Welche Angaben gehören in eine Datenauskunft?

Wenn du bei einem Unternehmen Auskunft über deine Daten verlangst, bekommst du manchmal einen ausführlichen Datenauszug, manchmal nur einen Satz mit Verweis auf die Datenschutzerklärung. Welche Antwort du erwarten darfst, regelt Art. 15 DSGVO ziemlich genau. Hier gehen wir die einzelnen Angaben der Reihe nach durch und zeigen an einem erfundenen Beispiel, wie sich eine gute von einer dünnen Auskunft unterscheidet.

Was dir Art. 15 DSGVO insgesamt gibt

Das Auskunftsrecht besteht aus drei Bausteinen. Erstens hast du ein Recht auf Bestätigung, ob ein Unternehmen oder eine Behörde – die DSGVO spricht vom „Verantwortlichen“ – überhaupt personenbezogene Daten über dich verarbeitet. Zweitens hast du, wenn das der Fall ist, ein Recht auf Auskunft über diese Daten und auf eine Kopie davon (Art. 15 Abs. 1 und 3 DSGVO). Drittens muss der Verantwortliche dir eine Reihe von Zusatzinformationen geben, die in Art. 15 Abs. 1 lit. a bis h und Abs. 2 aufgezählt sind.

Die Bestätigung gilt auch im negativen Fall. Hat ein Unternehmen keine Daten über dich, sollte es dir das mitteilen, statt einfach zu schweigen. Das ist wichtig, weil du sonst nicht unterscheiden kannst, ob deine Anfrage untergegangen ist oder ob tatsächlich nichts gespeichert ist.

Die Zusatzinformationen sind kein Beiwerk. Sie sollen dir ermöglichen, die Verarbeitung zu verstehen und zu prüfen, ob sie rechtmäßig ist. Erst mit ihnen kannst du entscheiden, ob du etwas berichtigen, löschen oder einer Verarbeitung widersprechen willst. Einen Überblick über das Auskunftsrecht insgesamt findest du unter Auskunft nach Art. 15 DSGVO; den Gesetzestext kannst du bei EUR-Lex nachlesen.

Die Pflichtangaben im Einzelnen

Die folgende Liste orientiert sich an der Reihenfolge des Gesetzes. Sie eignet sich auch als Prüfliste, wenn du eine Antwort bekommen hast.

Zwecke der Verarbeitung (lit. a)

Der Verantwortliche muss sagen, wofür er deine Daten verarbeitet. Typische Zwecke sind die Vertragsabwicklung, die Buchhaltung, die Betrugsprävention, Werbung oder die Bonitätsprüfung. Hilfreich ist eine Antwort, die erkennen lässt, welche Daten zu welchem Zweck genutzt werden. Eine pauschale Aufzählung aller denkbaren Zwecke des Unternehmens sagt dir wenig über deine eigene Situation.

Kategorien der Daten (lit. b)

Hier geht es um die Gruppen, in die sich deine Daten einordnen lassen, etwa Kontaktdaten, Vertragsdaten, Zahlungsdaten oder Nutzungsdaten. Die Kategorien sind eine Orientierung, ersetzen aber nicht die Daten selbst. Wer dir nur „Stammdaten, Vertragsdaten, Kommunikationsdaten“ schreibt, hat einen Teil der Auskunft erteilt, nicht die ganze.

Empfänger: konkrete Namen statt Sammelbegriffe (lit. c)

Art. 15 Abs. 1 lit. c DSGVO spricht von den „Empfängern oder Kategorien von Empfängern“, denen deine Daten offengelegt wurden oder werden. Lange haben Unternehmen daraus abgeleitet, dass es genügt, „Dienstleister“ oder „Konzerngesellschaften“ zu nennen. Der Europäische Gerichtshof hat das im Urteil vom 12. Januar 2023 (C-154/21, Österreichische Post) anders gesehen: Du hast grundsätzlich Anspruch darauf, die konkreten Empfänger zu erfahren.

Nur die Kategorien darf der Verantwortliche nach diesem Urteil nennen, wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn dein Antrag offenkundig unbegründet oder exzessiv ist. Für dich heißt das: Wenn in einer Antwort nur Sammelbegriffe stehen, kannst du gezielt nach den Namen fragen. Das betrifft auch Stellen wie Inkassodienstleister, Auskunfteien oder Werbepartner.

Speicherdauer (lit. d)

Der Verantwortliche muss angeben, wie lange deine Daten gespeichert werden sollen. Wenn das nicht als fester Zeitraum möglich ist, muss er zumindest die Kriterien für die Festlegung der Dauer nennen, etwa „bis zum Ende des Vertrags und danach für die Dauer gesetzlicher Aufbewahrungspflichten“. Ein bloßes „so lange wie nötig“ ist in der Regel zu vage, weil du daraus nicht ablesen kannst, wann eine Löschung ansteht.

Deine Rechte und das Beschwerderecht (lit. e und f)

Die Auskunft muss dich auf deine Rechte hinweisen: Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Widerspruch (Art. 21). Außerdem muss sie das Recht erwähnen, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77). Die Beschwerde ist für dich kostenlos. Diese Hinweise wirken formal, sind aber nützlich, wenn du nach der Auskunft etwas unternehmen willst.

Herkunft der Daten (lit. g)

Hat der Verantwortliche deine Daten nicht bei dir selbst erhoben, muss er alle verfügbaren Informationen über ihre Herkunft mitteilen. Das ist besonders wichtig bei Adresshändlern, Auskunfteien oder Werbenetzwerken. Wenn du wissen willst, wie ein Unternehmen an deine Adresse gekommen ist, ist lit. g die Stelle, an der die Antwort stehen sollte.

Automatisierte Entscheidungen, Profiling und Scores (lit. h)

Wenn eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO stattfindet, muss die Auskunft das sagen. Zumindest in diesen Fällen schuldet der Verantwortliche außerdem aussagekräftige Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen für dich. Profiling bedeutet vereinfacht: Aus deinen Daten werden Einschätzungen über dich abgeleitet, etwa zu Zahlungsverhalten, Interessen oder Zuverlässigkeit.

Für Scores ist das Urteil des EuGH vom 7. Dezember 2023 (C-634/21, SCHUFA Holding) bedeutsam. Danach kann bereits die Berechnung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine automatisierte Entscheidung im Sinne von Art. 22 sein, wenn Dritte wie Banken diesen Wert maßgeblich heranziehen, um über einen Vertrag mit dir zu entscheiden. Damit rückt auch die Pflicht aus lit. h näher an das Scoring heran.

Wie weit die Erklärung der Logik gehen muss, ist nicht abschließend geklärt. Nach überwiegender Auffassung musst du keine vollständige Formel oder gar den Quellcode erhalten, wohl aber eine verständliche Beschreibung, welche Arten von Angaben in die Bewertung einfließen und wie sie sich grob auswirken. Geschäftsgeheimnisse können eine Grenze ziehen, dürfen aber nicht dazu führen, dass gar keine Erklärung gegeben wird.

Übermittlung in Drittländer (Abs. 2)

Werden deine Daten in ein Land außerhalb der EU und des Europäischen Wirtschaftsraums übermittelt, hast du ein Recht, über die geeigneten Garantien informiert zu werden, die diese Übermittlung absichern sollen. Das können zum Beispiel Standardvertragsklauseln sein. Relevant ist das vor allem, wenn ein Unternehmen Cloud-Dienste oder Dienstleister mit Sitz außerhalb Europas einsetzt.

Was „Kopie“ wirklich bedeutet

Nach Art. 15 Abs. 3 DSGVO stellt dir der Verantwortliche eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind. Lange war umstritten, ob damit nur eine Zusammenfassung gemeint ist oder mehr. Der EuGH hat das mit Urteil vom 4. Mai 2023 (C-487/21, Österreichische Datenschutzbehörde und CRIF) geklärt.

Danach bedeutet Kopie eine originalgetreue und verständliche Reproduktion aller deiner Daten. Eine Zusammenfassung in eigenen Worten oder eine grobe Übersicht genügt also nicht. Außerdem kann der Anspruch auch Kopien von Auszügen aus Dokumenten, ganzen Dokumenten oder Auszügen aus Datenbanken umfassen, wenn das unerlässlich ist, damit du die Daten verstehen und deine Rechte wirksam ausüben kannst.

Ein Beispiel: Eine Versicherung speichert in ihrem System einen Vermerk über ein Telefonat mit dir. Eine Liste mit dem Eintrag „Gesprächsnotiz vom März“ zeigt dir nicht, was notiert wurde. Wenn du den Inhalt der Notiz ohne den Zusammenhang nicht verstehen kannst, kann dir ein Auszug aus dem Dokument selbst zustehen.

Das bedeutet nicht, dass du automatisch jede Akte vollständig kopiert bekommst. Maßstab ist, ob die Reproduktion nötig ist, damit du deine Daten nachvollziehen kannst. Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien 01/2022 zum Auskunftsrecht ausführlich beschrieben, wie Verantwortliche eine Auskunft aufbereiten sollen, etwa in mehreren Ebenen, damit sie trotz großer Datenmengen verständlich bleibt.

In welcher Form und wie schnell die Antwort kommen muss

Die Auskunft muss nach Art. 12 Abs. 1 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form und in klarer, einfacher Sprache erfolgen. Interne Kürzel, unerklärte Codes oder ein Tabellenexport ohne Spaltenbeschriftung erfüllen das in der Regel nicht. Du darfst nachfragen, was ein Kürzel bedeutet.

Beim Format gilt: Stellst du deinen Antrag elektronisch, etwa per E-Mail, sind die Informationen nach Art. 15 Abs. 3 DSGVO in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern du nichts anderes angibst. Ein PDF ist dafür üblich. Möchtest du die Auskunft lieber per Post, kannst du das im Antrag sagen.

Zur Frist: Der Verantwortliche muss unverzüglich antworten, spätestens aber innerhalb eines Monats nach Eingang deines Antrags (Art. 12 Abs. 3 DSGVO). Bei komplexen Anfragen oder einer hohen Zahl von Anträgen kann er die Frist um zwei weitere Monate verlängern, muss dich darüber aber innerhalb des ersten Monats mit Gründen informieren. Wann genau die Frist in deinem Fall endet, kannst du mit dem Fristrechner ermitteln.

Hat der Verantwortliche begründete Zweifel, dass der Antrag wirklich von dir stammt, darf er zusätzliche Informationen zur Identität verlangen (Art. 12 Abs. 6 DSGVO). Was dabei angemessen ist und was nicht, beschreibt der Artikel Rückfrage zur Identität.

Kostenlos – und dein Motiv spielt keine Rolle

Die erste Kopie ist nach Art. 15 Abs. 3 DSGVO unentgeltlich. Nur für weitere Kopien darf der Verantwortliche ein angemessenes Entgelt auf Grundlage seiner Verwaltungskosten verlangen. Eine Auskunftsgebühr, Porto oder eine Bearbeitungspauschale für die erste Auskunft sind daher nicht vorgesehen.

Manche Unternehmen versuchen, eine Auskunft abzulehnen oder zu berechnen, weil die betroffene Person sie „nur“ für einen Rechtsstreit brauche. Das greift nicht. Der EuGH hat mit Urteil vom 26. Oktober 2023 (C-307/22, FT gegen DW) entschieden, dass die erste Kopie auch dann kostenlos zur Verfügung zu stellen ist, wenn der Antrag anderen Zwecken als dem Datenschutz dient, zum Beispiel der Vorbereitung von Ansprüchen gegen den Verantwortlichen.

Du musst deinen Antrag also nicht begründen. Du kannst einfach schreiben, dass du Auskunft nach Art. 15 DSGVO und eine Kopie deiner Daten verlangst. Die Vorlage für den Auskunftsantrag ist genau so aufgebaut und listet die Angaben aus Art. 15 ausdrücklich auf, damit nichts vergessen wird.

Wo das Auskunftsrecht Grenzen hat

Das Auskunftsrecht ist weitreichend, aber nicht grenzenlos. Die wichtigsten Grenzen ergeben sich aus der DSGVO selbst.

• Rechte anderer Personen (Art. 15 Abs. 4): Das Recht auf eine Kopie darf die Rechte und Freiheiten anderer nicht beeinträchtigen. Stehen in einem Dokument zum Beispiel auch Daten anderer Kunden oder von Beschäftigten, dürfen diese geschwärzt werden. Nach Erwägungsgrund 63 der DSGVO können auch Geschäftsgeheimnisse oder Urheberrechte berücksichtigt werden. Das darf aber nicht dazu führen, dass dir jede Auskunft verweigert wird.
• Offenkundig unbegründete oder exzessive Anträge (Art. 12 Abs. 5): Wer denselben Antrag in kurzen Abständen immer wieder stellt, ohne dass sich etwas geändert hat, kann ausnahmsweise ein Entgelt zahlen müssen oder eine Ablehnung erhalten. Die Beweislast dafür trägt der Verantwortliche, nicht du.
• Große Datenmengen: Verarbeitet ein Unternehmen sehr viele Daten über dich, kann es dich nach Erwägungsgrund 63 bitten, zu präzisieren, auf welche Informationen oder Vorgänge sich dein Antrag bezieht. Eine solche Bitte ist kein Grund, die Auskunft ganz zu verweigern.

Lehnt ein Verantwortlicher ab oder wird er nicht tätig, muss er dir nach Art. 12 Abs. 4 innerhalb eines Monats die Gründe nennen und dich auf die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde und eines gerichtlichen Rechtsbehelfs hinweisen.

Gute und dünne Antwort im Vergleich

Ein erfundenes Beispiel: Anna hat bei einem Mobilfunkanbieter, hier „Anbieter M“, per E-Mail Auskunft nach Art. 15 DSGVO verlangt. Sie möchte vor allem wissen, warum ihr ein Vertragswechsel zunächst verweigert wurde. Die folgenden zwei Antworten sind ausgedacht, zeigen aber typische Muster.

Die dünne Antwort lautet sinngemäß:

Wir verarbeiten Ihre Stammdaten, Vertragsdaten und Verkehrsdaten zur Erfüllung des Vertrags. Ihre Daten werden an Dienstleister weitergegeben. Weitere Informationen entnehmen Sie bitte unserer Datenschutzerklärung.

Darin fehlt fast alles, was Art. 15 verlangt: keine Kopie der Daten, keine konkreten Empfänger, keine Angabe zur Speicherdauer, keine Herkunft, kein Wort zu einer möglichen Bonitätsprüfung. Der Verweis auf die Datenschutzerklärung ersetzt die Auskunft nicht, denn die Datenschutzerklärung beschreibt allgemein, was das Unternehmen tut, nicht, was es konkret über Anna gespeichert hat.

Eine gute Antwort enthält dagegen zum Beispiel:

Angabe	Was in der guten Antwort steht
Kopie der Daten	PDF mit Annas Name, Adresse, Geburtsdatum, Vertragsnummer, Tarif, Zahlungshistorie und Gesprächsnotizen der Hotline
Zwecke	Vertragsabwicklung, Abrechnung, Bonitätsprüfung beim Vertragswechsel, Werbung (mit Hinweis auf Widerspruchsmöglichkeit)
Empfänger	Namentlich genannte Auskunftei, Druckdienstleister für Rechnungen, beauftragtes Inkassounternehmen
Speicherdauer	Vertragsdaten bis Vertragsende, danach bis zum Ablauf der gesetzlichen Aufbewahrungsfristen; Kriterien werden erläutert
Herkunft	Bonitätsinformation von der genannten Auskunftei, abgerufen am Tag des Wechselwunschs
Automatisierte Entscheidung	Hinweis, dass der Wechsel anhand eines Scores automatisiert geprüft wurde, mit Erklärung, welche Arten von Angaben einfließen
Rechte und Beschwerde	Hinweise auf Art. 16 bis 18 und 21 sowie auf die zuständige Aufsichtsbehörde

Mit der guten Antwort kann Anna nachvollziehen, woher die Ablehnung kam, und gezielt weitergehen, etwa indem sie bei der Auskunftei selbst Auskunft verlangt. Mit der dünnen Antwort kann sie das nicht. Wenn deine Antwort eher der ersten Variante gleicht, hilft dir der Artikel Auskunft unvollständig beim Nachfordern. Mit dem Vollständigkeits-Check kannst du die einzelnen Punkte abhaken und die fehlenden Angaben gezielt benennen.

Besonderheiten bei der SCHUFA

Die SCHUFA Holding AG ist eine private Auskunftei mit Sitz in Wiesbaden. Auch sie muss dir nach Art. 15 DSGVO Auskunft geben. Diese Auskunft heißt dort Datenkopie und ist kostenlos. Du kannst sie online über meineschufa.de beantragen; sie wird per Post zugestellt.

Nach Angaben der SCHUFA enthält die Datenkopie die gespeicherten Daten, deren Herkunft, die Empfänger der letzten zwölf Monate und die in den letzten zwölf Monaten übermittelten Wahrscheinlichkeitswerte, also die Scores. Gerade bei den Scores lohnt ein Blick auf lit. h und das oben genannte Urteil C-634/21. Wie lange Einträge gespeichert bleiben, richtet sich nach Prüf- und Löschfristen, die in genehmigten Verhaltensregeln der Wirtschaftsauskunfteien festgelegt sind und von der Art des Eintrags abhängen.

Deine eigene Anfrage nach der Datenkopie wirkt sich nicht auf deinen Score aus. Daneben bietet die SCHUFA eine kostenpflichtige Bonitätsauskunft an, etwa zur Vorlage beim Vermieter. Für die Ausübung deiner Rechte brauchst du sie nicht. Worin sich die Angebote unterscheiden, erklärt der Artikel Datenkopie oder Bonitätsauskunft. Zuständige Aufsichtsbehörde für die SCHUFA ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

Fazit

Eine vollständige Datenauskunft besteht aus der Bestätigung, einer verständlichen Kopie deiner Daten und den Pflichtangaben aus Art. 15 Abs. 1 und 2 DSGVO. Besonders häufig fehlen die konkreten Empfänger, eine nachvollziehbare Speicherdauer, die Herkunft der Daten und bei Scores eine Erklärung der Logik. Die erste Kopie ist kostenlos, und du musst nicht begründen, wofür du sie brauchst.

Wenn du noch keinen Antrag gestellt hast, ist der nächste Schritt ein vollständiger Antrag mit der Vorlage für den Auskunftsantrag. Hast du bereits eine Antwort, prüfe sie Punkt für Punkt anhand der Liste oben. Wenn du trotz Nachfrage nicht weiterkommst, kannst du dein Anliegen prüfen lassen.