DSGVO-Auskunftsrecht: Pflichten, Prozess und Best Practices für Unternehmen

Das Auskunftsrecht nach Art. 15 DSGVO gibt Betroffenen das Recht, umfassende Transparenz über die Verarbeitung ihrer personenbezogenen Daten zu erhalten.

• Ziel: Transparenz schaffen und die Kontrolle über die eigenen Daten ermöglichen.
• Kern des Rechts: Das Recht zu wissen, dass Daten verarbeitet werden, wie sie verarbeitet werden und welche Daten konkret vorliegen.

Das Auskunftsrecht ist der Hebel, den Betroffene nutzen, um ihre Rechte (wie Löschung oder Berichtigung) durchzusetzen. Für Unternehmen hat die Einhaltung strategische Bedeutung:

• Stärkung der Betroffenenrechte: Nutzerinnen und Nutzer behalten Kontrolle über ihre Daten.
• Transparenzpflicht für Unternehmen: Nachvollziehbare Datenverarbeitung.
• Früherkennung von Fehlern: Falsche oder veraltete Daten (Art. 5) können korrigiert werden, bevor es zu Folgeproblemen kommt.
• Reduzierung des Missbrauchsrisikos: Klare Dokumentation der Verarbeitung.
• Verpflichtende Frist: Die enge Monatsfrist macht Prozesse unumgänglich.

Das Recht gilt grundsätzlich für jede natürliche Person, deren Daten verarbeitet werden.

Dazu zählen:

• Kundinnen und Kunden
• Nutzerinnen und Nutzer (auch wenn sie keinen Kauf getätigt haben)
• Mitarbeitende
• Bewerbende
• Lieferanten-Ansprechpartner
• Website-Besuchende (sofern personenbezogene Daten wie IPs, Tracking-IDs erfasst wurden)

Unternehmen jeder Größe müssen Auskunftsersuchen erfüllen – auch Start-ups.

Die Antwort auf ein Auskunftsersuchen besteht aus zwei Hauptteilen.

Mindestumfang nach Art. 15: Die Auskunft

Die Antwort muss unter anderem folgende Informationen enthalten (die Meta-Informationen zur Verarbeitung):

1. Welche Daten verarbeitet werden: Name, Kontaktinfos, Nutzungsdaten, Vertragsdaten etc.
2. Zu welchen Zwecken die Daten verarbeitet werden (z. B. Vertragsdurchführung, Marketing, Sicherheit).
3. Rechtsgrundlagen (Einwilligung, Vertragserfüllung, berechtigtes Interesse usw.).
4. Empfänger oder Kategorien von Empfängern (z. B. Dienstleister, Cloud-Anbieter, Partner).
5. Speicherdauer bzw. Kriterien (Löschfristen, gesetzliche Aufbewahrungsfristen).
6. Betroffenenrechte (Berichtigung, Löschung, Einschränkung, Widerspruch).
7. Herkunft der Daten (Falls nicht direkt bei der Person erhoben).
8. Bestehen einer automatisierten Entscheidungsfindung inkl. Profiling.

Die Kopie der Daten

Auf Wunsch muss zusätzlich eine kostenlose Kopie aller personenbezogenen Daten bereitgestellt werden. Diese muss in einem gängigen, strukturierten und maschinenlesbaren Format übergeben werden (soweit technisch möglich).

Die manuelle Bearbeitung bindet wertvolle Ressourcen. Effizienz und Sicherheit sind nur durch Strukturierung und Automatisierung möglich.

1. Zentrales Verarbeitungsverzeichnis (VVT) pflegen

Das VVT (Art. 30) ist die Blaupause für die Beantwortung: Es listet alle Systeme, Zwecke, Rechtsgrundlagen und Empfänger. Ohne ein aktuelles VVT wird jede Auskunft zur Suche im Heuhaufen.

2. Standardprozess und Rollen definieren

Lege fest, wer im Unternehmen (DPO, IT, Rechtsabteilung, Fachbereich) für die Annahme, Bearbeitung, Datenextraktion, Freigabe und Dokumentation verantwortlich ist.

3. Identitätsprüfung durchführen

Prüfe die Identität des Anfragenden stets vor der Herausgabe sensibler Daten, um Missbrauch zu verhindern (z. B. per Postident, E-Mail-Verifizierung oder Zugang über das Kundenkonto).

4. Zentrale Datenquellen konsolidieren

Identifiziere, welche Systeme (CRM, HR-System, Logfiles, Supporttools) personenbezogene Daten speichern, und schaffe eine technische Möglichkeit, diese Daten schnell zusammenzuführen.

5. Datenbereitstellung automatisieren

Nutze Tools, die eine automatisierte Datenextraktion aus verschiedenen Quellen ermöglichen und die Antwortvorlagen (Auskunftsteil) automatisch befüllen.

6. Fristen überwachen und dokumentieren

Die Antwort muss innerhalb eines Monats erfolgen. Nutze Workflows, um diese Frist zu überwachen und die gesamte Kommunikation (Anfrage, Identitätsprüfung, Antwort) zu dokumentieren (Pflicht!).

7. Rechtssichere Antwortvorlagen erstellen

Nutze Vorlagen, die alle 8 Punkte des Art. 15 konsistent abdecken, um keine Informationen zu vergessen.

Die missbräuchliche oder fehlerhafte Abwicklung von Auskunftsersuchen zieht weitreichende Konsequenzen nach sich:

• Bußgelder nach Art. 83 der DSGVO: Verstöße gegen die Betroffenenrechte werden hart geahndet.
• Schadensersatzforderungen Betroffener bei Verstoß.
• Vertrauensverlust: Verzögerungen oder unvollständige Antworten signalisieren mangelnde Kontrolle über die eigenen Daten.
• Negative Auswirkungen auf Audits (z. B. ISO 27001, NIS2): Ein ineffizienter oder fehlerhafter DSR-Prozess gilt als Mangel in der Governance und der IT-Sicherheit.
• Erhöhte Risiken bei Datenpannen: Fehler im Auskunftsprozess deuten auf generelle Dateninkonsistenzen hin.

Auskunftsersuchen sind daher nicht nur ein Datenschutz-Thema, sondern betreffen Governance, Compliance und IT-Sicherheit.

Das Auskunftsrecht ist eines der zentralen Instrumente der DSGVO und für Unternehmen ohne zentrale Datenverwaltung oft eine Herausforderung. Mit klaren Prozessen, einem aktuellen VVT und der richtigen technischen Unterstützung lassen sich Anfragen jedoch sicher, effizient und fristgerecht erfüllen.

Wer das Auskunftsrecht sauber umsetzt, nutzt es als Chance: Du reduzierst rechtliche Risiken, stärkst das Vertrauen der Betroffenen und verbesserst deine Compliance insgesamt.

Die manuelle Bearbeitung kostet wertvolle Zeit. Automatisierung ist die einzige skalierbare Lösung, um die Bearbeitungszeit von Wochen auf Tage zu reduzieren und Audit-sicher zu sein.

Wie schnell muss ich antworten?

Innerhalb eines Monats nach Eingang der Anfrage. In Ausnahmefällen (hohe Komplexität oder Anzahl) ist eine Verlängerung auf drei Monate möglich, muss aber innerhalb der Monatsfrist begründet werden.

Kann ich eine Anfrage ablehnen?

Ja, z. B. bei offenkundig unbegründeten, exzessiven oder missbräuchlichen Anfragen. Dies ist aber nur in engen Grenzen erlaubt und muss ebenfalls fristgerecht begründet werden.

Wie gebe ich die Datenkopie korrekt heraus?

Elektronisch, strukturiert und maschinenlesbar – sofern möglich. Die Übermittlung sollte über einen sicheren Kanal erfolgen, da es sich um sensible personenbezogene Daten handelt.

Muss ich auch Dateien in den Backups durchsuchen?

Nein. Wenn Daten nur noch in Backups gespeichert sind (was dem Zweck der Wiederherstellung dient), musst du diese nicht aktiv durchsuchen. Du musst aber kommunizieren, dass sie dort inaktiv liegen und nach Ablauf der Backup-Zyklen gelöscht werden.