Zwei Abläufe mit unterschiedlichen Aufgaben
Eine Auskunftsanfrage ist die Ausübung eines Rechts. Sie ist weder ein Störfall noch ein Anlass, nach verdächtigen Motiven zu suchen. Eine Datenpanne ist dagegen eine Verletzung des Schutzes personenbezogener Daten. Sie verlangt eine Bewertung möglicher Folgen und gegebenenfalls Meldungen. Eine gemeinsame Kontaktstelle ist sinnvoll. Eine gemeinsame Frist für beide Vorgänge wäre es nicht.
Organisatorisch sollte feststehen, wer Vorgänge annimmt, wer bearbeitet und wer bei Abwesenheit übernimmt. Die verantwortliche Organisation bleibt verantwortlich. Datenschutzbeauftragte beraten und überwachen; Fachbereiche liefern Daten und Kontext, die IT untersucht technische Zusammenhänge. Bei Vorfällen braucht es zusätzlich eine entscheidungsfähige Leitung. Ein Postfach allein ist noch kein Prozess, auch wenn es einen sehr ordentlichen Namen hat.
Diese Anleitung behandelt typische betriebliche Fälle im Anwendungsbereich der DSGVO. Branchenrecht, nationale Einschränkungen und parallele Meldepflichten können hinzukommen. Die Datenschutzgrundlagen erklären die Rollen; der praktische Einstieg hilft beim Aufbau der nötigen Zuständigkeiten. Die folgenden Abläufe sind eine organisatorische Orientierung, keine Entscheidung über einen unbekannten Einzelfall.
- 01Auskunftsanfrage
Eingang → Identität → Recherche → geprüfte Antwort. Unverzüglich, spätestens ein Monat; begründete Verlängerung möglich.
- 02Datenpanne
Erkennen → eindämmen und klären → Risiko bewerten → erforderliche Meldungen. Behördenmeldung unverzüglich, möglichst binnen 72 Stunden ab Bekanntwerden.
Die Wege haben unterschiedliche Auslöser und Fristen. Bei voraussichtlich hohem Risiko ist zusätzlich die unverzügliche Benachrichtigung betroffener Personen zu prüfen.
Auskunft: Eingang und Identität sicher klären
Eine Anfrage muss nicht „Artikel 15“ nennen oder ein bestimmtes Formular verwenden. Beschäftigte sollten erkennen, wenn jemand Auskunft über seine personenbezogenen Daten verlangt. Erfasst werden Eingang, Kontaktweg, Anliegen und zuständige Bearbeitung. Die interne Weiterleitung muss zügig funktionieren. Ein späteres Öffnen durch die Datenschutzstelle macht aus einem alten Eingang keinen neuen.
Bevor Daten herausgegeben werden, muss die Zuordnung zur richtigen Person ausreichend sicher sein. Bereits bestehende, verlässliche Anmeldeverfahren können helfen. Nach Artikel 12 Absatz 6 dürfen bei begründeten Identitätszweifeln zusätzliche erforderliche Informationen verlangt werden. Eine Ausweiskopie ist deshalb keine pauschale Eintrittskarte zum Auskunftsrecht. Die Prüfung muss zum Risiko passen und darf nicht unnötig weitere personenbezogene Daten einsammeln.
Bei einer Anfrage durch eine Vertretung wird auch deren Berechtigung geprüft. Ist der Umfang unklar, hilft eine konkrete Rückfrage; sie darf keine künstliche Hürde schaffen. Praktisch sinnvoll sind ein dokumentierter Fristtermin, eine interne Vorfrist und eine Vertretung. Diese organisatorischen Empfehlungen verhindern, dass eine rechtzeitig erkannte Anfrage trotzdem in der Urlaubsvertretung verschwindet.
Auskunft: Daten suchen und verständlich antworten
Die Recherche folgt den tatsächlichen Verarbeitungen: etwa Kundenverwaltung, Fachsysteme, Personalunterlagen, relevante Kommunikation und einbezogene Auftragsverarbeiter. Eine zentrale Datenbank kann ein guter Anfang sein, ist aber nicht automatisch der vollständige Bestand. Suchbereiche, Suchbegriffe, Rückmeldungen und offene Punkte werden festgehalten. Ein Verzeichnis der Verarbeitungstätigkeiten ist dabei eine Landkarte, keine fertige Auskunft.
Artikel 15 umfasst die Bestätigung der Verarbeitung, die betreffenden Daten und ergänzende Informationen: unter anderem Zwecke, Datenkategorien, Empfänger, Speicherdauer oder deren Kriterien, Rechte, Beschwerdemöglichkeit und gegebenenfalls Herkunft, automatisierte Entscheidungen und Garantien bei Drittlandübermittlungen. Die erste Kopie ist grundsätzlich kostenlos. Eine allgemeine Datenschutzerklärung beantwortet nicht, welche Daten über die konkrete Person verarbeitet werden.
Die Antwort wird auf Vollständigkeit, Verständlichkeit und sichere Zustellung geprüft. Nach Artikel 15 Absatz 4 sind bei der Kopie Rechte und Freiheiten anderer Personen zu berücksichtigen. Gezielte Schwärzungen oder Auszüge können erforderlich sein; ein pauschaler Verweis auf fremde Namen rechtfertigt keine vollständige Verweigerung. Verbleibende Einschränkungen brauchen eine konkrete Grundlage. Auch eine Auskunft darf nicht selbst zur nächsten Datenpanne werden.
Auskunft: Monatsfrist und Löschung auseinanderhalten
Nach Artikel 12 Absatz 3 erfolgt die Information über ergriffene Maßnahmen unverzüglich, spätestens innerhalb eines Monats nach Eingang. Ein Monat ist nicht pauschal mit 30 Tagen gleichzusetzen. Wenn Komplexität oder Anzahl der Anträge dies erforderlich machen, ist eine Verlängerung um höchstens zwei weitere Monate möglich. Innerhalb des ersten Monats müssen die betroffene Person und die Gründe der Verzögerung zusammenfinden: Die Verlängerung wird rechtzeitig mitgeteilt und begründet.
Wird nicht tätig geworden, verlangt Artikel 12 Absatz 4 ebenfalls spätestens innerhalb eines Monats eine Information über Gründe sowie Beschwerde- und gerichtliche Rechtsschutzmöglichkeiten. Die Monatsfrist ist keine Einladung, eine fertige Antwort liegenzulassen. Gewöhnliche Arbeitslast oder eine unbequeme Anfrage sind kein automatischer Verlängerungsgrund. Die Entscheidung gehört in den Vorgang, nicht nur in eine Erinnerung der bearbeitenden Person.
Ein Löschungsantrag ist gesondert nach Artikel 17 zu prüfen. Es braucht einen Löschungsgrund; gesetzliche Aufbewahrungspflichten oder erforderliche Rechtsverteidigung können einer Löschung entgegenstehen. Dann werden Umfang und Begründung nachvollziehbar erklärt. „Bitte alles löschen“ bedeutet weder sofortige Vernichtung sämtlicher Unterlagen noch ein unbegrenztes Aufbewahrungsrecht. Bei gleichzeitiger Auskunft und Löschung müssen die Arbeitsschritte so koordiniert werden, dass die Auskunft nicht vereitelt wird.
Datenpanne: erkennen, eindämmen, Fakten sichern
Eine Datenpanne betrifft Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten. Beispiele sind ein unbefugter Zugriff, veränderte Kontodaten, verlorene Unterlagen oder nicht mehr verfügbare Behandlungsinformationen. Auch eine E-Mail an einen falschen Empfänger kann genügen. Ein Angriff von außen ist keine Voraussetzung. Umgekehrt ist nicht jeder technische Fehler automatisch eine Datenschutzverletzung.
Beschäftigte melden einen Verdacht sofort über den vorgesehenen internen Weg. Sie müssen vorher keine juristische Einordnung abschließen. Die zuständigen Personen begrenzen den Schaden, sichern geeignete Belege und klären betroffene Daten, Personen, Systeme und Zeitpunkte. Unkontrolliertes Löschen kann wichtige Spuren beseitigen. Technische Maßnahmen gehören deshalb mit der Untersuchung abgestimmt; dringende Schutzmaßnahmen dürfen dabei nicht auf eine perfekte Dokumentation warten.
Die erste gemeinsame Frage lautet: Was wissen wir, was vermuten wir und was müssen wir als Nächstes feststellen? Schuldzuweisungen helfen bei dieser Arbeit nicht. Ein sachlicher Meldeweg unterstützt frühe Hinweise. Das technische Vorgehen beschreibt die Seite Sicherheitsvorfälle bearbeiten. Datenschutz ergänzt dort die Sicht auf die betroffenen Menschen und die rechtlichen Informationspflichten.
Datenpanne: Risiko und Behördenmeldung beurteilen
Bewertet werden mögliche Folgen für Menschen: etwa Identitätsmissbrauch, finanzielle Nachteile, Diskriminierung oder die Offenlegung vertraulicher Lebensumstände. Datenart, Umfang, Identifizierbarkeit, Empfänger, vorhandene Schutzmaßnahmen und besondere Verletzlichkeit der Betroffenen beeinflussen das Ergebnis. Der Imageschaden der Organisation ist hierfür nicht der Maßstab. Auch ein einzelner Datensatz kann schwerwiegende Folgen haben.
Artikel 33 verlangt die Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Sie entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten führt. Für das Bekanntwerden ist hinreichende Gewissheit über eine Sicherheitsverletzung mit betroffenen personenbezogenen Daten maßgeblich, nicht erst der fertige Untersuchungsbericht. Die Zeitpunkte von Verdacht, Erkenntnissen und Bewertung werden getrennt festgehalten.
Die Meldung enthält die Art der Verletzung, soweit möglich Kategorien und ungefähre Zahlen betroffener Personen und Datensätze, eine Kontaktstelle, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen. Fehlende Angaben können ohne unangemessene weitere Verzögerung nachgereicht werden. Eine verspätete Meldung braucht eine Begründung. Alle Verletzungen werden nach Artikel 33 Absatz 5 dokumentiert, auch solche ohne Meldepflicht: Sachverhalt, Auswirkungen, Abhilfe und begründete Entscheidung.
- 01Jede festgestellte Datenpanne
Sachverhalt, Auswirkungen und Abhilfe dokumentieren; Entscheidung nachvollziehbar begründen.
- 02Behördenmeldung
Unverzüglich, möglichst binnen 72 Stunden ab Bekanntwerden; entfällt bei voraussichtlich fehlendem Risiko.
- 03Betroffene Personen
Bei voraussichtlich hohem Risiko unverzüglich benachrichtigen; Ausnahmen nach Artikel 34 Absatz 3 prüfen.
Die Bedingungen werden getrennt geprüft. Die 72 Stunden sind keine Wartezeit; für erforderliche Meldungen und Benachrichtigungen gilt jeweils unverzüglich.
Datenpanne: Menschen informieren und Partner einbinden
Bei voraussichtlich hohem Risiko fordert Artikel 34 zusätzlich die unverzügliche Benachrichtigung betroffener Personen in klarer, einfacher Sprache. Sie beschreibt die Verletzung, Kontaktmöglichkeiten, wahrscheinliche Folgen und Gegenmaßnahmen. Ergänzend helfen konkrete, zum Vorfall passende Empfehlungen. Eine beruhigend klingende Nachricht ohne verwertbare Information schützt niemanden. Die Information wartet nicht automatisch auf eine Antwort der Aufsichtsbehörde.
Artikel 34 Absatz 3 nennt Ausnahmen: wirksame Schutzmaßnahmen, die betroffene Daten für Unbefugte unzugänglich machen, nachträgliche Maßnahmen, durch die das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht, oder unverhältnismäßiger Aufwand. Im letzten Fall ist eine öffentliche Bekanntmachung oder vergleichbar wirksame Information erforderlich. Verschlüsselung ist kein pauschaler Freibrief; Anwendung, Schlüsselkontrolle und verbleibende Risiken müssen tatsächlich passen.
Ein Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung. Er erhält dafür keine eigene allgemeine 72-Stunden-Wartezeit. Verträge und Bereitschaftswege sollten schnelle Erstinformationen und Ergänzungen ermöglichen. Die Rollenklärung zu Dienstleistern und KI hilft dabei. Andere Meldepflichten können parallel gelten und werden separat geführt. Eine einzige versandte Nachricht erfüllt nicht automatisch jede Pflicht.
Zwei fiktive Fälle und ein brauchbarer Abschluss
Fiktives Beispiel Auskunft: Eine ehemalige Kundin fragt nach sämtlichen gespeicherten Daten. Der Betrieb erfasst den Eingang, bestätigt die sichere Zuordnung und bezieht Kundenverwaltung, Abrechnung und relevante Kommunikation ein. Die Antwort erklärt auch, welche Rechnungsdaten wegen gesetzlicher Pflichten noch aufbewahrt werden. Eine gleichzeitig verlangte Löschung wird getrennt geprüft. Das Ergebnis ist eine nachvollziehbare Antwort, kein kommentarloser Datenexport.
Fiktives Beispiel Datenpanne: Eine Tabelle mit Beschäftigtendaten geht an einen externen falschen Empfänger. Der Betrieb kontaktiert ihn zur Eindämmung, sichert Versandinformationen und prüft Inhalt, Weitergabe und mögliche Folgen. Eine bestätigte Löschung kann die Risikobewertung beeinflussen, ersetzt sie aber nicht. Bei enthaltenen Gesundheitsangaben fällt die Bewertung möglicherweise anders aus als bei gewöhnlichen dienstlichen Kontaktdaten. Die Entscheidung entsteht aus den belegten Umständen.
Nach dem Abschluss werden Ursachen und Verbesserungen sachlich festgehalten: fehlende Vertretung, ungünstige Empfängerauswahl oder unvollständige Datenübersicht. Maßnahmen erhalten Verantwortliche und einen Prüftermin. Bei veränderten Verarbeitungsrisiken kann auch die Risikobewertung einschließlich einer möglichen Datenschutz-Folgenabschätzung erneut relevant werden. Fachlicher Prüfstand dieser allgemeinen Anleitung: 28. Oktober 2026; neue Rechtsprechung, geänderte Leitlinien und konkrete Sonderregeln verlangen eine erneute Prüfung.
Häufige Fragen
Muss eine Auskunftsanfrage begründet werden?
Nein. Die betroffene Person muss grundsätzlich nicht erklären, warum sie Auskunft möchte. Auch ein bestehender Streit macht den Antrag nicht automatisch missbräuchlich. Entscheidend sind das erkennbare Begehren, die sichere Zuordnung und die vorhandenen personenbezogenen Daten. Eine Einschränkung braucht eine tragfähige rechtliche Grundlage; bloß vermutete Motive reichen nicht.
Dürfen wir immer eine Ausweiskopie verlangen?
Nein. Zusätzliche Identitätsinformationen müssen bei begründeten Zweifeln erforderlich und verhältnismäßig sein. Ein bereits verlässlich authentifiziertes Konto kann die Zuordnung ermöglichen. Falls ein Ausweisdokument im konkreten Fall benötigt wird, sind unnötige Angaben zu vermeiden beziehungsweise zu schwärzen und ein sicherer Übermittlungsweg vorzusehen. Eine routinemäßige vollständige Kopie schafft häufig zusätzliche Daten statt zusätzlicher Sicherheit.
Reicht die Datenschutzerklärung als Auskunft?
Eine allgemeine Datenschutzerklärung ersetzt die individuelle Auskunft nicht. Die Person soll erfahren, ob und welche sie betreffenden Daten verarbeitet werden, und die gesetzlich vorgesehenen Zusatzinformationen erhalten. Angaben aus der Datenschutzerklärung können dafür genutzt werden, müssen aber zum konkreten Fall passen. Eine überprüfte Datenkopie und verständliche Erläuterungen gehören entsprechend dem Auskunftsumfang dazu.
Müssen wir nach einem Löschungsantrag alles entfernen?
Nein. Artikel 17 enthält Voraussetzungen und Ausnahmen. Gesetzlich erforderliche Aufbewahrung oder notwendige Rechtsverteidigung können einer Löschung bestimmter Daten entgegenstehen. Das erlaubt nicht, vorsorglich den gesamten Bestand weiterzuführen. Prüfen Sie Datenarten und Zwecke einzeln, löschen Sie erforderlichenfalls und erläutern Sie verbleibende Bestände und Gründe. Die Antwortpflicht nach Artikel 12 bleibt bestehen.
Ist eine E-Mail an den falschen Empfänger meldepflichtig?
Sie kann eine Datenpanne sein, wenn personenbezogene Daten unbefugt offengelegt wurden. Ob die Aufsichtsbehörde informiert werden muss, hängt von der konkreten Risikobewertung ab. Art und Sensibilität der Daten, Empfänger und wirksame Eindämmung spielen mit hinein. Der Vorfall und die Entscheidung werden dokumentiert; eine erfolgreiche Rückrufanzeige allein beweist noch keine vollständige Beseitigung des Risikos.
Dürfen wir erst den fertigen Untersuchungsbericht abwarten?
Nein, wenn dadurch eine erforderliche Meldung verzögert würde. Artikel 33 ermöglicht eine stufenweise Übermittlung, falls Angaben nicht gleichzeitig bereitgestellt werden können. Melden Sie die gesicherten Erkenntnisse und kennzeichnen Sie offene Punkte. Ergänzungen folgen ohne unangemessene Verzögerung. Die Untersuchung und die notwendige Kommunikation laufen deshalb koordiniert nebeneinander, statt aufeinander zu warten.
Sind mit den 72 Stunden drei Arbeitstage gemeint?
Nein. Die Frist wird in Stunden ab Bekanntwerden betrachtet; ein Wochenende verschafft keine allgemeine Pause. Zudem gilt die Pflicht zur unverzüglichen Meldung, soweit sie erforderlich ist. Organisationen brauchen daher erreichbare Zuständige und Vertretungen. Für die Benachrichtigung betroffener Menschen bei voraussichtlich hohem Risiko gilt gesondert unverzüglich, keine pauschale Frist von drei Arbeitstagen.
Wer entscheidet, wenn die Datenschutzbeauftragten fehlen?
Die Verantwortung liegt weiterhin bei der verantwortlichen Organisation. Sie braucht einen festgelegten Entscheidungsweg mit Vertretung und Zugriff auf fachliche Unterstützung. Datenschutzbeauftragte sollen rechtzeitig eingebunden werden; ihre Abwesenheit setzt Pflichten jedoch nicht aus. Eine vorbereitete Rollenverteilung zwischen Leitung, Fachbereich, IT und Datenschutz verhindert, dass ein dringender Vorgang auf eine einzelne Person wartet.
Quellen und weitere Informationen
- DSGVO: insbesondere Artikel 4 Absatz 12 sowie 12, 15, 17, 33 und 34
- BfDI: DSGVO und BDSG, Gesetzestexte und Erläuterungen
- EDSA: Leitlinien 01/2022 zum Auskunftsrecht, endgültige Fassung
- BfDI: Arbeitshilfe zu Auskunftsersuchen im Beschäftigtendatenschutz
- EDSA: Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen, Version 2.0
- BfDI: Die DSGVO in der Bundesverwaltung, Melde- und Benachrichtigungspflichten
- LfD Niedersachsen: FAQ zur Meldung von Datenschutzverstößen
Diese Seite erläutert Grundlagen und ersetzt keine rechtliche oder datenschutzrechtliche Prüfung des Einzelfalls.
Quellenstand: 28. Oktober 2026.