Auskunftsersuchen nach DSGVO bearbeiten: Ablauf und Fristen

Ein Auskunftsersuchen nach Artikel 15 DSGVO muss ein Unternehmen innerhalb eines Monats beantworten — unentgeltlich für die erste Kopie und erst, nachdem die Identität der anfragenden Person geklärt ist. Solche Anträge kommen selten, und genau darin liegt das Problem: Wenn einer eintrifft, existiert meist kein Prozess, die Frist läuft ab dem Eingang, und die Zuständigkeit klärt sich erst nach Tagen.

Warum ausgerechnet der seltene Fall schwierig ist

Die Frist läuft ab Eingang, nicht ab Kenntnisnahme

Ein Auskunftsersuchen ist an keine Form gebunden. Es kann per E-Mail an das allgemeine Postfach kommen, als Satz in einem Beschwerdeschreiben stehen oder telefonisch geäußert werden. Die Monatsfrist beginnt mit dem Eingang beim Unternehmen — nicht damit, dass die richtige Person davon erfährt. In der Praxis vergehen davon regelmäßig ein bis zwei Wochen mit der Frage, wer eigentlich zuständig ist.

Die Daten liegen an fünf Orten

Der zweite Zeitfresser ist die Zusammenstellung. Personenbezogene Daten einer Person liegen typischerweise im CRM, im ERP oder Warenwirtschaftssystem, im Mailarchiv, in der Buchhaltung und in Ablagen einzelner Abteilungen. Eine vollständige Auskunft verlangt, alle diese Quellen abzufragen. Wer erst beim konkreten Antrag anfängt zu überlegen, welche Systeme das sind, verliert den größten Teil der Frist mit Suchen.

Was Betroffene tatsächlich verlangen können

Artikel 15 Absatz 1 listet die Pflichtangaben abschließend auf. Eine Antwort, die nur die gespeicherten Daten enthält, ist deshalb unvollständig — die Begleitinformationen sind Teil der Auskunft.

Hinzu kommt nach Absatz 3 die Kopie der Daten selbst. Buchstabe h ist der Punkt, der zunehmend relevant wird: Wer KI-gestützte Bewertungen, Scorings oder Sortierungen einsetzt, muss deren Existenz und Grundlogik hier offenlegen. Welche Systeme das im eigenen Haus betrifft, ergibt sich aus dem KI-Inventar — ohne dieses Verzeichnis lässt sich die Frage nicht sauber beantworten.

Die Identitätsprüfung ist Pflicht, aber keine Hürde

Vor der Herausgabe steht die Prüfung, ob die anfragende Person auch die betroffene Person ist. Wer Daten an einen Unbefugten herausgibt, begeht selbst eine meldepflichtige Datenschutzverletzung — und genau darauf zielen einige Anträge ab.

Zugleich darf die Prüfung nicht zur Blockade werden. Die pauschale Anforderung einer Ausweiskopie ist nicht in jedem Fall angemessen; bei einem bestehenden Kundenkonto genügt oft die Anfrage über die hinterlegte Adresse oder die Bestätigung über einen bekannten Kanal. Der Maßstab ist die Verhältnismäßigkeit: Je sensibler die angefragten Daten, desto strenger die Prüfung. Praktisch bewährt sich eine Abstufung — Antwort an die im System hinterlegte Kontaktadresse als Regelfall, Ausweisprüfung mit Schwärzung nicht benötigter Felder nur bei begründeten Zweifeln oder besonders sensiblen Datenbeständen.

Drei Wege, den Ablauf zu organisieren

Der Sprung liegt zwischen Zeile eins und zwei. Schon eine Checkliste mit der Liste aller abzufragenden Systeme, zwei Textvorlagen und einem festen Zuständigen halbiert die Bearbeitungszeit. Der dritte Weg lohnt sich, sobald mehrere Anträge im Jahr eingehen oder die Dokumentation gegenüber einer Aufsichtsbehörde belastbar sein soll.

Der Zeitplan innerhalb der Frist ist dabei planbarer, als er wirkt. Bewährt hat sich ein festes Raster, das keine Rückfrage mehr erfordert:

Die Erinnerung an Tag 20 ist der wichtigste Eintrag im Raster. Sie liegt bewusst vor dem Fristende, weil die Entscheidung über eine Verlängerung noch innerhalb des ersten Monats fallen und mitgeteilt werden muss.

Wann eingeschränkt oder abgelehnt werden darf

Das Auskunftsrecht ist weit, aber nicht grenzenlos. Drei Konstellationen kommen praktisch vor.

Rechte Dritter. Enthält ein Dokument auch Daten anderer Personen — der E-Mail-Verlauf mit einem Kollegen, das Protokoll eines Gesprächs mit mehreren Beteiligten —, greift Artikel 15 Absatz 4. Der Weg ist die Schwärzung der fremden Anteile, nicht die Verweigerung des ganzen Dokuments.

Geschäftsgeheimnisse. Interne Kalkulationen, Bewertungsmaßstäbe oder Betriebs- und Geschäftsgeheimnisse können der Herausgabe entgegenstehen. Auch hier ist die Abwägung einzelfallbezogen und zu dokumentieren; pauschale Berufung darauf trägt nicht.

Exzessive Anträge. Bei offenkundig unbegründeten oder exzessiven Anträgen — etwa bei Wiederholung im kurzen Abstand ohne neuen Sachverhalt — kommen ein angemessenes Entgelt oder die Ablehnung in Betracht. Die Nachweislast dafür trägt das Unternehmen, und die Hürde liegt hoch. Wer sich darauf stützen will, sollte die Begründung schriftlich festhalten, bevor die Antwort hinausgeht.

Die fünf Fehler, die regelmäßig auftreten

Frist falsch gerechnet. Ausgangspunkt ist der Eingang beim Unternehmen, nicht die interne Weiterleitung. Wer die Uhr erst beim Datenschutzbeauftragten starten lässt, verliert im Schnitt eine Woche.

Unvollständige Auskunft. Die Daten werden geliefert, die Begleitangaben aus lit. a–h fehlen. Das ist der mit Abstand häufigste inhaltliche Mangel und aus Sicht der Aufsichtsbehörde leicht feststellbar.

Herausgabe ohne Identitätsprüfung. Aus Sorge vor der Frist wird schnell geantwortet — an eine Adresse, die nicht die der betroffenen Person ist.

Alles oder nichts. Enthält ein Dokument auch Daten Dritter oder Geschäftsgeheimnisse, wird entweder komplett verweigert oder alles herausgegeben. Richtig ist in aller Regel die Schwärzung der geschützten Teile bei Herausgabe des Rests.

Keine Dokumentation. Wer nicht festhält, wann welcher Antrag einging, wie die Identität geprüft und wann geantwortet wurde, kann die Einhaltung später nicht belegen. Die Nachweispflicht liegt beim Unternehmen.

Umsetzung: strukturieren, ohne zu automatisieren

Der sinnvolle Grad an Automatisierung ist begrenzt und liegt genau vor der inhaltlichen Entscheidung. Automatisierbar sind: Erfassung des Antrags über ein Formular, Berechnung von Antwort- und Erinnerungsfrist, Anlage eines Vorgangs im Register, Abfrage der angebundenen Datenquellen und Erstellung eines Entwurfs entlang der Pflichtangaben. Nicht automatisierbar sind: die Identitätsprüfung, die Abwägung nach Absatz 4 und der Versand.

Diese Trennung bildet die Vorlage Auskunftsersuchen bearbeiten ab: Sie hält nach dem Anlegen des Vorgangs an und wartet auf die manuelle Bestätigung der Identität, bevor überhaupt Daten zusammengestellt werden — und der fertige Entwurf geht an die verantwortliche Person, nicht an die betroffene.

Zwei Hinweise zur Einordnung: Ein solcher Ablauf strukturiert und dokumentiert die Bearbeitung, er ersetzt weder die rechtliche Prüfung des Einzelfalls noch eine Rechtsberatung. Und wenn im Zuge der Bearbeitung Sprachmodelle zum Zusammenfassen eingesetzt werden, gelten dafür dieselben Anforderungen wie sonst auch — Auftragsverarbeitungsvertrag oder lokaler Betrieb; die Grundlagen dazu stehen unter DSGVO-konforme KI und im Ratgeber zu ChatGPT und DSGVO.

Was jetzt zu tun ist

Drei Dinge lassen sich an einem Vormittag erledigen: eine zuständige Person benennen und im Impressum sowie in der Datenschutzerklärung erreichbar machen, die Liste der abzufragenden Systeme erstellen und zwei Textvorlagen schreiben — eine für die Eingangsbestätigung mit Identitätsnachfrage, eine für die Fristverlängerung. Damit ist das größte Risiko, das Fristversäumnis aus Unklarheit, weitgehend ausgeräumt.

Wer den Datenschutz insgesamt in Ordnung bringen will, findet den Rahmen unter KI und Datenschutz und in der KI-Governance. Für den konkreten Fall im eigenen Haus ist ein Erstgespräch meist der schnellere Weg als eine weitere interne Runde.

Quellen: Verordnung (EU) 2016/679 (EUR-Lex) · Bundesbeauftragter für den Datenschutz (BfDI) · Datenschutzkonferenz (DSK)