Was ist ein Auskunftsersuchen nach DSGVO?

Ein Auskunftsersuchen DSGVO kann in einer gewöhnlichen E-Mail, einem Telefonat oder einem Gespräch am Empfang stecken. Es gibt keine vorgeschriebene Form und keine Zauberwörter. Sobald der Inhalt erkennen lässt, dass eine Person Zugang zu ihren personenbezogenen Daten verlangt, braucht die Anfrage einen verantwortlichen Eigentümer und eine laufende Frist.

Kurzantwort: Ein Auskunftsersuchen DSGVO ist eine Auskunftsanfrage einer Person zu ihren personenbezogenen Daten. Sie kann über jeden Kanal und ohne besonderes Formular eingehen. Der Verantwortliche muss sie erkennen, Identität und Umfang angemessen klären, relevante Daten systemübergreifend suchen, Rechte anderer schützen und grundsätzlich innerhalb eines Monats vollständig sowie verständlich antworten ^1,2.

Zuletzt aktualisiert: 26. August 2026

Für eine gewöhnliche private Organisation richtet sich die Zuständigkeit nach ihrem Sitz: Kontakt- und gegebenenfalls Meldebehörde ist die zuständige Landesdatenschutzaufsichtsbehörde; der offizielle Kontaktfinder der BfDI führt zur richtigen Stelle.

Das Recht reicht weiter als eine einzelne Dateikopie

Das Auskunftsrecht gibt einer Person mehr als die Kopie eines ausgewählten Dokuments, denn der Verantwortliche bestätigt zunächst, ob personenbezogene Daten verarbeitet werden, stellt die betroffenen Daten bereit und liefert die vorgeschriebenen Informationen über diese Verarbeitung ¹.

Der genaue Umfang richtet sich nach Artikel 15 DSGVO. Eine Person hat nicht automatisch Anspruch auf jedes Originaldokument in unveränderter Form, wohl aber auf ihre personenbezogenen Daten in einem verständlichen Zusammenhang. Manchmal ist eine vollständige Dokumentkopie der einfachste Weg; manchmal genügt ein Auszug mit Erklärung.

Die Antwort sollte Fachkürzel, Datenbankcodes und interne Statuswerte erläutern. Ein Export, den nur der Systemanbieter lesen kann, erfüllt den praktischen Zweck der Auskunft nicht. Gleichzeitig darf die Aufbereitung den Inhalt nicht verändern oder wichtige Zusammenhänge entfernen.

Eine Anfrage kann überall ankommen

Ein Auskunftsersuchen braucht weder ein Formular noch die Begriffe „Subject Access Request“ oder „Artikel 15“. Aussagen wie „Welche Daten haben Sie über mich?“ oder „Schicken Sie mir meine Kundenakte“ können das Recht auslösen. Auch eine mündliche Anfrage zählt ².

Der Eingangskanal verändert die Pflicht nicht: Eine Nachricht an Verkauf, Support, Personalabteilung oder Geschäftsführung muss den zentralen Prozess erreichen. Deshalb erhalten Beschäftigte keine juristische Prüfliste, sondern zwei einfache Signale: Fragt jemand nach eigenen Daten, oder verlangt jemand eine Erklärung ihrer Verwendung?

Die empfangende Person notiert möglichst den Wortlaut, Zeitpunkt, Kanal und bekannte Kontaktdaten. Sie verspricht weder eine sofortige Herausgabe noch lehnt sie die Anfrage ab. Der benannte Eigentümer bestätigt den Eingang und führt alle weiteren Schritte in einer kontrollierten Akte zusammen.

Identitätsprüfung muss angemessen und verhältnismäßig sein. Der Betrieb verlangt nicht routinemäßig Ausweiskopien, wenn er die Person bereits über ein authentifiziertes Kundenkonto sicher erkennt. Bestehen begründete Zweifel, werden nur die zusätzlichen Angaben angefordert, die zur Bestätigung nötig sind.

Die Monatsfrist braucht einen Eigentümer

Die Grundfrist beträgt einen Monat und beginnt mit dem Eingang einer gültigen Anfrage. Die Berechnung wird am selben Tag dokumentiert. Fragen zur Identität oder zum Umfang werden unverzüglich gestellt, weil verspätete Rückfragen keinen verlorenen Arbeitstag zurückbringen ².

Ein belastbares Fallblatt zeigt neben dem Zieldatum auch interne Termine für Suche, Prüfung und Freigabe. Fällt der Eigentümer aus, übernimmt eine benannte Stellvertretung dieselbe Chronologie, statt eine neue anzulegen. Kalenderhinweise gehen deshalb nicht nur an eine persönliche Mailbox, sondern an die verantwortliche Funktion und deren Vertretung.

Bei komplexen oder zahlreichen Anfragen kann die Antwortfrist um höchstens zwei weitere Monate verlängert werden. Die Person wird innerhalb des ersten Monats über die Verlängerung und ihre Gründe informiert. „Wir sind beschäftigt“ ist keine ausreichende Begründung; Komplexität muss aus der tatsächlichen Suche oder Prüfung folgen.

Ein sichtbarer Eigentümer koordiniert Fachbereiche, trifft aber nicht jede Entscheidung allein. IT kann Exporte liefern, HR den Kontext erklären und eine befugte Rolle Ausnahmen beurteilen. Ein gemeinsamer Zeitplan verhindert, dass jedes Team nur seine Teilaufgabe sieht.

Suchen heißt dem Datenfluss folgen

Eine gute Suche beginnt mit der Person, nicht mit einer bevorzugten Datenbank. Namen, frühere Kontaktdaten, Kundennummern, Mitarbeiterkennungen und bekannte Schreibweisen werden als Suchschlüssel festgelegt. So werden Daten gefunden, die unter unterschiedlichen Identitäten oder in älteren Systemen liegen.

Der Suchplan folgt den betrieblichen Wegen: CRM, Bestellplattform, E-Mail, Supporttickets, Buchhaltung, HR-Systeme, gemeinsame Laufwerke, Papierakten und zweckgebundene Nachrichtenkanäle. Bei einem ehemaligen Beschäftigten kann dieselbe Person beispielsweise unter Personalnummer, privater E-Mail-Adresse und abgekürztem Namen auftauchen. Nicht jeder Speicherort muss blind durchsucht werden; er muss jedoch begründet einbezogen oder ausgeschlossen werden, damit eine Lücke erkennbar bleibt.

Bei Auftragsverarbeitern bleibt der Verantwortliche für die Antwort zuständig. Der Vertrag und der interne Prozess sollten festlegen, wie Exporte angefordert, sicher übertragen und fristgerecht geprüft werden. Eine offene Anbieteranfrage erhält einen Termin und eine Eskalationsmöglichkeit.

Das geltende britische Recht erlaubt ausdrücklich eine angemessene und verhältnismäßige Suche. Die EU-DSGVO enthält keinen solchen Suchshortcut: Erfasste Datenquellen werden nach dem verstandenen Umfang verfolgt; Grenzen benötigen Artikel 12 Absatz 5, Artikel 15 Absatz 4 oder eine tatsächlich anwendbare Beschränkung nach Artikel 23 ^1,2.

Der Suchplan hält deshalb je Quelle Suchschlüssel, Zeitraum, verantwortliche Person und Ergebnis fest. Unklare Formulierungen werden mit der anfragenden Person präzisiert, aber nicht einseitig auf das bequemste System reduziert. Neue Treffer erweitern den Plan kontrolliert.

Suchbegriffe, Zeiträume, Systeme, Verantwortliche und Ergebnisse werden protokolliert. Das ist besonders wichtig, wenn keine Daten gefunden werden. „Nichts gefunden“ ist erst belastbar, wenn nachvollziehbar ist, wo und womit gesucht wurde.

Die Prüfung schützt auch andere Menschen

Gesammelte Treffer werden nicht ungeprüft weitergeleitet. E-Mails, Gesprächsnotizen und Videoaufnahmen können personenbezogene Daten anderer Menschen, vertrauliche Informationen oder rechtlich geschützte Inhalte enthalten. Der Betrieb prüft Abschnitte und Zusammenhänge einzeln ^1,3.

Bei Videoaufnahmen kann Maskierung erforderlich sein, wenn andere Personen erkennbar sind; bei E-Mails können Namen geschwärzt und die personenbezogenen Aussagen der anfragenden Person samt notwendigem Kontext erhalten bleiben. Die technische Form folgt dem Inhalt, nicht umgekehrt.

Die Rechte anderer führen nicht automatisch zur vollständigen Verweigerung, denn häufig können Namen oder nicht erforderliche Passagen geschwärzt, Ausschnitte bereitgestellt oder Daten in einem erklärenden Auszug wiedergegeben werden. Jede Bearbeitung muss die Informationen der anfragenden Person erhalten und zugleich unnötige Offenlegung vermeiden.

Rechte und Freiheiten anderer werden nach Artikel 15 Absatz 4 geschützt; weitere Beschränkungen benötigen eine tatsächlich anwendbare Grundlage nach Artikel 23. Solche Grenzen werden eng und fallbezogen angewendet. Die Akte nennt die konkrete Grundlage, die betroffenen Informationen und die Begründung. Eine pauschale Kennzeichnung ganzer Ordner als „vertraulich“ ersetzt diese Prüfung nicht.

Vor der Zustellung kontrolliert eine zweite Person Empfängeradresse, Dateiumfang, Schwärzungen und Zugriffsrechte. Eine Auskunftsantwort kann selbst zur Datenschutzverletzung werden, wenn sie an den falschen Empfänger geht oder Daten Dritter ungeschützt offenlegt.

„Offensichtlich exzessiv“ ist eine anspruchsvolle Feststellung

Hoher Arbeitsaufwand allein macht eine Anfrage nicht offensichtlich exzessiv; der Betrieb betrachtet Art, Wiederholung, Überschneidungen, Zeitabstände, frühere Antworten und den erkennbaren Zweck, ohne unredliche Motive bloß zu unterstellen ². Bei einer sehr weiten Formulierung erklärt er zunächst, welche Datenmengen oder Systeme betroffen sein könnten, und fragt freiwillig nach besonders relevanten Beziehungen, Zeiträumen oder Themen.

Die erste Kopie ist unentgeltlich. Eine angemessene Verwaltungsgebühr kommt für weitere Kopien oder bei belegbar offensichtlich unbegründeten oder exzessiven Anträgen nach Artikel 12 Absatz 5 in Betracht; alternativ kann der Verantwortliche den Antrag in letzterem Fall ablehnen. Mitteilung und Fallakte halten Gründe, Tatsachen und Beschwerdemöglichkeiten fest, denn „exzessiv“ als schnelle Entlastung zu benutzen verschiebt die Arbeit lediglich in Beschwerden und Konflikte.

Eine wiederholte Anfrage ist ebenfalls nicht automatisch exzessiv. Neue Daten, ein längerer Zeitraum oder eine veränderte Verarbeitung können ein berechtigtes neues Informationsinteresse schaffen; der Betrieb vergleicht deshalb den tatsächlichen Umfang mit früheren Antworten, statt nur die Anzahl der Kontakte zu zählen.

Die Begründung trennt Aufwand von Missbrauch. Sie zeigt, welche Teile sich überschneiden, welche Informationen bereits bereitgestellt wurden, welche neuen Daten entstanden sind und warum die Belastung offensichtlich außer Verhältnis steht. Vor einer Ablehnung werden Eingrenzung, gestufte Bereitstellung und technisch mögliche Auszüge geprüft. Die Mitteilung nennt außerdem das Beschwerderecht bei der zuständigen Landesdatenschutzaufsichtsbehörde und den gerichtlichen Rechtsbehelf.

Drei Handlungen am Eingangstag

Am Eingangstag zählen drei Ergebnisse: Die Anfrage ist gesichert, die Frist hat einen Eigentümer und der Suchraum ist vorläufig abgesteckt. Dafür genügt ein kurzer Datensatz mit Eingang, Identitätsstatus, bekannten Systemen, verantwortlicher Rolle und nächstem Termin.

Die zuständige Person bestätigt den Eingang über einen sicheren Kanal und erklärt den Ablauf. Offene Identitätsfragen werden konkret gestellt. Parallel gehen Erhaltungsanweisungen an relevante Teams, damit routinemäßige Löschung nicht versehentlich Informationen entfernt, die für die laufende Antwort benötigt werden.

Danach beginnt die Suche nach einem schriftlichen Plan, der bei neuen Systemen oder Datenquellen erweitert wird. Jede Änderung bleibt in derselben Chronologie sichtbar.

Ein kleiner Betrieb braucht dafür keine neue Plattform. Ein geschütztes Fallblatt, benannte Rollen, Fristenkalender und sichere Übergaben reichen. Nach Abschluss prüft das Team, welche Datenquelle spät auftauchte oder welche Schwärzung unnötige Arbeit verursachte, damit der nächste Fall vor Fristbeginn leichter wird.