Kaum eine DSGVO-Pflicht wird so unterschätzt wie das Auskunftsrecht — bis die erste ernst gemeinte Anfrage eintrifft. Oft kommt sie nicht aus Neugier, sondern mit Anlauf: vom ausgeschiedenen Mitarbeiter im Kündigungsstreit, vom unzufriedenen Kunden, vom Anwalt der Gegenseite. Dann zeigt sich binnen eines Monats, ob die Datenschutz-Organisation trägt.
Was Art. 15 tatsächlich verlangt
Betroffene haben Anspruch auf die Bestätigung, ob Daten verarbeitet werden, auf eine Kopie dieser Daten und auf die Metainformationen: Zwecke, Kategorien, Empfänger, Speicherdauer, Herkunft, Betroffenenrechte. Die Frist: unverzüglich, spätestens ein Monat, verlängerbar um zwei weitere Monate bei komplexen Fällen — aber nur mit begründeter Zwischennachricht innerhalb des ersten Monats.
Der Ablauf, der sich bewährt hat
- Eingang erkennen und Uhr starten. Auskunftsersuchen sind formfrei — die Anfrage im Support-Postfach oder mündlich am Empfang zählt genauso. Alle Kanäle müssen wissen, wohin damit.
- Identität mit Augenmaß prüfen. Bei begründeten Zweifeln darf man Nachweise verlangen — aber keine Hürden aufbauen. Wer für die Auskunft mehr Daten fordert, als er je hatte, produziert den nächsten Verstoß.
- Systematisch suchen statt raten. Hier zahlt sich das gepflegte Verarbeitungsverzeichnis aus: Es ist die Landkarte, in welchen Systemen die Person auftauchen kann — CRM, HR-System, E-Mail-Archiv, Ticketsystem, Backup-Sonderfälle.
- Drittbetroffene schützen. Die Kopie umfasst die Daten des Anfragenden — nicht die E-Mail-Threads samt aller Kollegen und anderer Kunden. Schwärzen bzw. Auszüge sind hier kein Trick, sondern Pflicht.
- Verständlich und nachweisbar antworten. Strukturierte Übersicht statt Datenbank-Export-Müllhalde, sichere Übermittlung, Kopie der Antwort in die Dokumentation.
Der häufigste Fehler ist Übererfüllung: Aus Angst vor der Aufsicht wird alles herausgegeben, was die Suche findet — inklusive interner Bewertungen mit Drittbezug und Geschäftsgeheimnissen. Art. 15 Abs. 4 zieht hier ausdrücklich Grenzen. Vollständig heißt: alle geschuldeten Daten. Nicht: alles.
Warum sich Vorbereitung doppelt lohnt
Eine Auskunfts-Vorlage, ein definierter Suchlauf je System und eine Zuständigkeit mit Vertretung reduzieren den Fall von der Wochenaufgabe zur Tagesaufgabe. Und es gibt einen Nebeneffekt: Wer Auskunft schnell kann, kann auch Löschung (Art. 17) und Berichtigung (Art. 16) schnell — die Anfragen kommen erfahrungsgemäß im Paket. In unseren Mandaten übernimmt die Fallbegleitung der externe Datenschutzbeauftragte: Einordnung, Fristenwahrung, Formulierung — gerade bei den konfliktbeladenen Fällen ist der neutrale Dritte Gold wert.
Fazit
Die Auskunftsanfrage ist der Lackmustest der Datenschutz-Organisation: Sie prüft Verzeichnis, Systeme, Zuständigkeiten und Nerven gleichzeitig. Mit Prozess und Vorlage ist sie Routine; ohne wird jede Anfrage zum Projekt. Der beste Zeitpunkt für die Vorbereitung ist vor der ersten ernsten Anfrage — der zweitbeste ist heute.