Betroffenenrechte: Was tun, wenn ein Kunde Auskunft verlangt?
Eine E-Mail, ein Anruf oder ein formloser Brief – und plötzlich steht die Frage im Raum: Ein Kunde möchte wissen, welche Daten Sie über ihn gespeichert haben. Das Auskunftsrecht nach Art. 15 EU-DSGVO gehört zu den am häufigsten geltend gemachten Betroffenenrechten. Wer hier falsch reagiert oder wichtige Fristen verpasst, riskiert schnell mehr als nur Ärger mit einem einzelnen Kunden.
 |
| Betroffenenrechte: Was tun, wenn ein Kunde Auskunft verlangt? |
Was das Auskunftsrecht nach Art. 15 DSGVO konkret bedeutet
Art. 15 EU-DSGVO gibt jeder betroffenen Person das Recht, von einem Unternehmen zu erfahren, ob und welche personenbezogenen Daten über sie verarbeitet werden. Dazu zählen nicht nur Stammdaten wie Name oder Adresse, sondern auch Informationen zu Verarbeitungszwecken, Speicherdauer, Empfängern der Daten und der Herkunft, falls die Daten nicht direkt beim Betroffenen erhoben wurden. Eine ausführliche Einordnung dieses zentralen Betroffenenrechts finden Sie auch in unserem früheren Beitrag Datenschutz-Auskunftsersuchen eines Betroffenen nach Artikel 15 EU-DSGVO.
Die Frist: Ein Monat, in Ausnahmefällen drei
Für die Beantwortung einer Auskunftsanfrage gilt grundsätzlich eine Frist von einem Monat ab Eingang der Anfrage. Nur wenn die Anfrage besonders umfangreich oder komplex ist, kann diese Frist um bis zu zwei weitere Monate verlängert werden – wichtig dabei: Der Betroffene muss innerhalb des ersten Monats über diese Verlängerung und deren Gründe informiert werden. Eine Verlängerung „auf Zuruf", ohne diese Information, ist rechtlich nicht zulässig und wird von Aufsichtsbehörden entsprechend gewertet.
Die häufigsten Fallstricke in der Praxis
- Unvollständige Antwort: Häufig werden nur die offensichtlichen Stammdaten herausgegeben, während interne Vermerke, E-Mail-Verläufe oder Bewertungen im CRM-System übersehen werden. Auch diese gehören aber grundsätzlich zum Auskunftsanspruch.
- Verpasste Frist: Ohne einen internen Prozess, der Auskunftsanfragen sofort an die richtige Stelle weiterleitet, verstreicht die Monatsfrist schneller als gedacht – besonders wenn die Anfrage zunächst im allgemeinen Postfach oder bei einer falschen Ansprechperson landet.
- Fehlende Identitätsprüfung: Wird die Auskunft an die falsche Person erteilt, weil die Identität des Anfragenden nicht ausreichend geprüft wurde, liegt selbst eine neue Datenpanne vor. Bei berechtigten Zweifeln darf und sollte zusätzlich ein Identitätsnachweis angefordert werden.
Wenn aus der Auskunftsanfrage eine Löschungsanfrage wird
In der Praxis endet eine Anfrage selten nach der reinen Auskunft: Sehr häufig folgt im nächsten Schritt der Wunsch, die eigenen Daten löschen zu lassen. Das Recht auf Löschung nach Art. 17 EU-DSGVO folgt einem ganz ähnlichen Ablauf wie das Auskunftsrecht – inklusive Fristen, Dokumentationspflicht und der Notwendigkeit eines klar geregelten internen Verfahrens. Wie ein solches Verfahren aufgebaut sein sollte und welche Schwachstellen Aufsichtsbehörden hier zuletzt festgestellt haben, lesen Sie in unserem Beitrag Löschkonzept: Wie lange dürfen Sie Daten wirklich behalten?.
Der richtige Ablauf für Ihr Unternehmen
- Eingang der Anfrage sofort dokumentieren – das Startdatum der Monatsfrist ist entscheidend.
- Bei Unsicherheit über die Identität des Anfragenden zusätzliche Nachweise anfordern, bevor Daten herausgegeben werden.
- Alle relevanten Systeme einbeziehen, nicht nur die offensichtlichste Datenquelle – vom CRM bis zum E-Mail-Postfach.
- Bei absehbarer Verzögerung den Betroffenen frühzeitig und mit Begründung über die Fristverlängerung informieren.
- Feste Zuständigkeiten festlegen, damit Anfragen nicht erst tagelang zwischen Abteilungen hin- und herwandern.
Fazit
Auskunftsanfragen nach Art. 15 EU-DSGVO gehören zum Alltag datenverarbeitender Unternehmen – und sind gleichzeitig ein beliebter Ansatzpunkt für Beschwerden bei Aufsichtsbehörden, wenn sie falsch bearbeitet werden. Wer klare interne Abläufe für Fristen, Identitätsprüfung und Vollständigkeit etabliert, nimmt der Anfrage viel von ihrem Schrecken – und ist gleichzeitig gut vorbereitet, wenn im nächsten Schritt eine Löschungsanfrage folgt.
Sie möchten wissen, ob Ihr Unternehmen Auskunfts- und Löschungsanfragen rechtssicher bearbeiten kann? Sprechen Sie uns an – wir unterstützen Sie beim Aufbau der passenden Prozesse.
