# Auskunftsersuchen und Löschung: binnen eines Monats antworten, ohne Panik URL: https://pulsaiq.com/de/ratgeber/auskunftsersuchen-loeschung/ Zuletzt geprüft: 2026-10-23 Sprache: de Rechtsgrundlage: Art. 12, 15 und 17 DSGVO Eine Methode für Auskunfts- und Löschersuchen, die Sie jedes Mal wiederholen können, wenn jemand fragt „Welche Daten haben Sie über mich?“ oder sagt „Löschen Sie alles“. Mit tagesgenau berechneten Fristen und sieben Musterantworten zum Anpassen. ## In zwei Minuten - **Frist: ein Monat ab Eingang** des Antrags, auch wenn ihn noch niemand gelesen hat. Bei komplexen oder zahlreichen Anträgen können Sie um zwei Monate verlängern, müssen das der Person aber *innerhalb* des ersten Monats mitteilen, mit Gründen. Art. 12 Abs. 3 - **Kostenlos.** Ein angemessenes Entgelt dürfen Sie nur für weitere Kopien verlangen, oder ablehnen bzw. ein Entgelt verlangen, wenn der Antrag offenkundig unbegründet oder exzessiv ist, und das müssen Sie nachweisen können. Art. 12 Abs. 5; Art. 15 Abs. 3 - **Keine Zauberformel.** Eine E-Mail an info@, ein Brief oder eine Nachricht an eine Kollegin können ein gültiger Antrag sein. Die Person muss sich weder rechtfertigen noch die DSGVO nennen. EDSA, Leitlinien 01/2022 - **Die Auskunft** besteht aus einer Kopie der Daten und acht genauen Angaben dazu, wie Sie sie verwenden. Ein Verweis auf die Datenschutzerklärung genügt nicht. Art. 15 - **Die Löschung** kennt sechs Fälle und fünf Ausnahmen. Oft lautet die richtige Antwort „Wir haben dies gelöscht und bewahren das bis zu diesem Datum auf, aus diesem Grund“. Art. 17 ## Für wen
Für Sie, wenn

Sie diese Anträge in einer kleinen oder mittleren Organisation erhalten (Geschäftsführung, Personal, Kundenservice), oder wenn Sie die bzw. der Datenschutzbeauftragte (DSB) sind, die oder der sie betreut.

Nicht für Sie, wenn

Sie eine Analyse von Auskunftsersuchen in einem Rechtsstreit suchen, oder für öffentliche Stellen mit eigenen Regeln arbeiten. Dafür sprechen Sie mit einer Rechtsanwältin oder einem Rechtsanwalt.

Die Oficina Rocha, Marta, Inês, Rui und die Menschen, die ihnen schreiben, sind fiktiv. Die Regeln, die Fristen und die Feststellungen der Behörden sind echt und belegt.

## „Schicken Sie mir alles, was Sie über mich haben“ Marta ist Verwaltungsleiterin der Oficina Rocha, einer Möbelwerkstatt mit 45 Beschäftigten bei Braga im Norden Portugals, mit einem Onlineshop. „Sie macht auch die DSGVO“, freitags am Nachmittag. Heute findet sie beim Aufräumen des allgemeinen Postfachs info@ diese Nachricht: > **Von:** paulo.m…@gmail.com · **An:** info@ · 6. Oktober, 22:47 > > Guten Abend. Ich habe das Unternehmen im Juni verlassen. Ich möchte alle personenbezogenen Daten erhalten, die die Oficina Rocha über mich speichert. Danke, Paulo Mendes Die E-Mail ist drei Wochen alt. Martas erste Reaktion ist sehr verbreitet: „Er hat sie an die falsche Adresse geschickt, zählt das trotzdem?“ Es zählt. Die Uhr lief am 6. Oktober an und bleibt am 6. November stehen. Es bleiben zehn Tage. Sie ruft Inês an, die externe DSB des Unternehmens. Inês bleibt ruhig: „Zehn Tage reichen, wenn wir heute anfangen. Machen wir es in der richtigen Reihenfolge.“ Dieser Ratgeber ist diese Reihenfolge. Das passiert oft. Als die europäischen Datenschutzbehörden 2024 insgesamt 1.185 Organisationen untersuchten, gehörte zu den häufigsten Problemen, Anträge nicht zu erkennen, die die DSGVO nicht nennen oder über Kanäle kommen, die nicht dafür gedacht sind. Und 74 % dieser Organisationen hatten im Vorjahr zwischen null und zehn Auskunftsersuchen erhalten. Bei so wenigen Anträgen erinnert sich niemand an das Verfahren, wenn es gebraucht wird. Quelle: [EDSA, Bericht zur koordinierten Aktion 2024 zum Auskunftsrecht](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) (angenommen am 16. Januar 2025, auf Englisch). ## Den Antrag erkennen Die DSGVO schreibt für den Antrag keine Form vor. Er kann per E-Mail, Post, Telefon, Webformular, soziale Netzwerke oder persönlich bei einer Kollegin oder einem Kollegen eingehen. Die Person muss weder „Artikel 15“ schreiben noch erklären, warum sie ihre Daten will. Der Europäische Datenschutzausschuss (EDSA) ist eindeutig: Es ist nicht Ihre Aufgabe, das „Warum“ zu beurteilen, und Sie dürfen nicht ablehnen, nur weil der Antrag das Gesetz nicht nennt. Es gibt eine vernünftige Grenze. Wenn Sie einen eigenen Kanal veröffentlicht haben und jemand an eine Adresse schreibt, die damit nichts zu tun hat (das Beispiel des EDSA ist die Adresse des Reinigungspersonals), muss der Antrag nicht zählen. Eine allgemeine Adresse wie info@ oder die des Kundenservice zählt aber, und der EDSA erwartet von Ihnen „alle zumutbaren Anstrengungen“, den Antrag an die richtige Person weiterzuleiten. Die Zeit, in der ein Antrag vergessen in einem Postfach liegt, verlängert die Frist nicht.

Was Sie jetzt tun

Drei Handgriffe, noch am selben Tag
  1. 1WeiterleitenGeben Sie allen, die gemeinsame Postfächer lesen (Empfang, info@, Kundenservice, Personal), eine einfache Regel: Jede Nachricht, die nach „meinen Daten“ fragt, „löschen Sie mich“, „nehmen Sie mich aus der Liste“ oder Ähnliches sagt, geht noch am selben Tag an eine namentlich benannte Person.
  2. 2ErfassenTragen Sie jeden Antrag in ein Protokoll der Anträge ein: Eingangsdatum, Kanal, Art, Frist und verantwortliche Person.
  3. 3Den Eingang bestätigenSchicken Sie eine Eingangsbestätigung mit der Frist. Der EDSA empfiehlt, schriftlich zu bestätigen, wann die Frist beginnt und wann sie endet.Muster 1 verwenden
[EDSA, Leitlinien 01/2022 zum Auskunftsrecht, v2.1](https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en), Rn. 13, 50 und 52 bis 57 sowie Beispiele 8 und 9. ## Die Frist tagesgenau berechnen Die DSGVO sagt „ein Monat“, nicht 30 Tage. Die Berechnung folgt den EU-Regeln über Fristen: Der Tag, an dem der Antrag eingeht, zählt nicht mit, und die Frist endet am gleichen Tag des Folgemonats. Gibt es diesen Tag nicht, endet sie am letzten Tag des Monats. Fällt er auf einen Samstag, Sonntag oder Feiertag, verschiebt sie sich auf den nächsten Arbeitstag. | Antrag eingegangen | Frist von einem Monat | Warum | |----------------------|-----------------------|--------------------------------------------------------------------------------| | 6. Okt. 2026 (Di.) | 6. Nov. 2026 (Fr.) | Der gleiche Tag im Folgemonat. Das ist Paulos Fall. | | 31. Jan. 2027 (So.) | 1. März 2027 (Mo.) | Den 31. Februar gibt es nicht, also der 28. Das ist ein Sonntag, also Montag. | | 3. März 2027 (Mi.) | 5. Apr. 2027 (Mo.) | Der 3. April ist ein Samstag, also der nächste Arbeitstag. | Manche Behörden, etwa die CNPD (die portugiesische Datenschutzbehörde), nennen der Öffentlichkeit eine Antwort binnen „30 Tagen“. Mit 30 Tagen zu planen ist der sicherste Weg, den Monat nie zu überschreiten. **Verlängerung.** Sie können bis zu zwei Monate hinzufügen, „wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist“. Unter zwei Bedingungen: Sie teilen es der Person innerhalb des ersten Monats mit und nennen den Grund ([Muster 4](#r4)). Eine Verlängerung, die am 35. Tag verschickt wird, kommt zu spät. **Beantworten Sie Anträge in Deutschland?** Das Bundesdatenschutzgesetz (BDSG) ändert diese Fristen für ein Unternehmen nicht: Es gelten die der DSGVO. Das BDSG schränkt die Rechte aber in einigen Fällen ein. Nach [§ 34 BDSG](https://www.gesetze-im-internet.de/bdsg_2018/__34.html) besteht kein Auskunftsrecht unter anderem für Daten, die nur wegen gesetzlicher Aufbewahrungspflichten gespeichert sind oder ausschließlich der Datensicherung oder der Datenschutzkontrolle dienen, wenn die Auskunft einen unverhältnismäßigen Aufwand erfordern würde und eine Verwendung zu anderen Zwecken technisch und organisatorisch ausgeschlossen ist. Die Gründe einer Ablehnung müssen Sie dokumentieren. Die Datenschutzkonferenz (DSK) erklärt das Auskunftsrecht in ihrem [Kurzpapier Nr. 6](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_6.pdf) und betont, dass über die Anwendung solcher nationalen Einschränkungen im Einzelfall zu entscheiden ist. Art. 12 Abs. 3 DSGVO; [Verordnung (EWG, Euratom) Nr. 1182/71](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:31971R1182), Art. 3; [§ 34 BDSG](https://www.gesetze-im-internet.de/bdsg_2018/__34.html); [CNPD, Direito ao apagamento dos dados](https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/) (auf Portugiesisch). ## Die Identität prüfen, mit Augenmaß Fragen Sie nur dann nach zusätzlichen Informationen, wenn Sie begründete Zweifel an der Identität der antragstellenden Person haben, und nur nach dem, was Sie wirklich brauchen. Die Gewohnheit, von allen eine Kopie des Personalausweises zu verlangen, ist ein Fehler: Der EDSA hält das im Allgemeinen nicht für ein geeignetes Mittel zur Authentifizierung und sieht darin ein Sicherheitsrisiko. Im Bericht von 2024 schrieben die Behörden, dass die systematische Anforderung eines Ausweisdokuments „eine übermäßige Verarbeitung darstellen kann“. Nutzen Sie, was Sie schon haben. Eine Kundin mit einem Konto im Onlineshop kann den Antrag aus ihrem Konto bestätigen. Ein ehemaliger Mitarbeiter kann eine Angabe bestätigen, die nur er und das Unternehmen kennen, oder die Antwort an die Kontaktdaten erhalten, die bereits in seiner Personalakte stehen. In Paulos Fall stand seine private E-Mail-Adresse schon in der Personalakte, also hat Inês nichts weiter verlangt. Wenn Sie wirklich prüfen müssen, fragen Sie in den ersten Tagen ([Muster 2](#r2)), damit Sie nicht den ganzen Monat warten. Art. 12 Abs. 6 und Erwägungsgrund 64 DSGVO; EDSA, Leitlinien 01/2022, Rn. 73 bis 77 und Beispiele 13 und 14; [EDSA, Bericht zur koordinierten Aktion 2024](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf). ## Auskunft: was Sie schicken müssen Eine Auskunft hat zwei Teile. Denken Sie an eine Mappe mit einer Kopie darin und einem Begleitschreiben obenauf.
Teil A · Art. 15 Abs. 3

Eine Kopie der Daten

Eine originalgetreue und verständliche Reproduktion. Sie kann Auszüge aus Dokumenten oder auch ganze Dokumente enthalten, wenn das nötig ist, damit die Person die Daten versteht und ihre Rechte ausüben kann. Kam der Antrag per E-Mail, antworten Sie in einem gängigen elektronischen Format.

Die erste Kopie ist kostenlos, auch wenn die Person sie für etwas anderes will, etwa um eine Klage vorzubereiten.

Teil B · Art. 15 Abs. 1

Acht Angaben, bezogen auf die Person

  1. aWozu Sie die Daten verwenden (Zwecke)
  2. bWelche Kategorien von Daten Sie speichern
  3. cWem Sie sie offengelegt haben. Auf Wunsch der Person die konkreten Empfänger, nicht nur die Kategorien
  4. dWie lange Sie sie speichern, oder die Kriterien dafür
  5. eDie Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
  6. fDas Recht auf Beschwerde bei einer Aufsichtsbehörde
  7. gWoher die Daten stammen, wenn die Person sie nicht selbst angegeben hat
  8. hAutomatisierte Entscheidungen oder Profiling, und die involvierte Logik
Zusätzlich · Art. 15 Abs. 2Wurden die Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt, die Garantien, die die Übermittlung absichern.

Was der Gerichtshof schon entschieden hat

C-154/21 · Österreichische PostKonkrete EmpfängerVerlangt die Person es, nennen Sie die konkreten Empfänger, nicht nur die Kategorien, es sei denn, das ist unmöglich oder der Antrag ist offenkundig unbegründet oder exzessiv.
C-487/21 · CRIFWas eine Kopie istEine originalgetreue und verständliche Reproduktion der Daten.
C-307/22 · FTErste Kopie kostenlosDie erste Kopie ist kostenlos, und die Person muss ihren Antrag nicht begründen.
Schwärzen Sie, was andere Menschen betrifft, statt abzulehnenDie Kopie darf die Rechte anderer nicht beeinträchtigen (Art. 15 Abs. 4). Paulos E-Mails nennen Kundinnen, Kunden und Kollegen. Die Antwort ist nicht, abzulehnen, sondern zu schwärzen, was anderen gehört, und den Rest herauszugeben. Der Gerichtshof hat außerdem entschieden, dass die Person erfahren darf, wann und warum ihre Daten abgefragt wurden, im Allgemeinen aber nicht den Namen jedes Beschäftigten, der sie abgefragt hat (C-579/21).
Art. 15 DSGVO; EuGH [C-154/21](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0154), [C-487/21](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0487), [C-307/22](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex%3A62022CJ0307), [C-579/21](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0579); EDSA, Leitlinien 01/2022. ## Wo Sie suchen Das erste Problem, das die Behörden 2024 festgestellt haben, sind zu enge Suchen: nur in der Hauptdatenbank nachsehen und E-Mails, Metadaten, Nicht-Text-Dateien oder Backups vergessen. Sie erinnern daran, dass Sie die Antwort nicht auf die Daten beschränken dürfen, die Sie für relevant halten.
Sechs Orte, die Sie einzeln prüfen
Die Karte gibt es schonWenn Sie ein Verzeichnis von Verarbeitungstätigkeiten haben, sagt jede Zeile, welche Daten Sie haben, wofür und wo. Der EDSA empfiehlt, es genau dafür zu nutzen.
Ratgeber 1: Ihr Verzeichnis an einem Nachmittag
In der Oficina Rocha hat Rui aus der IT Paulos Namen und E-Mail-Adressen in den Postfächern, auf dem Dateiserver und in der Lohnsoftware gesucht und bestätigt, dass die Videoaufnahmen vom Juni im normalen Zyklus schon gelöscht waren. Er brauchte einen Vormittag. Marta hat die Personalakte herausgesucht. Inês hat alles durchgesehen und die Daten von Kundinnen, Kunden und Kollegen geschwärzt. [EDSA, Bericht zur koordinierten Aktion 2024](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf), Problem 1 und Empfehlungen; Art. 30 DSGVO. ## „Löschen Sie mein Konto und alles, was Sie über mich haben“ Paulo hat die Antwort am 4. November erhalten, zwei Tage vor Fristende. Marta atmet auf. Dann kommt über das Formular des Onlineshops eine Nachricht von Sofia, einer Kundin, die 2024 einen Tisch gekauft hat und den Newsletter bekommt. Alles zu löschen klingt einfach. Aber die Rechnung für den Tisch enthält Sofias Namen und Adresse, und das Steuerrecht verlangt, sie aufzubewahren. Der Newsletter läuft über eine externe Plattform. Und jede Nacht laufen Backups. Marta schreibt Inês: „Lösche ich oder nicht?“ Die Antwort: „Beides. Schauen wir, was was ist.“ ## Löschung: wann löschen, wann aufbewahren Das Recht auf Löschung, auch „Recht auf Vergessenwerden“ genannt, gilt nicht absolut. Prüfen Sie zuerst, ob einer der Fälle vorliegt. Prüfen Sie dann, ob eine Ausnahme greift, im Einzelfall und schriftlich.
1

Sie müssen unverzüglich löschen, wenn

Art. 17 Abs. 1
  1. aDie Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind.
  2. bDie Person ihre Einwilligung widerruft und es keine andere Rechtsgrundlage gibt.
  3. cDie Person der Verarbeitung widerspricht (Art. 21) und keine vorrangigen berechtigten Gründe vorliegen, oder sie der Direktwerbung widerspricht.
  4. dDie Daten unrechtmäßig verarbeitet wurden.
  5. eEine rechtliche Verpflichtung die Löschung verlangt.
  6. fSie bei einem Kind im Rahmen von Onlinediensten erhoben wurden (Art. 8).
2

Sie dürfen aufbewahren, soweit erforderlich, für

Art. 17 Abs. 3
  1. aDie Freiheit der Meinungsäußerung und Information.
  2. bDie Erfüllung einer rechtlichen Verpflichtung oder einer Aufgabe im öffentlichen Interesse.
  3. cGründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit.
  4. dIm öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke.
  5. eDie Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Sofias Fall
Gelöscht
  • Das Konto im Onlineshop, geschlossen
  • Der Browserverlauf und die Präferenzen
  • Das Newsletter-Abonnement
  • Der Kontakt auf der E-Mail-Marketing-Plattform, auf Anweisung des Unternehmens
Aufbewahrt
  • Die Rechnung, weil das Steuerrecht es verlangt, aber nur für die vorgeschriebene Dauer und nur für diesen Zweck
Die Antwort an Sofia: Muster 6

Drei Stellen, an denen Organisationen stolpern

BackupsDie Hälfte der Behörden der koordinierten Aktion 2025 stellte Probleme mit Backups fest. Wenn Sie einen einzelnen Datensatz nicht aus einem Backup löschen können, dokumentieren Sie, wann dieses Backup abläuft, stellen Sie sicher, dass die Daten bei einer Wiederherstellung nicht wiederverwendet werden, und sagen Sie es der Person.
„Anonymisiert“, das es nicht istEinen Namen durch einen Code zu ersetzen oder eine halbe E-Mail-Adresse zu schwärzen, ist fast immer Pseudonymisierung. Die Daten bleiben personenbezogen, und der Antrag ist nicht erfüllt.
Empfänger informierenSie müssen die Löschung jedem Empfänger mitteilen, dem die Daten offengelegt wurden, es sei denn, das ist unmöglich oder mit unverhältnismäßigem Aufwand verbunden, und der Person diese Empfänger nennen, wenn sie es verlangt.

Ein Konto schließen heißt nicht, die Daten zu löschen. Die Behörden haben mehr Bewusstsein für diesen Unterschied gefordert, weil viele Organisationen beides als dasselbe behandeln.

In Deutschland bleiben Rechnungen acht Jahre. Buchungsbelege, dazu gehören Rechnungen, sind nach § 147 AO und § 257 HGB acht Jahre aufzubewahren (seit dem Vierten Bürokratieentlastungsgesetz, vorher zehn Jahre); Handelsbücher und Jahresabschlüsse weiterhin zehn. Was Sie aus diesem Grund behalten, etwa Sofias Rechnung, gehört nicht mehr in die laufenden Systeme: Archivieren Sie es getrennt, mit Zugriff nur für die, die ihn brauchen, und löschen Sie es am Ende der Frist. § 35 Abs. 3 BDSG sieht für solche Fälle die Einschränkung der Verarbeitung statt der Löschung vor. Prüfen Sie die Fristen mit Ihrem Steuerbüro.

Art. 17 und 19 DSGVO; § 147 AO; § 257 HGB; [§ 35 BDSG](https://www.gesetze-im-internet.de/bdsg_2018/__35.html); [DSK, Kurzpapier Nr. 11](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_11.pdf); [EDSA, Bericht zur koordinierten Aktion 2025 zum Recht auf Löschung](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf) (angenommen am 10. Februar 2026, auf Englisch). ## Ablehnen oder einschränken, auf solider Grundlage Sie dürfen nur ablehnen oder ein angemessenes Entgelt verlangen, wenn der Antrag offenkundig unbegründet oder exzessiv ist, insbesondere wegen häufiger Wiederholung. Der EDSA sagt, dass diese Begriffe eng auszulegen sind, und Sie müssen nachweisen, dass der Antrag es ist. Ein Antrag, der wiederholt wird, weil Ihre erste Antwort unvollständig war, ist nur eine Erinnerung, kein neuer Antrag. Nutzen Sie die Ablehnung auch nicht, um sich Arbeit zu sparen. Verlangt jemand alles und haben Sie Daten aus vielen Jahren in vielen Systemen, können Sie fragen, ob die Person mit einem bestimmten Bereich beginnen möchte ([Muster 3](#r3)). Der EDSA warnt aber, dass diese Rückfrage nicht dazu dienen darf, die Antwort zu beschränken. Sagt sie „alles“, schicken Sie alles. Jedes Mal, wenn Sie einem Antrag ganz oder teilweise nicht nachkommen, müssen Sie binnen des Monats mit Gründen antworten und die Person darüber informieren, dass sie sich bei einer Aufsichtsbehörde beschweren und einen gerichtlichen Rechtsbehelf einlegen kann ([Muster 7](#r7)). Art. 12 Abs. 4 und 5 und Art. 15 Abs. 4 DSGVO; EDSA, Leitlinien 01/2022, Rn. 29 und Abschnitt 6. ## Sieben Dinge, die Sie nicht tun sollten
2024 · Auskunftsrecht1.185 Organisationenuntersucht von 30 Behörden
2025 · Recht auf Löschung764 Organisationenuntersucht von 32 Behörden, darunter die portugiesische CNPD

Diese Probleme tauchten immer wieder auf.

  1. 1
    Kein schriftliches Verfahren haben.Siebzehn Behörden fanden Organisationen ohne dokumentiertes und aktuelles Löschverfahren. Manche überprüfen ihres alle fünf Jahre, oder nie.
  2. 2
    Den Antrag nicht erkennen und den Eingang nicht bestätigen.Anträge, die die DSGVO nicht nennen oder über nicht vorgesehene Kanäle kommen, bleiben unbeantwortet.
  3. 3
    Von allen einen Ausweis verlangen.Pflicht-Webformulare, nur schriftliche Anträge und standardmäßig ein Ausweisdokument sind alles Hürden für die Ausübung des Rechts.
  4. 4
    Nur in der Hauptdatenbank suchen.E-Mails, Metadaten, Nicht-Text-Dateien und Backups bleiben außen vor.
  5. 5
    Mit der Datenschutzerklärung antworten.Allgemeine Informationen, Empfänger nur als Kategorien und vage Speicherfristen, statt Antworten, die sich auf die Person beziehen.
  6. 6
    Das Protokoll der Anträge ewig aufbewahren.Speicherfristen für die Anträge selbst von sechs Monaten bis zu 45 Jahren, oder gar keine. Legen Sie eine Frist fest und führen Sie diese Unterlagen getrennt.
  7. 7
    Ausnahmen automatisch anwenden.Mehr als ein Dutzend Behörden sahen Ausnahmen nach Art. 17 Abs. 3, die ohne Prüfung im Einzelfall angewandt wurden, und Ablehnungen ohne dokumentierten Grund.
[EDSA, Bericht 2024 (Auskunft)](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf); [EDSA, Bericht 2025 (Löschung)](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf). ## Der Monat, Tag für Tag

Der gleiche Ablauf gilt für Auskunft und Löschung. Die Tage zählen ab Eingang des Antrags.

  1. Tag 0Erfassen. Eintragen und den Eingang bestätigen.
  2. Tage 1–5Prüfen. Die Identität, nur bei Zweifeln. Den Umfang des Antrags.
  3. Tage 5–20Sammeln. In jedem System und bei jedem Dienstleister suchen, mit dem Verzeichnis als Karte. Bei Löschung: entscheiden, was geht, was bleibt und warum.
  4. Tage 20–25Durchsehen. Daten Dritter schwärzen. Die acht Angaben vorbereiten.Jetzt verlängern, falls nötig
  5. Bis Tag 30Senden. Antwort, Kopie, Nachweis des Versands. Die Zeile im Protokoll schließen.
## Sieben Antworten zum Anpassen Ersetzen Sie alles in \[eckigen Klammern\]. Schreiben Sie, wie ein Mensch einem anderen schreibt: Diese Antworten liest die Person, die den Antrag gestellt hat, und manchmal eine Aufsichtsbehörde.
Zu Beginn
01EingangsbestätigungTag 0. Für alle Anträge.
Betreff: Wir haben Ihren Antrag erhalten – Az. [Nummer]
Guten Tag [Name],

wir haben am [Eingangsdatum] Ihren Antrag auf [Kurzfassung: Auskunft über Ihre personenbezogenen Daten / Löschung Ihrer Daten] erhalten.

Wir antworten Ihnen bis zum [Frist]. Sollte sich der Antrag als besonders komplex erweisen und wir mehr Zeit brauchen, sagen wir Ihnen das vor diesem Datum und erklären den Grund.

Das Aktenzeichen Ihres Antrags lautet [Nummer]. Bei Fragen antworten Sie einfach auf diese E-Mail.

Mit freundlichen Grüßen
[Name]
[Funktion] · [Organisation]
Grundlage: Art. 12 Abs. 3 DSGVO. Der EDSA empfiehlt, schriftlich zu bestätigen, wann die Frist beginnt und wann sie endet (Leitlinien 01/2022, Rn. 57).
02Prüfung der IdentitätNur bei begründeten Zweifeln. In den ersten Tagen senden.
Betreff: Ihr Antrag – Az. [Nummer] – Bestätigung
Guten Tag [Name],

um Ihre Daten zu schützen, müssen wir sicher sein, dass der Antrag wirklich von Ihnen kommt. In diesem konkreten Fall [konkreter Grund: Die verwendete E-Mail-Adresse ist nicht die, die mit Ihrem Konto verknüpft ist].

Sie können das auf einem dieser Wege bestätigen:
– [verhältnismäßige Option 1: von der Adresse antworten, die mit Ihrem Konto verknüpft ist]
– [verhältnismäßige Option 2: uns die Nummer einer aktuellen Bestellung nennen]

Eine Kopie Ihres Ausweises müssen Sie uns nicht schicken. Sobald wir Ihre Bestätigung haben, bearbeiten wir den Antrag weiter.

Mit freundlichen Grüßen
[Name] · [Organisation]
Grundlage: Art. 12 Abs. 6 DSGVO; EDSA, Leitlinien 01/2022, Rn. 73 bis 77.
03Rückfrage zum UmfangBei großen Datenmengen. Nie, um die Antwort zu beschränken.
Betreff: Ihr Auskunftsersuchen – Az. [Nummer]
Guten Tag [Name],

wir haben begonnen, Ihre Daten zusammenzustellen. Wir speichern Informationen über Sie in [Liste: Ihrer Personalakte, dienstlichen E-Mails von [Jahr] bis [Jahr], den Zutrittsprotokollen des Gebäudes].

Damit wir Ihnen zuerst schicken können, was Sie am meisten interessiert: Möchten Sie einen bestimmten Bereich oder Zeitraum zuerst erhalten? Wenn Sie lieber alles bekommen möchten, sagen Sie es uns, und wir schicken Ihnen alles fristgerecht bis zum [Frist].

Mit freundlichen Grüßen
[Name] · [Organisation]
Grundlage: Erwägungsgrund 63 DSGVO; EDSA, Leitlinien 01/2022, Rn. 35 Buchst. b. Ohne Antwort bearbeiten Sie den vollständigen Antrag.
Wenn Sie mehr Zeit brauchen
04VerlängerungMuss innerhalb des ersten Monats ankommen, mit Grund.
Betreff: Ihr Antrag – Az. [Nummer] – neue Frist
Guten Tag [Name],

wir arbeiten an Ihrem Antrag vom [Eingangsdatum]. Wir brauchen mehr Zeit, weil [konkreter Grund: Ihre Daten in sieben verschiedenen Systemen liegen und rund [N] E-Mails aus mehreren Jahren umfassen, die wir durchsehen müssen, um die Daten anderer Menschen zu schützen].

Deshalb verlängern wir, wie Artikel 12 Absatz 3 DSGVO es erlaubt, die Frist. Wir antworten Ihnen bis zum [neues Datum, höchstens drei Monate nach Eingang].

[Optional: In der Zwischenzeit schicken wir Ihnen im Anhang [den bereits fertigen Teil].]

Wenn Sie mit dieser Verlängerung nicht einverstanden sind, können Sie sich bei [Aufsichtsbehörde, z. B. die für uns zuständige Landesdatenschutzbehörde: Website] beschweren.

Mit freundlichen Grüßen
[Name] · [Organisation]
Grundlage: Art. 12 Abs. 3 DSGVO. Senden Sie sie vor Ende des ersten Monats, mit einem konkreten Grund.
In der abschließenden Antwort
05AuskunftDas Begleitschreiben zur Kopie der Daten.
Betreff: Antwort auf Ihr Auskunftsersuchen – Az. [Nummer]
Guten Tag [Name],

auf Ihren Antrag vom [Eingangsdatum] senden wir Ihnen im Anhang eine Kopie der personenbezogenen Daten, die wir über Sie verarbeiten [Format: PDF-Datei / passwortgeschütztes ZIP-Archiv, das Passwort schicken wir Ihnen separat].

1. Wozu wir Ihre Daten verwenden: [genaue Zwecke, z. B. Ihr Arbeitsverhältnis verwalten, Gehälter zahlen, unsere steuerlichen und sozialversicherungsrechtlichen Pflichten erfüllen].
2. Welche Daten wir verarbeiten: [Kategorien: Identität, Kontaktdaten, Bankverbindung, Arbeitszeiten, Beurteilungen].
3. Wem wir sie offengelegt haben: [konkrete Empfänger: Finanzamt, [Name der Krankenkasse], [Name des Steuerbüros], [Name des Versorgungswerks / der betrieblichen Altersversorgung]].
4. Wie lange wir sie speichern: [Dauer oder Kriterien je Kategorie].
5. Ihre Rechte: Sie können verlangen, dass wir Ihre Daten berichtigen oder löschen oder ihre Verarbeitung einschränken, und Sie können der Verarbeitung widersprechen.
6. Sie können sich bei [Aufsichtsbehörde, z. B. die für uns zuständige Landesdatenschutzbehörde: Website] beschweren.
7. Woher die Daten stammen: [Sie haben sie uns gegeben / wir haben sie von [Quelle] erhalten].
8. Automatisierte Entscheidungen: [Wir treffen keine ausschließlich automatisierten Entscheidungen über Sie / Beschreibung und involvierte Logik].
[Falls zutreffend: Übermittlungen außerhalb des EWR: [Land, verwendete Garantie].]

Zum Schutz anderer Menschen haben wir [die Daten von Kolleginnen, Kollegen und Kunden] in [Dokumente] geschwärzt.

Wenn etwas fehlt oder Sie Fragen haben, antworten Sie einfach auf diese E-Mail.

Mit freundlichen Grüßen
[Name] · [Organisation]
Grundlage: Art. 15 Abs. 1 bis 4 DSGVO. Ersetzen Sie die Punkte 1 bis 8 nicht durch einen Link auf die Datenschutzerklärung.
06Bestätigung der LöschungGanz oder teilweise, mit dem, was bleibt, und bis wann.
Betreff: Ihr Löschantrag – Az. [Nummer]
Guten Tag [Name],

wir haben Ihren Antrag vom [Eingangsdatum] bearbeitet.

Was wir gelöscht haben: [Ihr Konto im Onlineshop, den darin gespeicherten Bestellverlauf, Ihre Präferenzen und Ihren Kontakt in unserem Verteiler].

Was wir aufbewahren müssen: [die Rechnungen Ihrer Käufe], weil [genaue rechtliche Pflicht: das Handels- und Steuerrecht uns verpflichtet, sie acht Jahre aufzubewahren (§ 147 AO, § 257 HGB)]. Wir bewahren sie nur für diesen Zweck auf, in einem Archiv mit beschränktem Zugriff, und löschen sie am [Datum oder Kriterium].

Wen wir außerdem informiert haben: Wir haben [Name der E-Mail-Marketing-Plattform / weitere Empfänger] gebeten, Ihre Daten zu löschen.

Backups: Ihre Daten sind noch in Backups vorhanden, die vor heute erstellt wurden. Diese Backups werden bis zum [Datum] automatisch gelöscht, und wir verwenden Ihre Daten nicht wieder, falls ein Backup wiederhergestellt wird.

Wenn Sie mit dieser Antwort nicht einverstanden sind, können Sie sich bei [Aufsichtsbehörde, z. B. die für uns zuständige Landesdatenschutzbehörde: Website] beschweren oder einen gerichtlichen Rechtsbehelf einlegen.

Mit freundlichen Grüßen
[Name] · [Organisation]
Grundlage: Art. 17 Abs. 1 und 3 und Art. 19 DSGVO. Prüfen Sie die gesetzlichen Aufbewahrungsfristen mit Ihrem Steuerbüro.
07Begründete AblehnungSelten. Immer mit Gründen und Rechtsbehelfen.
Betreff: Ihr Antrag – Az. [Nummer]
Guten Tag [Name],

wir haben Ihren Antrag vom [Eingangsdatum] geprüft und werden ihm [ganz / teilweise: nennen Sie den Teil] nicht nachkommen.

Der Grund: [konkrete Erklärung, z. B. Am [Datum] haben wir einen gleichlautenden Auskunftsantrag mit einer vollständigen Kopie Ihrer Daten beantwortet, und seitdem haben wir keine neuen Daten über Sie verarbeitet. / Die Daten, deren Löschung Sie verlangen, brauchen wir zu unserer Verteidigung in einem laufenden Gerichtsverfahren, Az. [Nummer] (Artikel 17 Absatz 3 Buchstabe e DSGVO), und wir löschen sie nach Abschluss des Verfahrens.]

Wenn Sie nicht einverstanden sind, haben Sie das Recht, sich bei [Aufsichtsbehörde, z. B. die für uns zuständige Landesdatenschutzbehörde: Website] zu beschweren und einen gerichtlichen Rechtsbehelf einzulegen.

Mit freundlichen Grüßen
[Name] · [Organisation]
Grundlage: Art. 12 Abs. 4 und 5 DSGVO. Halten Sie in einer internen Notiz fest, welche Prüfung die Ablehnung begründet.
## Ein EU-Vorschlag zielt auf „missbräuchliche“ Auskunftsersuchen Im November 2025 hat die Europäische Kommission das Paket Digital Omnibus vorgelegt, COM(2025) 837. Für das Auskunftsrecht schlägt sie drei Änderungen an Art. 12 Abs. 5 vor: Der Verantwortliche soll ablehnen oder ein Entgelt verlangen dürfen, wenn das Auskunftsrecht für andere Zwecke als den Schutz der eigenen Daten genutzt wird; die Beweislast soll sinken, sodass „berechtigte Gründe für die Annahme“ genügen, dass ein Antrag exzessiv ist; und in einem Erwägungsgrund sollen „übermäßig weit gefasste und unspezifische“ Anträge als exzessiv gelten. Der EDSA und der Europäische Datenschutzbeauftragte (EDSB) teilen das Ziel der Klarheit, haben aber gefordert, diese drei Formulierungen zu streichen (gemeinsame Stellungnahme 2/2026 vom 10. Februar 2026). Sie erinnern daran, dass Menschen ihre Anträge nach dem Urteil des Gerichtshofs in der Rechtssache C-307/22 nicht begründen müssen. Im Oktober 2026 stand das Verhandlungsmandat des Rates mit dem Europäischen Parlament auf der Tagesordnung der EU-Botschafter. Der Vorschlag ist kein Gesetz. **Die Regeln in diesem Ratgeber gelten heute.** Wir aktualisieren diesen Abschnitt, sobald ein endgültiger Text im Amtsblatt veröffentlicht ist. Den Vorschlag, einschließlich der Datenpannen, analysieren wir ausführlicher in unserem Beitrag zum Digital Omnibus. Außerdem soll ein weiterer Vorschlag (Omnibus IV) die Ausnahme von der Pflicht zum Verzeichnis von Verarbeitungstätigkeiten auf Organisationen mit weniger als 1.000 Beschäftigten ausweiten, außer bei Verarbeitungen mit hohem Risiko (vorläufige Einigung vom 26. Juni 2026). Auch wenn Sie ausgenommen sind, müssen Sie wissen, wo Ihre Daten liegen, um diese Anträge zu beantworten. [COM(2025) 837](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex:52025PC0837); [gemeinsame Stellungnahme 2/2026 von EDSA und EDSB](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf); [Tagesordnung des AStV, Oktober 2026](https://data.consilium.europa.eu/doc/document/ST-13654-2026-REV-3/en/pdf); [Verfahren 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29). ## Checkliste
0 von 10 abgehakt
Beim Eingang
Während der Vorbereitung
Bevor Sie auf Senden klicken
## Häufige Fragen ### Wie lange habe ich Zeit, ein Auskunftsersuchen zu beantworten? Einen Monat ab Eingang, bis zum gleichen Tag des Folgemonats (Art. 12 Abs. 3). Ist der Antrag komplex oder haben Sie viele, können Sie um höchstens zwei Monate verlängern, sofern Sie das der Person innerhalb des ersten Monats mitteilen und begründen. ### Darf ich eine Kopie des Personalausweises verlangen, um die Identität zu prüfen? In der Regel nein. Zusätzliche Informationen dürfen Sie nur verlangen, wenn Sie begründete Zweifel an der Identität der antragstellenden Person haben (Art. 12 Abs. 6), und der EDSA hält eine Ausweiskopie im Allgemeinen nicht für ein geeignetes Mittel. Nutzen Sie, was Sie schon haben, etwa das Kundenkonto oder die Kontaktdaten aus der Personalakte. ### Darf ich für die Kopie der Daten Geld verlangen? Die erste Kopie ist kostenlos, und die Person muss nicht erklären, warum sie sie will (C-307/22). Ein angemessenes Entgelt dürfen Sie nur für weitere Kopien verlangen (Art. 15 Abs. 3) oder wenn der Antrag offenkundig unbegründet oder exzessiv ist, und das müssen Sie nachweisen können (Art. 12 Abs. 5). ### Eine Kundin verlangt die Löschung. Muss ich auch die Rechnungen löschen? Nein, solange das Gesetz Sie zur Aufbewahrung verpflichtet. Das Recht auf Löschung gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 Buchst. b). Behalten Sie nur die Rechnung, nur für diesen Zweck und nur für die vorgeschriebene Dauer, löschen Sie den Rest und erklären Sie es in der Antwort. In Deutschland sind Rechnungen als Buchungsbelege acht Jahre aufzubewahren (§ 147 AO, § 257 HGB). ### Wer beantwortet den Antrag: das Unternehmen oder die oder der DSB? Das Unternehmen, als Verantwortlicher. Die bzw. der DSB berät, überwacht die Frist und ist Anlaufstelle für die betroffenen Personen (Art. 38 Abs. 4), aber Entscheidung und Antwort liegen beim Verantwortlichen. Der Ratgeber zum externen Datenschutzbeauftragten mit mehreren Mandanten erklärt, wo die Rolle der DSB endet. ### Und wenn meine Antwort versehentlich die Daten einer anderen Person verschickt? Das ist eine Verletzung des Schutzes personenbezogener Daten. Versuchen Sie, die Nachricht zurückzurufen, oder bitten Sie um Löschung, dokumentieren Sie es und bewerten Sie das Risiko: Besteht ein Risiko, haben Sie 72 Stunden, um es der Aufsichtsbehörde zu melden, in Deutschland in der Regel der Datenschutzbehörde Ihres Bundeslandes. Der Ratgeber zu den ersten 72 Stunden zeigt, wie Sie entscheiden. ## Quellen ### Gesetze und Rechtsprechung - [Verordnung (EU) 2016/679 (DSGVO)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), Art. 8, 12, 15, 17, 19, 21 und 30 sowie Erwägungsgründe 63 und 64 (EUR-Lex) - [Bundesdatenschutzgesetz, § 34](https://www.gesetze-im-internet.de/bdsg_2018/__34.html) und [§ 35](https://www.gesetze-im-internet.de/bdsg_2018/__35.html) (gesetze-im-internet.de) - [Verordnung (EWG, Euratom) Nr. 1182/71](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:31971R1182), Regeln für die Fristen (EUR-Lex) - [EuGH, C-154/21, Österreichische Post](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0154) (12. Jan. 2023), Empfänger - [EuGH, C-487/21, F.F. und CRIF](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0487) (4. Mai 2023), was eine „Kopie“ ist - [EuGH, C-579/21, J.M. und Pankki S](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0579) (22. Juni 2023), Abfragen durch Beschäftigte - [EuGH, C-307/22, FT und DW](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex%3A62022CJ0307) (26. Okt. 2023), erste Kopie kostenlos ### Europäischer Datenschutzausschuss (EDSA) - [Leitlinien 01/2022 zum Auskunftsrecht, v2.1](https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en) (April 2023) - [Bericht zur koordinierten Aktion 2024, Auskunftsrecht](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) (auf Englisch) - [Bericht zur koordinierten Aktion 2025, Recht auf Löschung](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf) (auf Englisch) - [Gemeinsame Stellungnahme 2/2026 von EDSA und EDSB zum Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (auf Englisch) ### Nationale Behörden und Gesetzgebungsverfahren - [DSK, Kurzpapier Nr. 6: Auskunftsrecht der betroffenen Person](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_6.pdf) - [DSK, Kurzpapier Nr. 11: Recht auf Löschung](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_11.pdf) - [CNPD (Portugal), Direito de acesso aos dados](https://www.cnpd.pt/cidadaos/direitos/direito-de-acesso-aos-dados/) (auf Portugiesisch) - [CNPD (Portugal), Direito ao apagamento dos dados](https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/) (auf Portugiesisch) - [Europäische Kommission, COM(2025) 837, Digital Omnibus](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex:52025PC0837) - [Rat der EU, Tagesordnung des AStV, 9. Okt. 2026](https://data.consilium.europa.eu/doc/document/ST-13654-2026-REV-3/en/pdf) (auf Englisch) - [Europäisches Parlament, Verfahren 2025/0130(COD), Omnibus IV](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) **Zuletzt geprüft:** 21. Oktober 2026. Wir überprüfen diesen Ratgeber, sobald sich das Gesetz oder die Leitlinien der Behörden ändern. Dieser Ratgeber ist eine allgemeine Information zur DSGVO und keine Rechtsberatung. Für einen konkreten Fall sprechen Sie mit Ihrer bzw. Ihrem DSB oder einer Rechtsanwältin oder einem Rechtsanwalt. Die Oficina Rocha und alle Personen in den Szenen sind fiktiv.