Die Auskunft ist unvollständig – was jetzt?

Die Antwort auf deinen Auskunftsantrag ist endlich da – aber beim Lesen bleiben Fragen offen. Vielleicht stehen dort nur allgemeine Datenkategorien, vielleicht fehlt jeder Hinweis darauf, woher die Daten stammen oder an wen sie gegangen sind. Das ist kein seltener Fall, und du musst ihn nicht einfach hinnehmen.

In diesem Artikel erfährst du, woran du eine unvollständige Auskunft erkennst, wie du sie systematisch prüfst und wie du die fehlenden Angaben so nachforderst, dass das Unternehmen kaum noch ausweichen kann. Außerdem geht es darum, was ein Unternehmen berechtigt zurückhalten darf und welche Wege dir bleiben, wenn auch die Nachforderung nichts bringt.

Wann ist eine Auskunft nach Art. 15 DSGVO vollständig?

Das Auskunftsrecht aus Art. 15 der Datenschutz-Grundverordnung (DSGVO) hat zwei Teile. Zum einen hast du Anspruch darauf, zu erfahren, ob ein Unternehmen Daten über dich verarbeitet, und wenn ja, eine Kopie dieser Daten zu erhalten. Zum anderen muss das Unternehmen dir eine Reihe von Begleitinformationen geben, die Art. 15 Abs. 1 und 2 DSGVO einzeln aufzählen.

Zu diesen Begleitinformationen gehören vor allem:

• die Zwecke, für die deine Daten verarbeitet werden,
• die Kategorien der Daten,
• die Empfänger oder Kategorien von Empfängern,
• die geplante Speicherdauer oder zumindest die Kriterien dafür,
• Hinweise auf deine Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie auf das Beschwerderecht,
• die Herkunft der Daten, wenn sie nicht bei dir selbst erhoben wurden,
• Angaben zu automatisierten Entscheidungen einschließlich Profiling, mit aussagekräftigen Informationen über die involvierte Logik,
• bei Übermittlungen in Länder außerhalb der EU die dafür vorgesehenen Garantien.

Fehlt einer dieser Punkte, obwohl er auf dich zutrifft, ist die Auskunft unvollständig. Eine ausführliche Erklärung jedes einzelnen Punkts findest du im Artikel Welche Angaben gehören in eine Datenauskunft?. Hier geht es darum, was du tun kannst, wenn davon etwas fehlt.

Typische Lücken: Daran erkennst du eine unvollständige Antwort

Manche Lücken fallen sofort auf, andere erst beim zweiten Lesen. Die folgenden Muster begegnen Verbraucherinnen und Verbrauchern besonders häufig.

Nur Kategorien statt einer Kopie

Eine Antwort wie „Wir speichern Ihre Stammdaten, Vertragsdaten und Zahlungsdaten“ ist keine Kopie. Der Europäische Gerichtshof (EuGH) hat im Urteil vom 4. Mai 2023 (C-487/21) klargestellt, dass eine Kopie eine originalgetreue und verständliche Reproduktion deiner Daten sein muss. Wenn es für das Verständnis nötig ist, können dazu auch Auszüge aus Dokumenten oder ganze Dokumente gehören.

Ein Beispiel: Anna erhält von ihrem Mobilfunkanbieter eine Liste mit fünf Datenkategorien. Welche Adresse, welche Bankverbindung und welche Vertragsdaten konkret gespeichert sind, erfährt sie nicht. Genau diese Werte sind aber der Kern ihres Anspruchs.

Keine konkreten Empfänger

Viele Unternehmen schreiben nur „Dienstleister“, „Konzerngesellschaften“ oder „Auskunfteien“. Nach dem EuGH-Urteil vom 12. Januar 2023 (C-154/21) kannst du grundsätzlich verlangen, dass dir die konkreten Empfänger genannt werden. Nur wenn das nicht möglich ist oder der Antrag offenkundig unbegründet oder exzessiv ist, darf sich das Unternehmen auf Kategorien beschränken.

Keine Angabe zur Herkunft

Hast du einem Unternehmen deine Daten nicht selbst gegeben, muss es dir sagen, woher sie stammen – soweit es darüber Informationen hat. Das betrifft etwa Inkassounternehmen, Adresshändler oder Auskunfteien. Eine Antwort ohne jede Herkunftsangabe ist in solchen Fällen meist lückenhaft.

Keine Speicherdauer

Oft fehlt jeder Satz dazu, wie lange die Daten gespeichert bleiben. Das Unternehmen muss keine exakte Zahl nennen, wenn es keine gibt. Es muss dir dann aber die Kriterien erklären, nach denen es über die Speicherdauer entscheidet, etwa gesetzliche Aufbewahrungspflichten oder das Vertragsende.

Nichts zur Logik beim Scoring

Wenn ein Unternehmen Wahrscheinlichkeitswerte über dich berechnet, etwa zur Zahlungsfähigkeit, und diese Werte für Entscheidungen über dich maßgeblich sind, verlangt Art. 15 Abs. 1 lit. h DSGVO aussagekräftige Informationen über die involvierte Logik. Ein bloßer Hinweis, dass „mathematisch-statistische Verfahren“ eingesetzt werden, dürfte dafür in der Regel nicht genügen.

Fehlende Angaben zu Drittländern

Nutzt das Unternehmen etwa Cloud-Dienste mit Servern außerhalb der EU, muss es dich nach Art. 15 Abs. 2 DSGVO über die geeigneten Garantien für diese Übermittlung informieren. Ein Drittland ist dabei jedes Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Fehlt jeder Hinweis, obwohl solche Übermittlungen naheliegen, lohnt sich die Nachfrage.

Die Datenschutzerklärung als Antwort

Ein Klassiker: Statt einer Auskunft kommt ein Link zur Datenschutzerklärung oder ein Ausdruck davon. Die Datenschutzerklärung beschreibt, wie das Unternehmen allgemein mit Daten umgeht. Die Auskunft muss dagegen sagen, was über dich gespeichert ist und was mit deinen Daten geschieht. Allgemeine Texte können einzelne Punkte ergänzen, ersetzen die individuelle Auskunft aber nicht.

So prüfst du die Antwort systematisch

Bevor du nachforderst, lohnt sich ein ruhiger Blick auf die gesamte Antwort. So vermeidest du, Punkte nachzufordern, die in einer Anlage stehen, und übersiehst keine echte Lücke.

Gehe am besten so vor:

1. Lege deinen ursprünglichen Antrag daneben. Notiere, wann du ihn abgeschickt hast und wann die Antwort kam.
2. Prüfe zuerst die Kopie. Stehen dort deine tatsächlichen Daten, also Namen, Adressen, Vertragsnummern, Einträge? Oder nur Überschriften?
3. Hake die Begleitinformationen einzeln ab. Zwecke, Empfänger, Speicherdauer, Herkunft, Rechte, Beschwerderecht, automatisierte Entscheidungen, Drittländer.
4. Achte auf Allgemeinplätze. Formulierungen wie „gegebenenfalls“, „unter anderem“ oder „zum Beispiel“ deuten darauf hin, dass statt deiner konkreten Situation nur eine Standardbeschreibung geliefert wurde.
5. Vergleiche mit dem, was du weißt. Wenn du etwa weißt, dass ein Inkassobüro dich angeschrieben hat, dieses aber nicht als Empfänger auftaucht, ist das ein konkreter Hinweis.

Für diese Prüfung gibt es auf dieser Website den Vollständigkeits-Check. Dort hakst du die Punkte der Auskunft ab und siehst am Ende, welche Angaben fehlen. Der Check ist auf die SCHUFA-Datenkopie zugeschnitten, die Pflichtangaben aus Art. 15 DSGVO gelten aber für jedes Unternehmen gleichermaßen.

Bewahre die Antwort vollständig auf, einschließlich Umschlag oder E-Mail mit Datum. Wie du deine Unterlagen so ordnest, dass sie später auch für eine Beschwerde taugen, erklärt der Artikel Auskunftsanfrage belegbar dokumentieren.

Fehlende Angaben gezielt nachfordern

Eine unvollständige Antwort erfüllt deinen Anspruch nach überwiegender Auffassung nicht vollständig. Dein ursprünglicher Antrag ist also noch offen, soweit Angaben fehlen. Das Unternehmen hatte nach Art. 12 Abs. 3 DSGVO dafür grundsätzlich einen Monat ab Eingang deines Antrags Zeit, bei komplexen Fällen mit rechtzeitiger Begründung bis zu zwei Monate mehr.

Die Nachforderung sollte drei Dinge leisten: auf deinen ursprünglichen Antrag Bezug nehmen, die fehlenden Punkte einzeln benennen und eine klare Nachfrist setzen. Allgemeine Beschwerden wie „Ihre Auskunft ist unvollständig“ führen oft nur zu einer weiteren Standardantwort.

Eine Formulierung könnte so aussehen:

Sehr geehrte Damen und Herren,

mit Schreiben vom [Datum] habe ich Auskunft nach Art. 15 DSGVO beantragt. Ihre Antwort vom [Datum] ist in folgenden Punkten unvollständig:

1. Sie nennen lediglich Datenkategorien. Bitte übersenden Sie mir eine Kopie der über mich gespeicherten Daten nach Art. 15 Abs. 3 DSGVO.
2. Bitte nennen Sie mir die konkreten Empfänger, an die meine Daten übermittelt wurden (Art. 15 Abs. 1 lit. c DSGVO).
3. Bitte teilen Sie mir mit, aus welcher Quelle Sie meine Daten erhalten haben (Art. 15 Abs. 1 lit. g DSGVO).

Ich bitte um Ergänzung bis zum [Datum, 14 Tage ab heute]. Die Frist für die Beantwortung meines Antrags ist bereits abgelaufen.

Mit freundlichen Grüßen [Name, Anschrift, ggf. Kunden- oder Aktenzeichen des Unternehmens]

Streiche die Punkte, die auf deinen Fall nicht zutreffen, und ergänze andere Lücken nach demselben Muster. Den letzten Satz zur abgelaufenen Frist verwendest du nur, wenn die Monatsfrist tatsächlich verstrichen ist. Ob das der Fall ist, kannst du mit dem Fristrechner nachrechnen.

Als Nachfrist sind 10 bis 14 Tage üblich und angemessen. Das Unternehmen hat deinen Antrag ja bereits bearbeitet und muss nur noch ergänzen. Eine fertige Vorlage mit Nachfrist, die du im Browser ausfüllst, findest du unter Erinnerung mit Nachfrist. Schicke die Nachforderung auf einem Weg, den du später belegen kannst, und notiere dir das Fristende.

Was ein Unternehmen zurückhalten darf – und was nicht

Nicht jede Lücke ist ein Verstoß. Die DSGVO erkennt an, dass es Grenzen des Auskunftsrechts gibt. Entscheidend ist aber: Das Unternehmen muss dir in der Regel sagen, dass und warum es etwas nicht herausgibt. Stillschweigendes Weglassen genügt nicht.

Rechte anderer Personen

Nach Art. 15 Abs. 4 DSGVO darf das Recht auf eine Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Enthält ein Dokument etwa Namen und Daten Dritter, darf das Unternehmen diese schwärzen. Die Folge ist dann aber in der Regel eine teilweise geschwärzte Kopie, keine vollständige Verweigerung.

Geschäftsgeheimnisse

Auch Geschäftsgeheimnisse, zum Beispiel ein selbst entwickeltes Berechnungsverfahren, können nach Erwägungsgrund 63 der DSGVO eine Grenze bilden. Diese Grenze reicht nach überwiegender Auffassung aber nur so weit, wie es zum Schutz des Geheimnisses wirklich nötig ist. Ein Unternehmen kann sich also nicht pauschal auf „Betriebsgeheimnisse“ berufen und dir deshalb gar nichts sagen.

Beim Scoring bedeutet das: Die genaue Formel oder die Gewichtung einzelner Merkmale muss nach verbreiteter Ansicht nicht offengelegt werden. Du kannst aber erwarten, dass dir verständlich erklärt wird, welche Arten von Daten in die Berechnung eingehen und wie sie das Ergebnis grundsätzlich beeinflussen. Wie weit diese Pflicht im Einzelnen reicht, ist noch nicht in jeder Hinsicht abschließend geklärt.

Offenkundig unbegründete oder exzessive Anträge

Nach Art. 12 Abs. 5 DSGVO kann ein Unternehmen bei offenkundig unbegründeten oder exzessiven Anträgen, etwa bei sehr häufiger Wiederholung, ein Entgelt verlangen oder die Auskunft verweigern. Die Beweislast dafür trägt das Unternehmen. Dein Motiv spielt dabei grundsätzlich keine Rolle: Der EuGH hat mit Urteil vom 26. Oktober 2023 (C-307/22) entschieden, dass die erste Kopie auch dann unentgeltlich ist, wenn du sie für andere Zwecke als den Datenschutz nutzen willst.

Besonderheiten bei der SCHUFA-Datenkopie

Die SCHUFA Holding AG ist eine private Auskunftei, also ein Unternehmen, das Informationen zur Kreditwürdigkeit sammelt und an Vertragspartner weitergibt. Ihre kostenlose Datenkopie nach Art. 15 DSGVO enthält laut SCHUFA die gespeicherten Daten, deren Herkunft, die Empfänger der letzten zwölf Monate und die in den letzten zwölf Monaten übermittelten Wahrscheinlichkeitswerte, also Scores. Beantragen kannst du sie online über die SCHUFA-Datenkopie.

Bei der Prüfung deiner SCHUFA-Datenkopie lohnt sich ein Blick auf diese Punkte:

• Übermittelte Scores: Stehen dort die Scorewerte, die in den letzten zwölf Monaten an Unternehmen übermittelt wurden, jeweils mit Empfänger und Datum?
• Herkunft der Einträge: Ist bei jedem Eintrag erkennbar, welcher Vertragspartner ihn gemeldet hat?
• Empfänger: Sind die Unternehmen genannt, die in den letzten zwölf Monaten Auskünfte über dich erhalten haben?
• Informationen zur Logik: Erklärt die SCHUFA verständlich, welche Arten von Daten in die Scoreberechnung einfließen?
• Speicherdauer: Wird erläutert, nach welchen Kriterien Einträge überprüft und gelöscht werden? Maßgeblich sind die in genehmigten Verhaltensregeln der Wirtschaftsauskunfteien festgelegten Prüf- und Löschfristen, die je nach Art des Eintrags unterschiedlich sind.

Zum Scoring ist das EuGH-Urteil vom 7. Dezember 2023 (C-634/21) wichtig. Danach kann bereits die Berechnung eines Scorewerts eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO sein, wenn Dritte wie Banken den Wert maßgeblich für ihre Vertragsentscheidung heranziehen. Daraus wird überwiegend abgeleitet, dass die Informationspflicht zur involvierten Logik nach Art. 15 Abs. 1 lit. h DSGVO in solchen Fällen auch die Auskunftei trifft. Wie detailliert diese Informationen sein müssen, hängt vom Einzelfall ab.

Beachte außerdem: Die kostenlose Datenkopie ist nicht dasselbe wie die kostenpflichtige Bonitätsauskunft, die etwa für Vermieter gedacht ist. Wenn du die Bonitätsauskunft bestellt hast und darin Angaben vermisst, liegt das möglicherweise am Produkt, nicht an einer Lücke im Sinne von Art. 15. Den Unterschied erklärt der Artikel Datenkopie oder Bonitätsauskunft?.

Entdeckst du beim Prüfen nicht nur Lücken, sondern falsche Einträge, ist das ein anderes Thema. Dann geht es um Berichtigung oder Löschung, nicht um Auskunft.

Wenn auch die Nachfrist nichts bringt

Manchmal kommt auf die Nachforderung keine Reaktion, oder die Ergänzung ist wieder unvollständig. Dann hast du mehrere Möglichkeiten, die sich nicht gegenseitig ausschließen.

Beschwerde bei der Datenschutzaufsicht

Nach Art. 77 DSGVO kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren. Das ist kostenlos und ohne Anwalt möglich. Für die SCHUFA ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) zuständig, weil die SCHUFA ihren Sitz in Wiesbaden hat. Du kannst dich aber auch an die Aufsichtsbehörde deines Wohnorts wenden.

Für die Beschwerde hilft es, wenn du deinen ursprünglichen Antrag, die unvollständige Antwort, deine Nachforderung und gegebenenfalls die zweite Antwort beilegst. Benenne auch hier konkret, welche Angaben fehlen. Die Aufsichtsbehörde kann das Unternehmen zur Stellungnahme auffordern und bei Verstößen Maßnahmen ergreifen. Sie vertritt dich aber nicht wie ein Anwalt und kann dir keinen Schadensersatz zusprechen.

Anwaltliche Prüfung

Wenn es um viel geht, etwa weil du eine Kreditentscheidung nachvollziehen willst oder eine Auskunftei wichtige Angaben verweigert, kann eine anwaltliche Prüfung sinnvoll sein. Eine Anwältin oder ein Anwalt kann einschätzen, ob die Verweigerung berechtigt ist, und deinen Anspruch notfalls gerichtlich nach Art. 79 DSGVO durchsetzen. Wenn du nicht weiterkommst, kannst du über die geführte Abfrage dein Anliegen prüfen lassen. Die Kosten einer anwaltlichen Bearbeitung werden dir vor einem Auftrag genannt.

Schadensersatz nach Art. 82 DSGVO

Art. 82 DSGVO gibt dir einen Anspruch auf Ersatz materieller und immaterieller Schäden, die durch einen Verstoß entstehen. Eine unvollständige Auskunft allein reicht dafür aber nicht aus. Der EuGH hat mit Urteil vom 4. Mai 2023 (C-300/21) entschieden, dass ein bloßer Verstoß noch keinen Schadensersatz begründet; es muss ein Schaden entstanden sein. Eine Erheblichkeitsschwelle gibt es dagegen nicht.

Ob in deinem Fall ein Schaden vorliegt, etwa weil du durch die fehlende Auskunft einen Nachteil erlitten hast, lässt sich nur im Einzelfall beurteilen. Mehr dazu liest du auf der Seite zum Schadensersatz nach der DSGVO.

Fazit

Eine unvollständige Auskunft ist ärgerlich, aber gut lösbar, wenn du strukturiert vorgehst. Prüfe zuerst, ob du wirklich eine Kopie deiner Daten erhalten hast und ob alle Begleitinformationen aus Art. 15 DSGVO enthalten sind. Fordere fehlende Angaben dann einzeln benannt, mit Bezug auf deinen ursprünglichen Antrag und mit einer Nachfrist von 10 bis 14 Tagen nach.

Das Unternehmen darf zwar die Rechte anderer schützen und Geschäftsgeheimnisse wahren, muss dir aber erklären, was es zurückhält und warum. Bleibt die Antwort auch danach lückenhaft, stehen dir die kostenlose Beschwerde bei der Aufsichtsbehörde und eine anwaltliche Prüfung offen.

Als nächsten Schritt kannst du deine Antwort mit dem Vollständigkeits-Check durchgehen und die fehlenden Punkte direkt in eine Nachforderung übernehmen.