Auskunftsantrag nach Art. 15 erhalten: Schritt für Schritt

Der Auskunftsantrag ist die häufigste Betroffenenanfrage überhaupt: Jede Person darf wissen, ob Sie Daten über sie verarbeiten, und wenn ja, welche, wozu und wohin sie fließen. Die gute Nachricht: Wer den Ablauf einmal sauber aufgesetzt hat, beantwortet auch den zehnten Antrag routiniert. Diese Anleitung führt Schritt für Schritt durch den Vorgang.

Schritt 1: Eingang dokumentieren und Frist notieren

Der Antrag muss weder das Wort „Auskunft“ noch „Art. 15“ enthalten. Maßgeblich ist der Inhalt. Sobald die Anfrage Ihr Unternehmen erreicht, läuft die Antwortfrist: unverzüglich, spätestens binnen eines Monats (Art. 12 Abs. 3 DSGVO). Halten Sie Eingangsdatum, Kanal und Anliegen fest und tragen Sie die Frist ein. Dieser eine Eintrag entscheidet später darüber, ob Sie die Einhaltung nachweisen können, Stichwort Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

Welcher Kalendertag daraus wird, rechnet die Seite DSGVO-Frist berechnen ohne Anmeldung aus. Das lohnt sich vor allem bei einem Eingang am 29., 30. oder 31.: Fehlt dieser Tag im Folgemonat, endet die Frist mit dem Monatsletzten.

Schritt 2: Identität verhältnismäßig prüfen

Sie dürfen die Auskunft nicht an die falsche Person erteilen. Sie dürfen die Hürde aber auch nicht künstlich hochziehen. Zusätzliche Informationen zur Identitätsbestätigung sind nur bei begründeten Zweifeln erlaubt (Art. 12 Abs. 6 DSGVO), und selbst dann nur so viele wie nötig. In der Praxis reicht meist der Anfrage-Kanal selbst: Wer aus dem eigenen Kundenkonto oder von der bekannten E-Mail-Adresse fragt, ist hinreichend identifiziert. Eine Ausweiskopie ist die Ausnahme, nicht der Standard. Und beachten Sie: Die Monatsfrist läuft während der Prüfung weiter.

Schritt 3: Daten aus allen Systemen zusammentragen

Jetzt wird gesucht: CRM, Warenwirtschaft, Newsletter-Tool, Support-System, Bewerberdatei, Excel-Listen, E-Mail-Postfächer. Typische Lücken sind Systeme, die „niemand mehr benutzt“, und dezentrale Ablagen. Halten Sie fest, wo Sie gesucht haben: Das gehört zur Dokumentation. Übrigens: Bestehen keine Daten zur Person, ist auch das eine Auskunft (Negativauskunft), die fristgerecht zu erteilen ist.

Schritt 4: Die Pflichtangaben nach Art. 15 Abs. 1 liefern

Die Auskunft ist mehr als ein Datenauszug. Art. 15 Abs. 1 DSGVO verlangt verbindlich diese Angaben:

Dazu kommt nach Art. 15 Abs. 3 DSGVO eine Kopie der personenbezogenen Daten selbst: der tatsächliche Datenbestand, nicht nur eine Beschreibung. Bei der Kopie dürfen die Rechte anderer Personen nicht beeinträchtigt werden (Art. 15 Abs. 4 DSGVO); im Zweifel schwärzen Sie Dritt-Daten. Erwägungsgrund 63 der DSGVO stellt dazu klar, dass dies nicht dazu führen darf, der betroffenen Person jegliche Auskunft zu verweigern.

Dieselben Angaben in derselben Reihenfolge führt die Seite DSGVO-Auskunft erteilen als Baustein auf. Wer sie einmal als Vorlage aufsetzt, beantwortet den zehnten Antrag in einem Bruchteil der Zeit des ersten.

Schritt 5: Form, Kopie und Unentgeltlichkeit

Die Antwort erfolgt in der Regel schriftlich, bei elektronisch gestelltem Antrag in einem gängigen elektronischen Format, sofern die Person nichts anderes wünscht (Art. 12 Abs. 1, Art. 15 Abs. 3 DSGVO). Und sie ist unentgeltlich: Ein Entgelt ist nur in engen Ausnahmen zulässig, nämlich bei offensichtlich unbegründeten oder exzessiven Anträgen (Art. 12 Abs. 5 DSGVO), nicht beim normalen ersten Auskunftsantrag. Versenden Sie so, dass Sie den Versand belegen können, und dokumentieren Sie den Zeitpunkt: Er schließt den Fristnachweis.

Typische Fehler bei Auskunftsanträgen

• Nur das CRM durchsucht: Newsletter-Tool, Support-System und Postfächer vergessen. Die Auskunft ist unvollständig.
• Bestätigung statt Auskunft: „Ja, wir verarbeiten Daten über Sie“ ist erst der Anfang. Pflicht sind die Angaben aus Art. 15 Abs. 1 plus Kopie.
• Überzogene Identitätsforderung: Ausweiskopie ohne begründete Zweifel ist unzulässig (Art. 12 Abs. 6 DSGVO).
• Schweigen bei Negativauskunft: Auch „wir haben keine Daten zu Ihnen“ ist eine Antwort mit Frist.
• Keine Dokumentation: Ohne Nachweis von Suche, Versand und Zeitpunkt ist die Fristeinhaltung später nicht belegbar.

Muster-Ablauf für den Standard-Fall

• Eingang dokumentiert: Datum, Kanal, Anliegen, Frist eingetragen
• Identität geprüft: Kanal ausreichend / begründete Zweifel dokumentiert
• Systeme durchsucht (CRM, Newsletter, Support, Buchhaltung, Postfächer) und Suchumfang festgehalten
• Auskunft erstellt: alle Pflichtangaben aus Art. 15 Abs. 1 plus Kopie der Daten, Dritt-Daten geschwärzt
• Versand dokumentiert: Zeitpunkt und Weg festgehalten, Frist eingehalten
• Vorgang abgelegt: Nachweis für die Rechenschaftspflicht archiviert

Häufige Fragen

Muss ein Auskunftsantrag eine bestimmte Form haben?

Nein. Maßgeblich ist der Inhalt und nicht die Überschrift: Weder das Wort „Auskunft“ noch die Angabe „Art. 15“ sind nötig, eine formlose E-Mail genügt. Mit dem Eingang beim Verantwortlichen läuft die Antwortfrist aus Art. 12 Abs. 3 DSGVO, also unverzüglich und in jedem Fall binnen eines Monats.

Darf ich eine Ausweiskopie verlangen, bevor ich Auskunft erteile?

Nur bei begründeten Zweifeln an der Identität und nur in dem Umfang, der zur Bestätigung nötig ist (Art. 12 Abs. 6 DSGVO). Häufig genügt eine Rückfrage über denselben Kanal, über den die Anfrage kam. Die Monatsfrist läuft während der Klärung weiter.

Welche Angaben gehören zwingend in die Auskunft?

Die Pflichtangaben aus Art. 15 Abs. 1 DSGVO: Verarbeitungszwecke, Kategorien der verarbeiteten Daten, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer oder die Kriterien für ihre Festlegung, Herkunft der Daten, das Bestehen automatisierter Entscheidungsfindung einschließlich Profiling sowie der Hinweis auf Berichtigung, Löschung, Einschränkung, Widerspruch und das Beschwerderecht. Dazu kommt nach Art. 15 Abs. 3 DSGVO eine Kopie der personenbezogenen Daten selbst.

Was mache ich, wenn ich zu der Person gar keine Daten habe?

Auch die Negativauskunft ist eine Auskunft und innerhalb derselben Frist zu erteilen. Halten Sie fest, welche Systeme Sie durchsucht haben. Ohne diesen Vermerk lässt sich später nicht belegen, dass die Suche vollständig war (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Darf ich für die Auskunft ein Entgelt verlangen?

Die Auskunft wird nach Art. 12 Abs. 5 DSGVO unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder, insbesondere im Fall häufiger Wiederholung, exzessiven Anträgen kann der Verantwortliche ein angemessenes Entgelt verlangen oder sich weigern, tätig zu werden; den Nachweis dafür hat er zu erbringen. Für weitere Kopien darf er nach Art. 15 Abs. 3 Satz 2 DSGVO ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen.

Was gilt, wenn in den Unterlagen auch Daten anderer Personen stehen?

Art. 15 Abs. 4 DSGVO bestimmt, dass das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf. Erwägungsgrund 63 der DSGVO stellt zugleich klar, dass dies nicht dazu führen darf, der betroffenen Person jegliche Auskunft zu verweigern. Der Weg ist deshalb das Schwärzen einzelner Angaben und nicht das Zurückhalten der Akte.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen. Wenden Sie sich dafür an fachkundige Beratung.