untrennbar: Eine Auskunft ist immer eine Rechtsfrage und zugleich die Frage, welche Systeme bei Ihnen Daten halten.
Konkret heißt das: ein definierter Weg vom Posteingang bis zur Antwort mit Fristenkontrolle und Musterschreiben, eine Datenlandkarte samt Verzeichnis von Verarbeitungstätigkeiten, und auf Wunsch das laufende DSB-Mandat, damit Sie jemanden anrufen können, bevor Sie antworten.
Kein Hard-Sell, keine Angstmache. Wir schauen uns Ihre Situation an und sagen Ihnen ehrlich, was nötig ist und was nicht. Melden Sie sich, ein erstes Gespräch kostet Sie nichts außer einer halben Stunde.
Vielen Dank fürs Lesen, Ihr Peter Fürsicht
Rechtsstand: August 2026. Dieser Beitrag ist eine allgemeine Information und ersetzt keine anwaltliche Beratung im Einzelfall.
Peter Fürsicht verantwortet DSGVO- und Rechtsfragen bei max2-consulting und leitet ein Team aus WordPress-Entwicklern, SEO-Spezialistinnen und KI-Trainern. Fragen direkt an ihn: pf@max2-consulting.de
Schon gesehen?
Auskunftsanfrage erhalten?
Wir sagen Ihnen ehrlich, was Sie herausgeben müssen und was nicht.
