DSGVO-Auskunft: So erfahren Sie, welche Daten Unternehmen über Sie speichern

von

Mit einer Auskunft nach Art. 15 DSGVO erfahren Sie, ob ein Unternehmen Daten über Sie speichert, welche das sind, woher sie stammen und an wen sie weitergegeben wurden. Ein formloser Brief oder eine E-Mail genügt, eine Begründung brauchen Sie nicht. Das Unternehmen muss in der Regel innerhalb eines Monats antworten, und die erste Kopie Ihrer Daten ist kostenlos.

Kurz zusammengefasst

Jede Person kann von Unternehmen, Vereinen und Behörden Auskunft über die eigenen gespeicherten Daten verlangen (Art. 15 DSGVO). Die Antwort ist grundsätzlich innerhalb eines Monats fällig und darf nur in begründeten Fällen um bis zu zwei Monate verlängert werden. Sie haben Anspruch auf eine kostenlose Kopie der Daten. Bleibt die Antwort aus oder ist sie unvollständig, können Sie sich gebührenfrei bei der Datenschutzaufsichtsbehörde beschweren. Die Auskunft ist außerdem der beste Ausgangspunkt, um anschließend gezielt eine Löschung nach Art. 17 DSGVO zu verlangen.

Was ist das Auskunftsrecht nach Art. 15 DSGVO?

Das Auskunftsrecht ist Ihr gesetzlicher Anspruch, von jeder Stelle, die personenbezogene Daten verarbeitet, eine vollständige Antwort darüber zu bekommen, was sie über Sie weiß. Die Datenschutz-Grundverordnung nennt diese Stelle den „Verantwortlichen“. Das kann ein Onlineshop sein, Ihr Mobilfunkanbieter, eine Versicherung, ein Fitnessstudio, der frühere Arbeitgeber oder eine Auskunftei.

Das Recht ist zweistufig aufgebaut. Zuerst muss der Verantwortliche bestätigen, ob er überhaupt Daten über Sie verarbeitet. Falls ja, muss er die Daten selbst offenlegen und dazu eine Reihe von Begleitinformationen liefern. Auch eine Negativauskunft („Wir speichern keine Daten über Sie“) ist eine Antwort, zu der das Unternehmen verpflichtet ist. Schweigen ist dagegen keine zulässige Reaktion.

Gründe müssen Sie nicht nennen. Der Europäische Gerichtshof hat 2023 im Verfahren C-307/22 klargestellt, dass ein Antrag nicht begründet werden muss. Ob Sie neugierig sind, einen Streit vorbereiten oder einfach aufräumen wollen, spielt für den Anspruch keine Rolle.

Welche Informationen muss die Auskunft enthalten?

Die Auskunft muss neben den eigentlichen Daten alle Angaben aus Art. 15 Abs. 1 DSGVO enthalten. Viele Unternehmen schicken anfangs nur einen Datenbankauszug mit Name und Adresse. Das reicht nicht. Die folgende Übersicht hilft Ihnen, eine Antwort auf Vollständigkeit zu prüfen.

Pflichtangabe Was das in der Praxis bedeutet
Die Daten selbst (Kopie) Stammdaten, Bestellhistorie, Vertragsdaten, Notizen der Kundenbetreuung, Protokolle, Bewertungen über Sie
Verarbeitungszwecke Wofür die Daten genutzt werden, etwa Vertragsabwicklung, Werbung, Bonitätsprüfung
Kategorien der Daten Zum Beispiel Kontaktdaten, Zahlungsdaten, Nutzungsdaten, Standortdaten
Empfänger An wen die Daten gingen oder gehen sollen, etwa Paketdienste, Inkassobüros, Werbepartner
Speicherdauer Wie lange gespeichert wird, oder zumindest nach welchen Kriterien gelöscht wird
Hinweis auf Ihre Rechte Berichtigung, Löschung, Einschränkung, Widerspruch und das Beschwerderecht bei einer Aufsichtsbehörde
Herkunft der Daten Wenn die Daten nicht von Ihnen selbst stammen: aus welcher Quelle, etwa Adresshändler oder Partnerunternehmen
Automatisierte Entscheidungen Ob Profiling oder automatische Entscheidungen stattfinden, mit Angaben zur Logik und den Auswirkungen
Drittlandübermittlung Gehen Daten in Länder außerhalb der EU, muss das Unternehmen die Garantien nach Art. 46 DSGVO nennen

Gerade die Punkte Empfänger und Herkunft sind aufschlussreich. Wer wissen will, wie seine Adresse in einen Werbeverteiler gelangt ist, findet die Antwort oft genau hier.

Wie lange darf sich das Unternehmen Zeit lassen?

Das Unternehmen muss unverzüglich antworten, spätestens aber innerhalb eines Monats nach Eingang Ihres Antrags. So regelt es Art. 12 Abs. 3 DSGVO. Die Frist beginnt mit dem Zugang beim Unternehmen, nicht mit dem Datum Ihres Schreibens.

Eine Verlängerung um weitere zwei Monate ist möglich, aber nur, wenn der Antrag besonders komplex ist oder sehr viele Anträge vorliegen. Auch dann muss Sie das Unternehmen innerhalb des ersten Monats über die Verlängerung informieren und die Gründe nennen. Ein pauschales „Wir melden uns“ ohne Begründung erfüllt diese Pflicht nicht.

Notieren Sie sich deshalb das Versanddatum und rechnen Sie ein paar Tage für den Postweg hinzu. Bei einer E-Mail ist der Eingang in der Regel am selben Tag.

Haben Sie Anspruch auf eine Kopie, und was kostet sie?

Ja, Sie haben Anspruch auf eine Kopie Ihrer Daten, und die erste Kopie ist kostenlos. Art. 15 Abs. 3 DSGVO erlaubt ein angemessenes Entgelt erst für weitere Kopien. Der EuGH hat das im Oktober 2023 für die erste Kopie einer Patientenakte ausdrücklich bestätigt.

Wie weit „Kopie“ reicht, hat der EuGH im Mai 2023 im Verfahren C-487/21 geklärt. Sie haben Anspruch auf eine originalgetreue und verständliche Wiedergabe aller Daten. Das kann auch Auszüge aus Dokumenten, Datenbanken oder sogar ganze Dokumente umfassen, wenn Sie die Daten nur im Zusammenhang richtig verstehen können. Eine bloße Liste mit Feldnamen genügt dann nicht.

Stellen Sie Ihren Antrag elektronisch, muss die Antwort in einem gängigen elektronischen Format kommen, sofern Sie nichts anderes wünschen. Grenzen gibt es dort, wo Rechte anderer Menschen betroffen sind, etwa bei E-Mails, in denen auch Dritte vorkommen. Dann darf das Unternehmen schwärzen, aber nicht die gesamte Auskunft verweigern.

Ein Entgelt oder eine Ablehnung ist nur bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt, etwa wenn jemand dieselbe Auskunft in kurzen Abständen immer wieder verlangt. Die Beweislast dafür trägt das Unternehmen. Der Bundesdatenschutzbeauftragte weist darauf hin, dass die Schwelle für eine „häufige Wiederholung“ hoch liegt.

Wie weisen Sie Ihre Identität nach?

Ein Identitätsnachweis ist nur nötig, wenn das Unternehmen begründete Zweifel hat, dass der Antrag wirklich von Ihnen stammt. Art. 12 Abs. 6 DSGVO erlaubt dann, zusätzliche Informationen anzufordern, aber nur so viele, wie zur Bestätigung erforderlich sind.

In vielen Fällen reicht es, wenn Sie die E-Mail-Adresse verwenden, die beim Unternehmen hinterlegt ist, und eine Kundennummer angeben. Damit kann das Unternehmen Sie eindeutig zuordnen. Ein Ausweisdokument pauschal von jedem zu verlangen, ist nicht im Sinne der Vorschrift.

Fordert das Unternehmen doch eine Ausweiskopie, dürfen Sie alles schwärzen, was für die Identifizierung nicht gebraucht wird. Nach Angaben des Bundesdatenschutzbeauftragten genügen in der Regel Name, Anschrift, Geburtsdatum und Gültigkeitsdauer. Foto, Ausweisnummer und Zugangsnummer können Sie unkenntlich machen. Die Kopie darf nur zur Identitätsprüfung verwendet werden.

Wichtig

Schicken Sie Ihren Antrag an die Adresse aus der Datenschutzerklärung des Unternehmens. Dort müssen der Verantwortliche und, falls vorhanden, der Datenschutzbeauftragte genannt sein. Wenn Sie eine E-Mail-Adresse nutzen, die nicht beim Unternehmen hinterlegt ist, rechnen Sie mit einer Rückfrage zur Identität. Das verzögert die Antwort, verlängert aber nicht die Frist.

So stellen Sie den Antrag: Musterschreiben

Der einfachste Weg ist ein kurzer, sachlicher Brief oder eine E-Mail mit klarer Fristsetzung. Die Landesdatenschutzbehörde Baden-Württemberg stellt ein ausführliches Muster bereit, an dem sich die folgende Vorlage orientiert. Sie müssen nicht alle Fragen stellen, bei Auskunfteien wie der Schufa lohnt sich aber zusätzlich die Frage nach Scorewerten.

Vorname Nachname
Straße Hausnummer
PLZ Ort
E-Mail-Adresse
Kundennummer (falls vorhanden)

An
[Name des Unternehmens]
z. Hd. Datenschutzbeauftragte/r
[Anschrift]

[Ort], [Datum]

Auskunftsersuchen nach Art. 15 DSGVO

Sehr geehrte Damen und Herren,

ich bitte Sie um Bestätigung, ob Sie personenbezogene Daten über mich verarbeiten. Falls ja, bitte ich um unentgeltliche Auskunft nach Art. 15 DSGVO über

1. die über mich gespeicherten Daten und eine Kopie dieser Daten (Art. 15 Abs. 3 DSGVO),
2. die Zwecke der Verarbeitung,
3. die Kategorien der Daten,
4. die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern, mit Angabe der Garantien nach Art. 46 DSGVO,
5. die geplante Speicherdauer oder die Kriterien für ihre Festlegung,
6. die Herkunft der Daten, soweit sie nicht bei mir erhoben wurden,
7. das Bestehen automatisierter Entscheidungen einschließlich Profiling, mit Informationen über die involvierte Logik und die angestrebten Auswirkungen.

Bitte stellen Sie mir die Informationen in einem gängigen elektronischen Format zur Verfügung. Ich erwarte Ihre Antwort unverzüglich, spätestens innerhalb eines Monats nach Eingang dieses Schreibens (Art. 12 Abs. 3 DSGVO).

Sollten Sie keine Daten über mich verarbeiten, bitte ich um eine entsprechende Bestätigung.

Mit freundlichen Grüßen
[Unterschrift bei Briefversand]

Für den Versand empfiehlt die Landesbehörde Brief oder Fax. Eine E-Mail ist rechtlich ebenso wirksam. Bitten Sie in diesem Fall um eine Eingangsbestätigung und speichern Sie die gesendete Nachricht. Bei wichtigen Fällen, etwa vor einem Rechtsstreit, ist ein Einwurf-Einschreiben der sicherste Nachweis.

Was tun, wenn keine oder nur eine lückenhafte Antwort kommt?

Wenn die Frist verstrichen ist oder die Auskunft offensichtlich unvollständig ist, schreiben Sie zunächst eine kurze Erinnerung mit einer Nachfrist von etwa zwei Wochen. Verweisen Sie auf Ihr ursprüngliches Schreiben und benennen Sie konkret, was fehlt, zum Beispiel die Empfänger oder die Herkunft der Daten.

Bleibt auch das ohne Ergebnis, legen Sie Beschwerde bei einer Datenschutzaufsichtsbehörde ein. Dieses Recht steht Ihnen nach Art. 77 DSGVO zu, und das Verfahren ist für Sie kostenlos (Art. 57 Abs. 3 DSGVO). So gehen Sie vor:

  1. Zuständige Behörde finden: Für private Unternehmen sind in Deutschland in der Regel die Datenschutzbehörden der Bundesländer zuständig, nicht der Bundesdatenschutzbeauftragte. Sie dürfen sich aber auch an die Behörde an Ihrem Wohnort oder Arbeitsort wenden.
  2. Unterlagen beifügen: Ihr Auskunftsersuchen, den Nachweis über den Versand, die Erinnerung und gegebenenfalls die unvollständige Antwort.
  3. Sachverhalt knapp schildern: Wann Sie was beantragt haben und was ausgeblieben ist. Die meisten Behörden bieten dafür ein Online-Formular an.

Die Behörde muss Sie über den Stand und das Ergebnis informieren. Daneben bleibt Ihnen der Weg zu den Zivilgerichten offen, um die Auskunft einzuklagen oder Schadensersatz nach Art. 82 DSGVO zu verlangen. Für eine Klage sollten Sie sich beraten lassen, etwa bei einer Verbraucherzentrale oder einer Fachanwältin für IT-Recht.

Auskunft oder Löschung: Wie unterscheiden sich Art. 15 und Art. 17?

Die Auskunft nach Art. 15 zeigt Ihnen, was gespeichert ist, die Löschung nach Art. 17 sorgt dafür, dass es verschwindet. Beide Rechte stehen unabhängig nebeneinander. Sie können also auch direkt eine Löschung verlangen, ohne vorher Auskunft einzuholen.

In der Praxis ist die Reihenfolge Auskunft, dann Löschung oft sinnvoller. Erst wenn Sie wissen, welche Daten vorhanden sind und an wen sie weitergegeben wurden, können Sie gezielt widersprechen oder löschen lassen. Ein Löschantrag ins Blaue übersieht leicht Datenbestände bei Partnerfirmen.

Ein Löschanspruch besteht nur, wenn einer der Gründe aus Art. 17 Abs. 1 vorliegt. Typische Fälle: Die Daten werden für ihren Zweck nicht mehr gebraucht, Sie haben eine Einwilligung widerrufen, Sie haben der Verarbeitung wirksam widersprochen, oder die Daten wurden unrechtmäßig verarbeitet. Bei einem Widerspruch gegen Direktwerbung genügt der Widerspruch allein.

Die Löschpflicht hat Grenzen. Muss ein Unternehmen Daten aufgrund einer gesetzlichen Pflicht aufbewahren, etwa Rechnungen nach Handels- und Steuerrecht, darf es sie trotz Ihres Antrags behalten. Gleiches gilt, wenn es die Daten zur Durchsetzung oder Abwehr von Rechtsansprüchen braucht. Für andere Zwecke darf es die Daten dann aber nicht mehr nutzen. Fragen Sie im Zweifel nach, auf welche Vorschrift sich das Unternehmen stützt.

Wer seine Spuren im Netz insgesamt reduzieren möchte, findet in unserem Ratgeber zum digitalen Fußabdruck weitere Ansatzpunkte.

Häufige Fragen

Kann ich eine Auskunft auch telefonisch verlangen?

Rechtlich ist keine bestimmte Form vorgeschrieben. Der Bundesdatenschutzbeauftragte rät aber von telefonischen Anfragen ab, weil sich der Anrufer schwer identifizieren lässt. Mit einem schriftlichen Antrag haben Sie außerdem einen Beleg für den Fristbeginn.

Wie oft darf ich eine Auskunft anfordern?

Die DSGVO nennt keine feste Zahl. Unzulässig sind nur offenkundig unbegründete oder exzessive Anträge, wofür das Unternehmen die Beweislast trägt. Eine erneute Anfrage nach einigen Monaten oder nach einem konkreten Anlass ist in aller Regel unproblematisch.

Gilt das Auskunftsrecht auch gegenüber Behörden?

Ja, auch Behörden sind Verantwortliche im Sinne der DSGVO. Für sie gelten aber zusätzliche Einschränkungen aus dem Bundesdatenschutzgesetz und den Landesdatenschutzgesetzen, etwa bei laufenden Ermittlungen oder aus Gründen der öffentlichen Sicherheit.

Muss mir ein Unternehmen auch Daten aus E-Mails oder Gesprächsnotizen herausgeben?

Grundsätzlich ja, wenn diese Ihre personenbezogenen Daten enthalten. Nach dem EuGH-Urteil C-487/21 kann der Anspruch auf eine Kopie auch Dokumentauszüge umfassen. Informationen über andere Personen darf das Unternehmen schwärzen.

Was kann ich tun, wenn die Auskunft falsche Daten enthält?

Dann verlangen Sie eine Berichtigung nach Art. 16 DSGVO. Benennen Sie die falschen Angaben konkret und teilen Sie die richtigen mit. Das Unternehmen muss unverzüglich korrigieren und nach Art. 19 DSGVO grundsätzlich auch die Empfänger der Daten über die Berichtigung informieren.

Quellen

Weiterlesen auf Safety-IT

Das könnte dich auch interessieren