Jeder Mensch darf von einem Unternehmen erfahren, welche Daten es über ihn gespeichert hat. Das ist das Auskunftsrecht aus Artikel 15 DSGVO – und es ist der Punkt, an dem kleine Unternehmen am häufigsten Ärger mit der Aufsichtsbehörde bekommen. Nicht, weil die Antwort schwierig wäre. Sondern weil die Anfrage im Postfach untergeht, für Werbung gehalten oder schlicht nicht ernst genommen wird.
Ob bei dir jemand zuständig ist und die Frist kennt, sieht man deiner Website nicht an. Deshalb fragt der DSGVO-Check an dieser Stelle dich.
Vorab: Ich bin Programmierer und Gestalter, kein Rechtsanwalt. Das hier ist Praxiswissen aus der Arbeit an vielen Websites, keine Rechtsberatung. Bei einer Anfrage, die erkennbar einen Rechtsstreit vorbereitet, gehört eine Anwältin dazu.
Ab Eingang der Anfrage hast du einen Monat Zeit für die Antwort. Die Frist läuft ab dem Tag, an dem die Anfrage bei dir ankommt – nicht ab dem Tag, an dem sie jemand liest.
Eine Verlängerung um bis zu zwei weitere Monate ist möglich, wenn die Anfrage besonders umfangreich ist. Dann musst du der Person aber innerhalb des ersten Monats mitteilen, dass und warum es länger dauert. Schweigen und später liefern ist keine Verlängerung, sondern ein Verstoß.
Eine Auskunftsanfrage braucht keine Form. Sie muss nicht „Auskunft nach Artikel 15" heißen, kein Formular verwenden und nicht an eine bestimmte Adresse gehen. Diese Sätze sind alle gültige Anfragen:
Sie können per E-Mail kommen, per Brief, über das Kontaktformular, am Telefon oder als Antwort auf einen Newsletter. Wer immer bei dir Post und Postfächer liest, muss solche Nachrichten erkennen und weiterleiten.
Eine Begründung braucht die Person nicht. Es spielt auch keine Rolle, ob sie die Auskunft aus Interesse am Datenschutz verlangt oder weil sie sich über dich geärgert hat.
Die Auskunft hat zwei Teile.
Erstens die Angaben über die Verarbeitung:
Zweitens eine Kopie der Daten selbst. Also nicht nur „wir haben Ihre Kontaktdaten", sondern die Daten: Name, Adresse, die gespeicherten Nachrichten, die Einträge in der Kundenverwaltung.
Die erste Kopie ist kostenlos. Kam die Anfrage per E-Mail, darfst du auch per E-Mail antworten.
Hast du über die Person nichts gespeichert, musst du trotzdem antworten – und zwar genau das mitteilen. Diese Negativauskunft unterliegt derselben Frist. Die Anfrage zu ignorieren, weil ohnehin nichts da ist, ist der häufigste und vermeidbarste Fehler überhaupt.
Du darfst die Daten nicht an die falsche Person herausgeben. Du darfst aber auch nicht jede Anfrage mit der Forderung nach einer Ausweiskopie beantworten – das wäre eine unzulässige Hürde.
Die Regel: Einen Nachweis darfst du nur verlangen, wenn du begründete Zweifel an der Identität hast.
Wenn du nachfragen musst, dann sofort und nicht in der vierten Woche: Die Frist ruht allenfalls, wenn die Rückfrage unverzüglich gestellt wurde.
Für die anderen Rechte gilt dieselbe Monatsfrist. Am häufigsten ist die Bitte um Löschung.
Ein Widerspruch gegen Werbung ist noch einfacher: Er gilt sofort und ohne Begründung. Die Adresse kommt auf eine Sperrliste, damit sie nicht bei der nächsten Gelegenheit wieder im Verteiler landet.
Eine Auskunftsanfrage kommt selten. Wenn sie kommt, entscheidet die Vorbereitung darüber, ob sie zehn Minuten kostet oder zum Problem wird.
Eine unbeantwortete Anfrage führt fast zwangsläufig zum nächsten Schritt: Die Person beschwert sich bei der Aufsichtsbehörde. Die Beschwerde ist kostenlos, in wenigen Minuten online gestellt, und die Behörde muss ihr nachgehen. Dann fragt nicht mehr ein verärgerter Kunde, sondern das Amt – und will neben der Auskunft meist auch das Verarbeitungsverzeichnis sehen.
Daneben kann die Person Schadensersatz verlangen, wenn ihr durch die verspätete oder verweigerte Auskunft ein Schaden entstanden ist. Wie die Gerichte das im Einzelnen handhaben, ist uneinheitlich. Verlassen sollte man sich darauf nicht.
Beides lässt sich mit einer rechtzeitigen, vollständigen Antwort vermeiden.
Für die erste Auskunft nicht. Nur bei offensichtlich unbegründeten oder häufig wiederholten Anfragen darfst du ein angemessenes Entgelt verlangen oder die Auskunft verweigern – das musst du dann aber begründen können, und die Schwelle liegt hoch.
Ja, wenn die Vertretung nachgewiesen ist, üblicherweise durch eine Vollmacht. Fehlt sie, darfst du sie anfordern. Die Auskunft selbst kannst du im Zweifel direkt an die betroffene Person schicken.
Die Auskunft umfasst die personenbezogenen Daten der Person, auch wenn sie in Notizen oder E-Mails stehen. Angaben über andere Personen und Geschäftsgeheimnisse darfst du schwärzen. Bei umfangreichem Schriftverkehr darfst du nachfragen, worauf sich das Interesse richtet.
Innerhalb des ersten Monats mitteilen, dass es länger dauert, warum, und bis wann die Antwort kommt. Das geht nur bei wirklich umfangreichen Anfragen und für höchstens zwei weitere Monate.
Ja. Der Widerruf muss so einfach sein wie die Einwilligung und ist an keine Form gebunden. Die Adresse wird sofort aus dem Verteiler genommen – auch wenn die Person nicht den Abmeldelink benutzt hat.
Grafikdesigner & Programmierer. Seit über 25 Jahren in der Werbung zuhause – heute mit Fokus auf Websites, 3D, SEO und KI-Automation für Agenturen und Unternehmen.
Unverbindlich und auf Augenhöhe – ich sage dir ehrlich, was sinnvoll ist.
Termin vereinbaren → oder Kontaktdaten ansehen