Schickt ein Unternehmen auf Ihre Auskunftsanfrage nur seine Datenschutzerklärung oder einen Link darauf, haben Sie in aller Regel noch keine vollständige Auskunft nach Art. 15 DSGVO erhalten. Eine Datenschutzerklärung beschreibt allgemein, wie das Unternehmen mit Daten aller Kunden umgeht. Die Auskunft muss dagegen sagen, welche Daten über Sie persönlich gespeichert sind, und eine Kopie dieser Daten enthalten. Meist hilft eine sachliche Nachfrage, in der Sie konkret benennen, was fehlt.
Datenschutzerklärung und Auskunft: zwei verschiedene Pflichten
Die Datenschutzerklärung erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO. Sie richtet sich an alle Kunden und Nutzer zugleich und muss vorab erteilt werden. Die Auskunft nach Art. 15 DSGVO ist dagegen individuell: Sie gibt Antwort auf die Frage, ob und welche Daten über eine bestimmte Person verarbeitet werden.
| Datenschutzerklärung | Auskunft nach Art. 15 | |
|---|---|---|
| Adressat | alle Kunden und Nutzer | Sie persönlich |
| Inhalt | mögliche Zwecke, Datenkategorien und Empfängerkategorien | Ihre tatsächlich gespeicherten Daten mit den zugehörigen Zwecken, Empfängern und Speicherfristen |
| Kopie der Daten | nein | ja, nach Art. 15 Abs. 3 DSGVO |
| Anlass | bei der Datenerhebung | auf Ihren Antrag |
Ein Verweis auf die Datenschutzerklärung kann deshalb allenfalls einzelne allgemeine Angaben ergänzen, etwa zu Ihren Rechten. Die personenbezogene Kopie und die auf Sie bezogenen Angaben ersetzt er nicht.
Erkennbare Lücken in einer Auskunft
Ob eine Auskunft vollständig ist, lässt sich von außen nicht immer sicher beurteilen. Diese Anzeichen sprechen aber dafür, dass etwas fehlt:
- Es fehlt eine Kopie Ihrer Daten, es gibt nur einen allgemeinen Text.
- Die Antwort nennt nur Datenkategorien wie „Stammdaten“ oder „Vertragsdaten“, ohne die konkreten Inhalte.
- Empfänger werden nur als Kategorien wie „Dienstleister“ angegeben. Grundsätzlich müssen die konkreten Empfänger genannt werden, außer das ist unmöglich oder der Antrag offenkundig unbegründet oder exzessiv (EuGH, C-154/21).
- Zur Speicherdauer heißt es nur „so lange wie nötig“, ohne Kriterien.
- Daten, von denen Sie sicher wissen, etwa Bestellungen, Zahlungen oder Ihre E-Mails an den Kundenservice, kommen nicht vor.
- Die Herkunft fehlt, obwohl die Daten erkennbar nicht von Ihnen stammen.
- Bei Scorewerten oder Profilen fehlen Angaben zur automatisierten Entscheidung und zur Logik.
Keine pauschale Bewertung ohne Kontext
Nicht jede knappe Antwort ist fehlerhaft. Hat ein Unternehmen tatsächlich nur wenige Daten, etwa weil Sie nur einmal eine Anfrage gestellt haben, kann eine kurze Auskunft vollständig sein. Auch eine Negativauskunft, also die Mitteilung, dass keine Daten verarbeitet werden, ist eine zulässige Antwort. Manche Unternehmen erteilen die Auskunft zudem in mehreren Schritten oder verlängern die Frist. Eine Verlängerung um bis zu zwei weitere Monate ist zulässig, wenn sie innerhalb des ersten Monats mitgeteilt und begründet wird (Art. 12 Abs. 3 DSGVO). Mehr dazu lesen Sie im Beitrag zur Antwortfrist.
Bevor Sie nachfragen, lohnt es sich, die Antwort gründlich zu sichten. Unser Beitrag DSGVO-Auskunft erhalten: so lesen Sie die Antwort enthält dafür eine Checkliste.
So fragen Sie sachlich nach
Eine gute Nachfrage ist kurz, freundlich im Ton und konkret. Sie nennt Datum und Aktenzeichen der ursprünglichen Anfrage, beschreibt genau, was fehlt, und bittet um Ergänzung. Drohungen oder pauschale Vorwürfe helfen selten weiter.
Formulierungsbeispiel (fiktiv, bitte an Ihren Fall anpassen):
„Sehr geehrte Damen und Herren, vielen Dank für Ihr Schreiben vom 3. März zu meiner Auskunftsanfrage nach Art. 15 DSGVO. Ihr Schreiben verweist auf Ihre Datenschutzerklärung. Eine Kopie meiner personenbezogenen Daten nach Art. 15 Abs. 3 DSGVO habe ich nicht erhalten. Ebenso fehlen die konkreten Empfänger meiner Daten und Angaben zur Speicherdauer meiner Bestelldaten. Ich bitte Sie, die Auskunft insoweit zu ergänzen. Mit freundlichen Grüßen“
Halten Sie fest, wann Sie die Nachfrage verschickt haben. Bleibt die Antwort weiterhin unvollständig oder kommt gar keine, können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist in der Regel die Behörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat, Sie können sich aber auch an die Behörde Ihres Wohnsitzes wenden. Eine Übersicht der Landesbehörden bietet die Bundesbeauftragte für den Datenschutz. Die Beschwerde ist kostenlos.
Vollständige Auskunft nach Art. 15 DSGVO anfordern einmalig 3,99 € inkl. MwSt. je Anfrage
Was eine unvollständige Auskunft nicht bedeutet
Eine lückenhafte Antwort führt nicht automatisch zu einem Anspruch auf Schadensersatz oder Geld. Ob und unter welchen Voraussetzungen ein Schadensersatzanspruch nach Art. 82 DSGVO besteht, hängt vom Einzelfall ab und ist häufig umstritten. Wir nehmen dazu keine Bewertung vor.
Wie Datenschutzabfrage.de hier hilft und wo nicht
Unsere Anfrage nach Art. 15 DSGVO fordert ausdrücklich die Kopie Ihrer Daten und alle Pflichtangaben an. Die Antwort des Unternehmens geht an uns, wir benachrichtigen Sie und stellen sie Ihnen 30 Tage über einen persönlichen Link bereit. Auf Ihrer Statusseite sehen Sie, wann die Anfrage versandt wurde und bis wann die Monatsfrist läuft. Liefert das Unternehmen bis zum Ende des Antwortfensters gar keine Auskunft, finden Sie dort eine Vorlage, mit der Sie eine Beschwerde bei der Datenschutzbehörde vorbereiten können. Ob eine erhaltene Antwort vollständig ist, prüfen wir nicht, und Nachfragen formulieren Sie selbst. Unser Service kostet einmalig 3,99 € inkl. MwSt. je Anfrage. Grundsätzliches zum Umfang der Auskunft finden Sie im Beitrag DSGVO-Auskunftsrecht.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.