Auskunftsrecht nach DSGVO: So erfahren Sie, welche Daten gespeichert sind

Sie möchten wissen, was ein Unternehmen, eine Behörde oder ein Verein über Sie gespeichert hat? Dann nutzen Sie das Auskunftsrecht. Es ist in Art. 15 der Datenschutz-Grundverordnung (DSGVO) geregelt. Dieser Beitrag folgt den Erläuterungen des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) und der Verbraucherzentrale.

Was das Auskunftsrecht umfasst

Nach Art. 15 DSGVO können Sie als betroffene Person vom Verantwortlichen Auskunft darüber verlangen, welche Daten er über Sie speichert oder verarbeitet. Das Recht gilt gegenüber öffentlichen Stellen, etwa Behörden, und gegenüber nichtöffentlichen Stellen wie Unternehmen, Verbänden oder Vereinen.

Der BfDI beschreibt zwei Teile der Auskunft:

• Sie erfahren, ob der Verantwortliche überhaupt Daten über Sie verarbeitet und, wenn ja, welche.
• Sie erhalten ergänzende Informationen, etwa zu den Verarbeitungszwecken, zur Herkunft der Daten (soweit sie nicht direkt bei Ihnen erhoben wurden) und zu den Empfängern, an die Ihre Daten übermittelt werden.

Erfasst sind laut BfDI alle Daten mit Bezug zu Ihrer Person, nicht nur Stammdaten wie Name, Adresse und Geburtsdatum. Auch die mit Ihnen geführte Kommunikation und interne Vermerke gehören dazu, soweit sie personenbezogene Daten von Ihnen enthalten.

Die Verbraucherzentrale nennt als Beispiele für gespeicherte Angaben Name, Anschrift, Geburtsdatum, Familienstand, Beruf, Bankdaten, schulischen Werdegang oder medizinische Befunde. Sie weist außerdem darauf hin, dass Sie erfragen können, ob Ihre Daten in automatisierte Entscheidungsprozesse einbezogen sind. Nutzt ein Unternehmen Score-Werte, um über einen Vertragsabschluss zu entscheiden, können Sie verständliche Informationen darüber verlangen, wie der konkrete Score-Wert zustande kommt.

Warum der erste Schritt oft die Auskunft ist

Der BfDI hebt hervor, dass das Auskunftsrecht die Grundlage dafür schafft, andere Betroffenenrechte gezielt geltend zu machen. Gemeint sind das Recht auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung und das Widerspruchsrecht. Erst wenn Sie wissen, welche Daten vorliegen, können Sie sinnvoll entscheiden, was Sie als Nächstes verlangen.

Die Verbraucherzentrale beschreibt dieselbe Reihenfolge. Sind Daten falsch oder werden sie unzulässig genutzt, können Sie im nächsten Schritt die Korrektur, Sperrung oder Löschung verlangen. Nutzt ein Unternehmen Ihre Daten für Werbezwecke, können Sie der Nutzung formlos widersprechen und die Sperrung verlangen. Eine Sperrung sei in einem solchen Fall sinnvoller als eine Löschung, weil sich Werbetreibende die Daten sonst etwa über Adresshändler neu besorgen können.

So stellen Sie den Antrag

Sie können das Auskunftsrecht laut BfDI mit einem formlosen Antrag und ohne Begründung beim Verantwortlichen geltend machen. Zum Vorgehen gibt die Behörde folgende Hinweise:

• Eine persönliche Vorsprache führt oft nicht zu einer sofortigen Erledigung.
• Ein telefonisches Auskunftsersuchen ist nicht unbedingt anzuraten, weil sich der Anrufer nur schwer sicher identifizieren lässt.
• Empfehlenswert ist es, die Auskunft schriftlich oder in einer sicheren elektronischen Form anzufordern, zum Beispiel per De-Mail oder mit verschlüsselter E-Mail.

Die Verbraucherzentrale nennt als mögliche Wege Brief, E-Mail oder von Firmen bereitgestellte Tools. Bei Online-Diensten können Sie häufig im eingeloggten Kundenbereich eine Datenkopie anfordern. Ihre Seite führt als Beispiele Anleitungen für Amazon, Google, Facebook, Instagram, WhatsApp, X und die Schufa auf.

Sie können vollständige Auskunft verlangen oder nur zu bestimmten Informationen fragen. Der BfDI rät, im Auskunftsersuchen möglichst genau zu beschreiben, worüber Sie Auskunft wünschen. Das erleichtert der Stelle das Auffinden der Daten. Verarbeitet der Verantwortliche große Mengen von Daten über Sie, kann er verlangen, dass Sie präzisieren, auf welche Informationen oder Verarbeitungsvorgänge sich Ihr Ersuchen bezieht.

Welche Form die Auskunft hat

Der Verantwortliche muss Ihnen die Daten als Kopie zur Verfügung stellen. Laut BfDI bedeutet das eine originalgetreue Reproduktion oder Abschrift. Eine rein allgemeine Beschreibung der Daten oder ein Verweis auf Kategorien reicht nicht aus. Stellen Sie den Antrag elektronisch, muss die Auskunft in einem gängigen elektronischen Format erfolgen, sofern Sie nicht ausdrücklich eine andere Form wünschen. In Einzelfällen kann eine elektronische Auskunft auf einem Datenträger per Post versandt werden.

Ausweiskopie und Identitätsnachweis

Hat der Verantwortliche objektiv begründete Zweifel an Ihrer Identität, kann er nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen zur Bestätigung verlangen. In Einzelfällen wird dafür die Kopie eines Personaldokuments gefordert.

Der BfDI nennt, was dann in der Regel benötigt wird: Name, Anschrift, Geburtsdatum und Gültigkeitsdauer. Alle anderen Angaben, zum Beispiel Ausweisnummer, Lichtbild, persönliche Merkmale und Staatsangehörigkeit, können und sollten Sie grundsätzlich schwärzen. Die Daten auf der Kopie unterliegen einer strengen Zweckbindung: Sie dürfen nur zur Identitätsprüfung verwendet werden und nicht in den Datenbestand der Stelle einfließen.

Die Verbraucherzentrale empfiehlt ebenfalls, alle für die Anfrage unerheblichen Angaben zu schwärzen. Sie nennt dabei zusätzlich den Geburtsort als Angabe, die sichtbar bleiben kann.

Die Frist für die Antwort

Hier unterscheiden sich die beiden Quellen im Detail. Die Verbraucherzentrale schreibt, der Anbieter müsse spätestens innerhalb eines Monats antworten. Die BfDI-Seite zum Auskunftsrecht nennt keine Frist und sagt auch nichts zu einer möglichen Verlängerung. Wie lange die Frist im Einzelfall verlängert werden kann, lässt sich aus diesen beiden Seiten deshalb nicht ablesen.

Wenn Sie Ihre Anfrage stellen, lohnt es sich, das Datum zu dokumentieren. So können Sie später belegen, wann Sie die Auskunft verlangt haben.

Kosten und Grenzen des Auskunftsrechts

Das Auskunftsrecht ist laut BfDI grundsätzlich kostenlos, und für die erste Kopie der Daten fällt nichts an (Art. 15 Abs. 3 DSGVO). Nach Art. 12 Abs. 5 DSGVO darf nur bei offenkundig unbegründeten oder exzessiven Anfragen ein Entgelt verlangt oder die Auskunft verweigert werden. Exzessiv können Anträge insbesondere bei häufiger Wiederholung sein, wobei strenge Maßstäbe gelten.

Der BfDI nennt weitere Grenzen:

• Bei der Auskunft müssen die Rechte und Freiheiten anderer Personen beachtet werden, also etwa personenbezogene Daten Dritter sowie Betriebs- und Geschäftsgeheimnisse.
• Der Verantwortliche darf die Auskunft in der Regel aber nicht vollständig verweigern. Er muss zum Beispiel die Namen Dritter in Dokumenten schwärzen.
• Weitere Einschränkungen können sich aus dem Bundesdatenschutzgesetz (BDSG) oder anderen Gesetzen wie der Abgabenordnung oder dem SGB X ergeben, etwa zum Schutz der öffentlichen Sicherheit.
• Bei Daten, die nur noch wegen Aufbewahrungspflichten oder zur Datensicherung gespeichert sind, besteht unter bestimmten Bedingungen kein Auskunftsanspruch.

Ob die Einschränkung des § 34 BDSG im Einklang mit der DSGVO steht und angewendet werden kann, ist nach Angaben des BfDI im Einzelfall zu prüfen.

Typische Probleme in der Praxis

Die Verbraucherzentrale schildert, dass Online-Dienste den Weg zur Datenauskunft immer wieder erschweren. Manche verstecken das Auskunftsformular auf ihrer Website oder lassen eine Anfrage unbeantwortet. Auf die Herausgabe einer Datenkopie können Sie zwar bestehen, doch Inhalt, Form und Art der Übermittlung sind laut der Seite nicht einheitlich geregelt. Deshalb kann es sein, dass Sie eine schwer nachvollziehbare Auflistung von Rohdaten erhalten, eine schwer verständliche Mitteilung in einer Fremdsprache oder eine unverschlüsselte E-Mail.

Was Sie tun können, wenn die Auskunft ausbleibt

Wird die Auskunft verweigert oder haben Sie Zweifel, ob sie korrekt erteilt wurde, können Sie sich laut BfDI an die zuständige Datenschutzaufsichtsbehörde wenden. Fügen Sie Ihren Schriftwechsel mit der Stelle in Kopie bei. Wer zuständig ist, zeigt der Kontaktfinder auf der BfDI-Seite. Dort heißt es, Privatunternehmen würden meist von den Landesbehörden beaufsichtigt, es gebe jedoch einige Ausnahmen. Für Presse, Rundfunk und Kirchen gelten besondere Zuständigkeiten.

Gegenüber Bundesbehörden und vielen Landesbehörden haben Sie nach Angaben des BfDI außerdem ein Recht auf Zugang zu amtlichen Informationen nach dem Informationsfreiheitsgesetz. Dafür können Gebühren anfallen, und das Recht erstreckt sich auch auf Informationen, die sich nicht auf Ihre Person beziehen.

Wenn Sie nicht wissen, wer Daten über Sie hat

Die kostenlose Analyse von Remove Me zeigt Ihnen, was über Sie öffentlich sichtbar ist. Sie funktioniert ohne Konto: Sie geben Ihre Angaben ein, und der Dienst durchsucht öffentlich sichtbare Webergebnisse, bekannte öffentliche Datenlecks (über Have I Been Pwned) und ein Register von Datenhändlern. Danach zeigt er einen Bericht an, den Sie mit einem 6-stelligen Code freischalten, der per E-Mail kommt.

Remove Me versendet derzeit noch keine Löschanfragen in Ihrem Namen. Den Auskunftsantrag stellen Sie selbst, wie oben beschrieben.

Kurz zusammengefasst

1. Stellen Sie den Antrag formlos und ohne Begründung beim Verantwortlichen.
2. Wählen Sie die schriftliche oder eine sichere elektronische Form.
3. Beschreiben Sie möglichst genau, worüber Sie Auskunft wünschen.
4. Schwärzen Sie bei einer Ausweiskopie alle nicht benötigten Angaben.
5. Bleibt die Auskunft aus oder wird sie verweigert, wenden Sie sich mit Ihrem Schriftwechsel an die zuständige Datenschutzaufsichtsbehörde.

Das Remove-Me-Team