Auskunftsersuchen erhalten? So geht Ihr Unternehmen richtig vor

Kurz gesagt: Möchte eine Person wissen, welche Daten Ihr Unternehmen über sie gespeichert hat, ist das ein Auskunftsersuchen nach Art. 15 DSGVO. Das kann ein Kunde sein, ein Bewerber, ein Mitarbeitender oder ein ehemaliger Mitarbeitender. Ihr Unternehmen muss in der Regel innerhalb eines Monats vollständig antworten. Ein Auskunftsersuchen wird deshalb nie „mal eben nebenbei“ beantwortet, sondern geht sofort an die zuständige Stelle.

Ein Auskunftsersuchen landet bei Ihnen: Was ist zu tun?

Ein Auskunftsersuchen muss nicht so heißen. Oft kommt es formlos per E-Mail, per Brief, über das Kontaktformular oder über einen Anwalt, zum Beispiel mit dem Satz „Welche Daten haben Sie über mich gespeichert?“. Für alle Mitarbeitenden und Führungskräfte gilt dann:

• Nicht selbst beantworten, auch nicht teilweise.
• Sofort weiterleiten an die Person, die in Ihrem Unternehmen für Datenschutz oder für Auskunftsersuchen zuständig ist, oder an Ihren Datenschutzbeauftragten.
• Eingangsdatum festhalten. Ab diesem Tag läuft die Frist.
• Nichts löschen oder verändern, was die Person betrifft.

Warum Sorgfalt so wichtig ist

Ein Auskunftsersuchen ist oft mehr als eine einfache Frage. Es wird gezielt eingesetzt, etwa im Streit mit ehemaligen Mitarbeitenden oder unzufriedenen Kunden, um Fehler im Unternehmen aufzudecken:

• Ist die Auskunft unvollständig oder kommt sie zu spät, kann sich die Person bei der Aufsichtsbehörde beschweren und Schadensersatz verlangen (Art. 82 DSGVO).
• Zeigt die Auskunft, dass Daten noch gespeichert sind, die längst hätten gelöscht werden müssen, liefert das Unternehmen den Nachweis eines Verstoßes gleich mit.

Eine schnell zusammengesuchte Antwort kann so zum Bumerang werden. Nehmen Sie sich Zeit und beantworten Sie das Ersuchen vollständig.

Schritt für Schritt für die zuständige Person

1. Frist berechnen. Sie beträgt einen Monat ab Eingang (Art. 12 Abs. 3 DSGVO). Planen Sie genug Zeit ein, die Suche dauert oft länger als gedacht.
2. Identität prüfen, wenn nötig. Zusätzliche Angaben dürfen Sie nur bei begründeten Zweifeln an der Identität verlangen (Art. 12 Abs. 6 DSGVO).
3. Alle Daten suchen. E-Mail-Postfächer, Branchensoftware, Buchhaltung, Personalakten, Papierakten, Cloud-Speicher und Dienstleister, die Daten im Auftrag verarbeiten.
4. Auskunft zusammenstellen. Die Person erhält eine Kopie ihrer Daten (Art. 15 Abs. 3 DSGVO) und Angaben zu Zwecken, Datenkategorien, Empfängern, Speicherdauer, Herkunft der Daten, ihren Rechten und dem Beschwerderecht bei der Aufsichtsbehörde (Art. 15 Abs. 1 DSGVO).
5. Daten Dritter schützen. Enthalten die Unterlagen Daten anderer Personen, werden diese geschwärzt (Art. 15 Abs. 4 DSGVO).
6. Vor dem Versand prüfen. Ist die Auskunft vollständig? Passt sie zu Ihren Löschfristen? Im Zweifel den Datenschutzbeauftragten einbeziehen.
7. Sicher übermitteln, verschlüsselt oder per Post.
8. Dokumentieren, wann und wie Sie geantwortet haben.

Fristverlängerung

Ist die Anfrage besonders umfangreich oder komplex, können Sie die Frist um bis zu zwei weitere Monate verlängern. Das müssen Sie der Person aber innerhalb des ersten Monats mitteilen und begründen (Art. 12 Abs. 3 DSGVO).

Wann Sie ablehnen dürfen

Nur wenn die Anfrage offenkundig unbegründet oder exzessiv ist, zum Beispiel bei häufig wiederholten Anfragen ohne neuen Anlass (Art. 12 Abs. 5 DSGVO). Die Hürde ist hoch und Ihr Unternehmen muss sie nachweisen. Dass jemand die Auskunft für einen Rechtsstreit nutzen möchte, etwa nach einer Kündigung, ist in der Regel kein Grund zur Ablehnung.

Vorbeugen: Daten regelmäßig löschen

Die beste Vorbereitung beginnt lange vor dem ersten Auskunftsersuchen. Wer Daten nach festen Fristen löscht, hat im Ernstfall weniger zu durchsuchen und macht sich nicht angreifbar.

• Ein Löschkonzept mit Fristen für alle Datenarten erstellen.
• Regelmäßig löschen, zum Beispiel Unterlagen abgelehnter Bewerber und Daten ehemaliger Kunden nach Ablauf der Aufbewahrungsfristen.
• Festlegen, wer im Unternehmen Auskunftsersuchen bearbeitet.
• Den Ablauf schriftlich festhalten und die Mitarbeitenden schulen, damit Anfragen sofort richtig weitergeleitet werden.

Typische Fehler

• Mitarbeitende beantworten die Anfrage selbst und unvollständig.
• Die Frist wird verpasst, weil die Anfrage im Postfach untergeht.
• Es werden nur Stammdaten genannt, E-Mails und Notizen fehlen.
• Es werden Daten herausgegeben, die längst hätten gelöscht sein müssen.
• Es werden Kosten verlangt, obwohl die erste Kopie kostenlos ist.
• Daten anderer Personen werden nicht geschwärzt.

Häufige Fragen

Klicken Sie auf eine Frage, um die Antwort zu sehen.

Muss das Unternehmen antworten, wenn keine Daten gespeichert sind?

Ja. Auch dann erhält die Person eine Antwort, dass keine Daten verarbeitet werden.

Müssen ganze Dokumente herausgegeben werden?

Grundsätzlich geht es um eine Kopie der Daten selbst. Ganze Dokumente oder Auszüge sind nötig, wenn die Daten ohne diesen Zusammenhang nicht verständlich sind (EuGH, Urteil vom 4. Mai 2023, C-487/21).

Darf ein Anwalt die Auskunft für jemanden verlangen?

Ja, mit einer Vollmacht der betroffenen Person.

Gilt das auch für ehemalige Mitarbeitende?

Ja. Gerade nach einem Ausscheiden kommen Auskunftsersuchen häufig vor und umfassen oft auch E-Mails.

Darf das Unternehmen Gebühren verlangen?

Nein, die erste Kopie ist kostenlos. Nur für weitere Kopien darf ein angemessenes Entgelt verlangt werden (Art. 15 Abs. 3 DSGVO).

Unterstützung

Sie werden von uns als Datenschutzbeauftragte betreut? Leiten Sie die Anfrage direkt an uns weiter, wir prüfen sie gemeinsam mit Ihnen. Sie haben noch keinen Datenschutzbeauftragten? Vereinbaren Sie ein kostenloses Erstgespräch.

Stand: Oktober 2026