Auskunftsersuchen beantworten: wie du auf Anfragen nach Art. 15 DSGVO reagierst

„Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben“ – ein einziger Satz in einer E-Mail kann ausreichen, um ein Auskunftsersuchen auszulösen. Für viele kleine Unternehmen ist das die erste Berührung mit diesem Recht überhaupt, oft verbunden mit Unsicherheit, wie eine korrekte Reaktion aussieht.

Dieser Artikel geht Schritt für Schritt durch, was ein Auskunftsersuchen ist, welche internen Abläufe es auslösen sollte und welche typischen Fehler dabei vermieden werden können.

Was ein Auskunftsersuchen ist

Jede Person kann grundsätzlich anfragen, welche personenbezogenen Daten ein Unternehmen über sie gespeichert hat. Dieses Auskunftsrecht ist formlos ausgestaltet: Eine kurze E-Mail reicht aus, ein bestimmtes Formular oder eine besondere Formulierung ist nicht erforderlich. Auch eine mündliche Anfrage kann grundsätzlich ein Auskunftsersuchen darstellen, auch wenn eine schriftliche Bearbeitung in der Praxis üblich ist.

Das bedeutet auch: Eine Anfrage muss nicht ausdrücklich mit einem bestimmten Rechtsbegriff formuliert sein, um als Auskunftsersuchen zu gelten. Formulierungen wie „Welche Daten haben Sie von mir?“ oder „Ich möchte wissen, was Sie über mich gespeichert haben“ lösen dieselbe Prüfpflicht aus wie eine formell formulierte Anfrage.

Für kleine Unternehmen bedeutet das in der Praxis: Auch eine Anfrage, die auf den ersten Blick eher wie eine allgemeine Kundenanfrage aussieht, kann tatsächlich ein Auskunftsersuchen sein. Wer im Kundenkontakt tätig ist, sollte deshalb grundsätzlich sensibel für solche Formulierungen sein, statt sie versehentlich als gewöhnliche Support-Anfrage abzuhaken.

Die anfragende Person zweifelsfrei identifizieren

Bevor Informationen herausgegeben werden, muss sichergestellt sein, dass die Anfrage tatsächlich von der betroffenen Person selbst stammt – sonst würde eine Auskunft an die falsche Person erst recht ein Datenschutzproblem schaffen. In den meisten Fällen reicht dafür ein Abgleich der anfragenden E-Mail-Adresse mit den im System hinterlegten Kontaktdaten.

Nur bei begründeten Zweifeln an der Identität sollte zusätzlich nachgefragt werden – und auch dann verhältnismäßig, ohne unnötig viele zusätzliche persönliche Daten zu verlangen. Eine Kopie des Personalausweises für eine einfache Anfrage nach gespeicherten Newsletter-Daten wäre in aller Regel unverhältnismäßig.

Stammt die Anfrage von einer E-Mail-Adresse, die im System nicht hinterlegt ist, lohnt sich zunächst eine Rückfrage nach der ursprünglich verwendeten Kontaktadresse, bevor weitergehende Nachweise verlangt werden. Oft klärt sich die Zuordnung damit bereits, ohne dass ein förmlicher Identitätsnachweis nötig wird.

Interner Ablauf: alle Datenquellen systematisch prüfen

Ein häufiger Fehler ist, nur die offensichtlichste Datenquelle zu durchsuchen – etwa die Website-Datenbank – und andere Systeme zu übersehen. Zu den Quellen, die typischerweise geprüft werden sollten, gehören das Kontaktformular-System, ein eingesetztes CRM, das Newsletter-Tool, das allgemeine E-Mail-Postfach sowie gegebenenfalls Backups, sofern dort noch personenbezogene Daten der anfragenden Person vorhanden sind.

Eine vorab erstellte Übersicht, welche Systeme überhaupt personenbezogene Daten speichern, macht diesen Schritt deutlich schneller und vollständiger. Wer diese Übersicht nicht hat, sollte sie spätestens beim ersten Auskunftsersuchen aufbauen, statt bei jeder neuen Anfrage erneut zu überlegen, wo überhaupt gesucht werden muss.

Was inhaltlich in die Antwort gehört

Eine vollständige Antwort benennt, welche konkreten Daten über die Person gespeichert sind, aus welcher Quelle sie stammen, zu welchem Zweck sie verarbeitet werden, ob und an wen sie weitergegeben werden und wie lange sie voraussichtlich gespeichert bleiben. Das muss nicht in juristischer Fachsprache formuliert werden – im Gegenteil, eine verständliche, klare Sprache erleichtert der anfragenden Person das Verständnis und reduziert Rückfragen.

Eine gute Antwort listet die Daten strukturiert auf, statt sie in einem langen Fließtext zu verstecken – etwa getrennt nach Kontaktdaten, Bestellhistorie und gegebenenfalls Kommunikationsverlauf. Wo Daten aus einem Kontaktformular stammen, kann direkt darauf verwiesen werden, um Transparenz über den Ursprung der Daten zu schaffen.

Typischer Fehler: nur die halbe Antwort geben

Wird nur die Website-Datenbank durchsucht, aber das E-Mail-Postfach oder ein separates CRM-System übersehen, entsteht eine unvollständige Antwort – auch wenn das nicht beabsichtigt war. Für die anfragende Person ist eine unvollständige Antwort schwer von einer bewusst zurückgehaltenen Information zu unterscheiden, was das Vertrauen zusätzlich belastet.

Ähnlich problematisch ist es, eine Anfrage schlicht zu ignorieren, in der Hoffnung, dass sie sich von selbst erledigt. Das führt in aller Regel nur dazu, dass die anfragende Person die Anfrage wiederholt oder sich an anderer Stelle beschwert – mit deutlich mehr Aufwand als eine zeitnahe, saubere Beantwortung von Anfang an bedeutet hätte.

Überzogene Hürden vor der Beantwortung vermeiden

Ein weiterer häufiger Fehler ist, vor der Beantwortung unverhältnismäßig aufwendige Identitätsnachweise zu verlangen, um die Bearbeitung faktisch zu verzögern. Das wirkt schnell wie eine bewusste Verzögerungstaktik und kann das eigentliche Problem – eine mögliche Unsicherheit über die richtige Reaktion – noch verstärken, statt es zu lösen.

Sinnvoller ist ein pragmatischer Ansatz: Bei eindeutig zuordenbaren Anfragen, etwa über die im System hinterlegte E-Mail-Adresse, wird direkt geantwortet. Nur bei echten Zweifeln an der Identität wird verhältnismäßig nachgefragt, ohne die Anfrage grundsätzlich zu erschweren.

Eine wiederverwendbare interne Routine aufbauen

Weil Auskunftsersuchen jederzeit und formlos eintreffen können, lohnt sich eine feste interne Routine: eine Ansprechperson, die Anfragen entgegennimmt, eine Liste der zu durchsuchenden Systeme und eine Vorlage für den strukturierten Aufbau der Antwort. Damit lässt sich jede neue Anfrage deutlich schneller bearbeiten als beim ersten Mal, wenn noch alles improvisiert werden muss.

Diese Routine zahlt sich auch dann aus, wenn Auskunftsersuchen selten vorkommen – im Ernstfall zählt vor allem, dass die Reaktion zeitnah und vollständig erfolgt, nicht dass ein perfektes, aber ungenutztes Konzept in der Schublade liegt.

Wer die Vorlage einmal sorgfältig erstellt, kann sie bei jeder weiteren Anfrage wiederverwenden und muss nur noch die individuellen Daten der jeweiligen Person einsetzen. Das reduziert nicht nur den Aufwand, sondern sorgt auch dafür, dass keine der üblicherweise erwarteten Angaben versehentlich vergessen wird.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung.

Häufige Fragen