Inhaltsverzeichnis
Ein Auskunftsersuchen kommt selten angekündigt und fast nie als Formular. Es kommt als E-Mail, manchmal als Satz am Tresen — und ab diesem Moment läuft eine Frist
Art. 15 DSGVO gibt jeder Person das Recht, von Dir zu erfahren, ob und welche Daten Du über sie verarbeitest. Der Antrag ist an keine Form gebunden, braucht keine Begründung und muss das Wort „Auskunft“ nicht enthalten. Auch „Was habt Ihr eigentlich alles über mich gespeichert?“ ist ein Antrag, wenn er ernst gemeint ist.
Der Aufwand dahinter hängt weniger vom Recht ab als von Deiner Ablage. Die Liste dessen, was hineingehört, ist überschaubar und in einer Stunde erstellt — wenn Du weißt, wo die Daten liegen. Liegen sie auf vier Systemen, wird aus derselben Stunde ein Wochenende. Dieser Artikel beschreibt den Ablauf; er ist eine Orientierung, und über strittige Einzelfälle entscheiden die zuständige Aufsichtsbehörde oder eine Rechtsberatung.
1. Was in die Auskunft gehört
Art. 15 Abs. 1 verlangt zwei Dinge, die häufig verwechselt werden. Erstens die Bestätigung, ob überhaupt Daten verarbeitet werden. Zweitens, falls ja, die Auskunft über diese Daten und über acht Angaben zur Verarbeitung selbst:
- die Verarbeitungszwecke,
- die Kategorien der verarbeiteten Daten,
- die Empfänger oder Kategorien von Empfängern — auch die in Drittländern,
- die geplante Speicherdauer oder, wenn das nicht möglich ist, die Kriterien dafür,
- das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch,
- das Beschwerderecht bei einer Aufsichtsbehörde,
- die Herkunft der Daten, wenn Du sie nicht bei der Person selbst erhoben hast,
- ob es eine automatisierte Entscheidungsfindung einschließlich Profiling gibt.
Die ersten sieben stehen in einem kleinen Betrieb für alle Anfragen gleich — sie lassen sich einmal schreiben und wiederverwenden. Nur die eigentlichen Daten sind je Person verschieden. Genau deshalb lohnt eine Vorlage: Der feste Teil ist der größere.
Dazu kommt Art. 15 Abs. 3: Du stellst eine Kopie der Daten zur Verfügung, die Gegenstand der Verarbeitung sind. Kommt der Antrag elektronisch, gibst Du die Informationen in einem gängigen elektronischen Format heraus, sofern nichts anderes gewünscht ist. Für weitere Kopien darfst Du ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangen — für die erste nicht.
Auskunft geben ist keine juristische Aufgabe, sondern eine Frage der Ablage.
2. Die Uhr: ein Monat, verlängerbar um zwei
Art. 12 Abs. 3 setzt die Frist: unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Der Monat läuft ab Eingang, nicht ab dem Tag, an dem Du den Antrag als solchen erkannt hast — ein Grund, E-Mails an die allgemeine Adresse nicht wochenlang liegen zu lassen.
Die Frist lässt sich um weitere zwei Monate verlängern, wenn das angesichts der Komplexität und der Anzahl der Anträge erforderlich ist. Diese Verlängerung passiert nicht von allein: Du musst innerhalb des ersten Monats darüber unterrichten und die Gründe für die Verzögerung nennen. Wer die Verlängerung erst im dritten Monat mitteilt, hat die Frist versäumt, nicht verlängert.
Wenn Du auf einen Antrag nicht tätig wirst, endet die Sache nicht im Schweigen. Art. 12 Abs. 4 verlangt, dass Du ohne Verzögerung, spätestens binnen eines Monats, die Gründe mitteilst und auf zwei Wege hinweist: die Beschwerde bei einer Aufsichtsbehörde und den gerichtlichen Rechtsbehelf. Eine Antwort gibt es also immer, auch die ablehnende.
Die Auskunft ist nach Art. 12 Abs. 5 unentgeltlich. Nur bei offenkundig unbegründeten oder — insbesondere bei häufiger Wiederholung — exzessiven Anträgen darfst Du ein angemessenes Entgelt verlangen oder das Tätigwerden verweigern, und den Nachweis dafür musst Du erbringen. Der zweite Antrag desselben Menschen nach einem halben Jahr ist noch kein exzessiver.
3. Wer fragt da eigentlich?
Die Auskunft geht an die betroffene Person — und an niemanden sonst. Eine Auskunft an die falsche Person ist selbst eine Datenschutzverletzung, und zwar eine, die Du selbst verursacht hast. Deshalb steht die Identitätsprüfung vor der Antwort.
Art. 12 Abs. 6 erlaubt Dir, bei begründeten Zweifeln zusätzliche Informationen zur Bestätigung der Identität anzufordern. Erwägungsgrund 64 ergänzt, dass alle vertretbaren Mittel zu nutzen sind, insbesondere bei Online-Diensten. Zwei Grenzen dabei sind wichtig:
- Zweifel müssen begründet sein. Kommt der Antrag aus der E-Mail-Adresse, die seit Jahren in Deiner Kartei steht, hast Du in der Regel keinen Anlass, einen Ausweis zu verlangen.
- Die Prüfung darf keine Datensammlung werden. Erwägungsgrund 64 sagt ausdrücklich, dass Daten nicht allein deshalb gespeichert werden sollen, um auf mögliche Auskunftsersuchen reagieren zu können. Eine Ausweiskopie, die Du danach behältst, kehrt den Zweck der Vorschrift um.
Praktisch trägt ein einfacher Weg: Antworte an den Kanal, über den die Person bei Dir bekannt ist. Kommt der Antrag von einer unbekannten Adresse, frag über die hinterlegte Nummer oder Adresse zurück. Das ist keine Schikane und lässt sich in einem Satz erklären.
Fragt jemand für eine andere Person — Angehörige, Anwaltskanzlei, Betreuung —, brauchst Du einen Nachweis der Bevollmächtigung. Ohne ihn antwortest Du nicht ablehnend, sondern nachfragend, und die Frist läuft weiter.
Weitere interessante Artikel
4. Was nicht in die Auskunft gehört
Der häufigste Fehler ist nicht die zu knappe Auskunft, sondern die zu großzügige. Art. 15 Abs. 4 sagt: Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Daraus folgt eine Ausnahmeliste, die Du vor dem Absenden durchgehst.
| Fall | Was Du tust |
|---|---|
| Termin gemeinsam mit einer zweiten Person | eigene Daten herausgeben, den Namen der zweiten Person schwärzen |
| Interne Notiz über eine Mitarbeiterperson | Inhalt zur fragenden Person ja, Personaleinschätzung nein |
| E-Mail-Verlauf mit Dritten im Verteiler | Adressen Dritter entfernen |
| Empfehlung durch eine andere Person | Herkunft nennen, soweit es geht — die Abwägung notieren |
Wichtig ist die Richtung der Ausnahme: Sie erlaubt Dir nicht, die Auskunft insgesamt zu verweigern, weil irgendwo ein fremder Name auftaucht. Sie erlaubt, die Stelle zurückzuhalten, die fremde Rechte berührt. Der Rest geht heraus.
Und noch etwas gehört nicht hinein: Rechtfertigung. Art. 12 Abs. 1 verlangt eine präzise, transparente, verständliche und leicht zugängliche Form in klarer, einfacher Sprache. Eine Auskunft, die mit drei Absätzen darüber beginnt, warum die Speicherung notwendig ist, erfüllt das schlechter als eine schlichte Aufstellung.
5. Vier Systeme, eine Antwort
Jetzt zum eigentlichen Aufwand. Die Auskunft umfasst alle Daten, die Du über die Person verarbeitest — nicht die aus einem System. Im typischen Kleinbetrieb liegen sie an mindestens vier Orten: im Terminkalender, in der Kundenkartei, in den Rechnungen und in der Kommunikation, also in E-Mails und Nachrichten.
Dazu kommen die stillen Orte: die Tabelle für den Newsletter, das Formular auf der Website, das Buchungswerkzeug, das Rechnungsprogramm der Steuerkanzlei, die Kladde am Empfang. Jeder dieser Orte ist einzeln harmlos. Zusammen ergeben sie die Frage, die eine Auskunft erst mühsam macht: Weißt Du sicher, dass Du keinen vergessen hast?
Hier liegt der ehrlichste Grund, Termine, Kartei und Rechnungen in einem System zu führen — nicht die Zeitersparnis im Alltag, sondern die Beantwortbarkeit dieser Frage. Wo alles an einem Ort liegt, ist die Auskunft ein Export. Wo es verteilt liegt, ist sie eine Suche mit ungewissem Ende. Für einen Salon zeigt die Salon-Software, wie diese Zusammenführung aussieht, für eine Werkstatt die Werkstatt-Software.
Unabhängig vom Werkzeug hilft eine Liste, die Du vorher schreibst: eine Zeile je Ort, an dem Kundendaten liegen, mit einem Wort dazu, wie man dort sucht. Dieselbe Liste beantwortet später die Frage, was von diesen Daten bei einem Softwarewechsel tatsächlich mitkommt. Sie ist ohnehin fast identisch mit dem Verzeichnis nach Art. 30 DSGVO — Du schreibst sie also nicht doppelt.
Der Ablauf ist kurz: Antrag erkennen, Eingang notieren, Identität prüfen, alle Orte durchgehen, fremde Daten entfernen, in klarer Sprache antworten — innerhalb eines Monats, notfalls mit begründeter Verlängerung um zwei. Die Vorbereitung, die den Unterschied macht, ist die Liste der Orte. Welche Daten dort überhaupt stehen dürfen, klärt Welche Kundendaten Du speichern darfst; was danach mit ihnen passiert, das Löschkonzept auf einer Seite.
Kundendaten an einem Ort statt in vier Listen
Wer alles in einem System führt, beantwortet eine Auskunft in Minuten und löscht, was gelöscht gehört. Gehostet in Deutschland.
