Auskunftsersuchen und Löschung: binnen eines Monats antworten, ohne Panik

Für wen

Die Oficina Rocha, Marta, Inês, Rui und die Menschen, die ihnen schreiben, sind fiktiv. Die Regeln, die Fristen und die Feststellungen der Behörden sind echt und belegt.

Szene 1 · Dienstag, 27. Oktober, 9:10 Uhr

„Schicken Sie mir alles, was Sie über mich haben“

Marta ist Verwaltungsleiterin der Oficina Rocha, einer Möbelwerkstatt mit 45 Beschäftigten bei Braga im Norden Portugals, mit einem Onlineshop. „Sie macht auch die DSGVO“, freitags am Nachmittag. Heute findet sie beim Aufräumen des allgemeinen Postfachs info@ diese Nachricht:

Von: paulo.m…@gmail.com · An: info@ · 6. Oktober, 22:47

Guten Abend. Ich habe das Unternehmen im Juni verlassen. Ich möchte alle personenbezogenen Daten erhalten, die die Oficina Rocha über mich speichert. Danke, Paulo Mendes

Die E-Mail ist drei Wochen alt. Martas erste Reaktion ist sehr verbreitet: „Er hat sie an die falsche Adresse geschickt, zählt das trotzdem?“ Es zählt. Die Uhr lief am 6. Oktober an und bleibt am 6. November stehen. Es bleiben zehn Tage.

Sie ruft Inês an, die externe DSB des Unternehmens. Inês bleibt ruhig: „Zehn Tage reichen, wenn wir heute anfangen. Machen wir es in der richtigen Reihenfolge.“ Dieser Ratgeber ist diese Reihenfolge.

Das passiert oft. Als die europäischen Datenschutzbehörden 2024 insgesamt 1.185 Organisationen untersuchten, gehörte zu den häufigsten Problemen, Anträge nicht zu erkennen, die die DSGVO nicht nennen oder über Kanäle kommen, die nicht dafür gedacht sind. Und 74 % dieser Organisationen hatten im Vorjahr zwischen null und zehn Auskunftsersuchen erhalten. Bei so wenigen Anträgen erinnert sich niemand an das Verfahren, wenn es gebraucht wird.

Quelle: EDSA, Bericht zur koordinierten Aktion 2024 zum Auskunftsrecht (angenommen am 16. Januar 2025, auf Englisch).

Kostenlose Vorlage: das Register für Auskunftsersuchen und Löschanträge macht aus diesem Ratgeber eine einsatzbereite Tabelle.

SCHRITT 1

Den Antrag erkennen

Die DSGVO schreibt für den Antrag keine Form vor. Er kann per E-Mail, Post, Telefon, Webformular, soziale Netzwerke oder persönlich bei einer Kollegin oder einem Kollegen eingehen. Die Person muss weder „Artikel 15“ schreiben noch erklären, warum sie ihre Daten will. Der Europäische Datenschutzausschuss (EDSA) ist eindeutig: Es ist nicht Ihre Aufgabe, das „Warum“ zu beurteilen, und Sie dürfen nicht ablehnen, nur weil der Antrag das Gesetz nicht nennt.

Es gibt eine vernünftige Grenze. Wenn Sie einen eigenen Kanal veröffentlicht haben und jemand an eine Adresse schreibt, die damit nichts zu tun hat (das Beispiel des EDSA ist die Adresse des Reinigungspersonals), muss der Antrag nicht zählen. Eine allgemeine Adresse wie info@ oder die des Kundenservice zählt aber, und der EDSA erwartet von Ihnen „alle zumutbaren Anstrengungen“, den Antrag an die richtige Person weiterzuleiten. Die Zeit, in der ein Antrag vergessen in einem Postfach liegt, verlängert die Frist nicht.

EDSA, Leitlinien 01/2022 zum Auskunftsrecht, v2.1, Rn. 13, 50 und 52 bis 57 sowie Beispiele 8 und 9.

SCHRITT 2

Die Frist tagesgenau berechnen

Die DSGVO sagt „ein Monat“, nicht 30 Tage. Die Berechnung folgt den EU-Regeln über Fristen: Der Tag, an dem der Antrag eingeht, zählt nicht mit, und die Frist endet am gleichen Tag des Folgemonats. Gibt es diesen Tag nicht, endet sie am letzten Tag des Monats. Fällt er auf einen Samstag, Sonntag oder Feiertag, verschiebt sie sich auf den nächsten Arbeitstag.

Manche Behörden, etwa die CNPD (die portugiesische Datenschutzbehörde), nennen der Öffentlichkeit eine Antwort binnen „30 Tagen“. Mit 30 Tagen zu planen ist der sicherste Weg, den Monat nie zu überschreiten.

Verlängerung. Sie können bis zu zwei Monate hinzufügen, „wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist“. Unter zwei Bedingungen: Sie teilen es der Person innerhalb des ersten Monats mit und nennen den Grund (Muster 4). Eine Verlängerung, die am 35. Tag verschickt wird, kommt zu spät.

Beantworten Sie Anträge in Deutschland?

Das Bundesdatenschutzgesetz (BDSG) ändert diese Fristen für ein Unternehmen nicht: Es gelten die der DSGVO. Das BDSG schränkt die Rechte aber in einigen Fällen ein. Nach § 34 BDSG besteht kein Auskunftsrecht unter anderem für Daten, die nur wegen gesetzlicher Aufbewahrungspflichten gespeichert sind oder ausschließlich der Datensicherung oder der Datenschutzkontrolle dienen, wenn die Auskunft einen unverhältnismäßigen Aufwand erfordern würde und eine Verwendung zu anderen Zwecken technisch und organisatorisch ausgeschlossen ist. Die Gründe einer Ablehnung müssen Sie dokumentieren. Die Datenschutzkonferenz (DSK) erklärt das Auskunftsrecht in ihrem Kurzpapier Nr. 6 und betont, dass über die Anwendung solcher nationalen Einschränkungen im Einzelfall zu entscheiden ist.

Art. 12 Abs. 3 DSGVO; Verordnung (EWG, Euratom) Nr. 1182/71, Art. 3; § 34 BDSG; CNPD, Direito ao apagamento dos dados (auf Portugiesisch).

SCHRITT 3

Die Identität prüfen, mit Augenmaß

Fragen Sie nur dann nach zusätzlichen Informationen, wenn Sie begründete Zweifel an der Identität der antragstellenden Person haben, und nur nach dem, was Sie wirklich brauchen. Die Gewohnheit, von allen eine Kopie des Personalausweises zu verlangen, ist ein Fehler: Der EDSA hält das im Allgemeinen nicht für ein geeignetes Mittel zur Authentifizierung und sieht darin ein Sicherheitsrisiko. Im Bericht von 2024 schrieben die Behörden, dass die systematische Anforderung eines Ausweisdokuments „eine übermäßige Verarbeitung darstellen kann“.

Nutzen Sie, was Sie schon haben. Eine Kundin mit einem Konto im Onlineshop kann den Antrag aus ihrem Konto bestätigen. Ein ehemaliger Mitarbeiter kann eine Angabe bestätigen, die nur er und das Unternehmen kennen, oder die Antwort an die Kontaktdaten erhalten, die bereits in seiner Personalakte stehen. In Paulos Fall stand seine private E-Mail-Adresse schon in der Personalakte, also hat Inês nichts weiter verlangt.

Wenn Sie wirklich prüfen müssen, fragen Sie in den ersten Tagen (Muster 2), damit Sie nicht den ganzen Monat warten.

Art. 12 Abs. 6 und Erwägungsgrund 64 DSGVO; EDSA, Leitlinien 01/2022, Rn. 73 bis 77 und Beispiele 13 und 14; EDSA, Bericht zur koordinierten Aktion 2024.

SCHRITT 4

Auskunft: was Sie schicken müssen

Eine Auskunft hat zwei Teile. Denken Sie an eine Mappe mit einer Kopie darin und einem Begleitschreiben obenauf.

Was der Gerichtshof schon entschieden hat

Art. 15 DSGVO; EuGH C-154/21, C-487/21, C-307/22, C-579/21; EDSA, Leitlinien 01/2022.

SCHRITT 5

Wo Sie suchen

Das erste Problem, das die Behörden 2024 festgestellt haben, sind zu enge Suchen: nur in der Hauptdatenbank nachsehen und E-Mails, Metadaten, Nicht-Text-Dateien oder Backups vergessen. Sie erinnern daran, dass Sie die Antwort nicht auf die Daten beschränken dürfen, die Sie für relevant halten.

In der Oficina Rocha hat Rui aus der IT Paulos Namen und E-Mail-Adressen in den Postfächern, auf dem Dateiserver und in der Lohnsoftware gesucht und bestätigt, dass die Videoaufnahmen vom Juni im normalen Zyklus schon gelöscht waren. Er brauchte einen Vormittag. Marta hat die Personalakte herausgesucht. Inês hat alles durchgesehen und die Daten von Kundinnen, Kunden und Kollegen geschwärzt.

EDSA, Bericht zur koordinierten Aktion 2024, Problem 1 und Empfehlungen; Art. 30 DSGVO.

Szene 2 · zwei Wochen später

„Löschen Sie mein Konto und alles, was Sie über mich haben“

Paulo hat die Antwort am 4. November erhalten, zwei Tage vor Fristende. Marta atmet auf. Dann kommt über das Formular des Onlineshops eine Nachricht von Sofia, einer Kundin, die 2024 einen Tisch gekauft hat und den Newsletter bekommt.

Alles zu löschen klingt einfach. Aber die Rechnung für den Tisch enthält Sofias Namen und Adresse, und das Steuerrecht verlangt, sie aufzubewahren. Der Newsletter läuft über eine externe Plattform. Und jede Nacht laufen Backups. Marta schreibt Inês: „Lösche ich oder nicht?“ Die Antwort: „Beides. Schauen wir, was was ist.“

SCHRITT 6

Löschung: wann löschen, wann aufbewahren

Das Recht auf Löschung, auch „Recht auf Vergessenwerden“ genannt, gilt nicht absolut. Prüfen Sie zuerst, ob einer der Fälle vorliegt. Prüfen Sie dann, ob eine Ausnahme greift, im Einzelfall und schriftlich.

Drei Stellen, an denen Organisationen stolpern

Ein Konto schließen heißt nicht, die Daten zu löschen. Die Behörden haben mehr Bewusstsein für diesen Unterschied gefordert, weil viele Organisationen beides als dasselbe behandeln.

In Deutschland bleiben Rechnungen acht Jahre. Buchungsbelege, dazu gehören Rechnungen, sind nach § 147 AO und § 257 HGB acht Jahre aufzubewahren (seit dem Vierten Bürokratieentlastungsgesetz, vorher zehn Jahre); Handelsbücher und Jahresabschlüsse weiterhin zehn. Was Sie aus diesem Grund behalten, etwa Sofias Rechnung, gehört nicht mehr in die laufenden Systeme: Archivieren Sie es getrennt, mit Zugriff nur für die, die ihn brauchen, und löschen Sie es am Ende der Frist. § 35 Abs. 3 BDSG sieht für solche Fälle die Einschränkung der Verarbeitung statt der Löschung vor. Prüfen Sie die Fristen mit Ihrem Steuerbüro.

Art. 17 und 19 DSGVO; § 147 AO; § 257 HGB; § 35 BDSG; DSK, Kurzpapier Nr. 11; EDSA, Bericht zur koordinierten Aktion 2025 zum Recht auf Löschung (angenommen am 10. Februar 2026, auf Englisch).

SCHRITT 7

Ablehnen oder einschränken, auf solider Grundlage

Sie dürfen nur ablehnen oder ein angemessenes Entgelt verlangen, wenn der Antrag offenkundig unbegründet oder exzessiv ist, insbesondere wegen häufiger Wiederholung. Der EDSA sagt, dass diese Begriffe eng auszulegen sind, und Sie müssen nachweisen, dass der Antrag es ist. Ein Antrag, der wiederholt wird, weil Ihre erste Antwort unvollständig war, ist nur eine Erinnerung, kein neuer Antrag.

Nutzen Sie die Ablehnung auch nicht, um sich Arbeit zu sparen. Verlangt jemand alles und haben Sie Daten aus vielen Jahren in vielen Systemen, können Sie fragen, ob die Person mit einem bestimmten Bereich beginnen möchte (Muster 3). Der EDSA warnt aber, dass diese Rückfrage nicht dazu dienen darf, die Antwort zu beschränken. Sagt sie „alles“, schicken Sie alles.

Jedes Mal, wenn Sie einem Antrag ganz oder teilweise nicht nachkommen, müssen Sie binnen des Monats mit Gründen antworten und die Person darüber informieren, dass sie sich bei einer Aufsichtsbehörde beschweren und einen gerichtlichen Rechtsbehelf einlegen kann (Muster 7).

Art. 12 Abs. 4 und 5 und Art. 15 Abs. 4 DSGVO; EDSA, Leitlinien 01/2022, Rn. 29 und Abschnitt 6.

Was die Behörden festgestellt haben

Sieben Dinge, die Sie nicht tun sollten

Diese Probleme tauchten immer wieder auf.

1. 1
   Kein schriftliches Verfahren haben.Siebzehn Behörden fanden Organisationen ohne dokumentiertes und aktuelles Löschverfahren. Manche überprüfen ihres alle fünf Jahre, oder nie.
2. 2
   Den Antrag nicht erkennen und den Eingang nicht bestätigen.Anträge, die die DSGVO nicht nennen oder über nicht vorgesehene Kanäle kommen, bleiben unbeantwortet.
3. 3
   Von allen einen Ausweis verlangen.Pflicht-Webformulare, nur schriftliche Anträge und standardmäßig ein Ausweisdokument sind alles Hürden für die Ausübung des Rechts.
4. 4
   Nur in der Hauptdatenbank suchen.E-Mails, Metadaten, Nicht-Text-Dateien und Backups bleiben außen vor.
5. 5
   Mit der Datenschutzerklärung antworten.Allgemeine Informationen, Empfänger nur als Kategorien und vage Speicherfristen, statt Antworten, die sich auf die Person beziehen.
6. 6
   Das Protokoll der Anträge ewig aufbewahren.Speicherfristen für die Anträge selbst von sechs Monaten bis zu 45 Jahren, oder gar keine. Legen Sie eine Frist fest und führen Sie diese Unterlagen getrennt.
7. 7
   Ausnahmen automatisch anwenden.Mehr als ein Dutzend Behörden sahen Ausnahmen nach Art. 17 Abs. 3, die ohne Prüfung im Einzelfall angewandt wurden, und Ablehnungen ohne dokumentierten Grund.

EDSA, Bericht 2024 (Auskunft); EDSA, Bericht 2025 (Löschung).

Zum Ausdrucken

Der Monat, Tag für Tag

Musterantworten

Sieben Antworten zum Anpassen

Ersetzen Sie alles in [eckigen Klammern]. Schreiben Sie, wie ein Mensch einem anderen schreibt: Diese Antworten liest die Person, die den Antrag gestellt hat, und manchmal eine Aufsichtsbehörde.

Guten Tag [Name],
wir haben am [Eingangsdatum] Ihren Antrag auf [Kurzfassung: Auskunft über Ihre personenbezogenen Daten / Löschung Ihrer Daten] erhalten.
Wir antworten Ihnen bis zum [Frist]. Sollte sich der Antrag als besonders komplex erweisen und wir mehr Zeit brauchen, sagen wir Ihnen das vor diesem Datum und erklären den Grund.
Das Aktenzeichen Ihres Antrags lautet [Nummer]. Bei Fragen antworten Sie einfach auf diese E-Mail.
Mit freundlichen Grüßen
[Name]
[Funktion] · [Organisation]

Guten Tag [Name],

um Ihre Daten zu schützen, müssen wir sicher sein, dass der Antrag wirklich von Ihnen kommt. In diesem konkreten Fall [konkreter Grund: Die verwendete E-Mail-Adresse ist nicht die, die mit Ihrem Konto verknüpft ist].
Sie können das auf einem dieser Wege bestätigen:
– [verhältnismäßige Option 1: von der Adresse antworten, die mit Ihrem Konto verknüpft ist]
– [verhältnismäßige Option 2: uns die Nummer einer aktuellen Bestellung nennen]
Eine Kopie Ihres Ausweises müssen Sie uns nicht schicken. Sobald wir Ihre Bestätigung haben, bearbeiten wir den Antrag weiter.
Mit freundlichen Grüßen
[Name] · [Organisation]

Guten Tag [Name],

wir haben begonnen, Ihre Daten zusammenzustellen. Wir speichern Informationen über Sie in [Liste: Ihrer Personalakte, dienstlichen E-Mails von [Jahr] bis [Jahr], den Zutrittsprotokollen des Gebäudes].
Damit wir Ihnen zuerst schicken können, was Sie am meisten interessiert: Möchten Sie einen bestimmten Bereich oder Zeitraum zuerst erhalten? Wenn Sie lieber alles bekommen möchten, sagen Sie es uns, und wir schicken Ihnen alles fristgerecht bis zum [Frist].
Mit freundlichen Grüßen
[Name] · [Organisation]

Guten Tag [Name],
wir arbeiten an Ihrem Antrag vom [Eingangsdatum]. Wir brauchen mehr Zeit, weil [konkreter Grund: Ihre Daten in sieben verschiedenen Systemen liegen und rund [N] E-Mails aus mehreren Jahren umfassen, die wir durchsehen müssen, um die Daten anderer Menschen zu schützen].
Deshalb verlängern wir, wie Artikel 12 Absatz 3 DSGVO es erlaubt, die Frist. Wir antworten Ihnen bis zum [neues Datum, höchstens drei Monate nach Eingang].
[Optional: In der Zwischenzeit schicken wir Ihnen im Anhang [den bereits fertigen Teil].]
Wenn Sie mit dieser Verlängerung nicht einverstanden sind, können Sie sich bei [Aufsichtsbehörde, z. B. die für uns zuständige Landesdatenschutzbehörde: Website] beschweren.
Mit freundlichen Grüßen
[Name] · [Organisation]

Guten Tag [Name],
auf Ihren Antrag vom [Eingangsdatum] senden wir Ihnen im Anhang eine Kopie der personenbezogenen Daten, die wir über Sie verarbeiten [Format: PDF-Datei / passwortgeschütztes ZIP-Archiv, das Passwort schicken wir Ihnen separat].

Wozu wir Ihre Daten verwenden: [genaue Zwecke, z. B. Ihr Arbeitsverhältnis verwalten, Gehälter zahlen, unsere steuerlichen und sozialversicherungsrechtlichen Pflichten erfüllen].
Welche Daten wir verarbeiten: [Kategorien: Identität, Kontaktdaten, Bankverbindung, Arbeitszeiten, Beurteilungen].
Wem wir sie offengelegt haben: [konkrete Empfänger: Finanzamt, [Name der Krankenkasse], [Name des Steuerbüros], [Name des Versorgungswerks / der betrieblichen Altersversorgung]].
Wie lange wir sie speichern: [Dauer oder Kriterien je Kategorie].
Ihre Rechte: Sie können verlangen, dass wir Ihre Daten berichtigen oder löschen oder ihre Verarbeitung einschränken, und Sie können der Verarbeitung widersprechen.
Sie können sich bei [Aufsichtsbehörde, z. B. die für uns zuständige Landesdatenschutzbehörde: Website] beschweren.
Woher die Daten stammen: [Sie haben sie uns gegeben / wir haben sie von [Quelle] erhalten].
Automatisierte Entscheidungen: [Wir treffen keine ausschließlich automatisierten Entscheidungen über Sie / Beschreibung und involvierte Logik].
[Falls zutreffend: Übermittlungen außerhalb des EWR: [Land, verwendete Garantie].]

Zum Schutz anderer Menschen haben wir [die Daten von Kolleginnen, Kollegen und Kunden] in [Dokumente] geschwärzt.
Wenn etwas fehlt oder Sie Fragen haben, antworten Sie einfach auf diese E-Mail.
Mit freundlichen Grüßen
[Name] · [Organisation]

Guten Tag [Name],

wir haben Ihren Antrag vom [Eingangsdatum] bearbeitet.
Was wir gelöscht haben: [Ihr Konto im Onlineshop, den darin gespeicherten Bestellverlauf, Ihre Präferenzen und Ihren Kontakt in unserem Verteiler].
Was wir aufbewahren müssen: [die Rechnungen Ihrer Käufe], weil [genaue rechtliche Pflicht: das Handels- und Steuerrecht uns verpflichtet, sie acht Jahre aufzubewahren (§ 147 AO, § 257 HGB)]. Wir bewahren sie nur für diesen Zweck auf, in einem Archiv mit beschränktem Zugriff, und löschen sie am [Datum oder Kriterium].
Wen wir außerdem informiert haben: Wir haben [Name der E-Mail-Marketing-Plattform / weitere Empfänger] gebeten, Ihre Daten zu löschen.
Backups: Ihre Daten sind noch in Backups vorhanden, die vor heute erstellt wurden. Diese Backups werden bis zum [Datum] automatisch gelöscht, und wir verwenden Ihre Daten nicht wieder, falls ein Backup wiederhergestellt wird.
Wenn Sie mit dieser Antwort nicht einverstanden sind, können Sie sich bei [Aufsichtsbehörde, z. B. die für uns zuständige Landesdatenschutzbehörde: Website] beschweren oder einen gerichtlichen Rechtsbehelf einlegen.
Mit freundlichen Grüßen
[Name] · [Organisation]

Guten Tag [Name],

wir haben Ihren Antrag vom [Eingangsdatum] geprüft und werden ihm [ganz / teilweise: nennen Sie den Teil] nicht nachkommen.
Der Grund: [konkrete Erklärung, z. B. Am [Datum] haben wir einen gleichlautenden Auskunftsantrag mit einer vollständigen Kopie Ihrer Daten beantwortet, und seitdem haben wir keine neuen Daten über Sie verarbeitet. / Die Daten, deren Löschung Sie verlangen, brauchen wir zu unserer Verteidigung in einem laufenden Gerichtsverfahren, Az. [Nummer] (Artikel 17 Absatz 3 Buchstabe e DSGVO), und wir löschen sie nach Abschluss des Verfahrens.]
Wenn Sie nicht einverstanden sind, haben Sie das Recht, sich bei [Aufsichtsbehörde, z. B. die für uns zuständige Landesdatenschutzbehörde: Website] zu beschweren und einen gerichtlichen Rechtsbehelf einzulegen.
Mit freundlichen Grüßen
[Name] · [Organisation]

Was sich ändern kann · aktualisiert am 21. Okt. 2026

Ein EU-Vorschlag zielt auf „missbräuchliche“ Auskunftsersuchen

Im November 2025 hat die Europäische Kommission das Paket Digital Omnibus vorgelegt, COM(2025) 837. Für das Auskunftsrecht schlägt sie drei Änderungen an Art. 12 Abs. 5 vor: Der Verantwortliche soll ablehnen oder ein Entgelt verlangen dürfen, wenn das Auskunftsrecht für andere Zwecke als den Schutz der eigenen Daten genutzt wird; die Beweislast soll sinken, sodass „berechtigte Gründe für die Annahme“ genügen, dass ein Antrag exzessiv ist; und in einem Erwägungsgrund sollen „übermäßig weit gefasste und unspezifische“ Anträge als exzessiv gelten.

Der EDSA und der Europäische Datenschutzbeauftragte (EDSB) teilen das Ziel der Klarheit, haben aber gefordert, diese drei Formulierungen zu streichen (gemeinsame Stellungnahme 2/2026 vom 10. Februar 2026). Sie erinnern daran, dass Menschen ihre Anträge nach dem Urteil des Gerichtshofs in der Rechtssache C-307/22 nicht begründen müssen.

Im Oktober 2026 stand das Verhandlungsmandat des Rates mit dem Europäischen Parlament auf der Tagesordnung der EU-Botschafter. Der Vorschlag ist kein Gesetz. Die Regeln in diesem Ratgeber gelten heute. Wir aktualisieren diesen Abschnitt, sobald ein endgültiger Text im Amtsblatt veröffentlicht ist. Den Vorschlag, einschließlich der Datenpannen, analysieren wir ausführlicher in unserem Beitrag zum Digital Omnibus.

Außerdem soll ein weiterer Vorschlag (Omnibus IV) die Ausnahme von der Pflicht zum Verzeichnis von Verarbeitungstätigkeiten auf Organisationen mit weniger als 1.000 Beschäftigten ausweiten, außer bei Verarbeitungen mit hohem Risiko (vorläufige Einigung vom 26. Juni 2026). Auch wenn Sie ausgenommen sind, müssen Sie wissen, wo Ihre Daten liegen, um diese Anträge zu beantworten.

COM(2025) 837; gemeinsame Stellungnahme 2/2026 von EDSA und EDSB; Tagesordnung des AStV, Oktober 2026; Verfahren 2025/0130(COD).

Vor dem Absenden

Checkliste

Häufige Fragen

Häufige Fragen

Wie lange habe ich Zeit, ein Auskunftsersuchen zu beantworten?

Einen Monat ab Eingang, bis zum gleichen Tag des Folgemonats (Art. 12 Abs. 3). Ist der Antrag komplex oder haben Sie viele, können Sie um höchstens zwei Monate verlängern, sofern Sie das der Person innerhalb des ersten Monats mitteilen und begründen.

Darf ich eine Kopie des Personalausweises verlangen, um die Identität zu prüfen?

In der Regel nein. Zusätzliche Informationen dürfen Sie nur verlangen, wenn Sie begründete Zweifel an der Identität der antragstellenden Person haben (Art. 12 Abs. 6), und der EDSA hält eine Ausweiskopie im Allgemeinen nicht für ein geeignetes Mittel. Nutzen Sie, was Sie schon haben, etwa das Kundenkonto oder die Kontaktdaten aus der Personalakte.

Darf ich für die Kopie der Daten Geld verlangen?

Die erste Kopie ist kostenlos, und die Person muss nicht erklären, warum sie sie will (C-307/22). Ein angemessenes Entgelt dürfen Sie nur für weitere Kopien verlangen (Art. 15 Abs. 3) oder wenn der Antrag offenkundig unbegründet oder exzessiv ist, und das müssen Sie nachweisen können (Art. 12 Abs. 5).

Eine Kundin verlangt die Löschung. Muss ich auch die Rechnungen löschen?

Nein, solange das Gesetz Sie zur Aufbewahrung verpflichtet. Das Recht auf Löschung gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 Buchst. b). Behalten Sie nur die Rechnung, nur für diesen Zweck und nur für die vorgeschriebene Dauer, löschen Sie den Rest und erklären Sie es in der Antwort. In Deutschland sind Rechnungen als Buchungsbelege acht Jahre aufzubewahren (§ 147 AO, § 257 HGB).

Wer beantwortet den Antrag: das Unternehmen oder die oder der DSB?

Das Unternehmen, als Verantwortlicher. Die bzw. der DSB berät, überwacht die Frist und ist Anlaufstelle für die betroffenen Personen (Art. 38 Abs. 4), aber Entscheidung und Antwort liegen beim Verantwortlichen. Der Ratgeber zum externen Datenschutzbeauftragten mit mehreren Mandanten erklärt, wo die Rolle der DSB endet.

Und wenn meine Antwort versehentlich die Daten einer anderen Person verschickt?

Das ist eine Verletzung des Schutzes personenbezogener Daten. Versuchen Sie, die Nachricht zurückzurufen, oder bitten Sie um Löschung, dokumentieren Sie es und bewerten Sie das Risiko: Besteht ein Risiko, haben Sie 72 Stunden, um es der Aufsichtsbehörde zu melden, in Deutschland in der Regel der Datenschutzbehörde Ihres Bundeslandes. Der Ratgeber zu den ersten 72 Stunden zeigt, wie Sie entscheiden.

Nur amtliche Quellen

Quellen

Gesetze und Rechtsprechung

• Verordnung (EU) 2016/679 (DSGVO), Art. 8, 12, 15, 17, 19, 21 und 30 sowie Erwägungsgründe 63 und 64 (EUR-Lex)
• Bundesdatenschutzgesetz, § 34 und § 35 (gesetze-im-internet.de)
• Verordnung (EWG, Euratom) Nr. 1182/71, Regeln für die Fristen (EUR-Lex)
• EuGH, C-154/21, Österreichische Post (12. Jan. 2023), Empfänger
• EuGH, C-487/21, F.F. und CRIF (4. Mai 2023), was eine „Kopie“ ist
• EuGH, C-579/21, J.M. und Pankki S (22. Juni 2023), Abfragen durch Beschäftigte
• EuGH, C-307/22, FT und DW (26. Okt. 2023), erste Kopie kostenlos

Europäischer Datenschutzausschuss (EDSA)

• Leitlinien 01/2022 zum Auskunftsrecht, v2.1 (April 2023)
• Bericht zur koordinierten Aktion 2024, Auskunftsrecht (auf Englisch)
• Bericht zur koordinierten Aktion 2025, Recht auf Löschung (auf Englisch)
• Gemeinsame Stellungnahme 2/2026 von EDSA und EDSB zum Digital Omnibus (auf Englisch)

Nationale Behörden und Gesetzgebungsverfahren

• DSK, Kurzpapier Nr. 6: Auskunftsrecht der betroffenen Person
• DSK, Kurzpapier Nr. 11: Recht auf Löschung
• CNPD (Portugal), Direito de acesso aos dados (auf Portugiesisch)
• CNPD (Portugal), Direito ao apagamento dos dados (auf Portugiesisch)
• Europäische Kommission, COM(2025) 837, Digital Omnibus
• Rat der EU, Tagesordnung des AStV, 9. Okt. 2026 (auf Englisch)
• Europäisches Parlament, Verfahren 2025/0130(COD), Omnibus IV

Zuletzt geprüft: 21. Oktober 2026. Wir überprüfen diesen Ratgeber, sobald sich das Gesetz oder die Leitlinien der Behörden ändern.

Dieser Ratgeber ist eine allgemeine Information zur DSGVO und keine Rechtsberatung. Für einen konkreten Fall sprechen Sie mit Ihrer bzw. Ihrem DSB oder einer Rechtsanwältin oder einem Rechtsanwalt.

Die Oficina Rocha und alle Personen in den Szenen sind fiktiv.