Auskunftsersuchen nach Art. 15 DSGVO sicher beantworten – auch bei Spam-verdächtigen Massenmails

Als Datenschutzbeauftragter empfehle ich:

Nicht ignorieren – aber niemals auf unbekannte Links klicken oder über Drittportale antworten.

Behandeln Sie jede Anfrage zunächst als potenziell legitimes Auskunftsersuchen nach Art. 15 DSGVO, bis das Gegenteil feststeht. Gleichzeitig sichern Sie die Integrität Ihrer Systeme (Art. 5 Abs. 1 lit. f, Art. 32 DSGVO).

In 30 Sekunden – das Wichtigste

• Antwortpflicht: Innerhalb eines Monats nach Eingang reagieren (Art. 12 Abs. 3 DSGVO). Bei Komplexität oder Anzahl der Anträge ist eine Verlängerung um höchstens zwei weitere Monate zulässig – die betroffene Person ist darüber innerhalb des ersten Monats unter Angabe der Gründe zu unterrichten.
• Identitätsprüfung: Bei begründeten Zweifeln an der Identität können Sie zusätzliche Informationen anfordern (Art. 12 Abs. 6 DSGVO). Nach den Leitlinien 01/2022 des Europäischen Datenschutzausschusses (EDSA) ist die Monatsfrist so lange gehemmt, bis die zur Identifizierung erforderlichen Angaben vorliegen, sofern Sie diese unverzüglich angefordert haben. Können Sie die Person ohne Zusatzangaben sicher zuordnen, dürfen Sie keine weiteren Nachweise verlangen.
• Keine Drittportale: Kommunikation ausschließlich direkt (E-Mail/Brief). Keine Weitergabe über Apps oder Portale ohne nachgewiesene Bevollmächtigung (Art. 5 Abs. 1 lit. c und f; Art. 32 DSGVO).
• Keine Daten gefunden? Erteilen Sie eine Negativauskunft (Bestätigung, dass keine Verarbeitung stattfindet) nach Art. 15 Abs. 1 DSGVO.
• Exzessive Anfragen: Offenkundig unbegründete oder exzessive Anträge können abgelehnt oder gegen ein angemessenes Entgelt bearbeitet werden (Art. 12 Abs. 5 DSGVO). Die Beweislast trägt der Verantwortliche.
• Dokumentation: Reicht in der Praxis: Mailthread + kurzer Aktenvermerk im DSAR-Register (Rechenschaftspflicht, Art. 5 Abs. 2 i. V. m. Art. 24 Abs. 1 DSGVO).

Rechtsgrundlagen im Überblick

• Art. 15 DSGVO – Recht auf Auskunft
• Art. 12 DSGVO – Transparente Information, Fristen, Identitätsprüfung, exzessive Anträge
• Art. 5 DSGVO – Grundsätze (insb. Integrität/Vertraulichkeit, Rechenschaftspflicht)
• Art. 32 DSGVO – Sicherheit der Verarbeitung („Stand der Technik“)
• §§ 164 ff. BGB – Stellvertretung (Vollmacht bei Anfragen über Dritte)
• Art. 15 Abs. 4 DSGVO und § 34 BDSG – Grenzen der Auskunft (Rechte Dritter, Geheimnisse, besondere Ausnahmen)

Praxisschema für verdächtige Auskunftsmails

• Eingang erfassen & Frist notieren. Datum/Uhrzeit notieren, Ticket/DSAR-Nummer vergeben (Art. 12 Abs. 3).
• Keinen Link öffnen. Antwort ausschließlich über Ihre offiziellen Kanäle. Drittportale nicht nutzen (Art. 5 Abs. 1 lit. f; Art. 32).
• Identität & Kontext abfragen (Art. 12 Abs. 6). Nur soweit erforderlich erbitten Sie: vollständigen Namen, Anschrift, die bei Ihnen verwendete E-Mail, konkrete Geschäftsbeziehung (Kundennummer, Rechnungs-/Vorgangsnummer, Datum/Art des Kontakts). Kopien von Ausweisdokumenten sind in der Regel nicht erforderlich.
• Drittvertreter? Verlangen Sie eine Vollmacht der betroffenen Person. Ohne Nachweis der Bevollmächtigung keine Datenweitergabe an Dritte.
• Systemprüfung. Prüfen Sie alle Systeme, in denen Daten der Person verarbeitet werden können, und dokumentieren Sie das Ergebnis („Treffer/keine Treffer“).
• Antwort erteilen.
• Negativauskunft, falls keine Daten vorhanden (Art. 15 Abs. 1).
• Teil-/Vollauskunft, falls Daten vorhanden – dabei Rechte Dritter und Sicherheitsinteressen schützen (Art. 15 Abs. 4; § 34 BDSG).
• Wiederholungen prüfen. Mehrfache gleichartige Mails derselben Person in kurzer Zeit können ein Anhaltspunkt für Exzessivität sein (Art. 12 Abs. 5). Die Zahl der Anfragen allein genügt nach dem EuGH aber nicht; maßgeblich ist, ob eine missbräuchliche Absicht erkennbar ist (EuGH, Urteil vom 9.1.2025 – C-416/23, zu Beschwerden bei Aufsichtsbehörden). Die Motive des Antragstellers sind für das Auskunftsrecht im Übrigen unerheblich (EuGH, Urteil vom 26.10.2023 – C-307/22).
• Dokumentieren & abschließen. Mailthread als PDF sichern + Aktenvermerk; DSAR-Register aktualisieren (Art. 5 Abs. 2; Art. 24 Abs. 1).

Mustertexte für Ihre Antworten

A) Erstantwort mit Identitätsprüfung
Betreff: Ihr Auskunftsersuchen nach Art. 15 DSGVO – Identitätsbestätigung
„Vielen Dank für Ihre Anfrage. Zum Schutz personenbezogener Daten und gemäß Art. 12 Abs. 6 DSGVO benötigen wir zur Bearbeitung eine kurze Identitätsbestätigung sowie Angaben zu Ihrer Beziehung zu unserem Unternehmen (vollständiger Name, Anschrift, die bei uns verwendete E-Mail sowie – falls vorhanden – Kundennummer/Vorgangsnummer/Datum des Kontakts).
Aus Sicherheitsgründen nutzen wir keine externen Portale/Links. Wir kommunizieren ausschließlich direkt per E-Mail oder Brief. Wir bearbeiten Ihre Anfrage, sobald uns die notwendigen Informationen vorliegen.“

B) Negativauskunft (keine Daten gefunden)
Betreff: Ihr Auskunftsersuchen nach Art. 15 DSGVO – Ergebnis
„Wir haben Ihre Angaben geprüft und können aktuell keine Verarbeitung personenbezogener Daten zu Ihrer Person in unseren Systemen feststellen (Art. 15 Abs. 1 DSGVO). Sollten Sie weitere Anhaltspunkte (abweichende Schreibweise, frühere E-Mail, konkrete Transaktion) haben, prüfen wir dies gern erneut. Sie können sich zudem bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO).“

C) Vertreter/Drittportal ohne Vollmacht
Betreff: Ihr Auskunftsersuchen – Nachweis der Bevollmächtigung
„Bitte übermitteln Sie eine Vollmacht der betroffenen Person sowie die zur Identifizierung erforderlichen Angaben. Ohne Nachweis der Bevollmächtigung und der Identität dürfen wir keine personenbezogenen Informationen an Dritte übermitteln. Alternativ kann sich die betroffene Person direkt an uns wenden.“

D) Wiederholungsanfragen
Betreff: Ihr Auskunftsersuchen – Häufigkeit
„Wir haben mehrere gleichartige Anfragen in kurzer Zeit erhalten. Wir bearbeiten Ihr Anliegen als eine Anfrage. Nach Art. 12 Abs. 5 DSGVO behalten wir uns vor, offenkundig exzessive Anträge abzulehnen bzw. ein angemessenes Entgelt zu verlangen.“

Oft auftretende Frage zur Dokumentation: Reicht der Mailverkehr?

Ja – wenn er vollständig und nachvollziehbar abgelegt wird und Sie einen kurzen Aktenvermerk ergänzen. Darin sollten stehen: Eingang/Frist, Identitätsprüfung, geprüfte Systeme und Ergebnis, Entscheidung mit Rechtsgrund (z. B. Negativauskunft; Schutz Dritter nach Art. 15 Abs. 4; exzessiv nach Art. 12 Abs. 5), Versanddatum der Antwort, Begründung etwaiger Fristverlängerung.

Bewährte Praxis: DSAR-Register für Übersicht und Fristensteuerung (Art. 24 Abs. 1, Art. 5 Abs. 2).

Aufbewahrung: Nach unserer Einschätzung ist eine Aufbewahrung der Vorgangsakte bis zum Ablauf der regelmäßigen Verjährung von drei Jahren (§§ 195, 199 BGB) zur Abwehr möglicher Ansprüche, etwa nach Art. 82 DSGVO, vertretbar (Art. 17 Abs. 3 lit. e DSGVO). Anschließend ist zu löschen (Art. 5 Abs. 1 lit. e DSGVO).

Sicherheit & „Stand der Technik“

• Keine unbekannten Links/Anhänge öffnen; Antworten nur über eigene Kanäle (Art. 32 DSGVO).
• Minimierungsprinzip: nur erforderliche personenbezogene Daten anfordern/übermitteln (Art. 5 Abs. 1 lit. c).
• Bei Auskünften sensible Inhalte schwärzen, wenn Rechte Dritter, Geschäftsgeheimnisse oder Sicherheitsinteressen betroffen sind (Art. 15 Abs. 4 DSGVO).
• Rollenbasierter Zugriff und Vier-Augen-Prinzip bei Auskunftserteilung (Art. 24 Abs. 1, Art. 32).

Sonderfälle

• Auftragsverarbeiter: Geht die Anfrage beim Auftragsverarbeiter ein, informiert dieser den Verantwortlichen und unterstützt ihn bei der Beantwortung (Art. 28 Abs. 3 lit. e DSGVO).
• Form der Auskunft: Die erste Kopie ist unentgeltlich; wird der Antrag elektronisch gestellt, ist die Auskunft in einem gängigen elektronischen Format zu erteilen, sofern die Person nichts anderes angibt (Art. 12 Abs. 5; Art. 15 Abs. 3 DSGVO).

Mini-FAQ

Dürfen wir Drittportale (Apps) zur Beantwortung nutzen?
Nur mit nachgewiesener Bevollmächtigung, tragfähiger Rechtsgrundlage und strenger Sicherheitsprüfung. Für einzelne Auskunftsersuchen ist die direkte Kommunikation in der Regel sicherer und datensparsamer.

Was, wenn wir die Identität nicht verifizieren können?
Dann dürfen Sie die Auskunft bis zur Verifikation zurückstellen (Art. 12 Abs. 6, Erwägungsgrund 64) und müssen dies der anfragenden Person mitteilen.

Können wir Massenmails einfach ignorieren?
Nein. Sie müssen zumindest kurz reagieren (Standard-Erstantwort mit Identitätsprüfung) und den Vorgang dokumentieren. Bei offenkundiger Exzessivität können Sie sich auf Art. 12 Abs. 5 stützen; die Gründe müssen Sie belegen können.

Checkliste für Ihre Organisation

• Standard-Erstantwort mit Identitätsprüfung (oben) als Textbaustein hinterlegen.
• Interne DSAR-Anlaufstelle (z. B. datenschutz@…) und Weiterleitungsregel setzen.
• DSAR-Register/Fristenkontrolle etablieren.
• Zuständigkeiten, Systemliste und Prüfroutine definieren.
• Vorlagen für Negativauskunft, Teilablehnung, Vollmacht-Anforderung bereitstellen.
• Aufbewahrungs- und Löschkonzept für DSAR-Akte festlegen.

Fazit: Behandeln Sie verdächtige Auskunftsanfragen professionell, ohne Sicherheitsrisiken einzugehen: Identität verifizieren, nur über eigene Kanäle kommunizieren, Fristen und Grenzen beachten, sauber dokumentieren. So erfüllen Sie Ihre Pflichten aus Art. 12, 15, 24 und 32 DSGVO und schützen sich vor Missbrauch durch massenhafte Spam-Anfragen.