Die E-Mail ist kurz und höflich: „Bitte teilen Sie mir gemäß Art. 15 DSGVO mit, welche Daten Sie über mich gespeichert haben.“ Absender ist eine ehemalige Patientin, ein Interessent aus dem Kontaktformular oder ein Kunde, der vor zwei Jahren ein Angebot bekommen hat. Viele Selbstständige legen so eine Mail erst einmal zur Seite. Das ist der teuerste Fehler, den Sie hier machen können – denn die Uhr läuft ab dem Tag, an dem die Anfrage eingeht.
Die gute Nachricht: Eine Auskunftsanfrage ist kein Drama, wenn Sie wissen, wo Ihre Daten liegen. Und genau da hilft ein Blick auf die eigene Website. Denn ein großer Teil der Kundendaten kleiner Betriebe entsteht heute online – über Formulare, Terminbuchung, Newsletter oder den Shop.
Was verlangt das Auskunftsrecht eigentlich?
Art. 15 DSGVO gibt jeder Person das Recht zu erfahren, ob Sie Daten über sie verarbeiten – und wenn ja, welche. Dazu gehören nicht nur die Daten selbst, sondern auch Begleitinformationen:
- zu welchem Zweck Sie die Daten verarbeiten,
- welche Kategorien von Daten betroffen sind (Name, E-Mail, Telefonnummer, Termine, Bestellungen …),
- an welche Empfänger Daten gehen, etwa Hoster, Newsletter-Dienst oder Buchungsplattform,
- wie lange Sie die Daten speichern oder nach welchen Kriterien die Dauer festgelegt wird,
- woher die Daten stammen, wenn die Person sie nicht selbst angegeben hat,
- welche Rechte die Person hat: Berichtigung, Löschung, Einschränkung, Widerspruch und Beschwerde bei der Aufsichtsbehörde.
Außerdem hat die Person Anspruch auf eine Kopie der Daten. Die erste Kopie ist kostenlos. Kam die Anfrage per E-Mail, stellen Sie die Informationen in der Regel auch elektronisch in einem gängigen Format bereit.
Sie haben grundsätzlich einen Monat Zeit (Art. 12 Abs. 3 DSGVO). In komplexen Fällen lässt sich die Frist um bis zu zwei weitere Monate verlängern – das müssen Sie der Person aber innerhalb des ersten Monats mitteilen und begründen.
Wo speichert Ihre Website personenbezogene Daten?
Bevor Sie antworten können, brauchen Sie eine Übersicht. Bei den Websites unserer Kunden sind es fast immer dieselben Stellen. Gehen Sie diese Liste einmal in Ruhe durch – am besten jetzt, nicht erst, wenn die Anfrage da ist.
1. Kontaktformular
Formularanfragen landen meist als E-Mail in Ihrem Postfach. Manche Formular-Plugins speichern die Einsendungen aber zusätzlich in der Datenbank der Website – oft, ohne dass es jemand weiß. Prüfen Sie im Backend, ob es dort eine Liste mit Einträgen gibt. Wie Sie Ihr Formular gleichzeitig vor Spam schützen, haben wir im Beitrag Spam im Kontaktformular beschrieben.
2. Online-Terminbuchung
Praxen und Dienstleister nutzen häufig externe Buchungsdienste. Die Daten liegen dann beim Anbieter, Sie sind aber weiterhin verantwortlich. Klären Sie, ob Sie die Termindaten einer Person dort gezielt suchen und exportieren können.
3. Newsletter
Newsletter-Tools speichern nicht nur die E-Mail-Adresse, sondern oft auch Anmeldezeitpunkt, Bestätigung per Double-Opt-in, Öffnungen und Klicks. Auch das gehört zur Auskunft. Die meisten Tools bieten eine Suchfunktion pro Kontakt.
4. Shop und Kundenkonto
Wer online verkauft, hat Bestellungen, Rechnungs- und Lieferadressen, eventuell ein Kundenkonto. Hier gibt es in der Regel eine Kundenansicht, aus der sich die Daten zusammenstellen lassen.
5. Server-Logs und Statistik
Ihr Hoster protokolliert Zugriffe, meist mit IP-Adresse. Diese Logs lassen sich einer Person aber in der Praxis selten zuordnen. Ähnlich bei Besucherstatistiken: Datensparsame Tools arbeiten ohne persönliche Profile. Mehr dazu im Beitrag Statistik-Tools ohne Cookie-Banner. In der Auskunft genügt dann oft ein erklärender Satz, wie diese Daten verarbeitet und wann sie gelöscht werden.
6. Bewerbungen und Kommentare
Nimmt Ihre Website Bewerbungen oder Blog-Kommentare entgegen, gehören auch diese Stellen auf die Liste.
So beantworten Sie die Anfrage in fünf Schritten
- Eingang notieren. Datum der Anfrage festhalten und die Frist im Kalender eintragen.
- Identität klären. Nur wenn Sie begründete Zweifel haben, ob die Anfrage wirklich von der betroffenen Person stammt, dürfen Sie zusätzliche Informationen verlangen. Schreibt jemand von der Adresse, die Sie ohnehin gespeichert haben, reicht das meist. Eine Ausweiskopie pauschal anzufordern, ist in der Regel zu viel.
- Daten sammeln. Die Liste oben abarbeiten: Postfach, Website-Backend, Buchungsdienst, Newsletter-Tool, Shop – und natürlich Ihre Offline-Unterlagen wie Kartei oder Buchhaltung.
- Antwort schreiben. Die gefundenen Daten plus die Begleitinformationen (Zwecke, Empfänger, Speicherdauer, Rechte). Vieles davon steht bereits in Ihrer Datenschutzerklärung – die ist eine gute Vorlage.
- Dokumentieren. Kopie der Antwort und das Versanddatum aufbewahren. Falls es später Streit gibt, können Sie belegen, dass Sie fristgerecht geantwortet haben.
Warum reicht „Wir haben nichts gespeichert“ oft nicht?
Die schnelle Antwort ist verlockend – aber selten richtig. Wer einmal über das Kontaktformular geschrieben hat, steht mindestens in Ihrem Postfach. Ist die Anfrage abgelehnt oder unvollständig beantwortet, kann die Person sich bei der Datenschutzbehörde beschweren. Der Europäische Gerichtshof hat im März 2026 außerdem klargestellt, dass auch ein Verstoß gegen das Auskunftsrecht einen Anspruch auf Schadensersatz auslösen kann – allerdings nur, wenn die Person einen tatsächlichen Schaden nachweist (Rechtssache C-526/24).
Auch das Format spielt eine Rolle. Das Oberlandesgericht Stuttgart hat am 31. Juli 2026 (Az. 5 U 271/24) entschieden: Wer Daten nach dem Recht auf Datenübertragbarkeit (Art. 20 DSGVO) herausgeben muss, erfüllt das nicht mit eingescannten Seiten als Bild-PDF. Gefordert ist ein strukturiertes, maschinenlesbares Format wie CSV oder JSON. Für die reine Auskunft nach Art. 15 gelten weniger strenge Formatvorgaben. Die Lehre für den Alltag ist trotzdem dieselbe: Wer seine Daten sauber exportieren kann, antwortet schneller und sicherer.
Vorbereiten statt improvisieren
Eine Auskunftsanfrage erfordert keine eigene Datenschutzabteilung. Es reicht eine einfache Übersicht, die Sie einmal anlegen und aktuell halten:
- Welche Stellen auf der Website erheben Daten? (Formular, Buchung, Newsletter, Shop)
- Bei welchem Anbieter liegen diese Daten, und wer hat den Zugang? Tipp: Zugangsdaten gehören in einen Passwort-Manager, nicht in einen Zettel am Monitor.
- Wie exportieren Sie die Daten einer einzelnen Person?
- Wann werden Daten wieder gelöscht?
Diese Übersicht deckt sich weitgehend mit dem, was ohnehin in Ihre Datenschutzerklärung gehört. Wenn Sie beides abgleichen, finden Sie oft auch veraltete Einträge – etwa ein Tool, das Sie längst nicht mehr nutzen. Einen schnellen Rundumblick bietet unser Datenschutz-Check für Ihre Website in 15 Minuten.
Legen Sie sich eine Antwortvorlage an: Begrüßung, Liste der gefundenen Daten, Zwecke, Empfänger, Speicherdauer, Hinweis auf die Rechte der Person. Beim nächsten Mal füllen Sie nur noch die Lücken.
Fazit
Eine Auskunftsanfrage ist kein Angriff, sondern ein Recht Ihrer Kunden. Wer weiß, wo die eigene Website Daten ablegt, beantwortet sie in einer Stunde statt in einer Woche. Nehmen Sie sich die Liste oben einmal vor – dann sind Sie vorbereitet, wenn die nächste E-Mail kommt. Und falls Sie unsicher sind, welche Daten Ihre Website im Hintergrund speichert: Wir schauen gern gemeinsam mit Ihnen nach.
Dieser Beitrag ersetzt keine Rechtsberatung. Bei konkreten Streitfällen wenden Sie sich an eine Fachanwältin oder einen Fachanwalt für IT-Recht oder an Ihre Datenschutzbehörde.
Lass uns über dein Projekt sprechen.
30 Minuten Erstgespräch, kostenlos und unverbindlich. Konkrete Antworten statt Sales-Pitch.
→ Kontakt aufnehmen
