Ein DSGVO-Auskunftsersuchen kommt selten als förmliches Schreiben mit Verweis auf Art. 15. Häufiger ist es ein Satz im Gespräch über eine Bestellung: „Schickt mir bitte eine Kopie von allem, was ihr über mich gespeichert habt.“ Behandelt ein Mitarbeiter das als gewöhnliche Frage und schließt den Vorgang, kann die Frist ablaufen, bevor die zuständige Person davon erfährt.
Die allgemeinen Regeln für Chatdaten, also Rollen, Informationspflichten und Aufbewahrung, erklären wir im Artikel zu Live-Chat und DSGVO. Der Text ist keine Rechtsberatung; die endgültige Antwort bereitet die Person vor, die in deinem Unternehmen für Datenschutz zuständig ist. Wir beschreiben die EU-DSGVO; außerhalb der EU, etwa im Vereinigten Königreich, gelten eigene Gesetze und die Leitlinien der dortigen Aufsichtsbehörde.
Ein Ersuchen im normalen Gespräch erkennen
Ein Ersuchen braucht weder eine bestimmte Form noch eine Bezeichnung. Es genügt, dass die Person erkennbar wissen will, welche Daten du über sie verarbeitest, oder eine Kopie verlangt. Im Chat klingt das meist so: „Was habt ihr über mich im System?“, „Bitte schickt mir alle meine Gespräche“, „Ich will sehen, welche Daten ihr gesammelt habt“.
Die EDSA-Leitlinien 01/2022 zum Auskunftsrecht halten fest, dass die DSGVO an die betroffene Person keine formalen Anforderungen stellt und der Verantwortliche ihre Absichten nicht bewertet. Wer in deinem Unternehmen die Ersuchen beantwortet, regeln die Leitlinien nicht. EDSA, Leitlinien 01/2022.
Unterscheide ein Ersuchen von der Frage nach einer einzelnen Angabe: Wohin das Paket ging, ist eine normale Bestellfrage. Im Zweifel markierst du das Gespräch als mögliches Ersuchen und fragst nach, statt es stillschweigend zu übergehen. Laut EDSA umfasst eine allgemeine Anfrage grundsätzlich alle Daten der Person; bei großen Datenmengen darf das Unternehmen um eine Präzisierung bitten.
Erste Antwort: Eingang bestätigen, keine Daten schicken
Ein Mitarbeiter im First-Level-Support sollte nicht sofort Gesprächsverläufe oder Profildaten einfügen. Seine Aufgabe ist es, den Eingang zu bestätigen, den nächsten Schritt zu erklären und eine Spur zu hinterlassen, die bei der nächsten Schicht nicht verloren geht. Der EDSA hält es für gute Praxis, den Eingang schriftlich zu bestätigen und anzugeben, von wann bis wann die Monatsfrist läuft.
„Danke, wir haben deine Anfrage erhalten, welche personenbezogenen Daten wir über dich verarbeiten, zusammen mit einer Kopie. Eingangsdatum: 7. Oktober. Die für Datenschutz zuständige Person antwortet spätestens bis zum 7. November. Falls wir bestätigen müssen, dass wir mit dem Kontoinhaber sprechen, schreiben wir an die mit dem Konto verknüpfte E-Mail-Adresse.“
Erfasse das Ersuchen an einem Ort mit Zuständigkeit und Verlauf. Ein Ticket mit Nummer, zugewiesener Person und einer internen Notiz mit Eingangsdatum, wörtlichem Zitat und Kanal zeigt allen, wo der Vorgang steht. Die Notiz selbst sollte die angefragten Daten nicht wiederholen.
Frist: ein Monat ab Eingang, nicht ab Weitergabe
Nach Art. 12 Abs. 3 DSGVO musst du Informationen über die auf ein Ersuchen hin ergriffenen Maßnahmen unverzüglich, spätestens aber innerhalb eines Monats nach Eingang zur Verfügung stellen. Die Frist kann um weitere zwei Monate verlängert werden, wenn das wegen Komplexität und Anzahl der Anträge erforderlich ist; über die Verlängerung und die Gründe informierst du innerhalb des ersten Monats. Die erste Kopie ist unentgeltlich.
Art. 12 und 15 DSGVO im amtlichen Wortlaut auf EUR-Lex. Die Vorschrift selbst erklärt nicht, wie Tage im Kalender gezählt werden; Rechenbeispiele enthalten die EDSA-Leitlinien. Verordnung (EU) 2016/679 auf EUR-Lex.
Der EDSA erläutert, dass die Frist an dem Tag beginnt, an dem das Ersuchen über einen offiziellen Kanal beim Unternehmen eingeht, auch wenn es noch niemand gelesen hat. Im Beispiel der Leitlinien muss ein Ersuchen vom 5. März spätestens am 5. April beantwortet sein. Der Support-Chat auf deiner Website ist meist ein solcher Kanal, es zählt also der Zeitpunkt der Kundennachricht und nicht der Tag der Weiterleitung.
Identitätsprüfung im Verhältnis zum Risiko
Eine Kopie des Gesprächsverlaufs an die falsche Person ist eine Datenpanne und keine erfüllte Auskunft. Art. 12 Abs. 6 DSGVO erlaubt, zusätzliche Informationen anzufordern, wenn begründete Zweifel an der Identität bestehen. Das heißt nicht, automatisch einen Ausweisscan zu verlangen: Der EDSA hält das für unverhältnismäßig, wenn die Person bereits authentifiziert ist, etwa im Kundenkonto angemeldet.
Am besten bestätigst du die Person über einen Kanal, der schon mit ihren Daten verknüpft ist: eine Antwort von der E-Mail-Adresse aus Konto oder Bestellung, eine Anmeldung oder eine aus früheren Kontakten bekannte Telefonnummer. Stufen einer solchen Prüfung beschreiben wir im Leitfaden zur Identitätsprüfung vor Auskünften zur Bestellung. Halte im Ticket fest, wie und wann die Person bestätigt wurde. Laut EDSA kann die Klärung von Identitätszweifeln die Frist anhalten, deshalb gehört auch der Tag deiner Rückfrage in die Notiz.
Datenquellen im Support kartieren
Das Ersuchen betrifft Daten im ganzen Unternehmen, doch dein Supportteam weiß am besten, was in seinen Kanälen entsteht. Die Antwort soll den Stand zum Eingang des Ersuchens wiedergeben; bereits nach deinen Aufbewahrungsregeln gelöschte Daten lassen sich nicht herausgeben. Die Tabelle zeigt eine Beispielaufteilung für einen fiktiven Shop für Fahrradzubehör.
Scrolle die Tabelle seitlich, um alle Spalten zu sehen.
| Quelle | Möglicher Inhalt | Worauf achten |
|---|---|---|
| Gesprächs- und Ticketverlauf | Nachrichten, Anhänge, Statusänderungen | Daten anderer Personen im selben Verlauf |
| Interne Notizen | Feststellungen des Teams zum Kunden | Nicht vorab ausschließen; die zuständige Person entscheidet |
| Kontaktprofil | Name, E-Mail, Telefon, Unternehmen, Attribute | Derselbe Kunde in mehreren Kanälen |
| Sitzungsaufzeichnungen und Besuchsverlauf | Besuchte Seiten, Ereignisse, aufgezeichnete Besuche | Besuche, die nach Identifikation dem Kontakt zugeordnet sind |
| Rückrufanfragen | Name, Telefonnummer, Thema, Termin | Kann eine eigene Aufbewahrungsfrist haben |
Sitzungsaufzeichnungen sind ein eigener Bereich, der leicht vergessen wird. Sind sie mit dem Kontakt verknüpft, gehören sie zur Prüfung; wie du sie erfasst und maskierst, erklärt der Artikel zu Sitzungsaufzeichnungen und DSGVO. Nach Art. 15 Abs. 4 DSGVO darf das Recht auf eine Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Prüfe vor der Herausgabe eines Chatverlaufs deshalb, ob er Daten Dritter enthält, etwa zu einer Kollegin des Kunden. Tauchten im Gespräch besonders schutzwürdige Daten auf, hilft der Leitfaden zu sensiblen Daten im Chat.
Übergabe und Antwort: die Reihenfolge
Der Support sammelt das Material, über Inhalt der Antwort, eine Fristverlängerung oder Einschränkungen der Kopie entscheidet jedoch die vom Unternehmen benannte Person. Die folgende Reihenfolge funktioniert in einem kleinen Team ohne Rechtsabteilung.
- Eingang.Der Mitarbeiter bestätigt den Eingang, zitiert die Anfrage in einer Notiz und hält Datum und Kanal fest.
- Zuweisung.Das Ticket erhält genau eine verantwortliche Person und ein internes Fälligkeitsdatum unter einem Monat.
- Prüfung.Die verantwortliche Person bestätigt die Identität über einen bekannten Kanal und dokumentiert, wie.
- Datensammlung.Das Team prüft jede Quelle der Übersicht und notiert auch die Stellen, an denen nichts gefunden wurde.
- Antwort.Kopie und Informationen nach Art. 15 Abs. 1 gehen über einen sicheren Kanal an den Kunden, das Ticket wird mit Versanddatum geschlossen.
Die Antwort umfasst nicht nur die Kopie, sondern auch die Informationen nach Art. 15 Abs. 1: Verarbeitungszwecke, Datenkategorien, Empfänger, Speicherdauer, Betroffenenrechte und die Herkunft der Daten, falls sie nicht bei der Person erhoben wurden. Teile davon kannst du aus der Datenschutzerklärung übernehmen, doch laut EDSA müssen sie auf die konkrete Person zugeschnitten sein.
So organisierst du das in Meetlead
In Meetlead erfasst du das Ersuchen als Ticket mit Nummer, Zuweisung und internen Notizen, und der Ereignisverlauf zeigt, wer wann etwas geändert hat. Das Kontaktprofil führt zum Besuchsverlauf mit Verknüpfungen zu Aufzeichnungen, Gesprächen, Rückrufen und Tickets und dient so als Übersicht der zu prüfenden Stellen innerhalb einer Website. Der CSV-Export der Kundenliste enthält Profildaten, nicht den vollständigen Verlauf von Gesprächen und Aufzeichnungen. Die vollständige Kopie stellt weiterhin ein Mensch zusammen, der jede Quelle durchsieht.
Die Aufbewahrungsfristen für Nachrichten und Aufzeichnungen sind konfigurierbar. Solange ein Ersuchen offen ist, sollte die verantwortliche Person prüfen, dass die betroffenen Daten nicht vor dem Versand der Antwort gelöscht werden; der EDSA erwartet, dass die Bearbeitung kurze Speicherfristen berücksichtigt. Wie der Ticketablauf selbst funktioniert, erklärt unser Leitfaden zum Ticketsystem im Kundenservice.
Fragen zum Auskunftsersuchen im Support
Muss ich antworten, wenn der Kunde weder „DSGVO“ noch „Art. 15“ geschrieben hat? Ja, wenn aus der Nachricht hervorgeht, dass er wissen will, welche Daten du über ihn verarbeitest, oder eine Kopie möchte. Die EDSA-Leitlinien betonen, dass es keine formalen Anforderungen gibt. Ist die Anfrage unklar, frag nach dem Umfang und halte diese Rückfrage im Ticket fest.
Darf ich ein Entgelt verlangen oder ablehnen? Die erste Kopie ist unentgeltlich. Für weitere Kopien erlaubt die DSGVO ein angemessenes Entgelt, bei offenkundig unbegründeten oder exzessiven Anträgen, vor allem bei häufiger Wiederholung, auch eine Ablehnung. Die Beweislast trägt das Unternehmen, und der EDSA betont, dass der Spielraum für „offenkundig unbegründet“ sehr eng ist.
