Auskunftsersuchen nach DSGVO richtig beantworten

Was unter die Auskunft fällt, ergibt sich aus Artikel 4 Nummer 1 DSGVO. Personenbezogene Daten sind dort „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen" (DSGVO). Das ist weit gefasst und geht über Name und Anschrift hinaus: Bestellhistorie, Terminverlauf, Zahlungsdaten, Reklamationsverläufe, Notizen im Kundendatensatz, Protokolle aus dem Formular auf der Website, E-Mail-Korrespondenz, Fotos mit erkennbarer Zuordnung. Auch pseudonymisierte Daten bleiben personenbezogen, solange sich der Bezug wiederherstellen lässt (EDSA-Leitlinien 01/2022). Wer die Auskunft auf den Stammdatensatz im Kassensystem verkürzt, hat den Umfang der Vorschrift regelmäßig verfehlt.

Nicht jede Anfrage, die nach Auskunft klingt, ist eine. Wer wissen will, wie lange die Lieferzeit ist, stellt eine Kundenanfrage; wer wissen will, welche Daten über ihn vorliegen, stellt ein Auskunftsersuchen. Umgekehrt ist ein Auskunftsersuchen auch dann eines, wenn es in einem Beschwerdebrief steckt, in einer Nachricht über den WhatsApp-Kontaktweg ankommt oder mündlich am Tresen gestellt wird. Der Europäische Datenschutzausschuss hat in der koordinierten Prüfaktion 2024 festgehalten, dass ein Teil der befragten Verantwortlichen Auskunftsersuchen schlicht nicht als solche erkannte und sie deshalb weder erfassen noch berichten konnte (EDSA).

Die Frist beginnt, wenn der Antrag den Verantwortlichen über einen seiner offiziellen Kanäle erreicht; dass eine Person im Betrieb ihn bereits gelesen hat, ist dafür nicht nötig (EDSA-Leitlinien 01/2022). Ruht das Postfach über die Betriebsferien, ruht die Frist nicht mit. Eine Hemmung gibt es nur in einem Fall: Wenn wegen Zweifeln an der Identität nachgefragt werden muss und diese Nachfrage unverzüglich erfolgt, steht die Zeit bis zur Antwort der betroffenen Person still. Als gute Praxis empfiehlt der Ausschuss, den Eingang schriftlich zu bestätigen und dabei zu nennen, von welchem Tag bis zu welchem Tag der Monat läuft (EDSA-Leitlinien 01/2022). Das kostet einen Textbaustein und nimmt später jede Diskussion über den Fristbeginn heraus — dieselbe Logik wie bei Reaktionszeiten auf gewöhnliche Anfragen, nur mit einer gesetzlichen Obergrenze.

Der Europäische Datenschutzausschuss wird an dieser Stelle deutlich: Eine Ausweiskopie zu verlangen ist unverhältnismäßig, wenn die antragstellende Person gegenüber dem Verantwortlichen bereits authentifiziert ist. Die Kopie eines Ausweisdokuments schaffe zudem ein eigenes Sicherheitsrisiko und sei deshalb grundsätzlich kein geeignetes Mittel der Authentifizierung, solange sie nicht erforderlich, geeignet und vom nationalen Recht gedeckt ist (EDSA-Leitlinien 01/2022). Wo doch ein Dokument nötig wird, dürfen nicht benötigte Angaben wie Zugangsnummer, Staatsangehörigkeit, Größe, Augenfarbe, Lichtbild und maschinenlesbare Zone vor der Übersendung geschwärzt werden. Angemessener sind Bestätigungslinks per E-Mail, ein Code per Kurznachricht oder Rückfragen zu Merkmalen, die ohnehin im Konto stehen.

Schritt fünf ist der, der die Zeit frisst. Wer im Voraus einmal aufschreibt, in welchen Systemen überhaupt Kundendaten liegen, verkürzt jede spätere Suche erheblich. Diese Liste überschneidet sich stark mit dem, was Sie für die Verträge mit Ihren Dienstleistern ohnehin zusammengetragen haben, und mit der Übersicht der Rollen und Zugänge im Team. Ein Nebeneffekt: Wer weiß, wo Daten liegen, kann sie auch schützen — dieselbe Übersicht hilft dabei, die Angriffsfläche der Website klein zu halten.

In Deutschland zeigen die Tätigkeitsberichte, wie stark der Druck gestiegen ist. Das Bayerische Landesamt für Datenschutzaufsicht verzeichnete 2025 insgesamt 9.746 Beschwerden und Kontrollanregungen, ein Plus von 61 Prozent gegenüber dem Vorjahr; 67 Prozent davon waren förmliche Beschwerden, 21 Prozent Kontrollanregungen (BayLDA). 62 Prozent der abgeschlossenen förmlichen Beschwerden konnten trotz des Anstiegs innerhalb von drei Monaten abschließend bearbeitet werden (BayLDA). Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zählte im selben Jahr 7.673 Beschwerden nach 4.034 im Jahr davor (LfDI Baden-Württemberg). Die thematische Verteilung trifft kleine Betriebe unmittelbar: In Bayern entfielen 21 Prozent der Beschwerden auf Internet und digitale Dienste und 20 Prozent auf Videoüberwachung (BayLDA).

Was passiert, wenn ein Betrieb schlicht nicht antwortet, beschreibt derselbe Bericht an einem Einzelfall. Eine Bürgerin wollte wissen, wie eine ihr unbekannte Firma an ihre Daten gekommen war, und bekam keine Reaktion. Die Aufsicht wies den Verantwortlichen kostenpflichtig zur Auskunft an und drohte Zwangsgelder von 5.000 Euro für die Auskunftserteilung und 2.500 Euro für die Bestätigung der Erledigung an. Nach mehreren Runden wurden zwei Geldbußen in Höhe von zusammen 50.000 Euro festgesetzt; insgesamt wurden in diesem Verfahren fünfmal Zwangsgelder über zusammen 66.000 Euro angedroht (BayLDA). Der Bußgeldrahmen selbst steht in Artikel 83 Absatz 5 DSGVO: bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (DSGVO). Für einen Handwerksbetrieb ist nicht diese Obergrenze das Thema, sondern der Weg dorthin: Er beginnt mit einer unbeantworteten E-Mail.