Ein ehemaliger Mitarbeiter verlangt Auskunft über alle zu ihm gespeicherten Daten. Ein Kunde fragt, woher Sie seine Adresse haben. Beides ist formfrei möglich, beides ist fristgebunden – und beides lässt sich mit einem festen Ablauf routiniert erledigen.
Nach Art. 12 Abs. 3 DSGVO müssen Sie unverzüglich, spätestens innerhalb eines Monats antworten. Der Monat läuft ab Eingang des Antrags, nicht ab dem Tag, an dem ihn die zuständige Person zur Kenntnis nimmt. Eine Verlängerung um zwei weitere Monate ist möglich, muss aber innerhalb des ersten Monats mitgeteilt und begründet werden.
Das ist der erste kritische Punkt: Ein Auskunftsersuchen, das im allgemeinen Info-Postfach landet und dort drei Wochen liegt, kostet Sie drei Viertel der Bearbeitungszeit.
Auskunftsersuchen sind selten als solche gekennzeichnet. Formulierungen wie „Ich möchte wissen, was Sie über mich gespeichert haben" oder „Bitte senden Sie mir alle Unterlagen zu meiner Person" sind Anträge nach Art. 15 DSGVO – auch ohne Nennung der Norm. Beschäftigte im Kundenservice und im Empfang sollten das erkennen und weiterleiten können.
Vor der Auskunft steht die Prüfung, ob die anfragende Person auch die betroffene Person ist. Art. 12 Abs. 6 DSGVO erlaubt zusätzliche Informationen bei begründeten Zweifeln – aber nicht routinemäßig und nicht im Übermaß. Kommt die Anfrage von der bekannten E-Mail-Adresse aus dem Kundenkonto, ist die Sache meist erledigt.
Ein Sonderfall: Anfragen durch Anwälte oder Dienstleister. Hier ist eine Vollmacht zu verlangen.
Hier entscheidet sich die Qualität der Antwort. Zu durchsuchen sind in der Regel:
Genau hier zahlt sich ein gepflegtes Verarbeitungsverzeichnis aus: Es sagt Ihnen, wo überhaupt gesucht werden muss.
Art. 15 Abs. 1 DSGVO verlangt neben den Daten selbst auch Angaben zu Zwecken, Datenkategorien, Empfängern, geplanter Speicherdauer, Herkunft der Daten, Bestehen der Betroffenenrechte und einer etwaigen automatisierten Entscheidungsfindung.
Zwei Punkte werden regelmäßig übersehen:
Der Anspruch endet dort, wo Rechte anderer Personen beginnen. Namen von Kollegen, Beurteilungen Dritter, Angaben zu anderen Kunden werden geschwärzt. Auch Geschäftsgeheimnisse und Ausnahmen nach § 34 BDSG können den Umfang begrenzen.
Wichtig ist die Reihenfolge: Erst prüfen, dann schwärzen, nie pauschal verweigern. Eine vollständige Ablehnung ohne Einzelfallbegründung ist der häufigste Auslöser für Beschwerden bei der Aufsichtsbehörde.
Verspätete oder unvollständige Auskünfte sind einer der häufigsten Gründe für Bußgelder und für Schadensersatzklagen nach Art. 82 DSGVO. Der EuGH hat zwar klargestellt, dass ein Verstoß allein noch keinen Schadensersatz begründet – ein konkreter, auch immaterieller Schaden muss dargelegt werden. Die Verfahrenskosten entstehen aber unabhängig vom Ausgang.
Drei Festlegungen genügen für den Alltag: eine zentrale Eingangsadresse, eine benannte verantwortliche Person mit Vertretung, und eine Vorlage, die die Pflichtangaben nach Art. 15 bereits enthält. Damit sinkt die Bearbeitungszeit einer Standardanfrage von mehreren Tagen auf wenige Stunden.
Nein. Es ist vollständig formfrei – per E-Mail, telefonisch, über ein Kontaktformular oder eine Direktnachricht in sozialen Netzwerken. Eine Begründung muss die betroffene Person ebenfalls nicht liefern. Auch ein Anspruch, der offensichtlich als Druckmittel im Kündigungsstreit eingesetzt wird, ist zu erfüllen.
Nur wenn begründete Zweifel an der Identität bestehen und kein milderes Mittel ausreicht. Häufig genügt die Antwort über eine bereits hinterlegte E-Mail-Adresse oder eine Rückfrage zu bekannten Vertragsdaten. Wird eine Ausweiskopie akzeptiert, sollten nicht benötigte Angaben geschwärzt sein.
Die erste Auskunft ist unentgeltlich. Für weitere Kopien darf nach Art. 15 Abs. 3 DSGVO ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangt werden. Bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt Art. 12 Abs. 5 DSGVO ein Entgelt oder die Weigerung – die Beweislast dafür liegt allerdings bei Ihnen.
Der Anspruch bezieht sich auf die personenbezogenen Daten, nicht pauschal auf jedes Dokument. Der EuGH hat aber klargestellt, dass die Kopie eine originalgetreue Reproduktion sein muss und die Vorlage ganzer Dokumente nötig sein kann, wenn der Kontext für das Verständnis unerlässlich ist. Rechte Dritter und Geschäftsgeheimnisse begrenzen das – dann wird geschwärzt, nicht verweigert.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.