Auskunftsersuchen nach DSGVO: Wie Sie Anfragen von Betroffenen fristgerecht und rechtssicher beantworten

Eine kurze E-Mail genügt: "Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben." Kein Formular, keine Begründung, kein Nachweis. Trotzdem läuft ab diesem Moment eine Frist, deren Verpassen teuer werden kann. Das Auskunftsersuchen nach Artikel 15 DSGVO ist das am häufigsten geltend gemachte Betroffenenrecht, und für viele Betriebe das am schlechtesten vorbereitete.

Dabei ist die Aufgabe gut zu bewältigen, wenn Sie wissen, was gefragt ist und wo Ihre Daten liegen. Dieser Artikel erklärt, was in die Antwort gehört, wie die Monatsfrist wirklich läuft, wann Sie die Identität prüfen dürfen und wie ein praktikabler Ablauf für Ihren Betrieb aussieht. Stand: 2026-09-07.

Auskunftsersuchen nach DSGVO beantworten: das Wichtigste zuerst

Ein Auskunftsersuchen nach Art. 15 DSGVO müssen Sie grundsätzlich innerhalb eines Monats ab Eingang beantworten, unentgeltlich und vollständig. Die Antwort besteht aus zwei Teilen: den Metainformationen zur Verarbeitung und einer Kopie der tatsächlich gespeicherten Daten. Ein fester interner Ablauf und ein aktuelles Verarbeitungsverzeichnis sind der Schlüssel, um die Frist sicher zu halten.

Betroffene Personen, also Kunden, Mitarbeiter, Bewerber, Interessenten oder Lieferanten, haben nach Art. 15 DSGVO das Recht zu erfahren, ob und wie Sie ihre personenbezogenen Daten verarbeiten. Sie müssen dafür weder einen Grund nennen noch ein bestimmtes Formular nutzen. Eine formlose E-Mail, ein Brief oder sogar ein mündliches Verlangen reicht aus. Genau diese Niedrigschwelligkeit macht das Recht so verbreitet und für unvorbereitete Betriebe so unangenehm.

Der Europäische Datenschutzausschuss (EDPB) hat 2024 in einer koordinierten Prüfaktion 1.185 Verantwortliche in ganz Europa untersucht, darunter viele kleine und mittlere Unternehmen. Der wichtigste festgestellte Mangel war das Fehlen dokumentierter interner Abläufe zur Bearbeitung von Auskunftsanfragen. Anders gesagt: Nicht die Rechtslage ist das Problem, sondern dass niemand weiß, wer im Ernstfall was tut. Der Bericht dazu wurde am 20. Januar 2025 veröffentlicht.

Quelle: EDPB: CEF 2024, identifizierte Herausforderungen bei der Umsetzung des Auskunftsrechts (1.185 geprüfte Verantwortliche)

Die Monatsfrist: wann sie startet und wie Sie verlängern

Sie müssen unverzüglich antworten, spätestens aber innerhalb eines Monats ab Eingang der Anfrage. Die Frist beginnt am Tag nach dem Eingang und endet am gleichen Kalenderdatum des Folgemonats. Bei besonders komplexen oder zahlreichen Anträgen dürfen Sie um bis zu zwei weitere Monate verlängern, müssen die Person darüber aber innerhalb der ersten Monatsfrist informieren.

Ein Beispiel: Geht die Anfrage am 8. September ein, läuft die Frist bis zum 8. Oktober. Fällt das Fristende auf einen Samstag, Sonntag oder Feiertag, verschiebt es sich auf den nächsten Werktag. Diese Fristberechnung folgt Art. 12 Abs. 3 DSGVO in Verbindung mit den allgemeinen Regeln zur Fristberechnung.

Die Verlängerung um zwei Monate ist kein Automatismus. Sie ist nur zulässig, wenn die Bearbeitung wegen der Komplexität oder der Anzahl der Anträge tatsächlich mehr Zeit braucht, und Sie müssen die Verlängerung begründen. Wichtig ist das Timing: Die Mitteilung über die Verlängerung muss die Person noch innerhalb des ersten Monats erreichen. Wer die Frist einfach verstreichen lässt und erst danach um mehr Zeit bittet, hat den Verstoß bereits begangen.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Die Identität prüfen: nur bei begründeten Zweifeln

Sie dürfen die Identität des Anfragenden nur prüfen, wenn Sie begründete Zweifel daran haben, wer die Person ist. Das regelt Art. 12 Abs. 6 DSGVO. Eine pauschale Anforderung einer Ausweiskopie ist in den meisten Fällen unverhältnismäßig und war 2024 einer der vom EDPB kritisierten Punkte, weil überzogene Identitätsanforderungen die Ausübung des Rechts erschweren.

Der Maßstab ist der Kommunikationsweg. Schreibt Ihnen ein Kunde oder Mitarbeiter von genau der E-Mail-Adresse, die bei Ihnen hinterlegt ist, sind Zweifel an der Identität meist nicht begründet. Dann ist keine zusätzliche Prüfung nötig. Anders sieht es aus, wenn die Anfrage von einer unbekannten Adresse kommt, sensible Daten betrifft oder Anhaltspunkte für einen Missbrauch bestehen. Dann dürfen Sie zusätzliche Informationen verlangen, etwa die Bestätigung einer bekannten Kundennummer.

Wenn im Ausnahmefall wirklich eine Ausweiskopie erforderlich ist, gelten strenge Grenzen: Sie dürfen die Kopie ausschließlich zur Identitätsprüfung verwenden, nicht benötigte Angaben (etwa die Ausweisnummer) dürfen geschwärzt werden, und die Kopie ist nach der Prüfung sofort zu löschen. Eine dauerhafte Ablage der Ausweiskopie wäre selbst ein Datenschutzverstoß.

Quelle: Bundesbeauftragte für den Datenschutz

Was in eine vollständige Auskunft gehört

Die Auskunft besteht aus zwei Teilen. Erstens den Metainformationen nach Art. 15 Abs. 1 und 2 DSGVO: Angaben darüber, wie und warum Sie die Daten verarbeiten. Zweitens einer kostenlosen Kopie der personenbezogenen Daten selbst nach Art. 15 Abs. 3 DSGVO. Beide Teile gehören zusammen, und das Weglassen des zweiten Teils ist ein häufiger Fehler.

Zum ersten Teil, den Metainformationen, gehören diese Angaben:

• Verarbeitungszwecke. Wofür verarbeiten Sie die Daten der Person, etwa Auftragsabwicklung, Rechnungsstellung, Personalverwaltung.
• Kategorien der Daten. Welche Arten von Daten verarbeiten Sie, etwa Stammdaten, Vertragsdaten, Zahlungsdaten.
• Empfänger oder Kategorien von Empfängern. An wen geben Sie Daten weiter, etwa Steuerberater, IT-Dienstleister, Versanddienstleister.
• Geplante Speicherdauer. Wie lange speichern Sie die Daten, oder nach welchen Kriterien bestimmt sich die Dauer.
• Bestehen der Betroffenenrechte. Der Hinweis auf Berichtigung, Löschung, Einschränkung und Widerspruch.
• Beschwerderecht. Der Hinweis auf das Recht, sich bei einer Aufsichtsbehörde zu beschweren.
• Herkunft der Daten. Woher die Daten stammen, wenn sie nicht bei der Person selbst erhoben wurden.
• Automatisierte Entscheidungsfindung. Ob ein Profiling oder eine automatisierte Entscheidung stattfindet, und wenn ja, mit welcher Logik und Tragweite.

Der zweite Teil ist die Datenkopie: die konkreten Daten, die Sie über die Person gespeichert haben. Das ist mehr als eine Zusammenfassung. Gemeint sind die tatsächlichen Inhalte, also Stammdaten, Vertragsdaten, Kommunikationsverlauf, Notizen. Enthalten Dokumente auch Daten Dritter, schwärzen Sie diese und geben den Rest heraus. Das Auskunftsrecht endet dort, wo die Rechte und Freiheiten anderer Personen beginnen (Art. 15 Abs. 4 DSGVO), rechtfertigt aber kein pauschales Verweigern.

Wo die Daten liegen: die eigentliche Herausforderung

Die rechtlichen Anforderungen sind klar. Die praktische Hürde ist, alle Daten einer Person überhaupt zu finden. In einem typischen KMU liegen personenbezogene Daten verstreut über viele Systeme: das E-Mail-Postfach, die Kundenverwaltung, die Buchhaltung, das Netzlaufwerk, die Cloud-Ablage, das Ticketsystem, die Telefonanlage. Ohne Überblick übersehen Sie schnell etwas, und genau das führt zu unvollständigen Auskünften.

Deshalb ist die Vorbereitung wichtiger als die einzelne Anfrage. Wer weiß, in welchen Systemen personenbezogene Daten liegen und wie man dort nach einer Person sucht, kann eine Auskunft in überschaubarer Zeit zusammenstellen. Wer das erst im Ernstfall herausfindet, verliert Tage und riskiert Lücken. Der EDPB hat 2024 festgestellt, dass gerade kleinere Betriebe mit begrenzten Ressourcen hier schlechter abschneiden als größere Organisationen mit eingespielten Prozessen.

Ein weiterer Stolperstein sind Backups und Archive. Auch dort liegen personenbezogene Daten, aber eine Auskunft muss nicht zwingend jedes einzelne Backup durchforsten. Maßgeblich sind die produktiv genutzten Systeme. Wichtig wird das vor allem beim verwandten Löschrecht nach Art. 17 DSGVO, wo die Frage der Backups regelmäßig auftaucht. Für die reine Auskunft genügt der aktuelle Datenbestand.

Quelle: Landesbeauftragter für Datenschutz Baden-Württemberg: Identitätsprüfung bei elektronischen Auskunftsersuchen nach Art. 15 DS-GVO

Kosten, unbegründete und exzessive Anträge

Die erste Auskunft und die erste Datenkopie sind kostenlos. Das regeln Art. 12 Abs. 5 und Art. 15 Abs. 3 DSGVO. Ein Entgelt dürfen Sie nur in zwei Fällen verlangen: für weitere Kopien derselben Daten (angemessen, auf Basis der Verwaltungskosten) und bei offenkundig unbegründeten oder exzessiven Anträgen. Ansonsten ist die Auskunft eine unentgeltliche Pflicht.

Der Begriff "exzessiv" ist eng auszulegen. Er meint zum Beispiel eine häufige, sachlich nicht nachvollziehbare Wiederholung derselben Anfrage in kurzen Abständen. Ein einzelnes, auch umfangreiches Auskunftsersuchen ist nicht exzessiv, nur weil die Bearbeitung Aufwand macht. Wer sich auf diese Ausnahme beruft, trägt die Beweislast und sollte den Grund sauber dokumentieren. Ein pauschales Abwimmeln mit dem Verweis auf angeblichen Missbrauch ist riskant.

Ein praktikabler Ablauf für Ihren Betrieb

Der sicherste Schutz vor verpassten Fristen ist ein einfacher, immer gleicher Ablauf. Er muss nicht kompliziert sein. Diese sechs Schritte funktionieren für die meisten KMU und lassen sich auf einer Seite dokumentieren, sodass auch eine Vertretung die Anfrage bearbeiten kann.

1. 1
   Eingang erfassen und Frist notieren
   Halten Sie das Eingangsdatum fest und tragen Sie das Fristende (ein Monat später) sofort in den Kalender ein. Bestätigen Sie der Person kurz den Eingang. Damit läuft die Frist dokumentiert und geht nicht im Postfach unter.
2. 2
   Anfrage einordnen
   Handelt es sich wirklich um ein Auskunftsersuchen nach Art. 15, oder um Berichtigung, Löschung oder Widerspruch? Betrifft es die anfragende Person selbst? Nur so bearbeiten Sie das richtige Recht.
3. 3
   Identität prüfen, falls nötig
   Kommt die Anfrage über einen bekannten Kanal (hinterlegte E-Mail-Adresse), genügt das meist. Nur bei begründeten Zweifeln fordern Sie eine Bestätigung an und dokumentieren den Grund. Keine pauschale Ausweiskopie.
4. 4
   Daten zusammentragen
   Suchen Sie in allen relevanten Systemen nach der Person: E-Mail, Kundenverwaltung, Buchhaltung, Netzlaufwerk, Cloud, Ticketsystem. Nutzen Sie Ihr Verarbeitungsverzeichnis als Checkliste, welche Systeme es überhaupt gibt.
5. 5
   Auskunft erstellen
   Fügen Sie die Metainformationen (aus dem Verzeichnis vorformuliert) und die Datenkopie zusammen. Schwärzen Sie Daten Dritter. Stellen Sie die Auskunft sicher und verständlich bereit, bei elektronischer Anfrage in der Regel elektronisch.
6. 6
   Versand dokumentieren
   Versenden Sie die Auskunft vor Fristende über einen sicheren Weg und halten Sie fest, was wann an wen herausgegeben wurde. Diese Dokumentation ist Ihr Nachweis gegenüber der Aufsichtsbehörde.

Wenn eine Anfrage tatsächlich komplex ist und die Verlängerung nötig wird, denken Sie an die Reihenfolge: erst die Person innerhalb des ersten Monats informieren und begründen, dann in Ruhe fertigstellen. Die Mitteilung über die Verlängerung ist selbst fristgebunden.

Was bei Verstößen droht

Wer nicht, zu spät oder unvollständig antwortet, riskiert mehr als Ärger. Die betroffene Person kann sich nach Art. 77 DSGVO bei der Aufsichtsbehörde beschweren und nach Art. 82 DSGVO Schadensersatz verlangen. Verstöße gegen Betroffenenrechte fallen zudem unter den höheren Bußgeldrahmen des Art. 83 Abs. 5 DSGVO mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Für KMU fallen Bußgelder in der Praxis deutlich niedriger aus als diese Höchstsätze. Das eigentliche Risiko ist ein anderes: Eine Beschwerde wegen einer verpassten Auskunft ist für die Aufsichtsbehörde ein Anlass, gleich genauer hinzusehen. Fehlt dann auch noch das Verzeichnis von Verarbeitungstätigkeiten oder der Auftragsverarbeitungsvertrag mit dem IT-Dienstleister, prüft die Behörde alles mit. Die einzelne unbeantwortete E-Mail wird so zum Einfallstor für eine umfassende Prüfung.

Hinzu kommen deutsche Gerichte, die bei verspäteten oder unvollständigen Auskünften zunehmend immateriellen Schadensersatz zusprechen. Die Beträge sind pro Fall meist überschaubar, summieren sich aber, wenn ein Muster erkennbar wird, etwa bei mehreren ehemaligen Mitarbeitern gleichzeitig.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Auskunft, Löschung, Berichtigung: das ganze Bündel im Blick

Das Auskunftsrecht ist nur eines von mehreren Betroffenenrechten, und Anfragen kommen selten sortiert. Wer einmal einen Ablauf für Auskünfte hat, kann ihn mit wenig Aufwand auf die verwandten Rechte ausweiten: Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Alle folgen derselben Monatsfrist und demselben Grundmuster.

Die organisatorische Grundlage ist immer dieselbe: zu wissen, welche Daten wo liegen, wer zuständig ist und wie man die Frist im Blick behält. Deshalb hängen die Betroffenenrechte eng mit den übrigen DSGVO-Pflichten zusammen. Einen Überblick, was ein KMU insgesamt umsetzen muss, gibt der Beitrag DSGVO für KMU. Ob Sie überhaupt einen Datenschutzbeauftragten benennen müssen, ist eine getrennte Frage, die viele kleine Betriebe verneinen dürfen.

Ein wiederkehrender Zusammenhang ist der zum Onboarding und Offboarding von Mitarbeitenden: Gerade nach dem Ausscheiden von Beschäftigten häufen sich Auskunfts- und Löschanfragen. Wer die Zugriffsrechte und Datenbestände beim Austritt sauber ordnet, tut sich bei einer späteren Auskunft deutlich leichter.

Wie ITCC dabei unterstützt

ITCC ist Ihr externer IT-Dienstleister, kein Anwalt und keine Datenschutzkanzlei. Die rechtliche Bewertung einzelner Anfragen und die Formulierung von Auskunftstexten überlassen wir datenschutzrechtlichen Partnern. Was wir liefern, ist die technische Grundlage, ohne die keine Auskunft vollständig und fristgerecht gelingt.

Konkret heißt das: Wir sorgen dafür, dass Sie wissen, in welchen Systemen personenbezogene Daten liegen, und dass Sie dort gezielt nach einer Person suchen können. Wir richten Zugriffsrechte, Postfächer und Ablagen so ein, dass Daten auffindbar und nicht wild verstreut sind, und wir helfen bei der technischen Bestandsaufnahme, die auch die Basis für Ihr Verarbeitungsverzeichnis und Ihre Auftragsverarbeitungsverträge ist. So wird aus der Monatsfrist eine planbare Aufgabe statt einer Panikaktion.

Für Betriebe im Raum Pfalz, Rhein-Neckar und Rhein-Main ist ein Erstgespräch der einfachste Weg zu einer ehrlichen Einschätzung, wie schnell Sie eine Auskunft heute zusammenstellen könnten und wo es hakt.

Gespräch vereinbaren