DSGVO-Auskunft: Was Unternehmen tun müssen – und wann sie sich gegen Missbrauch wehren können
Viele Unternehmen kennen die Situation: Eine Person verlangt Auskunft nach Art. 15 DSGVO. Manchmal ist das berechtigt und nachvollziehbar. Manchmal wirkt die Anfrage aber eher taktisch, überzogen oder sogar darauf angelegt, später Schadensersatz geltend zu machen.
Für Unternehmen, Selbstständige und Arbeitgeber stellt sich dann die Frage: Muss wirklich jede DSGVO-Auskunft vollständig beantwortet werden? Gibt es Grenzen? Und wie reagiert man richtig, ohne selbst ein Datenschutzrisiko zu schaffen?
Der Grundsatz: Auskunftsanfragen müssen ernst genommen werden
Nach der Datenschutz-Grundverordnung haben betroffene Personen das Recht zu erfahren, ob und welche personenbezogenen Daten über sie verarbeitet werden. Dieses Auskunftsrecht ist ein zentrales Betroffenenrecht.
Unternehmen müssen daher grundsätzlich prüfen und beantworten, wenn eine Person Auskunft verlangt. Die Antwort muss in der Regel innerhalb eines Monats erfolgen. In komplexen Fällen kann die Frist verlängert werden, dies muss der betroffenen Person aber rechtzeitig mitgeteilt werden.
Wichtig ist: Auch kleine Unternehmen sind hiervon nicht ausgenommen. Wer Kundendaten, Bewerberdaten, Beschäftigtendaten, Newsletterdaten oder Kontaktdaten verarbeitet, muss in der Lage sein, eine Auskunftsanfrage ordnungsgemäß zu beantworten.
Auch eine Negativauskunft kann erforderlich sein
Ein häufiger Irrtum lautet: „Wir haben keine Daten mehr, also müssen wir auch nicht antworten.“
Das ist gefährlich. Wenn ein Unternehmen keine personenbezogenen Daten zu einer Person verarbeitet, sollte es dies mitteilen. Gerade Aufsichtsbehörden betonen immer wieder, dass Unternehmen auch dann reagieren müssen, wenn keine Daten vorhanden sind.
Eine sogenannte Negativauskunft ist in der Praxis oft der sicherste Weg. Sie zeigt, dass die Anfrage geprüft wurde und nicht einfach ignoriert wurde.
Aktuelle Entwicklung: Missbräuchliche DSGVO-Auskunft
Der Europäische Gerichtshof hat in der Rechtssache „Brillen Rottler“ (Urteil des Gerichtshofs in der Rechtssache C-526/24 | Brillen Rottler) klargestellt, dass auch ein erster DSGVO-Auskunftsantrag unter besonderen Umständen missbräuchlich sein kann.
Das ist für Unternehmen wichtig, denn bisher wurde häufig angenommen, dass jedenfalls der erste Auskunftsantrag grundsätzlich immer zu beantworten sei. Der EuGH hat nun deutlich gemacht: Entscheidend ist nicht allein, ob es der erste Antrag ist. Entscheidend können die Umstände des Einzelfalls sein.
Ein Auskunftsantrag kann missbräuchlich sein, wenn er nicht ernsthaft der Kontrolle der eigenen Datenverarbeitung dient, sondern vorrangig dazu gestellt wird, künstlich einen Datenschutzverstoß und anschließend einen Schadensersatzanspruch zu provozieren.
Kein Freibrief zum Ignorieren
Trotzdem sollten Unternehmen sehr vorsichtig sein. Die Entscheidung bedeutet nicht, dass unliebsame Auskunftsanfragen einfach ignoriert werden dürfen.
Die Hürden für die Annahme eines Rechtsmissbrauchs bleiben hoch. Unternehmen müssen im Zweifel darlegen können, warum sie von einem missbräuchlichen Verhalten ausgegangen sind. Ein bloßes ungutes Gefühl reicht nicht aus.
Wer eine Anfrage vorschnell als missbräuchlich einstuft und nicht antwortet, riskiert Beschwerden bei der Datenschutzaufsicht, Anordnungen, Bußgelder oder gerichtliche Auseinandersetzungen.
Typische Risikofälle für Unternehmen
Besonders häufig treten DSGVO-Auskunftsanfragen in bestimmten Situationen auf:
Kunden streiten über Verträge oder Rechnungen. Bewerber möchten wissen, welche Daten im Bewerbungsverfahren gespeichert wurden. Ehemalige Beschäftigte verlangen Einsicht in gespeicherte Personalinformationen. Newsletterempfänger möchten Auskunft und Löschung. Schuldner nutzen Datenschutzanfragen im Zusammenhang mit Mahnungen oder Forderungen.
In all diesen Fällen kann die Anfrage berechtigt sein. Gleichzeitig kann sie taktisch motiviert sein. Für Unternehmen kommt es deshalb auf eine geordnete Prüfung an.
So sollten Unternehmen praktisch vorgehen
Unternehmen sollten zunächst den Eingang der Anfrage dokumentieren. Wichtig ist das Datum, weil ab diesem Zeitpunkt die Monatsfrist läuft.
Danach sollte geprüft werden, wer die Anfrage stellt und ob die Identität ausreichend geklärt ist. Bei Zweifeln darf eine angemessene Identitätsprüfung erfolgen. Dabei sollte aber nicht mehr verlangt werden als erforderlich.
Anschließend muss ermittelt werden, ob und welche personenbezogenen Daten verarbeitet werden. Dazu gehören nicht nur Stammdaten, sondern auch Kommunikationsdaten, Vertragsdaten, Zahlungsdaten, Bewerbungsunterlagen, Newsletterdaten oder interne Vermerke, soweit sie personenbezogen sind.
Die Antwort sollte klar, verständlich und vollständig sein. Gleichzeitig müssen Rechte Dritter und Geschäftsgeheimnisse berücksichtigt werden.
Wenn Missbrauch naheliegt
Wenn konkrete Anhaltspunkte für einen Rechtsmissbrauch bestehen, sollte dies sorgfältig dokumentiert werden. Beispiele können sein: serienhafte Anfragen mit identischem Muster, gezielte Provokation eines Fehlers, sofortige Forderung von Schadensersatz ohne echtes Auskunftsinteresse oder auffällige Umstände, die zeigen, dass es nicht um Datenschutzkontrolle geht.
In solchen Fällen sollte nicht vorschnell geschwiegen werden. Oft ist eine kurze, rechtlich saubere Antwort besser als gar keine Reaktion. Je nach Fall kann auch eine begründete Ablehnung in Betracht kommen.
Warum Prozesse wichtiger sind als Einzelfall-Hektik
Viele Datenschutzprobleme entstehen nicht, weil Unternehmen bewusst gegen Datenschutzrecht verstoßen wollen. Sie entstehen, weil niemand zuständig ist, Fristen nicht notiert werden oder unklar ist, wo personenbezogene Daten gespeichert sind.
Ein einfacher interner Prozess hilft enorm:
Wer nimmt Datenschutzanfragen entgegen? Wer prüft die Identität? Wo werden Kundendaten, Vertragsdaten, Newsletterdaten und Bewerberdaten gespeichert? Wer erstellt die Antwort? Wer kontrolliert die Frist?
Gerade kleine und mittlere Unternehmen brauchen keine überkomplizierte Datenschutzbürokratie. Sie brauchen aber klare Zuständigkeiten und wiederholbare Abläufe.
Fazit
DSGVO-Auskunftsanfragen gehören inzwischen zum Unternehmensalltag. Sie sollten ernst genommen, fristgerecht geprüft und nachvollziehbar beantwortet werden.
Die aktuelle Rechtsprechung zeigt zugleich: Unternehmen sind nicht schutzlos, wenn Betroffenenrechte offensichtlich zweckwidrig oder missbräuchlich eingesetzt werden. Ein Missbrauchseinwand kommt aber nur in besonderen Fällen in Betracht und sollte gut begründet sein.
Für Unternehmen gilt daher: Nicht ignorieren, nicht hektisch reagieren, sondern strukturiert prüfen. Wer saubere Prozesse für Auskunft, Löschung und Widerspruch hat, reduziert Risiken und kann auch schwierige Anfragen souverän bearbeiten.
Über den Autor
Rechtsanwalt Christoph Kehr berät Unternehmen praxisnah und digital. Zu seinen Tätigkeitsfeldern zählen insbesondere das außergerichtliche Forderungsmanagement und die datenschutzrechtliche Beratung kleiner und mittlerer Unternehmen.
Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.