DSGVO-Auskunft Musterbrief (Word & PDF)

Mit unserem kostenlosen DSGVO-Auskunft Musterbrief kannst du ein Unternehmen, eine Organisation oder eine andere verantwortliche Stelle um Auskunft darüber bitten, welche personenbezogenen Daten über dich verarbeitet werden. Grundlage ist insbesondere das Auskunftsrecht nach Art. 15 der Datenschutz-Grundverordnung.

Die Vorlage enthält Fragen zu gespeicherten Daten, Verarbeitungszwecken, Datenkategorien, Empfängern, Speicherdauer, Herkunft der Daten, automatisierten Entscheidungen und möglichen Übermittlungen in Drittländer. Zusätzlich kannst du eine Kopie der personenbezogenen Daten verlangen, die Gegenstand der Verarbeitung sind.

Der Musterbrief steht als Word- und PDF-Datei zur Verfügung. Die Word-Version kannst du direkt am Computer bearbeiten. Die PDF-Version eignet sich zum Ausdrucken und handschriftlichen Ergänzen.

Was ist das Auskunftsrecht nach Art. 15 DSGVO?

Art. 15 DSGVO gibt betroffenen Personen das Recht zu erfahren, ob ein Verantwortlicher personenbezogene Daten über sie verarbeitet.

Werden Daten verarbeitet, besteht grundsätzlich ein Recht auf Auskunft über diese Daten sowie über weitere Informationen zur Verarbeitung.

Den Gesetzestext findest du bei EUR-Lex – Datenschutz-Grundverordnung.

Welche Informationen kann ich mit einer DSGVO-Auskunft verlangen?

Art. 15 DSGVO nennt insbesondere folgende Informationen:

• Verarbeitungszwecke
• Kategorien der verarbeiteten personenbezogenen Daten
• Empfänger oder Kategorien von Empfängern
• geplante Speicherdauer oder Kriterien für deren Festlegung
• Recht auf Berichtigung
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Widerspruchsrecht
• Beschwerderecht bei einer Aufsichtsbehörde
• Herkunft der Daten, wenn sie nicht direkt bei dir erhoben wurden
• Informationen über bestimmte automatisierte Entscheidungen einschließlich Profiling

Kopie der personenbezogenen Daten verlangen

Art. 15 Abs. 3 DSGVO sieht außerdem vor, dass der Verantwortliche eine Kopie der personenbezogenen Daten zur Verfügung stellt, die Gegenstand der Verarbeitung sind.

Dabei geht es grundsätzlich um die personenbezogenen Daten selbst. Das bedeutet nicht automatisch, dass in jedem Fall vollständige Kopien sämtlicher Dokumente, Akten oder Datenbanken herausgegeben werden müssen.

Je nach Zusammenhang kann es allerdings erforderlich sein, Auszüge oder Dokumentbestandteile zur Verfügung zu stellen, wenn die personenbezogenen Daten sonst nicht verständlich wiedergegeben werden können.

So verwendest du den DSGVO-Auskunft Musterbrief

1. Datei herunterladen: Wähle Word oder PDF.
2. Absender ergänzen: Trage deinen Namen und deine Kontaktdaten ein.
3. Empfänger eintragen: Ergänze Unternehmen oder verantwortliche Stelle.
4. Kundendaten ergänzen: Gib bei Bedarf Kundennummer, Vertragsnummer oder Benutzerkonto an.
5. Auskunft verlangen: Bitte um Informationen nach Art. 15 DSGVO.
6. Datenkopie anfordern: Verlange eine Kopie der personenbezogenen Daten.
7. Versandart wählen: Sende den Antrag beispielsweise per E-Mail oder Brief.
8. Nachweis aufbewahren: Dokumentiere den Versand des Antrags.
9. Antwortfrist beachten: Grundsätzlich gilt eine Frist von einem Monat.
10. Antwort prüfen: Kontrolliere, ob die wesentlichen Punkte beantwortet wurden.

Beispiel für einen DSGVO-Auskunftsantrag

Wer kann eine DSGVO-Auskunft verlangen?

Das Auskunftsrecht steht der betroffenen Person zu, deren personenbezogene Daten verarbeitet werden.

Das können beispielsweise sein:

• Kunden
• ehemalige Kunden
• Website-Nutzer
• Newsletter-Empfänger
• Arbeitnehmer
• Bewerber
• Mitglieder
• Patienten
• Versicherte
• Interessenten

Von wem kann ich Auskunft verlangen?

Der Antrag richtet sich grundsätzlich an den Verantwortlichen für die Datenverarbeitung.

Das kann beispielsweise sein:

• Unternehmen
• Online-Shop
• Versicherung
• Bank
• Telekommunikationsanbieter
• Arbeitgeber
• Verein
• Behörde
• Arztpraxis
• Plattformbetreiber

Muss ich begründen, warum ich Auskunft möchte?

Für einen gewöhnlichen Antrag nach Art. 15 DSGVO musst du grundsätzlich nicht erklären, warum du dein Auskunftsrecht ausübst.

Du kannst den Antrag beispielsweise stellen, um zu erfahren, welche Informationen über dich gespeichert wurden oder an welche Empfänger Daten weitergegeben wurden.

Muss ich Art. 15 DSGVO ausdrücklich nennen?

Eine ausdrückliche Nennung des Artikels ist hilfreich, aber entscheidend ist der Inhalt des Antrags.

Aus deinem Schreiben sollte eindeutig hervorgehen, dass du Auskunft über die Verarbeitung deiner personenbezogenen Daten verlangst.

Welche personenbezogenen Daten können betroffen sein?

Personenbezogene Daten können sehr unterschiedliche Informationen umfassen.

Beispiele sind:

• Name
• Anschrift
• E-Mail-Adresse
• Telefonnummer
• Kundennummer
• Bestelldaten
• Vertragsdaten
• Zahlungsinformationen
• Kommunikation
• Nutzungsdaten
• IP-Adressen
• Standortinformationen
• Bewertungen oder interne Vermerke mit Personenbezug

Verarbeitungszwecke

Du kannst erfahren, zu welchen Zwecken deine personenbezogenen Daten verarbeitet werden.

Beispiele sind:

• Vertragsabwicklung
• Kundenverwaltung
• Abrechnung
• Werbung
• Bonitätsprüfung
• Betrugsprävention
• Support
• Analyse
• Erfüllung gesetzlicher Pflichten

Kategorien personenbezogener Daten

Der Verantwortliche muss nach Art. 15 DSGVO auch über die Kategorien personenbezogener Daten informieren.

Dazu können beispielsweise gehören:

• Stammdaten
• Kontaktdaten
• Vertragsdaten
• Abrechnungsdaten
• Nutzungsdaten
• Kommunikationsdaten

Empfänger der Daten

Du kannst Auskunft darüber verlangen, welchen Empfängern oder Kategorien von Empfängern personenbezogene Daten offengelegt wurden oder noch offengelegt werden.

Relevant können beispielsweise sein:

• Dienstleister
• Zahlungsanbieter
• Versicherungen
• Inkassounternehmen
• Behörden
• verbundene Unternehmen
• IT-Dienstleister

Konkrete Empfänger können relevant sein

Je nach Sachverhalt kann nicht nur eine allgemeine Kategorie wie „Dienstleister“ von Interesse sein, sondern auch die Frage, welche konkreten Empfänger personenbezogene Daten erhalten haben.

Der Umfang der erforderlichen Auskunft richtet sich nach den gesetzlichen Anforderungen und den Umständen des Einzelfalls.

Speicherdauer

Art. 15 DSGVO umfasst außerdem Informationen darüber, wie lange personenbezogene Daten voraussichtlich gespeichert werden.

Ist eine konkrete Dauer nicht möglich, müssen grundsätzlich die Kriterien genannt werden, nach denen die Speicherdauer bestimmt wird.

Herkunft der Daten

Wurden personenbezogene Daten nicht direkt bei dir erhoben, kannst du grundsätzlich Informationen über deren Herkunft verlangen.

Das kann beispielsweise interessant sein, wenn du wissen möchtest, wie ein Unternehmen an deine Kontaktdaten gekommen ist.

Beispiel für eine Frage zur Datenherkunft

Automatisierte Entscheidungen und Profiling

Art. 15 DSGVO erfasst auch bestimmte automatisierte Entscheidungsverfahren einschließlich Profiling.

Soweit entsprechende Verfahren im Sinne von Art. 22 DSGVO eingesetzt werden, kann die betroffene Person unter anderem aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebten Auswirkungen verlangen.

Beispiele für automatisierte Verarbeitung

Je nach Unternehmen können automatisierte Verfahren beispielsweise eine Rolle spielen bei:

• Bonitätsbewertung
• Betrugserkennung
• Kreditentscheidungen
• Risikobewertungen
• Profilbildung

Nicht jede automatisierte Datenverarbeitung ist allerdings automatisch eine Entscheidung im Sinne von Art. 22 DSGVO.

Datenübermittlung in Drittländer

Werden personenbezogene Daten an ein Drittland oder eine internationale Organisation übermittelt, besteht nach Art. 15 Abs. 2 DSGVO ein Recht auf Information über geeignete Garantien im Zusammenhang mit der Übermittlung.

Auch dieser Punkt ist in unserer Vorlage vorgesehen.

Wie lange hat ein Unternehmen für die Antwort?

Art. 12 Abs. 3 DSGVO sieht vor, dass Informationen über die auf den Antrag ergriffenen Maßnahmen grundsätzlich unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags zur Verfügung gestellt werden.

Die Monatsfrist beginnt mit Eingang des Antrags beim Verantwortlichen.

Kann die Frist verlängert werden?

Ja. Bei komplexen oder zahlreichen Anträgen kann die Frist unter den gesetzlichen Voraussetzungen um weitere zwei Monate verlängert werden.

Der Verantwortliche muss die betroffene Person innerhalb des ersten Monats über die Verlängerung und die Gründe für die Verzögerung informieren.

Ist die DSGVO-Auskunft kostenlos?

Die Ausübung der Betroffenenrechte ist grundsätzlich kostenlos.

Art. 12 DSGVO sieht allerdings Ausnahmen für offenkundig unbegründete oder exzessive Anträge vor. In solchen besonderen Fällen können unter den gesetzlichen Voraussetzungen ein angemessenes Entgelt verlangt oder Maßnahmen verweigert werden.

Erste Datenkopie grundsätzlich kostenlos

Art. 15 Abs. 3 DSGVO sieht eine Kopie der personenbezogenen Daten vor.

Für weitere vom Betroffenen verlangte Kopien kann unter bestimmten Voraussetzungen ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangt werden.

Muss ich eine Ausweiskopie mitschicken?

Nicht automatisch.

Ein Unternehmen darf angemessene Maßnahmen ergreifen, um sicherzustellen, dass personenbezogene Daten nicht an eine unberechtigte Person herausgegeben werden.

Bestehen begründete Zweifel an der Identität des Antragstellers, können zusätzliche Informationen zur Identitätsbestätigung verlangt werden.

Eine vollständige Ausweiskopie sollte jedoch nicht routinemäßig und unabhängig von der konkreten Situation verlangt oder versendet werden.

Identität möglichst datensparsam nachweisen

Ist eine zusätzliche Identifikation erforderlich, sollte möglichst nur das verwendet werden, was zur eindeutigen Identifizierung tatsächlich benötigt wird.

Je nach Fall können beispielsweise bereits ausreichen:

• Kundennummer
• Vertragsnummer
• bekannte E-Mail-Adresse
• Postanschrift
• andere bereits beim Unternehmen hinterlegte Angaben

Warum Unternehmen die Identität prüfen dürfen

Der Verantwortliche muss verhindern, dass eine fremde Person sensible personenbezogene Daten erhält.

Die Identitätsprüfung schützt deshalb nicht nur das Unternehmen, sondern gerade auch die betroffene Person selbst.

DSGVO-Auskunft per E-Mail

Ein Auskunftsantrag kann grundsätzlich auch elektronisch gestellt werden.

Art. 12 DSGVO sieht vor, dass bei elektronisch gestellten Anträgen die Information nach Möglichkeit ebenfalls elektronisch erteilt wird, sofern die betroffene Person nichts anderes verlangt.

DSGVO-Auskunft per Brief

Alternativ kannst du den Musterbrief per Post versenden.

Bei wichtigen oder streitigen Fällen kann es sinnvoll sein, den Versand so zu dokumentieren, dass später nachvollziehbar ist, wann der Antrag gestellt wurde.

Wohin sende ich den Antrag?

Der Antrag kann an den Verantwortlichen beziehungsweise eine hierfür vorgesehene Datenschutzkontaktstelle geschickt werden.

Viele Unternehmen nennen in ihrer Datenschutzerklärung:

• Postanschrift
• E-Mail-Adresse
• Datenschutzkontakt
• gegebenenfalls Datenschutzbeauftragten

Muss der Datenschutzbeauftragte angeschrieben werden?

Der Antrag richtet sich rechtlich an den Verantwortlichen. Gibt es einen Datenschutzbeauftragten oder eine spezielle Datenschutzadresse, kann diese Kontaktmöglichkeit praktisch besonders geeignet sein.

Kundennummer oder Vertragsnummer angeben

Bei großen Unternehmen kann eine zusätzliche Kennung die Zuordnung erleichtern.

Du solltest jedoch nur Angaben übermitteln, die für die Zuordnung sinnvoll sind.

Muss ich genau wissen, welche Daten gespeichert sind?

Nein. Gerade das ist ein wesentlicher Zweck des Auskunftsrechts.

Du kannst einen allgemeinen Auskunftsantrag stellen, wenn du zunächst erfahren möchtest, welche personenbezogenen Daten über dich verarbeitet werden.

Große Datenmengen

Verarbeitet ein Unternehmen sehr große Mengen personenbezogener Daten über eine Person, kann eine Konkretisierung des Antrags die Bearbeitung erleichtern.

Das kann beispielsweise sinnvoll sein, wenn dich nur ein bestimmter Vertrag, Zeitraum oder Geschäftsbereich interessiert.

Auskunft nicht unnötig einschränken

Eine Konkretisierung ist jedoch etwas anderes als ein vollständiger Verzicht auf das gesetzliche Auskunftsrecht.

Wenn du eine umfassende Auskunft möchtest, sollte der Musterbrief nicht versehentlich nur einzelne Datenarten abfragen.

Rechte anderer Personen

Das Recht auf Erhalt einer Kopie darf nach Art. 15 Abs. 4 DSGVO die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Deshalb können beispielsweise Informationen über andere Personen geschwärzt oder anderweitig geschützt werden.

Geschäftsgeheimnisse und Auskunft

Auch Geschäftsgeheimnisse oder Schutzrechte können bei der konkreten Herausgabe eine Rolle spielen.

Das bedeutet allerdings nicht automatisch, dass ein Verantwortlicher einen Auskunftsantrag vollständig ablehnen darf. Er muss die unterschiedlichen Rechte angemessen berücksichtigen.

Nicht jedes Dokument muss vollständig herausgegeben werden

Art. 15 DSGVO ist ein Recht auf Auskunft über personenbezogene Daten und auf eine Kopie dieser Daten.

Es ist deshalb nicht mit einem allgemeinen Anspruch auf Herausgabe sämtlicher interner Unternehmensunterlagen gleichzusetzen.

Was tun, wenn gar keine Daten verarbeitet werden?

Auch dann sollte der Verantwortliche auf den Antrag reagieren und mitteilen, dass keine personenbezogenen Daten zur betroffenen Person verarbeitet werden, sofern dies tatsächlich der Fall ist.

Was tun, wenn die Antwort unvollständig wirkt?

Wenn wesentliche Punkte fehlen, kannst du zunächst schriftlich um Ergänzung bitten.

Beispiele:

• Empfänger wurden nicht genannt
• Herkunft der Daten fehlt
• Speicherdauer wurde nicht erläutert
• Datenkopie fehlt
• automatisierte Entscheidungen wurden nicht behandelt

Beispiel für eine Nachfrage

Was tun, wenn keine Antwort kommt?

Erhältst du trotz Ablauf der gesetzlichen Frist keine Antwort, kannst du den Verantwortlichen zunächst nochmals an den Antrag erinnern.

Darüber hinaus besteht grundsätzlich die Möglichkeit, sich an die zuständige Datenschutzaufsichtsbehörde zu wenden.

Beschwerde bei einer Datenschutzbehörde

Die DSGVO sieht ein Beschwerderecht bei einer Aufsichtsbehörde vor.

Welche Behörde zuständig ist, hängt unter anderem davon ab, um welchen Verantwortlichen es sich handelt und in welchem Bereich dieser tätig ist.

Auskunft und Löschung sind unterschiedliche Rechte

Ein Auskunftsantrag führt nicht automatisch zur Löschung deiner Daten.

Wenn du zunächst wissen möchtest, welche personenbezogenen Daten gespeichert sind, kannst du zuerst Auskunft verlangen und anschließend prüfen, ob zusätzlich ein Löschungsantrag sinnvoll ist.

Erst Auskunft, dann Löschung?

Diese Reihenfolge kann praktisch sinnvoll sein, wenn du noch nicht weißt, welche Daten überhaupt vorhanden sind.

Nach Erhalt der Auskunft kannst du gezielter entscheiden, welche Daten gegebenenfalls berichtigt oder gelöscht werden sollen.

Auskunft und Berichtigung

Stellst du anhand der Auskunft fest, dass Daten falsch oder veraltet sind, kann zusätzlich ein Recht auf Berichtigung bestehen.

Auskunft und Widerspruch

Auch ein Widerspruch gegen bestimmte Datenverarbeitungen ist ein eigenständiges Betroffenenrecht.

Die Voraussetzungen richten sich insbesondere nach Art. 21 DSGVO und hängen von der jeweiligen Rechtsgrundlage und Art der Verarbeitung ab.

Werbung und Direktmarketing

Wenn deine Daten für Direktwerbung verwendet werden, gelten besondere Regeln für den Widerspruch.

Ein Auskunftsantrag kann zunächst zeigen, welche Daten hierfür verarbeitet und gegebenenfalls an welche Empfänger sie weitergegeben wurden.

DSGVO-Auskunft beim Arbeitgeber

Auch Arbeitnehmer können grundsätzlich Auskunft über personenbezogene Daten verlangen, die ihr Arbeitgeber über sie verarbeitet.

Der konkrete Umfang kann beispielsweise Personalstammdaten, bestimmte digitale Aufzeichnungen oder andere personenbezogene Informationen betreffen.

Rechte und Freiheiten anderer Personen sind dabei ebenfalls zu beachten.

DSGVO-Auskunft bei einer Versicherung

Bei Versicherungen können beispielsweise folgende Informationen relevant sein:

• Vertragsdaten
• Schadeninformationen
• Kommunikation
• Bewertungen
• Empfänger
• Herkunft bestimmter Daten

DSGVO-Auskunft bei einer Bank

Auch Banken verarbeiten zahlreiche personenbezogene Daten.

Der Auskunftsanspruch kann allerdings nicht pauschal mit einem Anspruch auf Herausgabe sämtlicher Bankunterlagen oder Belege gleichgesetzt werden.

DSGVO-Auskunft bei einem Online-Shop

Bei einem Online-Shop können beispielsweise verarbeitet werden:

• Bestellungen
• Lieferanschriften
• Rechnungsdaten
• Kundenkonto
• Supportanfragen
• Nutzungsinformationen

DSGVO-Auskunft bei sozialen Netzwerken

Bei Online-Plattformen können besonders große Datenmengen vorhanden sein.

Je nach Plattform können Funktionen zum Datenexport hilfreich sein. Ein technischer Download ersetzt allerdings nicht zwingend jede nach Art. 15 DSGVO erforderliche Information.

Datenauskunft und Datenexport unterscheiden

Ein reiner Export von Rohdaten kann andere Informationen wie Verarbeitungszwecke, Empfänger oder Speicherdauer nicht immer vollständig beantworten.

Der Auskunftsanspruch umfasst deshalb mehr als lediglich eine Datei mit gespeicherten Daten.

Keine unnötigen persönlichen Daten im Antrag

Für den Antrag selbst solltest du nicht mehr personenbezogene Daten übermitteln als erforderlich.

Eine vollständige Kopie des Personalausweises oder sensible Zusatzinformationen sind nicht automatisch notwendig.

Antwort sicher übermitteln

Enthält die Auskunft sensible Informationen, sollte der Verantwortliche einen angemessenen Übermittlungsweg wählen.

Je nach Umfang und Sensibilität können beispielsweise geschützte Downloadbereiche, verschlüsselte Dateien oder postalische Übermittlung in Betracht kommen.

Auskunft auf elektronischen Antrag

Wird der Antrag elektronisch gestellt, sieht Art. 12 DSGVO vor, dass die Informationen nach Möglichkeit ebenfalls elektronisch bereitgestellt werden, sofern die betroffene Person nichts anderes verlangt.

Typische Fehler beim DSGVO-Auskunftsantrag

• Empfänger falsch: Antrag an den Verantwortlichen oder eine geeignete Datenschutzkontaktstelle richten.
• zu wenig Identifikationsdaten: genügend Angaben für eine eindeutige Zuordnung machen.
• unnötige Ausweiskopie: nicht automatisch sensible Ausweisdaten versenden.
• nur einzelne Daten abgefragt: bei gewünschter Gesamtauskunft Art. 15 umfassend nutzen.
• Datenkopie vergessen: bei Bedarf ausdrücklich nach Art. 15 Abs. 3 verlangen.
• Löschung mit Auskunft verwechselt: beide Rechte getrennt betrachten.
• Frist falsch berechnet: grundsätzlich einen Monat ab Eingang berücksichtigen.
• Versand nicht dokumentiert: bei wichtigen Fällen Nachweis aufbewahren.

Ist ein Anwalt für eine DSGVO-Auskunft notwendig?

Für einen normalen Auskunftsantrag ist grundsätzlich kein Anwalt erforderlich.

Du kannst dein Recht selbst gegenüber dem Verantwortlichen geltend machen.

Bei komplizierten Streitfällen, umfangreichen Datenbeständen oder wiederholter Verweigerung kann eine individuelle rechtliche Beratung sinnvoll sein.

Word oder PDF – welches Format eignet sich besser?

Beide Downloads enthalten dieselbe Grundstruktur.

• PDF: geeignet zum Ausdrucken und handschriftlichen Ergänzen.
• Word: besonders praktisch, wenn Empfänger, Kundendaten oder zusätzliche Fragen individuell ergänzt werden sollen.

Für den Versand per E-Mail ist die Word-Version besonders praktisch, da du den Musterbrief direkt am Computer ausfüllen und anschließend als eigenes Dokument speichern kannst.

DSGVO-Auskunft Musterbrief individuell anpassen

Die Vorlage ist ein allgemeines Muster und ersetzt keine individuelle rechtliche Beratung.

Bei besonderen Datenverarbeitungen, umfangreichen Streitigkeiten, laufenden Gerichtsverfahren oder speziellen gesetzlichen Geheimhaltungspflichten kann eine individuelle Prüfung sinnvoll sein.