Ein Einzelhändler aus Fürstenfeldbruck, Kunde von uns, bekam an einem Freitagnachmittag eine E-Mail. Betreff: "Auskunftsersuchen nach Art. 15 DSGVO". Er las die ersten zwei Zeilen, dachte sich "wieder so ein Abmahn-Spam", und schob die Mail in den Papierkorb. Drei Wochen später fiel ihm die Sache wieder ein, weil der Absender nachhakte. Da war die Monatsfrist fast durch. Panik. Anruf bei uns, Samstagvormittag. Dabei war die eigentliche Antwort in gut 20 Minuten erledigt, mit einer Vorlage, die er heute noch nutzt.
Genau darum geht es hier. Ein DSGVO Auskunftsersuchen klingt nach Anwalt und Aktenordner. In den allermeisten Fällen ist es das nicht. Sie müssen nur wissen, was zu tun ist, bevor die Uhr abgelaufen ist.
Was ist ein Auskunftsersuchen nach Artikel 15 überhaupt?
Artikel 15 der DSGVO gibt jeder Person das Recht, von Ihnen zu erfahren, ob und welche personenbezogenen Daten Sie über sie gespeichert haben. Kunde, Newsletter-Abonnent, ehemaliger Bewerber, verärgerter Ex-Mitarbeiter, alle dürfen fragen. Und Sie müssen antworten.
Das Ganze ist formlos. Es gibt kein Pflichtformular, keine vorgeschriebene Betreffzeile. Eine kurze E-Mail reicht aus, ein Anruf theoretisch auch, sogar ein Satz auf Instagram im Zweifel. Deshalb rutschen diese Anfragen so leicht durch. Sie sehen nicht amtlich aus. Sie sehen aus wie eine normale Kundenmail.
Wichtig: Die Person muss keinen Grund nennen. Sie darf einfach fragen. Und die Auskunft ist beim ersten Mal kostenlos.
Warum kleine Betriebe hier oft kalt erwischt werden
In größeren Firmen sitzt jemand, der "Datenschutz" auf der Visitenkarte stehen hat. Beim Café in Olching, beim Handwerksbetrieb in Maisach oder beim Zwei-Personen-Onlineshop in Germering macht das der Chef nebenbei, zwischen Bestellung und Buchhaltung.
Drei Dinge gehen dabei regelmäßig schief. Erstens hält man die Anfrage für Spam, siehe oben. Zweitens weiß niemand, wo überall Kundendaten liegen: im Mailpostfach, im Shopsystem, im Newsletter-Tool, in der WhatsApp-History, in einer alten Excel-Liste auf dem Desktop. Und drittens verschätzt man sich bei der Frist, weil man denkt, so eine formlose Mail hätte keine echte Deadline. Hat sie aber.
Nach meiner Erfahrung aus Kundenprojekten im Münchner Westen ist das größte Problem nicht die Antwort selbst. Es ist das Nichtwissen, dass die Uhr bereits läuft.
Wie lange habe ich Zeit? Die Ein-Monats-Frist
Sie haben einen Monat, gerechnet ab Eingang der Anfrage. Kommt die Mail am 4. Juli, läuft die Frist am 4. August ab. Nicht "vier Wochen", nicht "30 Tage im Schnitt", sondern der gleiche Tag im Folgemonat.
Diese Frist lässt sich um zwei weitere Monate verlängern, wenn die Anfrage wirklich aufwändig ist, etwa bei sehr vielen Datensätzen. Aber, und das ist der Haken, Sie müssen die betroffene Person innerhalb des ersten Monats über die Verlängerung und den Grund informieren. Einfach still verstreichen lassen und später liefern geht nicht.
Für die meisten kleinen Betriebe ist die Verlängerung ohnehin überflüssig. Ein normaler Kundendatensatz ist keine aufwändige Sache. Der eine Monat reicht mit Puffer, wenn man nicht drei Wochen davon verschläft.
Welche Daten muss ich konkret herausgeben?
Hier wird es praktisch. Verlangt jemand Auskunft, schulden Sie ihm eine Kopie seiner Daten plus einige Zusatzinfos. Das umfasst typischerweise:
- Die gespeicherten Daten selbst: Name, Adresse, E-Mail, Telefonnummer, Bestellhistorie, Notizen, die Sie zur Person angelegt haben.
- Den Zweck der Verarbeitung: Warum haben Sie die Daten? Zum Beispiel zur Abwicklung von Bestellungen oder für den Newsletter-Versand.
- Die Empfänger: An wen geben Sie die Daten weiter? Zahlungsdienstleister, Versanddienst, Steuerberater.
- Die Speicherdauer oder die Kriterien dafür, wie lange Sie speichern.
- Den Hinweis auf die weiteren Rechte: Berichtigung, Löschung, Beschwerde bei der Aufsichtsbehörde.
Was Sie nicht herausgeben müssen: Daten anderer Personen. Wenn in einer E-Mail-Konversation auch Kollegen oder dritte Kunden auftauchen, schwärzen Sie deren Angaben. Das Auskunftsrecht der einen Person endet am Persönlichkeitsrecht der anderen.
Und noch etwas, das viele überrascht. Interne Vermerke, ehrliche Notizen wie "Kunde zahlt immer spät", können unter die Auskunft fallen. Das heißt nicht, dass Sie keine Notizen machen dürfen. Es heißt nur: Schreiben Sie nichts, was Sie der Person nicht auch ins Gesicht sagen würden.
Muss ich prüfen, ob die Person echt ist?
Ja, in Grenzen. Bei begründeten Zweifeln an der Identität dürfen und sollten Sie nachfragen. Schreibt jemand von einer wildfremden Adresse und will die Daten eines Ihrer Kunden, ist Vorsicht angebracht. Sonst geben Sie am Ende Daten an den Falschen heraus, und das ist selbst wieder ein Datenschutzverstoß.
Übertreiben Sie es aber nicht. Wenn die Mail von genau der Adresse kommt, die auch im Kundenkonto hinterlegt ist, brauchen Sie keinen Ausweis in dreifacher Kopie. Eine simple Rückbestätigung genügt meist.
Der Reaktionsplan in fünf Schritten
So gehen wir das mit unseren Kunden durch, wenn eine Anfrage reinkommt:
- Datum notieren. Eingangstag festhalten, Frist im Kalender eintragen. Ganz banal, aber der wichtigste Schritt.
- Identität kurz prüfen. Kommt die Anfrage von der bekannten Adresse? Wenn ja, weiter. Wenn nein, freundlich nach Bestätigung fragen.
- Daten zusammensuchen. Alle Orte durchgehen: Shopsystem, Postfach, Newsletter-Tool, Buchhaltung, Notizen. Am besten haben Sie diese Liste einmal vorher erstellt.
- Antwort schreiben. Mit der Vorlage unten. Datenkopie anhängen, Dritte schwärzen.
- Dokumentieren. Kurz festhalten, wann Sie was beantwortet haben. Falls später jemand fragt, haben Sie einen Nachweis.
Die kopierbare Antwortvorlage
Diese Vorlage deckt den Standardfall ab. Passen Sie sie an Ihren Betrieb an:
Sehr geehrte/r [Name],
vielen Dank für Ihre Anfrage vom [Datum]. Gerne erteilen wir Ihnen die Auskunft nach Artikel 15 DSGVO über die bei uns zu Ihrer Person gespeicherten Daten.
Wir verarbeiten folgende Daten von Ihnen: [Name, Anschrift, E-Mail, Telefonnummer, Bestellhistorie o. Ä.]. Zweck der Verarbeitung ist [z. B. die Abwicklung Ihrer Bestellungen und die Erfüllung steuerlicher Aufbewahrungspflichten]. Ihre Daten geben wir an folgende Empfänger weiter: [z. B. Versanddienstleister, Zahlungsanbieter, Steuerberater]. Die Speicherung erfolgt für [z. B. die Dauer der Geschäftsbeziehung sowie die gesetzlichen Aufbewahrungsfristen].
Sie haben das Recht auf Berichtigung oder Löschung Ihrer Daten sowie ein Beschwerderecht bei der zuständigen Aufsichtsbehörde. Eine Kopie Ihrer Daten finden Sie im Anhang.
Bei Fragen erreichen Sie uns unter [Kontakt].
Mit freundlichen Grüßen
Mehr braucht es im Normalfall nicht. Kein Anwalt, kein Aktenordner, keine schlaflose Nacht.
Wo Ihre Website ins Spiel kommt
Ein Teil der Vorbereitung passiert lange vor der ersten Anfrage. Wer online Kundendaten sammelt, über Kontaktformular, Newsletter, Shop, muss ohnehin eine saubere Datenschutzerklärung haben. Wenn dort schon steht, welche Daten Sie zu welchem Zweck erheben und wie lange Sie speichern, haben Sie die halbe Auskunft im Grunde vorformuliert.
Bei unseren Webdesign-Projekten gehört das dazu: Formulare, die nur erheben, was nötig ist, und eine Datenschutzseite, die zur Realität passt statt aus einem Generator zu stammen. Das macht die Auskunft später einfach, weil Sie genau wissen, wo was liegt.
Wenn Sie unsicher sind, ob Ihre Website datenschutzseitig sauber aufgestellt ist, schauen wir kostenlos drauf. In unserem 30-Minuten-Audit prüfen wir Formulare, Datenschutzerklärung und wo überall Kundendaten anfallen. Ehrlich, ohne Verkaufsdruck. Melden Sie sich einfach über unser Kontaktformular, dann finden wir einen Termin, gern auch bei Ihnen in Bruck, Puchheim oder Gröbenzell.