Wir haben keine Daten gespeichert – müssen wir trotzdem antworten?
Viele Unternehmen kennen die Situation: Eine Person meldet sich und verlangt Auskunft nach der DSGVO. Vielleicht geht es um einen Newsletter, eine frühere Bestellung, eine Werbeaktion oder einen Kontakt über einen externen Dienstleister. Nach interner Prüfung stellt sich heraus: Zu dieser Person sind im Unternehmen gar keine Daten mehr vorhanden.
Dann liegt der Gedanke nahe: Wenn keine Daten gespeichert sind, müssen wir auch nichts weiter tun.
Genau das kann ein Fehler sein.
Denn auch wenn ein Unternehmen keine personenbezogenen Daten zu einer bestimmten Person verarbeitet, sollte es auf eine Datenschutzanfrage reagieren. In vielen Fällen ist eine sogenannte Negativauskunft erforderlich. Das bedeutet: Das Unternehmen teilt mit, dass es nach Prüfung keine personenbezogenen Daten zu der anfragenden Person verarbeitet.
Ein aktueller Fall der Hamburger Datenschutzaufsicht zeigt, dass das Thema nicht nur theoretisch ist.
Bußgeld gegen Handelsunternehmen in Hamburg
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat in seinem Tätigkeitsbericht Datenschutz 2025 (https://datenschutz-hamburg.de/service-information/taetigkeitsberichte/taetigkeitsbericht-datenschutz-2025) über ein Bußgeld gegen ein Handelsunternehmen berichtet.
Das Unternehmen hatte wiederholt und über einen längeren Zeitraum Anträge betroffener Personen nicht fristgerecht beantwortet. Dabei ging es um Auskunftsanträge, Löschungsanträge und Widersprüche gegen Direktwerbung. Die Anträge betrafen also zentrale Betroffenenrechte nach der DSGVO.
Nach Angaben der Aufsichtsbehörde wurden die betroffenen Personen auch nicht rechtzeitig über die Gründe der Verzögerung informiert. Das Bußgeld lag im niedrigen sechsstelligen Bereich.
Besonders wichtig: Die Behörde stellte klar, dass Unternehmen auch dann reagieren müssen, wenn sie keine personenbezogenen Daten der betroffenen Person verarbeiten. Auch in diesem Fall muss das Unternehmen die Anfrage prüfen und eine entsprechende Rückmeldung geben.
Was ist eine Negativauskunft?
Eine Negativauskunft ist eine Antwort auf eine Datenschutzanfrage, bei der das Unternehmen mitteilt, dass keine personenbezogenen Daten zur anfragenden Person verarbeitet werden.
Eine solche Antwort kann zum Beispiel lauten:
„Wir haben Ihre Anfrage geprüft. Nach derzeitigem Stand verarbeiten wir keine personenbezogenen Daten zu Ihrer Person.“
Je nach Fall kann ergänzt werden, auf welche Systeme sich die Prüfung bezogen hat oder dass bestimmte Daten bereits gelöscht wurden. Wichtig ist, dass die Antwort verständlich, nachvollziehbar und fristgerecht erfolgt.
Die Negativauskunft ist keine bloße Formalität. Sie zeigt der betroffenen Person, dass ihre Anfrage nicht ignoriert, sondern geprüft wurde.
Warum Schweigen problematisch ist
Wer auf eine Datenschutzanfrage nicht reagiert, riskiert mehrere Probleme.
Zum einen kann die betroffene Person Beschwerde bei der Datenschutzaufsicht einlegen. Zum anderen entsteht der Eindruck, das Unternehmen habe keine funktionierenden Datenschutzprozesse. Gerade wenn mehrere Anfragen liegen bleiben, kann dies für die Aufsichtsbehörde ein Hinweis auf ein strukturelles Problem sein.
Dabei ist es für die rechtliche Bewertung nicht entscheidend, ob das Unternehmen tatsächlich umfangreiche Daten verarbeitet. Schon das Nichtbeantworten einer Anfrage kann zum Problem werden.
Das gilt besonders bei Auskunft, Löschung und Werbewiderspruch. Diese Rechte sollen betroffenen Personen ermöglichen, Kontrolle über ihre Daten auszuüben. Wenn Unternehmen nicht antworten, wird diese Kontrolle faktisch verhindert.
Die Monatsfrist der DSGVO
Unternehmen müssen auf Betroffenenanfragen grundsätzlich unverzüglich reagieren, spätestens aber innerhalb eines Monats.
In komplexen Fällen kann diese Frist verlängert werden. Dann muss die betroffene Person aber innerhalb der ersten Monatsfrist über die Verzögerung und die Gründe informiert werden.
Für die Praxis bedeutet das: Eine Anfrage darf nicht einfach liegen bleiben, nur weil intern noch geprüft wird oder unklar ist, wer zuständig ist. Unternehmen brauchen einen Prozess, der sicherstellt, dass solche Anfragen erkannt, weitergeleitet und bearbeitet werden.
Besonders relevant für Werbung und externe Dienstleister
Der Hamburger Fall ist vor allem für Unternehmen interessant, die Werbung betreiben oder externe Dienstleister einbinden.
Viele kleine und mittlere Unternehmen nutzen Adresslisten, Newslettertools, Marketingagenturen, Callcenter, CRM-Systeme oder externe Versanddienstleister. Dadurch kann unklar werden, woher bestimmte Kontaktdaten stammen und wer gerade welche Daten verarbeitet.
Wenn sich eine Person nach einer Werbemaßnahme meldet und Auskunft, Löschung oder Werbewiderspruch verlangt, muss das Unternehmen reagieren können.
Dabei reicht es nicht, nur im eigenen Hauptsystem nachzusehen. Je nach Organisation müssen auch Newslettertools, CRM-Systeme, Agenturen oder Dienstleister einbezogen werden.
Werbewiderspruch: Nicht nur löschen, sondern sperren
Beim Widerspruch gegen Direktwerbung ist besondere Vorsicht geboten.
Wenn eine Person keine Werbung mehr erhalten möchte, sollte dieser Wunsch nicht einfach dadurch bearbeitet werden, dass der Datensatz vollständig gelöscht wird. Denn dann besteht die Gefahr, dass dieselbe Person später erneut in eine Werbeliste aufgenommen wird.
Häufig ist es sinnvoller, eine Sperrliste zu führen. Darin wird nur das gespeichert, was erforderlich ist, um künftige Werbung zuverlässig zu verhindern. Auch diese Sperrliste muss natürlich datenschutzrechtlich sauber geführt werden.
Für Unternehmen bedeutet das: Löschung und Werbewiderspruch sind nicht immer dasselbe. Beides muss organisatorisch richtig behandelt werden.
Typische Fehler in der Praxis
In der Praxis passieren häufig ähnliche Fehler:
Eine Datenschutzanfrage landet im allgemeinen E-Mail-Postfach und wird übersehen. Niemand fühlt sich zuständig. Die Anfrage wird an einen externen Dienstleister weitergeleitet, aber nicht nachverfolgt. Es wird nur im Kundensystem gesucht, nicht aber im Newslettertool. Ein Werbewiderspruch wird zwar notiert, aber nicht in allen Systemen umgesetzt. Oder das Unternehmen antwortet gar nicht, weil es davon ausgeht, keine Daten mehr gespeichert zu haben.
Gerade der letzte Punkt ist riskant. Auch wenn keine Daten vorhanden sind, sollte dies mitgeteilt werden.
Was KMU konkret tun sollten
Kleine und mittlere Unternehmen brauchen keine überkomplizierte Datenschutzabteilung. Sie brauchen aber klare Abläufe.
Sinnvoll ist zunächst eine zentrale Stelle für Datenschutzanfragen. Das kann eine bestimmte E-Mail-Adresse sein oder eine interne Zuständigkeit. Wichtig ist, dass alle Mitarbeitenden wissen: Solche Anfragen müssen sofort weitergeleitet werden.
Außerdem sollte dokumentiert werden, wann die Anfrage eingegangen ist. Ab diesem Datum läuft die Monatsfrist.
Danach sollte geprüft werden, in welchen Systemen personenbezogene Daten vorhanden sein könnten. Dazu gehören je nach Unternehmen Kundendatenbank, E-Mail-Postfach, Rechnungsprogramm, Newslettertool, CRM, Bewerbermanagement, Kontaktformulare, externe Agenturen und Dienstleister.
Am Ende sollte immer eine Antwort stehen: entweder mit den vorhandenen Informationen, mit einer Mitteilung über Löschung oder Einschränkung, mit einer begründeten Ablehnung oder eben mit einer Negativauskunft.
Ein einfacher Prüfablauf
Für viele Unternehmen kann ein einfacher Ablauf helfen:
- Eingang der Anfrage dokumentieren.
- Identität der anfragenden Person prüfen, soweit erforderlich.
- Betroffenes Recht einordnen: Auskunft, Löschung, Widerspruch oder Kombination.
- Relevante Systeme und Dienstleister prüfen.
- Ergebnis dokumentieren.
- Innerhalb eines Monats antworten.
- Umsetzung, zum Beispiel Löschung oder Werbesperre, nachhalten.
Dieser Ablauf muss nicht kompliziert sein. Entscheidend ist, dass er zuverlässig funktioniert.
Warum das auch wirtschaftlich sinnvoll ist
Datenschutzanfragen werden oft als lästige Pflicht gesehen. Tatsächlich können sie aber auch ein Hinweis darauf sein, dass Unternehmensprozesse verbessert werden müssen.
Wer nicht weiß, wo Kundendaten gespeichert sind, hat nicht nur ein Datenschutzproblem. Er hat oft auch ein Organisationsproblem. Das kann sich auf Werbung, Kundenservice, Forderungsmanagement und Vertragsabwicklung auswirken.
Saubere Datenschutzprozesse helfen deshalb nicht nur, Bußgelder zu vermeiden. Sie sorgen auch für bessere Datenqualität und weniger Reibungsverluste im Unternehmen.
Fazit
Die Antwort auf die Ausgangsfrage lautet: Ja, auch wenn keine Daten gespeichert sind, sollten Unternehmen auf eine Datenschutzanfrage reagieren.
Eine Negativauskunft kann erforderlich sein, wenn nach Prüfung keine personenbezogenen Daten verarbeitet werden. Schweigen ist keine gute Lösung und kann im schlimmsten Fall teuer werden.
Gerade Unternehmen, die Werbung betreiben, externe Dienstleister einsetzen oder mit Adresslisten arbeiten, sollten ihre Prozesse überprüfen. Wichtig sind klare Zuständigkeiten, Fristenkontrolle, dokumentierte Prüfungen und verlässliche Antworten.
Datenschutz muss nicht kompliziert sein. Aber er muss organisiert sein.
Über den Autor
Rechtsanwalt Christoph Kehr berät Unternehmen praxisnah und digital. Zu seinen Tätigkeitsfeldern zählen insbesondere das außergerichtliche Forderungsmanagement und die datenschutzrechtliche Beratung kleiner und mittlerer Unternehmen.
Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.