Was ein Unternehmen wirklich über Sie weiß
Jedes Mal, wenn Sie online etwas bestellen, ein Kundenkonto anlegen oder einen Newsletter abonnieren, entstehen Daten über Sie. Doch was landet tatsächlich in den Systemen der Firma – und wie lange bleibt es dort? Die zentrale Frage lautet: Habe ich ein Recht darauf zu erfahren, was ein Unternehmen über mich gespeichert hat? Die Antwort ist ein klares Ja. Das sogenannte Auskunftsrecht aus Art. 15 der Datenschutz-Grundverordnung (DSGVO) gibt Ihnen einen durchsetzbaren Anspruch – kostenlos, ohne Begründung und für jede Person, deren Daten verarbeitet werden.
Dieser Beitrag erklärt, was Ihnen genau zusteht, wie Sie den Antrag praktisch stellen und was Sie tun können, wenn ein Unternehmen nicht oder nur unvollständig reagiert.
Was ist das Auskunftsrecht nach Art. 15 DSGVO?
Die DSGVO ist die europäische Verordnung, die seit 2018 regelt, wie mit personenbezogenen Daten umgegangen werden darf – also mit allen Informationen, die sich auf eine bestimmbare Person beziehen: Name, Adresse, E-Mail, Bestellhistorie, IP-Adresse, aber auch interne Notizen über Sie.
Art. 15 DSGVO gibt Ihnen zwei Dinge:
- Bestätigung, ob ein Unternehmen überhaupt Daten über Sie verarbeitet, und
- Zugang zu diesen Daten sowie zu einer Reihe von Zusatzinformationen.
Wichtig ist der juristische Begriff des Verantwortlichen. Das ist diejenige Stelle, die über Zwecke und Mittel der Datenverarbeitung entscheidet – in der Praxis der Onlineshop, die Bank, der Arbeitgeber, das soziale Netzwerk oder der Verein. An genau diese Stelle richten Sie Ihren Antrag.
Ein verbreiteter Irrtum: Manche glauben, sie müssten einen Grund nennen oder ein „berechtigtes Interesse“ nachweisen. Das ist falsch. Das Auskunftsrecht steht Ihnen voraussetzungslos zu. Sie müssen nicht sagen, warum Sie fragen.
Welche Informationen bekomme ich konkret?
Das Auskunftsrecht geht weit über eine bloße Liste von Namen und Adressen hinaus. Sie können unter anderem verlangen:
- die Zwecke, zu denen Ihre Daten verarbeitet werden (z. B. Vertragsabwicklung, Werbung),
- die Kategorien der verarbeiteten Daten (Kontaktdaten, Zahlungsdaten, Nutzungsdaten),
- die Empfänger, an die Ihre Daten weitergegeben wurden – etwa Versanddienstleister, Auskunfteien oder Werbepartner,
- die geplante Speicherdauer oder die Kriterien, nach denen sie festgelegt wird,
- die Herkunft der Daten, wenn sie nicht bei Ihnen selbst erhoben wurden,
- ob eine automatisierte Entscheidungsfindung oder ein Profiling stattfindet (etwa bei einer Bonitätsbewertung),
- den Hinweis auf Ihre weiteren Rechte (Berichtigung, Löschung, Einschränkung, Widerspruch) und das Recht, sich bei einer Aufsichtsbehörde zu beschweren.
Dazu haben Sie nach Art. 15 Abs. 3 DSGVO Anspruch auf eine Kopie der Daten, die tatsächlich über Sie gespeichert sind. Die europäische und die deutsche Rechtsprechung legen diesen Anspruch eher weit aus: Er kann auch interne Vermerke oder Korrespondenz umfassen, sofern es sich dabei um personenbezogene Daten über Sie handelt. Reine Geschäftsgeheimnisse oder Daten anderer Personen dürfen dagegen geschwärzt werden.
So stellen Sie einen Auskunftsantrag – Schritt für Schritt
Frage: Muss der Antrag eine bestimmte Form haben?
Antwort: Nein. Ein Auskunftsantrag ist formlos möglich. Eine E-Mail an die Datenschutz- oder Kontaktadresse des Unternehmens genügt. Ein Einschreiben ist nicht nötig, kann aber als Nachweis sinnvoll sein.
So gehen Sie vor:
- Empfänger bestimmen. Suchen Sie in der Datenschutzerklärung nach einer Adresse wie
datenschutz@...oder den Kontaktdaten des Datenschutzbeauftragten. Alternativ reicht die allgemeine Kontaktadresse. - Antrag formulieren. Ein Satz genügt, zum Beispiel: „Ich mache mein Auskunftsrecht nach Art. 15 DSGVO geltend und bitte um Auskunft über alle zu meiner Person gespeicherten Daten sowie um eine Kopie dieser Daten.“
- Sich identifizierbar machen. Nennen Sie die Daten, unter denen das Unternehmen Sie kennt (etwa Kundennummer oder die hinterlegte E-Mail-Adresse). Das Unternehmen darf bei begründeten Zweifeln zusätzliche Angaben zur Identitätsprüfung verlangen – etwa, wenn die Anfrage von einer fremden E-Mail-Adresse kommt. Eine pauschale Forderung nach einer Ausweiskopie ist dagegen oft überzogen.
- Frist notieren. Halten Sie das Datum fest, damit Sie die Antwortfrist im Blick behalten.
Eine gesonderte Begründung, warum Sie die Auskunft wünschen, ist – wie erwähnt – nicht erforderlich.
Kosten, Fristen und was gilt, wenn niemand reagiert
Kosten: Die erste Kopie Ihrer Daten ist nach Art. 15 Abs. 3 in Verbindung mit Art. 12 Abs. 5 DSGVO kostenlos. Erst für weitere Kopien darf ein angemessenes Entgelt verlangt werden. Nur bei offenkundig unbegründeten oder exzessiven Anträgen – etwa wenn jemand dieselbe Anfrage in kurzen Abständen ständig wiederholt – darf das Unternehmen eine Gebühr erheben oder die Auskunft verweigern.
Frist: Das Unternehmen muss grundsätzlich innerhalb eines Monats ab Eingang des Antrags antworten (Art. 12 Abs. 3 DSGVO). Bei besonders komplexen oder zahlreichen Anfragen kann sich die Frist um bis zu zwei weitere Monate verlängern – dann muss es Sie aber innerhalb des ersten Monats darüber informieren.
Wenn nichts passiert: Bleibt die Antwort aus, ist sie unvollständig oder unzutreffend, haben Sie zwei Wege:
- Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO). In Deutschland ist dafür in der Regel die Landesdatenschutzbehörde des Bundeslandes zuständig, in dem das Unternehmen sitzt. Diese Beschwerde ist kostenlos und formlos möglich; die Behörde kann das Unternehmen zur Auskunft anhalten und Verstöße ahnden.
- Zivilrechtlicher Weg. Sie können den Anspruch auch gerichtlich durchsetzen. Zudem sieht Art. 82 DSGVO grundsätzlich einen Anspruch auf Schadensersatz vor, wenn Ihnen durch einen Verstoß ein materieller oder immaterieller Schaden entsteht. Die Rechtsprechung stellt hier allerdings darauf ab, dass ein konkreter Schaden dargelegt wird – ein bloßer Verstoß gegen die Frist reicht nach der Tendenz der Gerichte für sich genommen nicht aus. In solchen Fällen ist anwaltliche Beratung sinnvoll.
Zusammenfassung und Handlungsempfehlung
Das Auskunftsrecht nach Art. 15 DSGVO ist eines der wirksamsten Werkzeuge des Datenschutzes im Alltag. Es kostet Sie nichts, verlangt keine Begründung und lässt sich mit einer einzigen E-Mail auslösen. Merken Sie sich die Kernpunkte:
- Formlos genügt – eine E-Mail an den Verantwortlichen reicht aus.
- Die erste Kopie ist kostenlos, die Antwort kommt in der Regel binnen eines Monats.
- Sie erhalten nicht nur Ihre Daten, sondern auch Angaben zu Zwecken, Empfängern und Speicherdauer.
- Reagiert das Unternehmen nicht, hilft die kostenlose Beschwerde bei der Landesdatenschutzbehörde.
Als konkreten nächsten Schritt können Sie noch heute eine kurze Auskunftsanfrage an ein Unternehmen senden, dessen Umgang mit Ihren Daten Sie interessiert – und beim nächsten kritischen Blick in Ihren Posteingang genau wissen, wer was über Sie gespeichert hat.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Im Einzelfall fragen Sie bitte eine zugelassene Rechtsanwältin oder einen zugelassenen Rechtsanwalt.