Auskunftsanspruch nach DSGVO: So gehen Sie nach einem Datenleck vor

Nach einem Datenleck reicht die Aussage "Daten könnten betroffen sein" selten aus. Für Betroffene ist entscheidend, welche Daten verarbeitet wurden, wer sie erhalten hat und ob falsche oder veraltete Informationen im Umlauf sind. Genau dafür ist der Auskunftsanspruch nach Art. 15 DSGVO gedacht.

Das Recht ersetzt keine individuelle Rechtsberatung und beweist nicht automatisch einen Schaden. Es hilft aber, die Sachlage zu klären und weitere Schritte wie Berichtigung, Löschung, Beschwerde oder Sicherheitsmaßnahmen gezielter vorzubereiten.

Fragen Sie nicht allgemein "Was ist passiert?", sondern konkret: Welche Daten sind gespeichert, zu welchen Zwecken, aus welcher Quelle, an welche Empfänger und mit welcher Speicherdauer?

Was der Auskunftsanspruch praktisch bringt

Der Auskunftsanspruch verpflichtet Verantwortliche grundsätzlich dazu, nachvollziehbar über die Verarbeitung personenbezogener Daten zu informieren. Nach einem Datenleck kann diese Auskunft zeigen, ob nur Kontaktdaten, auch Vertragsdaten oder besonders sensible Angaben betroffen sein könnten.

Wichtig ist eine saubere Fragestellung. Je konkreter Sie die Punkte benennen, desto leichter lässt sich später erkennen, ob die Antwort vollständig ist.

Wie Sie das Auskunftsersuchen sauber formulieren

Schreiben Sie kurz, höflich und nachweisbar. Nutzen Sie die E-Mail-Adresse oder Anschrift, die im Datenschutzbereich des Unternehmens genannt wird. Wenn Sie ein Kundenkonto haben, verwenden Sie möglichst die dort hinterlegte E-Mail-Adresse, damit die Zuordnung leichter fällt.

Ein praxistaugliches Schreiben enthält:

• Ihren Namen und die Kontaktdaten, unter denen das Unternehmen Sie kennt.
• Die klare Formulierung, dass Sie Auskunft nach Art. 15 DSGVO verlangen.
• Die Bitte um eine Kopie der personenbezogenen Daten, die verarbeitet werden.
• Fragen zu Zwecken, Kategorien, Empfängern, Herkunft und Speicherdauer.
• Einen Hinweis auf das Datenleck, falls Sie das Ersuchen deshalb stellen.

Sie müssen das Auskunftsersuchen nicht rechtfertigen. Vermeiden Sie trotzdem lange Vermutungen. Ein strukturiertes Schreiben ist leichter zu beantworten und später besser zu dokumentieren.

Welche Informationen besonders wichtig sind

Nach einem Datenleck sind nicht alle Auskunftspunkte gleich wichtig. Priorität haben Angaben, mit denen Sie konkrete Risiken einschätzen können: Identitätsdaten, Kontaktdaten, Zugangsdatenhinweise, Zahlungsbezüge, Vertragsdaten und mögliche Empfänger.

Fragen Sie außerdem nach einer verständlichen Kopie der Daten. Wenn Sie feststellen, dass Daten falsch, veraltet oder doppelt sind, können Sie anschließend gezielt Berichtigung verlangen. Wenn Daten ohne erkennbaren Zweck weiter gespeichert werden, kann auch ein Lösch- oder Einschränkungsbegehren zu prüfen sein.

Identitätsprüfung: sinnvoll, aber nicht grenzenlos

Unternehmen dürfen prüfen, ob die anfragende Person wirklich betroffen ist. Das schützt Ihre Daten vor Herausgabe an Unbefugte. Gleichzeitig sollten Sie nicht vorschnell mehr Nachweise schicken als nötig.

Praktisch bedeutet das: Antworten Sie auf berechtigte Rückfragen zur Identität, schwärzen Sie bei Ausweiskopien nicht benötigte Angaben soweit möglich und senden Sie sensible Nachweise nur über einen vertretbaren Kanal. Wenn Sie aus einem bestehenden Kundenkonto heraus anfragen können, ist das oft der sauberste Weg.

Was Sie tun, wenn die Antwort unvollständig ist

Wenn die Antwort nur aus Standardtext besteht oder wichtige Punkte offenlässt, fassen Sie sachlich nach. Nennen Sie die fehlenden Punkte einzeln und bitten Sie um Ergänzung. Eine kurze Frist kann sinnvoll sein, sollte aber realistisch bleiben.

Bleibt das Unternehmen untätig oder weicht es weiter aus, kommt eine Beschwerde bei der zuständigen Datenschutzaufsicht in Betracht. Dafür ist Ihre Dokumentation wichtig: Anfrage, Versandnachweis, Antwort, Nachfragen und Datum sollten nachvollziehbar abgelegt sein.

Warum die Kombination mit anderen Rechten sinnvoll ist

Nach einem Datenleck ist die Auskunft häufig nur der erste Schritt. Je nach Antwort können weitere Betroffenenrechte relevant werden. Ob sie im Einzelfall greifen, hängt von den Daten, dem Zweck und der Reaktion des Unternehmens ab.

Wie Sie den Nutzen der Auskunft praktisch ausschöpfen

Die Antwort ist nicht nur ein Papier für die Akte. Sie zeigt, welche Daten das Unternehmen Ihnen zuordnet, ob Empfänger genannt werden und ob Speicherfristen nachvollziehbar sind. Nutzen Sie die Informationen als Arbeitsgrundlage für die nächsten Schritte.

Wenn Sie ein erhöhtes Betrugsrisiko erkennen, sollten Sie parallel praktische Schutzmaßnahmen prüfen: Passwörter ändern, Zwei-Faktor-Authentifizierung aktivieren, Konto- und Kartenumsätze beobachten oder bei Auskunfteien auf ungewöhnliche Einträge achten.

Woran Sie eine gute Antwort erkennen

Eine brauchbare Antwort ist konkret, nachvollziehbar und vollständig genug, damit Sie Ihre Rechte einschätzen können. Sie enthält nicht nur Datenschutzfloskeln, sondern Angaben zu Daten, Zwecken, Empfängern, Herkunft und Speicherdauer.

Lesen Sie die Antwort mit Ihrer ursprünglichen Anfrage daneben. So sehen Sie schnell, welche Punkte beantwortet sind und wo eine sachliche Nachfrage nötig ist.