Ein Auskunftsersuchen nach Art. 15 DSGVO erreicht Unternehmen selten zu einem günstigen Zeitpunkt. Häufig kommt es formlos per E-Mail, es ist an keine besondere Form gebunden, es muss nicht begründet werden, und die Frist läuft ab dem Eingang, unabhängig davon, ob die zuständige Person im Urlaub ist. Für den Betroffenen ist das Auskunftsrecht ein niedrigschwelliges Instrument, für das Unternehmen bedeutet es eine vollständige Recherche über sämtliche Systeme hinweg, in denen personenbezogene Daten dieser Person verarbeitet werden. Erschwerend kommt hinzu, dass Auskunftsersuchen in der Praxis oft in konfliktbehafteten Konstellationen gestellt werden, etwa nach einer Kündigung, im Streit über eine Forderung oder als vorbereitender Schritt für Schadensersatzansprüche. Wer den Prozess erst dann entwirft, wenn das erste Ersuchen auf dem Tisch liegt, verliert einen erheblichen Teil der Frist mit organisatorischen Fragen. Dieser Beitrag beschreibt, was der Auskunftsanspruch inhaltlich umfasst, wie Fristen und Identitätsprüfung zu handhaben sind, wo die Grenzen des Anspruchs liegen und wie ein Bearbeitungsprozess aufgebaut wird, der auch unter Zeitdruck trägt.
Was der Auskunftsanspruch inhaltlich umfasst
Der Anspruch aus Art. 15 der Datenschutz-Grundverordnung besteht aus zwei Teilen, die in der Praxis häufig vermischt werden. Der erste Teil ist die Bestätigung, ob personenbezogene Daten verarbeitet werden, verbunden mit einem Katalog von Informationen über diese Verarbeitung. Der zweite Teil ist der Anspruch auf eine Kopie der verarbeiteten Daten.
Der Informationskatalog umfasst insbesondere die Verarbeitungszwecke, die Kategorien der verarbeiteten Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer oder die Kriterien für deren Festlegung, den Hinweis auf die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch, das Beschwerderecht bei einer Aufsichtsbehörde, die Herkunft der Daten, sofern sie nicht bei der betroffenen Person erhoben wurden, sowie Angaben zu automatisierten Entscheidungen einschließlich Profiling.
Die Auskunft ist keine Datenlieferung, sondern eine strukturierte Erklärung über die Verarbeitung, ergänzt um eine Kopie der Daten. Wer nur einen Datenexport verschickt, erfüllt den Anspruch regelmäßig nicht vollständig.
Fristen und ihre Verlängerung
Die Auskunft ist unverzüglich zu erteilen, in jedem Fall innerhalb eines Monats nach Eingang des Antrags. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. Die Verlängerung ist jedoch nicht formfrei: Die betroffene Person muss innerhalb des ersten Monats über die Verlängerung und über die Gründe der Verzögerung unterrichtet werden.
Praktisch bedeutet das, dass der erste Monat auch dann eine Reaktion erfordert, wenn die Recherche noch läuft. Ein häufiger Fehler besteht darin, die Verlängerung erst nach Ablauf des Monats mitzuteilen oder sie ohne Begründung zu erklären. Beides schwächt die Position des Unternehmens, wenn die betroffene Person eine Beschwerde bei der Aufsichtsbehörde einreicht.
Die Frist beginnt mit Eingang des Antrags im Unternehmen, nicht mit der Kenntnisnahme durch die zuständige Stelle. Ein Ersuchen, das an eine allgemeine Info-Adresse oder an eine Führungskraft geht und dort liegen bleibt, verkürzt faktisch die verfügbare Bearbeitungszeit. Aus diesem Grund gehört die Sensibilisierung der Eingangskanäle zum Prozess.
Identitätsprüfung ohne Übermaß
Bestehen begründete Zweifel an der Identität der antragstellenden Person, dürfen zusätzliche Informationen zur Bestätigung angefordert werden. Diese Möglichkeit ist eng zu handhaben. Die pauschale Anforderung einer Ausweiskopie bei jedem Ersuchen ist unverhältnismäßig, insbesondere wenn der Antrag über eine bereits im System hinterlegte E-Mail-Adresse eines bestehenden Kundenkontos gestellt wird.
Ein praktikables Vorgehen unterscheidet drei Fälle. Erstens: Der Antrag kommt aus einem authentifizierten Kundenkonto oder von einer hinterlegten Adresse, dann genügt in der Regel eine Rückbestätigung über diesen Kanal. Zweitens: Der Antrag kommt von einer unbekannten Adresse, dann kann eine Verifikation über einen bereits bekannten Kontaktweg erfolgen. Drittens: Es bestehen konkrete Anhaltspunkte für einen Identitätsmissbrauch, dann ist die Anforderung weiterer Nachweise vertretbar, wobei nicht benötigte Angaben auf einer Ausweiskopie geschwärzt werden sollten.
Wichtig ist die zeitliche Wirkung: Die Frist wird durch eine Identitätsnachfrage nicht neu gestartet, sondern nach überwiegender Auffassung gehemmt, bis die Klärung vorliegt. Eine Verzögerungstaktik über die Identitätsprüfung ist daher nicht nur rechtlich riskant, sondern auch praktisch wirkungslos.
Umfang der Datenkopie und ihre Grenzen
Der Anspruch auf eine Kopie bezieht sich auf die personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Er umfasst nicht automatisch sämtliche Dokumente, in denen der Name vorkommt, wohl aber deutlich mehr als einen Auszug aus dem Stammdatensatz. In die Prüfung gehören typischerweise folgende Quellen.
- Stammdaten aus CRM, ERP und Warenwirtschaft
- Vorgangs- und Transaktionsdaten wie Bestellungen, Rechnungen, Tickets
- Kommunikation, also E-Mail-Verkehr, Gesprächsnotizen und Vermerke
- Personalakte und zugehörige Systeme bei Beschäftigten
- Protokoll- und Logdaten, soweit sie einer Person zuordenbar sind
- Daten bei Auftragsverarbeitern, etwa Newsletter-Tools oder externe Dienstleister
Begrenzt wird der Anspruch dort, wo Rechte und Freiheiten anderer Personen beeinträchtigt würden. Dazu zählen personenbezogene Daten Dritter, Geschäftsgeheimnisse und Rechte des geistigen Eigentums. Diese Begrenzung führt nicht zur vollständigen Verweigerung der Auskunft, sondern zur Schwärzung der betroffenen Passagen. Eine pauschale Berufung auf Geschäftsgeheimnisse ohne konkrete Prüfung ist nicht tragfähig.
Bearbeitungsprozess in sieben Schritten
Ein definierter Ablauf reduziert die Bearbeitungszeit erheblich und macht das Ergebnis nachweisbar. Die folgenden Schritte haben sich als Mindeststruktur bewährt.
- Eingang erfassen: Datum, Kanal, antragstellende Person und Umfang des Ersuchens in einem zentralen Register dokumentieren. Die Fristberechnung startet hier.
- Antrag qualifizieren: Prüfen, ob es sich um ein Auskunftsersuchen, einen Löschantrag oder eine Kombination handelt, und ob es sich auf einen bestimmten Zeitraum oder Vorgang beschränkt.
- Identität klären: Nach dem oben beschriebenen abgestuften Vorgehen, dokumentiert mit Begründung.
- Systeme abfragen: Alle Systeme entlang einer vorbereiteten Systemliste durchsuchen, einschließlich Auftragsverarbeiter, mit dokumentiertem Suchergebnis je System.
- Prüfen und schwärzen: Daten Dritter, Geschäftsgeheimnisse und geschützte interne Bewertungen identifizieren und unkenntlich machen.
- Auskunft erstellen: Informationskatalog und Datenkopie in einem strukturierten Dokument zusammenführen, verständlich formuliert und in gängiger elektronischer Form.
- Übermittlung und Ablage: Sichere Zustellung, Dokumentation des Versands und Aufbewahrung des Vorgangs als Nachweis der Erfüllung.
Form und Zustellung der Auskunft
Stellt die betroffene Person den Antrag elektronisch, ist die Auskunft in einem gängigen elektronischen Format bereitzustellen, sofern nichts anderes gewünscht wird. Ein PDF-Dokument mit strukturierten Abschnitten hat sich bewährt, weil es Informationskatalog und Datenkopie in einem nachvollziehbaren Dokument verbindet und sich revisionssicher ablegen lässt.
Bei der Zustellung ist zu bedenken, dass die Auskunft selbst besonders sensible Informationen bündelt. Ein unverschlüsselter E-Mail-Versand einer vollständigen Datenkopie ist deshalb kritisch zu bewerten. Praktikabel sind ein passwortgeschütztes Archiv mit getrennter Passwortübermittlung, ein Downloadlink mit Ablauffrist oder die Bereitstellung in einem authentifizierten Kundenkonto. Der gewählte Weg gehört in die Dokumentation des Vorgangs.
Verständlichkeit als Anforderung
Die Auskunft muss in präziser, transparenter, verständlicher und leicht zugänglicher Form erfolgen. Ein Rohdatenexport mit technischen Feldbezeichnungen erfüllt diese Anforderung nicht. Bewährt hat sich eine zweispaltige Darstellung, links die verständliche Bezeichnung des Datenfelds, rechts der gespeicherte Wert, ergänzt um eine kurze Erläuterung technischer Kennungen. Der zusätzliche Aufwand entsteht einmalig bei der Erstellung der Vorlage, nicht bei jedem Vorgang.
Sonderfall: Ersuchen von Beschäftigten
Auskunftsersuchen von aktuellen oder ehemaligen Beschäftigten sind besonders anspruchsvoll, weil die Datenlage breiter ist und häufig ein arbeitsrechtlicher Konflikt im Hintergrund steht. Neben der Personalakte betrifft die Recherche Zeiterfassung, Zugangs- und Zutrittssysteme, dienstliche Kommunikation, Leistungsbeurteilungen und häufig auch E-Mail-Postfächer von Vorgesetzten.
Zwei Punkte verdienen besondere Aufmerksamkeit. Erstens enthalten interne Vermerke regelmäßig Bewertungen durch Dritte, deren personenbezogene Angaben zu schützen sind, während die inhaltliche Aussage über die antragstellende Person auskunftspflichtig bleiben kann. Zweitens ist zu klären, ob und in welchem Umfang dienstliche E-Mail-Postfächer durchsucht werden, was wiederum eigene datenschutzrechtliche Anforderungen an den Zugriff auslöst.
Empfehlenswert ist, für diesen Fall eine gesonderte Verfahrensbeschreibung vorzuhalten und die Personalabteilung, den Datenschutzbeauftragten und gegebenenfalls eine arbeitsrechtliche Beratung frühzeitig einzubinden. Der Zeitbedarf liegt deutlich über dem eines Kundenersuchens.
Vorbereitung: Was vorher vorliegen sollte
Die Bearbeitungszeit hängt weniger vom Einzelfall ab als von der Vorbereitung. Die folgenden Bausteine lassen sich unabhängig von einem konkreten Ersuchen aufbauen und verkürzen die Reaktionszeit erheblich.
| Baustein | Inhalt | Aufwand einmalig |
|---|---|---|
| Systemliste | Alle Systeme mit personenbezogenen Daten, je System Suchweg und verantwortliche Person | Ein bis zwei Tage |
| Vorlagensatz | Eingangsbestätigung, Identitätsnachfrage, Fristverlängerung, Auskunftsschreiben | Ein halber Tag |
| Register | Zentrale Übersicht aller Betroffenenanfragen mit Fristen und Status | Wenige Stunden |
| Zuständigkeiten | Benannte Bearbeitung und Vertretung, Eskalationsweg | Wenige Stunden |
| Schwärzungsleitfaden | Kriterien für Daten Dritter, Geschäftsgeheimnisse, interne Bewertungen | Ein halber Tag |
Ergänzend sollte einmal jährlich geprüft werden, ob die Systemliste noch vollständig ist. Neue Tools werden in Fachabteilungen häufig eingeführt, ohne dass die Datenschutzorganisation davon erfährt, und genau diese Systeme werden bei einer Recherche übersehen.
Diese Vorbereitung zahlt sich bereits beim ersten Ersuchen aus. In Unternehmen ohne Vorbereitung liegt der Aufwand für ein durchschnittliches Kundenersuchen erfahrungsgemäß bei mehreren Personentagen, verteilt über mehrere Abteilungen, mit deutlichem Risiko, Systeme zu übersehen.
Schnittstellen zu anderen Betroffenenrechten
Auskunftsersuchen kommen selten allein. Häufig folgt auf die Auskunft ein Antrag auf Berichtigung, Löschung oder Einschränkung der Verarbeitung, gelegentlich auch ein Antrag auf Datenübertragbarkeit. Sinnvoll ist deshalb, den Prozess von vornherein für alle Betroffenenrechte auszulegen und nicht ausschließlich für die Auskunft.
Zu beachten ist die unterschiedliche Reichweite: Das Recht auf Datenübertragbarkeit erfasst nur Daten, die die betroffene Person selbst bereitgestellt hat und die auf Einwilligung oder Vertrag beruhen und automatisiert verarbeitet werden. Es ist damit deutlich enger als der Auskunftsanspruch. Wer beide Ansprüche gleich behandelt, liefert entweder zu viel oder zu wenig.
Ein zweiter Berührungspunkt betrifft die Löschung. Trifft ein Löschantrag ein, während Aufbewahrungspflichten aus Handels- und Steuerrecht bestehen, ist statt der Löschung eine Einschränkung der Verarbeitung zu prüfen. Diese Fallgruppe sollte im Prozess hinterlegt sein, weil sie in der Praxis regelmäßig auftritt und eine pauschale Löschzusage rechtlich nicht haltbar wäre.
Typische Fehler in der Praxis
- Frist ab Kenntnisnahme gerechnet: Der Eingang im Unternehmen ist maßgeblich, nicht die Weiterleitung an die zuständige Stelle.
- Pauschale Ausweiskopie gefordert: Ohne begründete Zweifel an der Identität ist diese Anforderung unverhältnismäßig und verzögert unnötig.
- Nur Stammdaten übermittelt: Kommunikation, Vermerke und Daten bei Auftragsverarbeitern werden übersehen.
- Informationskatalog vergessen: Es wird eine Datenkopie versandt, ohne Zwecke, Empfänger, Speicherdauer und Herkunft zu erläutern.
- Fristverlängerung ohne Mitteilung: Die Verlängerung wird intern beschlossen, aber der betroffenen Person nicht innerhalb des ersten Monats mitgeteilt.
- Schwärzung pauschal begründet: Der Verweis auf Geschäftsgeheimnisse erfolgt ohne konkrete Prüfung des jeweiligen Dokuments.
- Keine Dokumentation: Der Vorgang wird bearbeitet, aber nicht so abgelegt, dass die Erfüllung später nachweisbar ist.
- Unverschlüsselter Versand: Die vollständige Datenkopie geht per einfacher E-Mail heraus und schafft damit ein neues Datenschutzrisiko.
- Keine Vertretungsregelung: Die zuständige Person ist abwesend, die Frist läuft weiter, und der Vorgang bleibt bis zur Rückkehr unbearbeitet.
Umgang mit exzessiven Anträgen
Bei offenkundig unbegründeten oder exzessiven Anträgen, insbesondere bei häufiger Wiederholung, kann ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden. Die Beweislast für den exzessiven Charakter liegt beim Verantwortlichen, und die Hürde ist hoch. Ein zweites Ersuchen nach mehreren Monaten oder ein Antrag, der in zeitlicher Nähe zu einer Kündigung gestellt wird, erfüllt diese Voraussetzung für sich genommen nicht.
Praktisch sinnvoller als die Verweigerung ist in vielen Fällen die Präzisierung. Bei sehr umfangreichen Verarbeitungen darf um eine Konkretisierung gebeten werden, auf welche Daten oder Verarbeitungsvorgänge sich das Ersuchen bezieht. Diese Nachfrage entbindet allerdings nicht von der Pflicht zur Auskunft, falls die betroffene Person auf dem vollen Umfang besteht.
Hinweis der Redaktion: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Prüfung des Einzelfalls. Die Auslegung einzelner Punkte, etwa zum Umfang der Datenkopie oder zur Fristhemmung, wird in Rechtsprechung und Literatur unterschiedlich beurteilt. Für verbindliche Auskünfte wenden Sie sich bitte an eine qualifizierte Rechtsberatung oder an Ihren Datenschutzbeauftragten.
FAQ
Muss ein Auskunftsersuchen begründet werden?
Nein. Die betroffene Person muss weder Gründe nennen noch eine bestimmte Form einhalten. Auch ein formloses Ersuchen per E-Mail löst die Frist aus.
Wie lange darf die Bearbeitung dauern?
Grundsätzlich einen Monat ab Eingang. Eine Verlängerung um zwei weitere Monate ist möglich, muss aber innerhalb des ersten Monats mitgeteilt und begründet werden.
Darf pauschal eine Ausweiskopie verlangt werden?
Nein. Zusätzliche Informationen zur Identitätsprüfung dürfen nur bei begründeten Zweifeln angefordert werden. Nicht benötigte Angaben auf einem Ausweis sollten geschwärzt werden.
Gehören E-Mails zum Auskunftsanspruch?
Soweit sie personenbezogene Daten der antragstellenden Person enthalten, sind sie grundsätzlich einzubeziehen. Angaben zu Dritten und geschützte Inhalte sind vor der Herausgabe zu schwärzen.
Was gilt für Daten bei Dienstleistern?
Auch dort verarbeitete Daten fallen unter die Auskunftspflicht des Verantwortlichen. Die Mitwirkung des Auftragsverarbeiters sollte im Auftragsverarbeitungsvertrag geregelt sein.
Kann die Auskunft verweigert werden?
Nur in engen Grenzen, etwa bei offenkundig unbegründeten oder exzessiven Anträgen. Die Beweislast trägt das Unternehmen, weshalb eine Verweigerung sorgfältig dokumentiert und rechtlich geprüft werden sollte.
