Was tun, wenn jemand Auskunft über seine Daten fordert?
Wer Auskunft über seine Daten fordert, hat tatsächlich einen Anspruch darauf. Trotzdem gilt: Man gibt nicht sofort Auskunft. Erst durchläuft die Anfrage vier Schritte: dokumentieren, Identität prüfen, Daten sammeln, fristgerecht liefern.
Der Haken: Ohne Prüfung der Identität wird aus der Antwort schnell selbst eine Datenschutzverletzung.
Bild: KI-generiert (OpenAI)
Autor: Peer Casper · Veröffentlicht am 3. September 2026 · Aktualisiert am 3. September 2026
Die Reihenfolge dafür ist klar geregelt.
Meldet sich jemand mit der Bitte um Auskunft über seine Daten, ist die erste Reaktion nicht die Antwort. Die erste Reaktion ist die Prüfung: Wer fragt da überhaupt?
Muss man jede Anfrage sofort beantworten?
Irrtümlicherweise glauben viele Unternehmerinnen und Unternehmer, eine Anfrage nach den eigenen Daten müsse sofort und vollständig beantwortet werden. Das stimmt aber nicht.
Richtig ist: Jede Person hat ein Auskunftsrecht. Eine vollständige Auskunft beantwortet sechs Fragen:
- welche Daten gespeichert und verarbeitet werden — dafür reicht die Kategorie, keine Einzelangabe,
- zu welchem Zweck,
- wer sie empfängt oder noch empfangen könnte,
- wie lange sie gespeichert werden,
- wie sie erhoben wurden,
- ob eine automatisierte Entscheidungsfindung oder ein Profiling stattfindet.
Diesem Recht steht eine Auskunftspflicht gegenüber. Diese Pflicht gilt aber nicht uneingeschränkt.
Zum einen darf die Auskunft eingeschränkt werden, wenn sie die Rechte einer anderen Person verletzen würde.
Zum anderen darf sie eingeschränkt werden, wenn eine Behörde noch ermittelt. Eine Auskunft könnte diese Ermittlung sonst gefährden.
Außerdem darf sie eingeschränkt werden, wenn immer wieder dieselbe Anfrage gestellt wird. Das verhindert Schikane durch systematisch wiederholte Anfragen.
In manchen Fällen ist eine Auskunft sogar ausdrücklich verboten. Das trifft zum Beispiel auf Auskunfteien zu. Ihre genaue Bewertungsformel müssen sie nicht offenlegen.
Woher weiß man, dass die Anfrage überhaupt echt ist?
Wer zu schnell und zu bereitwillig Auskunft erteilt, führt damit unter Umständen selbst eine Datenschutzverletzung herbei.
Deshalb steht vor jeder Antwort dieselbe Prüfung: Ist die anfragende Person wirklich die, für die sie sich ausgibt?
Ohne diese Prüfung reicht ein einziger Anruf oder eine einzige E-Mail, um an fremde Daten zu kommen.
Das trifft zum Beispiel auf einen angeblichen Ex-Partner zu. Er fragt unter einem Vorwand nach der neuen Adresse.
Erst die Identität klären, dann antworten.
Die vier Schritte bis zur Antwort
Sichtbar ist jeweils der Schritt. Einzelheiten und Beispiele erscheinen, sobald ein Punkt angeklickt oder aufgeklappt wird.
1Zuerst wird die Anfrage dokumentiert und an die zuständige Stelle weitergeleitet.+
Festgehalten werden Eingangsdatum, die anfragende Person und der Inhalt der Anfrage.
Wer dafür selbst nicht zuständig ist, muss nicht antworten. Dokumentieren und weiterleiten reicht — etwa an die Datenschutzbeauftragte oder die Geschäftsführung.
Das trifft zum Beispiel auf Anfragen zu, die an der Rezeption oder im allgemeinen Postfach eingehen.
2Dann wird die Identität der anfragenden Person geprüft.+
Reicht die Anfrage keinen eindeutigen Nachweis, wird gezielt nachgefragt.
Das gelingt zum Beispiel mit einem Rückruf unter der bekannten Nummer oder einer Ausweiskopie mit geschwärzten Nebendaten.
Das trifft zum Beispiel auf Anfragen von einer bislang unbekannten E-Mail-Adresse zu.
3Danach werden alle vorhandenen Daten zusammengetragen.+
Personenbezogene Daten liegen selten an einer Stelle.
Sie verteilen sich auf Kundendatenbank, E-Mail-Postfach, Buchhaltung und oft weitere Programme. Alle diese Quellen werden durchsucht, nicht nur die naheliegendste.
Das trifft zum Beispiel auf Daten im Newsletter-Tool, in der Warenwirtschaft und im Kundenkonto zu.
4Zuletzt werden die Daten aufbereitet und fristgerecht zugestellt.+
Aufbereitet heißt: in einer Form, die eine fachfremde Person versteht — keine Rohdaten aus einer Datenbank.
Dafür bleibt ein Monat Zeit. In begründeten Härtefällen verlängert sich diese Frist um bis zu zwei weitere Monate, sofern das innerhalb des ersten Monats mitgeteilt wird.
Das trifft zum Beispiel auf umfangreiche Anfragen über mehrere Jahre Geschäftsbeziehung zu.
Was heißt das für Ihr Unternehmen?
Für Ihr Unternehmen heißt das: Jede Anfrage nach den eigenen Daten durchläuft dieselben vier Schritte — ob sie handschriftlich, per E-Mail oder am Telefon hereinkommt.
Einmal eingeübt, wenden Sie diesen Ablauf bei jeder neuen Anfrage einfach wieder an.
Zum Glück lässt sich das leicht in einen festen Ablauf bringen.
Wird eine Anfrage falsch bearbeitet, drohen zwei Risiken zugleich.
Die verfrühte Auskunft wird selbst zur Datenschutzverletzung. Eine versäumte Frist kann zusätzlich ein Bußgeld auslösen.
Zum Glück lässt sich die Prüfung leicht in einen festen Ablauf bringen, der sich bei jeder neuen Anfrage wiederholt.
Das muss auch nicht viel Aufwand bedeuten. Ein externer Datenschutzbeauftragter übernimmt die Bearbeitung von Auskunftsersuchen als feste Aufgabe.
Weiterlesen: Wer haftet bei Verstößen?