Der Brief kommt selten zum passenden Zeitpunkt. “Bitte übersenden Sie mir eine Kopie sämtlicher zu meiner Person gespeicherten Daten.” Ein Satz, ein ehemaliger Kunde oder ein gekündigter Mitarbeiter, und plötzlich sitzt die halbe IT-Abteilung vor der Frage: Wo liegen diese Daten eigentlich alle? Im CRM sicher. In der Buchhaltung wahrscheinlich. In drei Excel-Listen auf einem Netzlaufwerk, in der alten Marketing-Datenbank, in den E-Mail-Postfächern von vier Kollegen? Vermutlich. Genau das ist der Punkt, an dem ein Auskunftsersuchen nach Art. 15 DSGVO vom Formalismus zum echten Stresstest wird.
Denn die Uhr läuft ab dem Tag, an dem die Anfrage eingeht. Und sie läuft schneller, als die meisten glauben.
Was Art. 15 DSGVO tatsächlich verlangt
Das Auskunftsrecht ist kein “Schicken Sie uns mal, was Sie gerade zur Hand haben”. Art. 15 Abs. 1 DSGVO zählt präzise auf, worüber Sie Auskunft geben müssen: die Verarbeitungszwecke, die Kategorien der verarbeiteten Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer, das Bestehen von Betroffenenrechten und die Herkunft der Daten, wenn diese nicht bei der betroffenen Person erhoben wurden.
Dazu kommt Art. 15 Abs. 3 DSGVO: die betroffene Person hat Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Nicht auf eine Zusammenfassung. Auf die Daten selbst.
Das heißt konkret: Sie müssen nicht nur wissen, dass Sie Daten dieser Person haben, sondern welche, wo und warum. Und Sie müssen sie herausgeben können, ohne dabei versehentlich die Daten anderer Personen mitzuliefern. Denn Art. 15 Abs. 4 DSGVO schützt ausdrücklich die Rechte und Freiheiten anderer.
📷 BILD-PLATZHALTER: Schematische Darstellung einer Person in der Mitte, um die herum verschiedene Datenquellen eines Unternehmens angeordnet sind (CRM, Buchhaltung, E-Mail, Excel-Listen, Support-System), verbunden durch Linien, die auf die zentrale Person zulaufen.
Die vier Probleme, an denen Auskunftsersuchen scheitern
Auf dem Papier klingt das lösbar. In der Praxis stolpern Unternehmen fast immer über dieselben vier Stellen.
1. Niemand weiß, wo die Daten liegen. Das größte Problem hat mit der Anfrage selbst gar nichts zu tun. Es entsteht Jahre vorher. Personenbezogene Daten sammeln sich über die Zeit in Systemen an, die niemand mehr auf dem Schirm hat: die Access-Datenbank aus 2019, der Export für eine Messe-Aktion, das Freitextfeld “Bemerkungen” im Support-Tool, in dem ein Kollege die Handynummer und die Krankmeldung eines Kunden notiert hat. Wer diese Schattenbestände nicht kennt, gibt eine unvollständige Auskunft. Und eine unvollständige Auskunft ist rechtlich eine falsche Auskunft.
2. Die Frist ist kürzer, als man denkt. Art. 12 Abs. 3 DSGVO gibt Ihnen einen Monat ab Eingang des Antrags. Diese Frist lässt sich nach Art. 12 Abs. 3 Satz 2 DSGVO um weitere zwei Monate verlängern, wenn der Antrag komplex ist oder viele Anträge gleichzeitig eingehen. Aber: Sie müssen die betroffene Person innerhalb des ersten Monats über die Verlängerung und die Gründe informieren. Wer die Frist einfach verstreichen lässt und hofft, dass keiner nachhakt, spielt mit dem Feuer.
3. Personenbezogene Daten verstecken sich in Freitext. Ein Name im Datenfeld “Kundenname” ist leicht zu finden. Aber personenbezogene Daten kleben oft dort, wo niemand sie strukturiert sucht: in Notizfeldern, in Betreffzeilen, in PDF-Anhängen, in dem einen Kommentar, in dem steht “Rückruf unter 0170…”. Eine reine Suche nach dem Namen in der Kundennummer-Spalte übersieht genau diese Fundstellen. Und ausgerechnet solche Streufunde sind oft die heiklen, weil sie manchmal besondere Kategorien nach Art. 9 DSGVO enthalten – Gesundheit, Religion, Gewerkschaftszugehörigkeit.
4. Die Auskunft gefährdet die Daten Dritter. Sie exportieren einen kompletten Datensatz und merken zu spät, dass in Zeile 14 auch die E-Mail-Adresse eines anderen Kunden steht. Damit haben Sie im Zuge der Erfüllung eines Betroffenenrechts eine neue Datenpanne produziert. Die Auskunft muss sauber auf die eine Person zugeschnitten sein.
Merken Sie, worauf das alles hinausläuft? Ein Auskunftsersuchen ist kein Compliance-Formular. Es ist ein Datenmanagement-Problem. Und es lässt sich nur lösen, wenn Sie wissen, was in Ihren Datenbeständen tatsächlich drinsteht.
Warum das Fristproblem in Wahrheit ein Katalogproblem ist
Hier liegt der eigentliche Hebel. Die meisten Unternehmen behandeln das Auskunftsersuchen als Einzelfall: Anfrage kommt rein, alle rennen los, drei Wochen später ist der Datensatz mühsam zusammengeklaubt. Beim nächsten Mal geht das Rennen von vorne los.
Das ist teuer und fehleranfällig. Der ruhigere Weg beginnt an einer anderen Stelle: mit einem Verzeichnis der eigenen Datenbestände, das weiß, in welcher Spalte welcher Tabelle personenbezogene Daten liegen. Wer einmal sauber katalogisiert hat, welche Systeme welche Kategorien personenbezogener Daten führen, muss bei einer Anfrage nicht mehr die ganze IT-Landschaft durchsuchen. Er weiß, wo er nachschauen muss.
Genau diese Grundlage schafft ein automatisierter Datenkatalog. datamastr scannt die tatsächlichen Datenbestände – nicht nur die Feldnamen, sondern die Inhalte – und erkennt, welche Spalten E-Mail-Adressen, Telefonnummern, Namen oder Ausweisnummern enthalten. Auch dann, wenn die Spalte harmlos “Bemerkung” heißt. Das Ergebnis ist eine Landkarte der personenbezogenen Daten im Unternehmen, bevor das erste Auskunftsersuchen überhaupt eintrifft.
📷 BILD-PLATZHALTER: Screenshot eines Datenkatalogs, in dem einzelne Spalten farblich als personenbezogen markiert sind, mit kleinen Etiketten wie “E-Mail-Adresse”, “Telefonnummer” und “Gesundheitsdaten (Art. 9)” neben den Feldnamen.
So läuft ein sauberes Auskunftsersuchen ab
Wenn die Grundlage steht, wird der eigentliche Prozess überschaubar. In der Praxis besteht er aus vier Schritten.
Identität prüfen. Bevor Sie irgendetwas herausgeben, müssen Sie sicher sein, dass die anfragende Person auch die ist, für die sie sich ausgibt. Art. 12 Abs. 6 DSGVO erlaubt Ihnen, bei begründeten Zweifeln zusätzliche Informationen zur Identifizierung anzufordern. Eine Auskunft an die falsche Person ist eine Datenpanne.
Alle Fundstellen suchen. Jetzt zahlt sich der Katalog aus. Statt jeden Kollegen einzeln zu fragen, durchsuchen Sie gezielt die Systeme, von denen Sie wissen, dass sie personenbezogene Daten führen – nach Name, E-Mail, Kundennummer und weiteren Identifikatoren gleichzeitig. datamastr unterstützt genau diesen Schritt, indem es Datenbestände nach einem oder mehreren Identifikatoren einer Person durchsucht und die Treffer inklusive Fundstelle auflistet.
Bereinigen und zuschneiden. Aus den Rohtreffern wird die eigentliche Auskunft. Fremde Daten werden entfernt oder geschwärzt, damit Art. 15 Abs. 4 DSGVO gewahrt bleibt. Das Ergebnis ist ein sauberer, nur auf die eine Person bezogener Auszug.
Fristgerecht und dokumentiert herausgeben. Die Kopie geht innerhalb der Frist raus – und Sie halten fest, wann die Anfrage einging, welche Systeme Sie durchsucht haben und was Sie geliefert haben. Diese Dokumentation ist Ihr Nachweis, falls die Aufsichtsbehörde später fragt.
Was auf dem Spiel steht
Die Zahlen sprechen für sich. Verstöße gegen die Betroffenenrechte – und das Auskunftsrecht nach Art. 15 gehört dazu – fallen unter den oberen Bußgeldrahmen des Art. 83 Abs. 5 DSGVO: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist nicht der theoretische Extremfall. Nicht oder verspätet beantwortete Auskunftsersuchen gehören zu den häufigsten Beschwerdegründen bei den deutschen Datenschutzbehörden.
Und selbst unterhalb der Bußgeldschwelle kostet jedes chaotisch abgearbeitete Auskunftsersuchen Arbeitszeit, Nerven und Vertrauen. Der Unterschied zwischen einem stressigen und einem ruhigen Auskunftsprozess ist kein juristischer, sondern ein organisatorischer: Wissen Sie, wo Ihre personenbezogenen Daten liegen – oder suchen Sie jedes Mal aufs Neue?
Wer die Antwort nicht mit einem klaren Ja geben kann, sollte nicht auf das nächste Auskunftsersuchen warten, um es herauszufinden.
Sie wollen wissen, wie es um Ihre DSGVO-Grundlagen steht, bevor der nächste Brief kommt? Der kostenlose DSGVO-Schnellcheck von datamastr führt Sie in 12 Fragen und rund 3 Minuten durch die wichtigsten Punkte – Auskunftsrecht, Verzeichnis der Verarbeitungstätigkeiten, Löschkonzept – und liefert sofort ein Ergebnis: https://app.datamastr.com/dsgvo-check/