Rückfrage zur Identität: Was darf ein Unternehmen verlangen?

Du hast deine Daten angefordert – und statt einer Auskunft kommt eine Rückfrage: Bitte Ausweiskopie beifügen, Geburtsdatum bestätigen, frühere Anschriften nennen. Das ist nicht automatisch Schikane. Unternehmen dürfen und sollen prüfen, ob die Anfrage wirklich von dir kommt. Sie dürfen dafür aber nicht beliebig viel verlangen. Hier erfährst du, wo die Grenze in der Regel verläuft, wie du sinnvoll antwortest und was die Rückfrage für die Frist bedeutet.

Warum fragen Unternehmen überhaupt nach deiner Identität?

Eine Datenauskunft nach Art. 15 DSGVO enthält oft sehr persönliche Informationen: Adressen, Vertragsdaten, Zahlungsverhalten, bei einer Auskunftei auch Bonitätsinformationen und Scores. Gibt ein Unternehmen diese Daten an die falsche Person heraus, ist das selbst eine Datenschutzverletzung. Die Identitätsprüfung schützt also in erster Linie dich.

Die DSGVO regelt das ausdrücklich. Nach Art. 12 Abs. 6 DSGVO kann der Verantwortliche – also das Unternehmen, das deine Daten verarbeitet – zusätzliche Informationen anfordern, wenn er begründete Zweifel an der Identität der antragstellenden Person hat. Das Wort „begründet“ ist entscheidend: Es reicht nicht, dass das Unternehmen grundsätzlich vorsichtig sein möchte. Es muss einen konkreten Anlass geben, an deiner Identität zu zweifeln.

Umgekehrt darf ein Unternehmen deine Anfrage nicht einfach mit dem Hinweis ablehnen, es könne dich nicht zuordnen. Nach Art. 12 Abs. 2 DSGVO darf es sich nur dann weigern, wenn es glaubhaft macht, dass es dich nicht identifizieren kann. In Art. 11 Abs. 2 DSGVO ist zudem vorgesehen, dass du selbst zusätzliche Informationen liefern kannst, die eine Identifizierung ermöglichen. Die Rückfrage ist also der Normalfall, nicht die Ablehnung.

Wann ist eine Rückfrage berechtigt – und wann überzogen?

Ob eine Rückfrage angemessen ist, hängt vom Einzelfall ab. Als Maßstab dient der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO: Ein Unternehmen darf nur so viele Daten verarbeiten, wie für den Zweck nötig sind. Für die Identitätsprüfung heißt das: Es darf die Angaben verlangen, die es braucht, um dich sicher zuzuordnen – nicht mehr.

Eher nachvollziehbar ist eine Rückfrage zum Beispiel, wenn:

• deine Anfrage von einer E-Mail-Adresse kommt, die beim Unternehmen nicht bekannt ist,
• es mehrere Personen mit demselben Namen gibt und dein Name allein nicht reicht,
• du inzwischen umgezogen bist und die Anschrift im Antrag nicht zu den gespeicherten Daten passt,
• es um besonders sensible Daten geht, etwa Gesundheits- oder Bonitätsdaten,
• Anzeichen dafür bestehen, dass jemand anderes sich als du ausgibt.

Eher überzogen kann eine Rückfrage sein, wenn:

• du den Antrag aus deinem eingeloggten Kundenkonto oder von der dort hinterlegten E-Mail-Adresse gestellt hast und nichts auf einen Missbrauch hindeutet,
• das Unternehmen Angaben verlangt, die es selbst gar nicht gespeichert hat und mit denen es deshalb nichts abgleichen kann,
• pauschal eine vollständige, ungeschwärzte Ausweiskopie gefordert wird, obwohl mildere Mittel reichen würden,
• du begründen sollst, wofür du die Auskunft brauchst.

Zum letzten Punkt: Das Auskunftsrecht setzt keinen Grund voraus. Der EuGH hat mit Urteil vom 26. Oktober 2023 (C-307/22, FT gegen DW) klargestellt, dass die erste Kopie auch dann unentgeltlich ist, wenn du sie für andere Zwecke als den Datenschutz nutzen möchtest. Nach deinem Motiv muss das Unternehmen also nicht fragen.

Auch der Europäische Datenschutzausschuss (EDSA) geht in seinen Leitlinien 01/2022 zum Auskunftsrecht davon aus, dass die Identitätsprüfung verhältnismäßig sein muss. Wer sich bereits über ein Kundenkonto oder einen bekannten Kommunikationsweg meldet, ist danach in vielen Fällen ausreichend identifiziert. Eine Ausweiskopie wird dort nicht als Regelfall, sondern eher als Ausnahme gesehen. Wie streng ein Unternehmen im Einzelfall prüfen darf, bleibt allerdings eine Abwägung.

Welche Angaben reichen in der Regel aus?

Welche Informationen genügen, hängt davon ab, was das Unternehmen über dich gespeichert hat. Es kann dich nur anhand von Daten identifizieren, die es bereits kennt. Typischerweise reichen einige der folgenden Angaben:

• vollständiger Name, gegebenenfalls auch Geburtsname,
• Geburtsdatum und gegebenenfalls Geburtsort,
• aktuelle Anschrift,
• frühere Anschriften, wenn du umgezogen bist,
• Kundennummer, Vertragsnummer oder Aktenzeichen des Unternehmens,
• die E-Mail-Adresse oder Telefonnummer, die im Konto hinterlegt ist.

Oft ist der einfachste Weg, den Antrag dort zu stellen, wo das Unternehmen dich ohnehin kennt: im Kundenkonto, per Kontaktformular nach Login oder von der hinterlegten E-Mail-Adresse. Dann liegt die Identifizierung meist schon vor. Wenn du deinen Antrag neu aufsetzen möchtest, hilft dir die Vorlage für den Auskunftsantrag, die typischen Identifikationsangaben gleich mit abzufragen.

Ein Beispiel: Jonas hat bei einem Onlineshop ein Kundenkonto. Er schreibt von einer neuen, privaten E-Mail-Adresse und bittet um Auskunft. Der Shop fragt zurück, ob er die Anfrage aus seinem Konto bestätigen kann. Diese Rückfrage ist gut nachvollziehbar – und für Jonas mit wenig Aufwand erledigt. Hätte der Shop stattdessen sofort eine Ausweiskopie verlangt, wäre das angesichts der einfacheren Alternative eher zu viel.

Ausweiskopie: Nur wenn nötig – und richtig geschwärzt

Manche Unternehmen verlangen eine Kopie des Personalausweises oder Reisepasses. Das kann berechtigt sein, etwa wenn keine anderen Daten zum Abgleich vorhanden sind oder erhebliche Zweifel bestehen. Nach überwiegender Auffassung ist die Ausweiskopie aber kein Standardnachweis, sondern ein Mittel für Fälle, in denen mildere Wege nicht ausreichen.

Frag im Zweifel nach, wofür genau das Unternehmen die Kopie braucht und welche Angaben es damit abgleichen will. Oft stellt sich heraus, dass Name, Geburtsdatum und Anschrift genügen. Ein Unternehmen, das nur deinen Namen und deine Adresse gespeichert hat, kann mit deiner Ausweisnummer ohnehin nichts abgleichen.

Wichtig ist auch: Das Personalausweisgesetz erlaubt Kopien des Ausweises nur mit Zustimmung der Inhaberin oder des Inhabers, und die Kopie muss als Kopie erkennbar sein. Du entscheidest also selbst, ob du eine Kopie herausgibst – und wie sie aussieht.

Was du schwärzen kannst

Wenn du eine Ausweiskopie schickst, ist es üblich und in der Regel zulässig, alle Angaben zu schwärzen, die für die Identifizierung nicht benötigt werden. Dazu gehören typischerweise:

• die Zugangsnummer (die Nummer auf der Vorderseite, die für die Online-Ausweisfunktion genutzt wird),
• die Ausweis- bzw. Seriennummer, sofern das Unternehmen sie nicht ausdrücklich zum Abgleich benötigt,
• das Foto, wenn kein Bildabgleich vorgesehen ist,
• Körpergröße und Augenfarbe,
• die maschinenlesbare Zone auf der Rückseite, soweit sie nicht gebraucht wird.

Sichtbar bleiben in der Regel Name, Geburtsdatum und gegebenenfalls Anschrift und Gültigkeitsdatum – also die Angaben, die das Unternehmen tatsächlich mit seinen Daten vergleichen kann. Welche Felder im Einzelfall gebraucht werden, kann variieren. Wenn das Unternehmen auf bestimmten Angaben besteht, sollte es erklären können, warum.

Als Kopie kennzeichnen und sicher übermitteln

Schreib quer über die Kopie deutlich „Kopie“, dazu den Empfänger, den Zweck und das Datum, zum Beispiel: „Kopie – nur zur Identifizierung für Auskunftsantrag nach Art. 15 DSGVO an [Unternehmen], [Datum]“. So ist die Kopie für andere Zwecke kaum brauchbar, falls sie in falsche Hände gerät.

Achte auf einen sicheren Übertragungsweg. Besser als eine unverschlüsselte E-Mail ist meist ein Upload im Kundenkonto, ein vom Unternehmen angebotenes sicheres Portal oder der Versand per Post. Bitte das Unternehmen außerdem, die Kopie nach Abschluss der Identifizierung zu löschen. Das entspricht dem Grundsatz, Daten nicht länger als nötig aufzubewahren.

Was die Rückfrage für die Monatsfrist bedeutet

Grundsätzlich muss das Unternehmen nach Art. 12 Abs. 3 DSGVO unverzüglich antworten, spätestens innerhalb eines Monats nach Eingang des Antrags. Bei komplexen Anfragen kann die Frist um zwei weitere Monate verlängert werden – das Unternehmen muss dich dann aber innerhalb des ersten Monats informieren und die Gründe nennen.

Wie sich eine Rückfrage zur Identität auf die Frist auswirkt, ist nicht ausdrücklich in der DSGVO geregelt. Der EDSA geht in seinen Leitlinien 01/2022 davon aus, dass die Frist bei einer berechtigten Rückfrage in der Regel erst läuft, wenn das Unternehmen die zur Identifizierung nötigen Informationen erhalten hat. Das setzt voraus, dass das Unternehmen zügig nachgefragt hat und nicht wochenlang wartet.

War die Rückfrage dagegen nicht berechtigt – etwa weil du dich aus dem Kundenkonto gemeldet hast und das Unternehmen trotzdem eine vollständige Ausweiskopie verlangt –, spricht nach überwiegender Auffassung viel dafür, dass sie die Frist nicht anhält. Die Monatsfrist läuft dann ab dem ursprünglichen Eingang deines Antrags weiter. Ganz sicher lässt sich das im Einzelfall nicht immer sagen, weil es auf die Umstände ankommt.

Für dich heißt das praktisch:

1. Notiere, wann dein ursprünglicher Antrag eingegangen ist.
2. Notiere, wann die Rückfrage kam und was verlangt wurde.
3. Notiere, wann deine Antwort beim Unternehmen eingegangen ist.

Mit dem Fristrechner kannst du die neue Frist ab dem Eingang deiner Antwort berechnen. Er rechnet einen Monat ab dem eingegebenen Datum und verschiebt das Fristende vom Wochenende auf den folgenden Montag; Feiertage berücksichtigt er nicht. Wenn du die Rückfrage für überzogen hältst, kannst du zusätzlich die Frist ab deinem ursprünglichen Antrag berechnen und beide Daten festhalten. Wie du das sauber dokumentierst, beschreibt der Artikel Auskunftsanfrage belegbar machen.

Besonderheit SCHUFA: Warum frühere Anschriften wichtig sind

Auskunfteien wie die SCHUFA Holding AG ordnen Daten in der Regel über Name, Geburtsdatum und Anschrift zu. Die Informationen stammen von Vertragspartnern wie Banken, Mobilfunkanbietern oder Versandhändlern und aus öffentlichen Verzeichnissen. Wenn einer dieser Partner noch deine alte Adresse gemeldet hat, ist der Eintrag möglicherweise unter dieser Anschrift gespeichert.

Deshalb fragt die SCHUFA bei einer Datenkopie typischerweise auch nach früheren Anschriften. Das ist keine überzogene Forderung, sondern hilft, alle zu dir gehörenden Daten zu finden – und Daten von Personen mit gleichem Namen auszuschließen. Gibst du frühere Adressen nicht an, kann es sein, dass die Auskunft unvollständig ausfällt oder eine weitere Rückfrage kommt.

Die kostenlose Datenkopie nach Art. 15 DSGVO kannst du online unter meineschufa.de beantragen; sie wird per Post zugestellt. Alternativ gibt es nach einer Identifizierung einen kostenlosen digitalen Dateneinblick über ein SCHUFA-Konto. Wie du den Antrag Schritt für Schritt stellst, erklärt die Seite SCHUFA-Auskunft anfordern. Deine eigene Anfrage nach der Datenkopie wirkt sich nicht auf deinen Score aus.

Ein Beispiel: Lea ist in den vergangenen Jahren zweimal umgezogen. In ihrem Antrag nennt sie nur die aktuelle Adresse. Die Auskunftei schreibt zurück und bittet um die früheren Anschriften. Lea ergänzt sie – und notiert sich das Datum, an dem ihre Antwort eingegangen ist, um die Frist neu zu berechnen.

So antwortest du auf eine Rückfrage

Eine gute Antwort ist kurz, liefert die angemessenen Angaben und hält fest, was du für nicht erforderlich hältst. So bleibt die Kommunikation sachlich, und du hast später einen Beleg. Ein Formulierungsbeispiel, das du anpassen kannst:

Sehr geehrte Damen und Herren,

vielen Dank für Ihre Nachricht vom [Datum] zu meinem Auskunftsantrag nach Art. 15 DSGVO vom [Datum]. Zur Identifizierung übermittle ich Ihnen folgende Angaben: vollständiger Name, Geburtsdatum, aktuelle Anschrift, frühere Anschriften seit [Jahr] sowie meine Kundennummer [Nummer].

Eine vollständige Ausweiskopie halte ich im Hinblick auf den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) nicht für erforderlich, da Sie mich anhand dieser Angaben zuordnen können. Sollten Sie dennoch weitere Informationen benötigen, teilen Sie mir bitte mit, welche konkreten Angaben Sie zu welchem Zweck abgleichen möchten.

Bitte beantworten Sie meinen Antrag innerhalb der Frist nach Art. 12 Abs. 3 DSGVO und löschen Sie die zur Identifizierung übermittelten Unterlagen, sobald sie dafür nicht mehr benötigt werden.

Mit freundlichen Grüßen [Name]

Wenn du dich doch für eine Ausweiskopie entscheidest, ersetze den zweiten Absatz durch einen Hinweis wie: „Anbei eine als Kopie gekennzeichnete Ausweiskopie; nicht zur Identifizierung benötigte Angaben habe ich geschwärzt.“ Bewahre eine Kopie deiner Antwort und einen Versandnachweis auf.

Keine Reaktion trotz Nachweis: Was jetzt?

Manchmal kommt auch nach deiner Antwort nichts – oder eine weitere Rückfrage nach der nächsten. Dann solltest du zunächst prüfen, ob die Frist ab dem Eingang deiner Nachweise abgelaufen ist. Ist sie das, ist eine schriftliche Erinnerung mit einer kurzen Nachfrist der übliche nächste Schritt. Dafür kannst du die Vorlage für eine Erinnerung nutzen.

Weist das Unternehmen deinen Antrag zurück, weil es dich angeblich nicht identifizieren kann, muss es nach Art. 12 Abs. 2 DSGVO glaubhaft machen, dass eine Identifizierung tatsächlich nicht möglich ist. Und wenn es gar nicht tätig wird, muss es dir nach Art. 12 Abs. 4 DSGVO innerhalb eines Monats die Gründe mitteilen und auf die Möglichkeit einer Beschwerde und eines gerichtlichen Rechtsbehelfs hinweisen.

Bleibt es trotz Erinnerung still oder kommen immer neue Forderungen, hast du mehrere Möglichkeiten:

• Beschwerde bei der Aufsichtsbehörde nach Art. 77 DSGVO – kostenlos. Für die SCHUFA ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig.
• Gerichtlicher Rechtsbehelf nach Art. 79 DSGVO, um die Auskunft durchzusetzen.
• Schadensersatz nach Art. 82 DSGVO kann in Betracht kommen, wenn dir durch den Verstoß ein Schaden entstanden ist; ein bloßer Verstoß reicht dafür nach dem EuGH (Urteil vom 4. Mai 2023, C-300/21) allerdings nicht aus.

Was du bei ausbleibenden Antworten im Einzelnen tun kannst, findest du auf der Seite Keine Antwort auf deine DSGVO-Anfrage. Wenn du nicht weiterkommst, kannst du dein Anliegen prüfen lassen und eine Ersteinschätzung einholen.

Kurz zusammengefasst

Eine Rückfrage zur Identität ist erlaubt, wenn das Unternehmen begründete Zweifel hat – sie ist aber kein Freibrief, beliebige Unterlagen zu verlangen. Meist reichen Name, Geburtsdatum, Anschrift, frühere Adressen oder eine Kundennummer. Eine Ausweiskopie ist eher die Ausnahme; wenn du sie schickst, schwärze nicht benötigte Angaben und kennzeichne sie als Kopie.

Halte fest, wann die Rückfrage kam und wann deine Antwort eingegangen ist. Mit dem Fristrechner kannst du dann ausrechnen, bis wann das Unternehmen antworten muss, und bei Bedarf rechtzeitig mit einer Erinnerung nachfassen.