Eine DSGVO-Auskunftsanfrage kommt selten gelegen. Sie landet über das Kontaktformular, per E-Mail, im Shop-Support, als Antwort auf einen Newsletter oder über ein Social-Media-Profil. Oft ist im ersten Moment nicht einmal klar, ob es wirklich eine Auskunftsanfrage ist. Genau deshalb brauchen Website-Betreiber einen einfachen Prozess, bevor der Ernstfall da ist.
Das Auskunftsrecht ist eines der zentralen Betroffenenrechte. Der BfDI erklärt, dass Betroffene Informationen über die Verarbeitung ihrer Daten erhalten können und damit andere Rechte wie Berichtigung oder Löschung überhaupt gezielt ausüben können. Für Betreiber bedeutet das: Die Antwort darf nicht improvisiert sein. Sie muss vollständig genug, verständlich, sicher und fristgerecht sein.
Warum Website-Teams besonders betroffen sind
Websites sind oft der Eingangskanal für personenbezogene Daten. Kontaktformulare, Newsletter, Shopkonten, Kommentare, Bewerbungen, Downloadformulare, Terminbuchungen, Webanalyse, Logfiles und Supportanfragen erzeugen unterschiedliche Datenspuren. Die Personen, die eine Anfrage entgegennehmen, sitzen aber nicht immer im Datenschutzteam. Häufig antwortet zuerst Marketing, Vertrieb, Support oder die Geschäftsführung.
Wenn dann kein Prozess existiert, entstehen typische Fehler: Die Anfrage wird als normale Supportfrage behandelt, intern weitergeleitet und vergessen, ohne Identitätsprüfung beantwortet oder mit unvollständigen Daten aus nur einem System erledigt. Ein guter Ablauf verhindert genau diese Reibung.
Frist und Eingang sauber erfassen
Der erste Schritt ist banal, aber entscheidend: Eingang dokumentieren. Wann kam die Anfrage an? Über welchen Kanal? Wer hat sie übernommen? Welche Identität behauptet die anfragende Person? Welche Systeme könnten betroffen sein? Diese Informationen gehören in eine interne Vorgangsliste, damit die Frist nicht im Postfach verschwindet.
Die DSGVO sieht für Betroffenenrechte Fristen und transparente Kommunikation vor. Website-Betreiber sollten deshalb keine Anfrage „liegen lassen“, bis alle technischen Details klar sind. Besser ist ein kurzer interner Triage-Prozess: Handelt es sich um Auskunft, Löschung, Berichtigung, Widerspruch, Datenübertragbarkeit oder nur um eine allgemeine Frage? Bei gemischten Anliegen sollte der Vorgang entsprechend markiert werden.
Identität prüfen, aber nicht übertreiben
Eine Auskunft enthält personenbezogene Daten. Betreiber müssen daher sicherstellen, dass sie nicht an die falsche Person antworten. Gleichzeitig darf die Identitätsprüfung nicht unnötig datenhungrig sein. Wer eine Anfrage aus einem eingeloggten Kundenkonto stellt, lässt sich anders prüfen als jemand, der mit einer freien E-Mail-Adresse schreibt und Daten zu einer alten Bestellung verlangt.
Pragmatisch ist ein risikobasierter Ansatz. Für einfache Newsletterdaten kann eine Bestätigung über die registrierte E-Mail-Adresse genügen. Für Shopdaten, Zahlungsbezug oder sensible Angaben kann eine stärkere Prüfung nötig sein. Wichtig ist, zusätzliche Identitätsdaten nicht dauerhaft ohne Grund zu speichern. Auch die Identitätsprüfung selbst ist Teil des Datenschutzprozesses.
Datenquellen vorher kennen
Die schwierigste Frage lautet oft: Wo liegen die Daten? Bei einer typischen WordPress-Website können relevante Informationen im CMS, in Formular-Plugins, im E-Mail-Postfach, im CRM, im Newslettertool, im Shop, im Zahlungsdienst, in Server-Logfiles, in Backups und bei externen Dienstleistern liegen. Ohne Datenquellenliste wird eine Auskunft schnell unvollständig.
Deshalb sollte jede Website eine einfache Datenquellen-Matrix haben. Dort steht, welcher Dienst welche Daten verarbeitet, wer Zugriff hat, wie lange Daten gespeichert werden und wie sie exportiert oder gelöscht werden können. Der Beitrag zu Kontaktformularen und Datenschutz zeigt bereits, wie schnell ein einzelnes Formular mehrere Systeme berühren kann.
Antworten müssen verständlich sein
Eine Auskunft ist kein Daten-Dump ohne Kontext. Betroffene sollen verstehen, welche Daten verarbeitet werden, zu welchen Zwecken, auf welcher Grundlage, welche Kategorien betroffen sind, wer Empfänger sein kann und wie lange gespeichert wird. Bei Daten aus mehreren Systemen braucht es eine klare Struktur. Ein PDF mit Screenshots aus fünf Tools ist selten die beste Lösung.
Für Website-Betreiber hat sich eine zweigeteilte Antwort bewährt: zuerst eine verständliche Zusammenfassung der Verarbeitungen, danach konkrete Datenkopien oder Exporte, soweit sie erforderlich und sinnvoll sind. Drittpersonen-Daten müssen geprüft werden. Interne Notizen, Sicherheitsinformationen oder Daten anderer Personen dürfen nicht unbedacht mitgeschickt werden.
Technische Sicherheit der Antwort
Die Antwort auf eine Auskunftsanfrage kann mehr personenbezogene Daten enthalten als die ursprüngliche Website-Kommunikation. Deshalb sollte der Übermittlungsweg bewusst gewählt werden. Je nach Inhalt kann eine verschlüsselte Datei, ein sicherer Download, eine getrennte Passwortübermittlung oder ein geschütztes Kundenkonto sinnvoller sein als ein normaler E-Mail-Anhang.
Auch intern ist Sicherheit wichtig. Nicht jeder im Unternehmen braucht Zugriff auf den gesamten Auskunftsvorgang. Wenn externe Dienstleister eingebunden sind, sollte klar sein, wer beauftragt wird, welche Daten geliefert werden und über welchen Kanal die Rückmeldung kommt. Der Prozess gehört also nicht nur in die Datenschutzablage, sondern in den operativen Support.
Backups und gelöschte Daten einordnen
Viele Betreiber fragen, ob sie für eine Auskunft auch Backups durchsuchen müssen. Pauschale Antworten sind riskant. Entscheidend ist, ob Daten produktiv verarbeitet werden, wie Backups organisiert sind und ob eine Wiederherstellung konkrete Daten wieder verfügbar machen würde. Wichtig ist vor allem, dass Backups nicht als Ausrede für ungeordnete Lösch- und Auskunftsprozesse dienen.
Wenn Daten nur noch in technischen Sicherungen liegen, sollte der Umgang damit dokumentiert sein: Wie lange werden Backups aufbewahrt? Wer kann sie wiederherstellen? Was passiert, wenn Daten aus einem Backup zurückgespielt werden? Diese Fragen verbinden Auskunftsprozesse mit Backup- und Löschkonzepten.
Ein kleiner Prozess reicht oft aus
Für viele KMU reicht ein klarer Ablauf auf einer Seite: Eingang erfassen, Anliegen klassifizieren, Identität prüfen, Datenquellen abfragen, Antwort erstellen, Vier-Augen-Prüfung durchführen, sicher senden, Abschluss dokumentieren. Dazu kommen Vorlagen für Eingangsbestätigung, Rückfrage zur Identität, Verlängerungsinformation und Antwortstruktur.
Wichtig ist, dass der Prozess zur Website passt. Ein kleiner Dienstleister ohne Shop braucht weniger Schritte als ein Händler mit Kundenkonten, Zahlungsdaten und Newsletterhistorie. Der Prozess sollte aber vor dem ersten Konflikt existieren. Unter Zeitdruck entstehen sonst die meisten Fehler.
Vorlagen sparen Zeit, ersetzen aber keine Prüfung
Für wiederkehrende Situationen sollten Betreiber kurze Textvorlagen vorbereiten. Eine Eingangsbestätigung, eine Identitätsrückfrage, eine Zwischeninformation und eine Antwortstruktur reichen häufig aus. Diese Vorlagen helfen, freundlich und konsistent zu reagieren, ohne jedes Mal bei null zu beginnen. Sie sollten aber nicht blind verschickt werden.
Jede Anfrage braucht eine Einzelfallprüfung. Betrifft sie nur Newsletterdaten oder auch Shopbestellungen? Gibt es Daten Dritter in E-Mails oder Tickets? Wurde bereits eine Löschung verlangt? Geht es um ein Kundenkonto, eine Bewerbung oder einen Kommentar? Vorlagen sind das Geländer, nicht die Entscheidung selbst.
Dienstleister früh einbinden
Viele Daten liegen nicht ausschließlich auf dem eigenen Webserver. Hoster, Formularanbieter, Newsletterdienste, CRM-Systeme, Zahlungsanbieter oder Supporttools können relevante Informationen enthalten. Deshalb sollte schon vor der ersten Anfrage klar sein, wie Dienstleister unterstützen. Art. 28 DSGVO sieht vor, dass Auftragsverarbeiter den Verantwortlichen bei bestimmten Pflichten unterstützen müssen, soweit das zur Verarbeitung passt.
In der Praxis bedeutet das: Kontaktweg, Reaktionszeit und Exportmöglichkeiten sollten bekannt sein. Wenn ein Anbieter keine brauchbaren Datenexporte oder Löschprotokolle bietet, ist das ein operatives Risiko. Auskunftsanfragen sind damit auch ein guter Test, ob die Website-Tool-Landschaft wirklich beherrschbar ist.
Nach Abschluss sollte der Vorgang kurz nachbereitet werden. Welche Datenquelle war schwer zu finden? Welche Antwort dauerte zu lange? Wo fehlte eine Zuständigkeit? Diese Erkenntnisse verbessern den nächsten Fall. Auskunftsprozesse werden nicht durch einmalige Vorlagen gut, sondern durch kleine Korrekturen nach echten Anfragen und internen Reviews.
Fazit: Auskunft beginnt nicht bei der Antwort
Eine gute DSGVO-Auskunft beginnt lange vor der eigentlichen Anfrage. Betreiber müssen wissen, welche Datenquellen ihre Website hat, wer intern zuständig ist und wie eine sichere Antwort aussieht. Dann wird aus einem potenziell stressigen Vorgang ein beherrschbarer Ablauf.
Der beste nächste Schritt: Legen Sie eine Datenquellenliste für Ihre Website an und definieren Sie eine Person, die Betroffenenrechte koordiniert. Schon diese zwei Maßnahmen reduzieren das Risiko, Fristen zu verpassen oder unvollständig zu antworten.
