Wenn ein Kunde Auskunft nach der DSGVO verlangt, prüfen Sie zuerst, ob und welche personenbezogenen Daten Sie zu ihm verarbeiten. Bei einer positiven Auskunft hilft ein Aufbau aus kurzem Anschreiben, Informationen über die Verarbeitung und verständlicher Datenkopie. Die Person soll erkennen können, welche Daten verarbeitet werden, warum das geschieht, woher sie stammen und an wen sie gingen.

Dieser Beitrag ist ein Antwortbaukasten. Wenn das geltend gemachte Recht noch unklar ist, beginnen Sie beim Überblick zu Betroffenenanfragen. Die Rechtsauslegung steht in Art. 15 DSGVO: Umfang und Grenzen. Den internen Weg bis zur Freigabe beschreibt der DSAR-Prozess.

Ein Anschreiben verbindet die Auskunft über die Verarbeitung mit der Kopie der personenbezogenen Daten.
Das Anschreiben ordnet die Anlagen zu. Auskunft und Datenkopie erfüllen unterschiedliche Aufgaben und werden gemeinsam auf Vollständigkeit geprüft.

Welche Unterlagen gehören in das Antwortpaket?

Bestandteil Aufgabe
Anschreiben Antrag, Antwortdatum, Anlagen und sicheren Übermittlungsweg eindeutig zuordnen
Auskunft Bestätigung und Pflichtinformationen nach Art. 15 Abs. 1 und 2 DSGVO
Datenkopie die tatsächlich verarbeiteten personenbezogenen Daten vollständig und verständlich wiedergeben
Einschränkungsbegründung nur wenn Inhalte eingeschränkt, ein Entgelt verlangt oder Tätigkeiten verweigert werden
Rechtsbehelfsinformation bei Nichttätigwerden auf Beschwerde und gerichtlichen Rechtsbehelf hinweisen

Senden Sie keinen unveränderten Standardbrief. Nicht einschlägige Felder gehören entfernt, offene Platzhalter ersetzt und Aussagen mit den Ergebnissen der Datensuche abgeglichen.

Muster: Sie erteilen die Auskunft

Angenommen, eine Kundin bittet um ihre Daten und die Suche ist abgeschlossen. Das folgende Anschreiben ordnet die beiden Anlagen zu. Die Anlagen werden mit den tatsächlichen Angaben aus der Prüfung ausgefüllt.

Betreff: Ihre Auskunftsanfrage vom 5. März 2026

Guten Tag Frau Beispiel,

wir haben Ihre Anfrage vom 5. März 2026 geprüft. Wir verarbeiten personenbezogene Daten zu Ihrer Person.

In Anlage 1 erläutern wir die Verarbeitungszwecke, Datenkategorien, Empfänger, Speicherdauer und die weiteren Informationen nach Art. 15 DSGVO. Anlage 2 enthält eine verständliche Kopie Ihrer personenbezogenen Daten.

Bei Fragen zu dieser Auskunft erreichen Sie unsere Datenschutzstelle unter datenschutz@example.com.

Freundliche Grüße

Beispiel GmbH

Dieses Beispiel setzt eine vollständige Auskunft ohne Einschränkungen voraus. Ersetzen Sie Namen, Termine, Anlagen und Kontaktwege passend zu Ihrem Fall. Werden einzelne Inhalte zurückgehalten, ergänzen Sie die unten beschriebene Einschränkungsbegründung und die erforderlichen Rechtsbehelfsinformationen.

Für umfangreiche oder sensible Daten kann ein geschützter Download geeigneter sein als ein gewöhnlicher E-Mail-Anhang. Dann nennen Sie im Anschreiben den tatsächlichen Bereitstellungsweg, Zugangsbedingungen und eine angemessene Abrufmöglichkeit. Der Zugang muss für die betroffene Person nutzbar sein und die Datenkopie innerhalb der maßgeblichen Frist bereitstehen. Eine angekündigte spätere Lieferung ersetzt sie nicht.

Anlage 1: Pflichtinformationen vollständig ausfüllen

Art. 15 Abs. 1 DSGVO nennt acht Pflichtinformationen. Die Tabelle kann als Gliederung der Auskunft dienen:

Pflichtfeld Was konkret in die Antwort gehört
Verarbeitungszwecke die tatsächlichen Zwecke je Datenbestand, zum Beispiel Vertragsabwicklung, Support oder Personalverwaltung
Datenkategorien konkrete Kategorien wie Stammdaten, Vertragsdaten, Kommunikationsdaten oder Nutzungsdaten
Empfänger konkrete Empfänger, soweit sie feststehen, einschließlich relevanter konzerninterner Stellen und Dienstleister
Speicherdauer Dauer je Datenart oder nachvollziehbare Kriterien, wenn kein fixes Datum möglich ist
Rechte Hinweis auf Berichtigung, Löschung, Einschränkung und Widerspruch
Beschwerde Beschwerderecht bei einer Aufsichtsbehörde
Herkunft verfügbare Informationen zur Quelle, wenn Daten nicht bei der Person erhoben wurden
automatisierte Entscheidungen Bestehen, Logik, Tragweite und angestrebte Auswirkungen, soweit Art. 15 Abs. 1 lit. h einschlägig ist

Bei Drittlandübermittlungen kommen nach Art. 15 Abs. 2 Informationen über die geeigneten Garantien nach Art. 46 hinzu.

Vermeiden Sie leere Formeln. „Die Speicherdauer richtet sich nach gesetzlichen Vorgaben“ nennt noch kein nachvollziehbares Kriterium. Nennen Sie die betroffene Datenart, den Ausgangspunkt der Frist und die einschlägige Dauer, soweit das im Fall möglich ist.

Konkrete Empfänger statt Sammelbegriffe

Nach dem Urteil EuGH C-154/21 sind konkrete Empfänger grundsätzlich zu nennen, wenn sie identifiziert werden können (Pressemitteilung zum Urteil). Kategorien sind keine freie Alternative.

Eine belastbare Formulierung beschreibt den tatsächlichen Datenfluss:

Ihre Kontaktdaten und Bestelldaten wurden am [Datum oder Zeitraum] an [Name des Empfängers] zum Zweck [konkreter Zweck] offengelegt. [Falls zutreffend: Die Verarbeitung erfolgte in einem Drittland auf Grundlage von [Garantie].]

Eine Kategorie bleibt dort sinnvoll, wo ein künftiger Empfänger noch nicht feststeht. Dokumentieren Sie intern, warum kein konkreter Name angegeben werden konnte.

Ein Ausschnitt aus einem Quelldokument übernimmt personenbezogene Daten samt Kontext; eine einzelne fremde Angabe wird verdeckt.
Der Auszug erhält die Daten und den nötigen Zusammenhang. Die markierte Schwärzung steht für eine begründete Einzelentscheidung, nicht für das pauschale Entfernen fremder Namen.

Anlage 2: Datenkopie verständlich aufbauen

Die Datenkopie muss mehr leisten als eine Liste abstrakter Kategorien. Das Urteil EuGH C-487/21 verlangt eine vollständige, originalgetreue und verständliche Reproduktion der personenbezogenen Daten (Pressemitteilung zum Urteil).

Datenquelle Häufig verständliche Ausgabe
CRM oder Stammdatensystem strukturierte Tabelle mit Feldname, Wert und Herkunft
Ticketsystem relevanter Verlauf mit Datum, Beteiligtenrolle und notwendigem Kontext
E-Mail oder Chat Auszug mit Betreff, Zeit, Absender, Empfänger und relevantem Inhalt
Dokumentenakte Dokumentauszug oder vollständiges Dokument, wenn der Kontext sonst fehlt
Zugriffsprotokoll Zeitpunkt, Zweck und betroffener Datensatz; Namen von Beschäftigten nur nach gesonderter Prüfung

Ein Vollpostfach ist selten eine fertige Datenkopie. Es enthält Dubletten, sachfremde Inhalte und Daten anderer Personen. Umgekehrt darf ein Export nicht so stark verkürzt werden, dass Bewertungen oder Gesprächszusammenhänge unverständlich werden.

Wie formulieren Sie eine Einschränkung?

Art. 15 Abs. 4 DSGVO schützt Rechte und Freiheiten anderer Personen. Die Antwort sollte erkennen lassen, wo eingeschränkt wurde und warum, ohne dabei gerade die geschützte Information offenzulegen. Zu einer teilweisen Verweigerung gehören außerdem die Beschwerdemöglichkeit und der gerichtliche Rechtsbehelf nach Art. 12 Abs. 4 DSGVO. Ergänzen Sie diese Informationen auch im obigen Anschreiben, falls Sie die Auskunft einschränken.

In Dokument [Bezeichnung], Seite [x], wurden [Art der Information] unkenntlich gemacht. Die Offenlegung würde Rechte und Freiheiten einer anderen Person beeinträchtigen. Der für das Verständnis Ihrer personenbezogenen Daten erforderliche Zusammenhang bleibt erhalten.

Die Vorschrift trägt keine automatische Entfernung aller Namen. Für Zugriffsprotokolle hat der EuGH etwa entschieden, dass Namen von Beschäftigten, die unter der Aufsicht und im Einklang mit den Weisungen des Verantwortlichen handeln, grundsätzlich nur dann mitzuteilen sind, wenn sie für die wirksame Rechtsausübung unerlässlich sind und ihre Rechte berücksichtigt werden (Pressemitteilung zu EuGH C-579/21).

Wenn Sie gar nicht tätig werden oder ein Entgelt nach Art. 12 Abs. 5 verlangen, braucht die Entscheidung eine belastbare Einzelfallbegründung. Nach Art. 12 Abs. 4 sind die Gründe, die Beschwerdemöglichkeit bei einer Aufsichtsbehörde und der gerichtliche Rechtsbehelf mitzuteilen. Die engen Grenzen, einschließlich EuGH C-526/24 (Pressemitteilung) und § 34 BDSG, erklärt die Rechtsreferenz zu Art. 15 DSGVO.

Muster: Sie finden keine Kundendaten

Eine Negativauskunft setzt voraus, dass die erforderliche Suche abgeschlossen ist. „Kein Treffer im CRM“ genügt nicht, wenn auch Verträge, Supportfälle oder andere Datenquellen in Betracht kommen.

Ergebnis der Prüfung Passende Antwort
Es werden tatsächlich keine personenbezogenen Daten verarbeitet Dieses Ergebnis klar bestätigen
Es gibt keine früheren Kundendaten, aber Daten aus der aktuellen Anfrage Den geprüften Bestand abgrenzen und über die Anfragedaten Auskunft geben
Eine relevante Datenquelle ist noch ungeprüft Suche fortführen; der offene Punkt trägt keine Negativauskunft

Beachten Sie dabei die Anfrage selbst: Name, E-Mail-Adresse und Korrespondenz werden häufig gerade für ihre Bearbeitung gespeichert. Dann wäre „Wir verarbeiten keinerlei Daten zu Ihrer Person“ falsch. Für einen Fall ohne frühere Kundenbeziehung kann die Antwort so beginnen:

Guten Tag Frau Beispiel,

wir haben die für Ihre Anfrage in Betracht kommenden Datenbestände geprüft. Eine Kundenbeziehung oder weitere dort verarbeitete personenbezogene Daten zu Ihrer Person haben wir nicht festgestellt.

Wir verarbeiten jedoch die Angaben aus Ihrer Auskunftsanfrage und die zugehörige Korrespondenz. Die Informationen über diese Verarbeitung sowie eine Kopie dieser Daten finden Sie in den beigefügten Anlagen.

Freundliche Grüße

Beispiel GmbH

Verwenden Sie diese Aussage nur, wenn sie Ihrem tatsächlichen Suchergebnis entspricht. Beschreiben Sie in den Anlagen auch für die Anfragedaten die wirklichen Zwecke, Empfänger und Aufbewahrungsregeln. Werden tatsächlich keine personenbezogenen Daten verarbeitet, genügt die klare Bestätigung dieses Ergebnisses. Eine ablehnende Entscheidung, trotz vorhandener Daten nicht tätig zu werden, braucht dagegen die Begründung und Rechtsbehelfsinformation nach Art. 12 Abs. 4 DSGVO.

Muster: Die Identität ist noch nicht ausreichend geklärt

Eine Rückfrage darf nicht bloß der übliche erste Schritt sein. Nach Art. 12 Abs. 6 DSGVO dürfen Sie bei begründeten Zweifeln nur die zusätzlichen Informationen anfordern, die zur Bestätigung der Identität erforderlich sind. Prüfen Sie zuerst bereits verfügbare Merkmale und einen vorhandenen sicheren Kundenkanal.

Angenommen, eine Anfrage nennt einen Kundenvertrag, kommt aber von einer unbekannten Adresse. Ein sicherer, schon bestehender Kundenbereich kann im konkreten Fall eine zusätzliche Bestätigung ermöglichen:

Guten Tag Frau Beispiel,

Ihre Anfrage vom 5. März 2026 haben wir erhalten. Sie bezieht sich auf einen Kundenvertrag. Die Absenderadresse ist diesem Vertrag nicht zugeordnet; Ihre Berechtigung können wir damit noch nicht ausreichend bestätigen.

Bitte bestätigen Sie die Anfrage über die Nachrichtenfunktion in Ihrem bestehenden Kundenkonto. Falls Ihnen dieser Zugang nicht mehr zur Verfügung steht, teilen Sie uns das bitte mit. Wir klären dann einen anderen geeigneten Weg. Eine Ausweiskopie benötigen wir für diese Bestätigung nicht.

Freundliche Grüße

Beispiel GmbH

Der beschriebene Kundenkanal muss in Ihrem Unternehmen tatsächlich existieren und für diesen Fall ausreichen. Eine abweichende E-Mail-Adresse begründet nicht automatisch eine Ausweispflicht. Begründen und dokumentieren Sie, warum vorhandene Angaben nicht genügen. Ein ungeklärter Zugang darf den Antrag nicht unbemerkt liegen lassen; Frist und Nachverfolgung bleiben Teil des Vorgangs. Die EDPB-Leitlinien zur Auskunft erläutern die risikogerechte Identitätsprüfung.

Qualitätskontrolle vor dem Versand

Prüffrage Erwarteter Nachweis
Passt die Antwort zum Wortlaut des Antrags? Antrag und geklärter Umfang
Sind alle einschlägigen Pflichtfelder ausgefüllt? ausgefüllte Matrix ohne Restplatzhalter
Stimmen Datenkategorien und Datenkopie überein? Abgleich mit Suchergebnissen
Sind konkrete Empfänger genannt, soweit möglich? Empfängerliste und Übermittlungsnachweise
Bleiben Daten und Kontext verständlich? Lesekontrolle der finalen Anlagen
Sind Einschränkungen eng und begründet? Fundstelle, Grund, Rechtsgrundlage und Freigabe
Ist der Übermittlungsweg angemessen geschützt? dokumentierter Kanal und Empfängerprüfung
Ist genau diese Fassung archiviert? Antwort, Anlagen und Versandnachweis

Der requests-Ablauf mit Beispieldaten zeigt, wie Pflichtfelder, Anlagen und Freigabeschritte in einem Vorgang zusammenliegen können. Ein kundenspezifischer Pilot kann nach gesonderter Abstimmung anhand eines abgegrenzten Falls prüfen, welche Übergaben, Datenquellen und Nachweise Ihr Prozess benötigt.

Quellen und Stand

Stand: 2. Oktober 2026.