Betroffenenanfragen nach der DSGVO: Typische Fehler bei Auskunft und Löschung

„Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben, und löschen Sie diese anschließend.“

Eine solche Anfrage kann mehrere Abteilungen beschäftigen. Welche Daten liegen vor? In welchen Systemen sind sie gespeichert? Wer hat sie erhalten? Und welche Informationen müssen trotz eines Löschantrags weiterhin aufbewahrt werden?

Wer diese Fragen erst nach Eingang einer Anfrage klärt, gerät schnell unter Zeitdruck. Ein dokumentierter Prozess hilft, die folgenden Fehler zu vermeiden.

Die Anfrage wird nicht rechtzeitig erkannt

Ein Auskunftsantrag muss weder ausdrücklich als solcher bezeichnet, werden noch einen Verweis auf die DSGVO enthalten. Auch ein bestimmtes Formular oder eine Begründung darf grundsätzlich nicht vorausgesetzt werden. Entscheidend ist, dass erkennbar Auskunft über die eigenen personenbezogenen Daten verlangt wird.

Geht die Anfrage beispielsweise über die allgemeine Kontaktadresse oder beim Kundenservice ein, darf sie nicht liegen bleiben, weil sie nicht an den Datenschutzbeauftragten gerichtet wurde. Die Frist beginnt grundsätzlich mit dem Eingang beim Unternehmen über einen geeigneten offiziellen Kommunikationskanal, nicht erst mit der internen Weiterleitung. Beschäftigte mit Kunden-, Bewerber- oder Patientenkontakt sollten solche Anfragen erkennen und wissen, an wen sie diese unverzüglich weiterleiten müssen. Legen Sie dafür eine zentrale Zuständigkeit und eine Vertretung fest.

Die Antwortfrist wird falsch verstanden

Die gesetzliche Frist beträgt grundsätzlich einen Monat, nicht pauschal 30 Tage. Die Bearbeitung muss unverzüglich erfolgen. Eine bloße Eingangsbestätigung genügt nicht: Bei einer berechtigten Auskunftsanfrage müssen innerhalb der maßgeblichen Frist auch die erforderlichen Informationen und die Datenkopie bereitgestellt werden.

Eine Verlängerung um bis zu zwei weitere Monate kommt in Betracht, wenn dies wegen der Komplexität oder der Anzahl der Anträge erforderlich ist. Die betroffene Person muss innerhalb des ersten Monats über die Verlängerung und deren Gründe informiert werden. Eine Fristverlängerung ist damit kein automatischer Zeitaufschub.

Dokumentieren Sie Eingang und Fristende unmittelbar und setzen Sie interne Rückmeldefristen so, dass ausreichend Zeit für Prüfung, Zusammenstellung und Versand bleibt.

Die Identität wird gar nicht oder übermäßig geprüft

Bestehen begründete Zweifel an der Identität der anfragenden Person, dürfen nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen angefordert werden, soweit diese zur Identitätsbestätigung erforderlich sind. Eine pauschale Anforderung von Ausweiskopien ist nicht zulässig. Sollte eine Ausweiskopie im Einzelfall erforderlich sein, dürfen nur die hierfür notwendigen Angaben verarbeitet werden. Nicht erforderliche Angaben können geschwärzt werden.

Ein Standardtext oder Stammdatenexport soll die Auskunft ersetzen

Der Hinweis „Wir verarbeiten Ihren Namen, Ihre Anschrift und Ihre Kontaktdaten“ beschreibt lediglich Datenkategorien. Eine Auskunft muss grundsätzlich die konkret zur anfragenden Person verarbeiteten Daten enthalten. Hinzu kommen die Informationen nach Art. 15 DSGVO, etwa zu Verarbeitungszwecken, Empfängern, Speicherdauer und Betroffenenrechten sowie gegebenenfalls zu Datenherkunft, automatisierten Entscheidungen und Drittlandübermittlungen. Ein Verweis auf die allgemeine Datenschutzerklärung ersetzt diese individuelle Auskunft nicht.

Auch die Suche darf sich nicht auf das zentrale Kunden- oder Personalverwaltungssystem beschränken. Je nach Anfrage können E-Mails, Bewerbungsunterlagen, Gesprächsvermerke, Dokumentenarchive, Papierakten und weitere Fachanwendungen relevant sein. Maßgeblich sind die personenbezogenen Daten, die vom Umfang der Anfrage erfasst werden. Die Datenkopie muss vollständig und verständlich sein. Ein Anspruch auf sämtliche Originaldokumente besteht dadurch nicht automatisch. Dokumentenauszüge oder vollständige Dokumente können aber erforderlich sein, wenn die betroffene Person ihre Daten sonst nicht verstehen oder ihre Rechte nicht wirksam ausüben kann.

Empfänger werden nur pauschal benannt

Angaben wie „IT-Dienstleister“, „Geschäftspartner“ oder „verbundene Unternehmen“ reichen nicht ohne Weiteres aus. Nach der Rechtsprechung des EuGH sind grundsätzlich die konkreten Empfänger zu benennen, denen personenbezogene Daten offengelegt wurden oder noch offengelegt werden sollen. Eine Beschränkung auf Empfängerkategorien kommt insbesondere dann in Betracht, wenn die konkreten Empfänger noch nicht identifiziert werden können oder der Antrag offenkundig unbegründet oder exzessiv ist.

Daten werden gelöscht, bevor die Auskunft vollständig erteilt ist

Eine Auskunftsanfrage ist kein Löschauftrag. Auch bei einer kombinierten Anfrage müssen beide Anliegen aufeinander abgestimmt werden. Werden die Daten vorschnell gelöscht, kann die vollständige Auskunft unmöglich werden.

Das Verwaltungsgericht Düsseldorf hat mit Gerichtsbescheid vom 21. Januar 2026, Az. 29 K 7470/24, eine datenschutzrechtliche Verwarnung bestätigt, bei der die Löschung die vollständige Auskunft und deren Überprüfung vereitelt hatte.

Sichern Sie deshalb die für die Auskunft benötigten Informationen, bevor eine Löschung umgesetzt wird. Stimmen Sie auch automatisierte Löschroutinen mit der Bearbeitung laufender Anfragen ab. Daraus folgt allerdings keine Berechtigung, die Daten anschließend unbegrenzt aufzubewahren.

Aufbewahrungspflichten werden als pauschaler Löschstopp behandelt

Die Antwort „Wir müssen Ihre Daten aus gesetzlichen Gründen aufbewahren“ ist ohne nähere Prüfung nicht ausreichend. Ein Löschanspruch kann beispielsweise insoweit ausgeschlossen sein, wie die weitere Verarbeitung zur Erfüllung einer gesetzlichen Pflicht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Das rechtfertigt aber nicht automatisch die Aufbewahrung sämtlicher Daten zur betreffenden Person. Soweit personenbezogene Daten aufgrund gesetzlicher Aufbewahrungspflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen weiterhin benötigt werden, ist zu prüfen, ob ihre Verarbeitung auf die hierfür erforderlichen Zwecke beschränkt werden muss. Eine weitere Nutzung für andere Zwecke ist dadurch nicht automatisch gerechtfertigt. Prüfen Sie daher getrennt, welche Daten gelöscht werden müssen und welche aus welchem konkreten Grund noch benötigt werden. Erläutern Sie nachvollziehbar, welche Daten verbleiben und wie lange beziehungsweise nach welchen Kriterien sie weiter aufbewahrt werden. Der Europäische Datenschutzausschuss hat 2026 gerade die undifferenzierte Anwendung von Aufbewahrungsfristen als Problem hervorgehoben.  Zur Umsetzung gehört außerdem, die erforderliche Löschung in den betroffenen Systemen und bei eingebundenen Auftragsverarbeitern zu veranlassen. Nach Art. 19 DSGVO sind grundsätzlich auch die Empfänger über eine entsprechende Löschung zu informieren, sofern dies nicht unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist.

Die Datenkopie wird ungeprüft oder unsicher versendet

Eine vollständige Auskunft bedeutet nicht, Unterlagen ungeprüft weiterzugeben. Dokumente können zugleich Informationen über andere Beschäftigte, Kunden oder Patienten enthalten. Deren Rechte sind zu berücksichtigen. Prüfen Sie, ob beispielsweise gezielte Schwärzungen erforderlich sind. Ein pauschaler Verweis auf „Datenschutz Dritter“ rechtfertigt dagegen regelmäßig keine vollständige Verweigerung der Auskunft.

Auch der Übermittlungsweg muss zum Schutzbedarf passen. Legen Sie insbesondere für Gesundheitsdaten und umfangreiche Personalunterlagen einen angemessen abgesicherten Versand fest, beispielsweise über ein geschütztes Downloadportal oder eine geeignete verschlüsselte Übermittlung. Kontrollieren Sie vor dem Versand Empfängeradresse, Anlagen und Zugriffsberechtigungen. Maßgeblich sind die risikogerechten Sicherheitsanforderungen des Art. 32 DSGVO.

Anfragen werden wegen ihres Aufwands abgelehnt

Eine aufwendige Anfrage ist nicht automatisch unberechtigt. Die Bearbeitung ist grundsätzlich unentgeltlich. Für offenkundig unbegründete oder exzessive Anträge sieht die DSGVO zwar Ausnahmen vor; deren Voraussetzungen muss jedoch das Unternehmen nachweisen. Eine Ablehnung darf nicht allein auf eine pauschale Bewertung der Anfrage gestützt werden.

Wird einem Antrag ganz oder teilweise nicht entsprochen, müssen die Gründe mitgeteilt und Hinweise auf die Beschwerdemöglichkeit bei einer Aufsichtsbehörde sowie auf einen gerichtlichen Rechtsbehelf gegeben werden. Auch dafür gilt grundsätzlich die Monatsfrist.

Und selbst wenn keine personenbezogenen Daten zur anfragenden Person verarbeitet werden, ist eine entsprechende Antwort erforderlich. Schweigen ersetzt diese sogenannte Negativauskunft nicht.

Auskunft und Datenübertragbarkeit werden verwechselt

Bei der Bereitstellung personenbezogener Daten kommt es auch auf das richtige Dateiformat an. Dabei müssen Unternehmen zwischen dem Auskunftsrecht nach Art. 15 DSGVO und dem Recht auf Datenübertragbarkeit nach Art. 20 DSGVO unterscheiden.

Das OLG Stuttgart hat mit Urteil vom 31. Juli 2026 (Az. 5 U 271/24) entschieden, dass einfache PDF-Scans ohne maschinenlesbaren Text den Anforderungen an die Datenübertragbarkeit nicht genügen. Während die Auskunft nach Art. 15 DSGVO grundsätzlich in einer für Menschen verständlichen Form erfolgen muss, verlangt Art. 20 DSGVO ein strukturiertes, gängiges und maschinenlesbares Format.

Auch eine nachträgliche Texterkennung (OCR) reicht nicht zwangsläufig aus, wenn die Struktur der Daten dabei verloren geht.

Prüfen Sie zunächst, welches Betroffenenrecht geltend gemacht wird und ob die Voraussetzungen des Art. 20 DSGVO erfüllt sind. Bei einem Anspruch auf Datenübertragbarkeit müssen die betreffenden Daten in einem geeigneten Format, beispielsweise CSV oder JSON, bereitgestellt werden. Ein einfacher PDF-Scan genügt hierfür regelmäßig nicht.

Unsere Empfehlung: Den Ablauf vorbereiten, nicht bei jeder Anfrage neu beginnen

Dokumentieren Sie einen festen Prozess vom Eingang bis zum Abschluss der Anfrage. Dazu gehören Zuständigkeiten, Vertretungen, Fristüberwachung, Datenrecherche, rechtliche Prüfung, sichere Bereitstellung und die Dokumentation der tatsächlich umgesetzten Maßnahmen. Auch der Europäische Datenschutzausschuss empfiehlt ausdrücklich dokumentierte und aktuelle Verfahren mit klaren Verantwortlichkeiten.