Die Datenschutz-Grundverordnung gilt auch 2026 unverändert als zentrale Grundlage für den Umgang mit personenbezogenen Daten in Deutschland und der Europäischen Union. Wer wissen möchte, welche Informationen ein Unternehmen gespeichert hat, kann Auskunft verlangen. Sind Daten nicht mehr erforderlich oder wurden unrechtmäßig verarbeitet, kommt unter bestimmten Voraussetzungen eine Löschung infrage, die eu-baustoffhandel.de berichtet.
Das klingt auf dem Papier einfach, führt in der Praxis aber regelmäßig zu Missverständnissen. Eine Auskunft bedeutet nicht nur die Herausgabe von Name und Adresse, und ein Löschantrag verpflichtet ein Unternehmen nicht automatisch dazu, jede vorhandene Information sofort zu vernichten. Gleichzeitig müssen Betroffene eine ausbleibende oder unvollständige Reaktion nicht akzeptieren.
Das entscheidende Instrument der DSGVO ist nicht die Datenschutzerklärung auf einer Website, sondern das konkrete Recht einer Person, Informationen über die Verarbeitung ihrer eigenen Daten zu verlangen.
Welche Rechte die DSGVO 2026 konkret gibt
Das DSGVO Auskunftsrecht 2026 stützt sich insbesondere auf Artikel 15 der Datenschutz-Grundverordnung. Betroffene können zunächst erfahren, ob ein Verantwortlicher überhaupt personenbezogene Daten über sie verarbeitet. Ist das der Fall, umfasst der Anspruch wesentlich mehr als eine einfache Bestätigung.
Typische Bestandteile einer vollständigen Auskunft sind:
- die verarbeiteten personenbezogenen Daten;
- die Zwecke der Verarbeitung;
- die Kategorien der betroffenen Daten;
- Empfänger oder Kategorien von Empfängern;
- geplante Speicherdauer oder Kriterien für deren Festlegung;
- verfügbare Informationen über die Herkunft der Daten;
- Hinweise auf weitere Rechte wie Berichtigung, Löschung oder Beschwerde;
- Informationen über bestimmte Formen automatisierter Entscheidungsfindung einschließlich Profiling.
Gerade bei Online-Diensten können solche Datensätze überraschend umfangreich sein. Neben Kontaktdaten können beispielsweise Bestellhistorien, Login-Daten, Kundenkommunikation, Gerätekennungen, gespeicherte Einstellungen oder Informationen aus Nutzerkonten betroffen sein. Wie viele Informationen Apps erfassen können, zeigt auch der Beitrag über Smartphone-Apps und den Umgang mit persönlichen Daten.
„Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden.“
Der zentrale Punkt liegt in der Formulierung „personenbezogene Daten“. Nicht jedes interne Dokument eines Unternehmens muss deshalb vollständig herausgegeben werden. Enthält ein Dokument jedoch personenbezogene Informationen zur anfragenden Person, kann das Auskunftsrecht diese Daten erfassen.
So funktioniert eine Auskunft nach Artikel 15 DSGVO
Für eine Auskunft nach Art. 15 DSGVO ist kein besonderes Formular vorgeschrieben. Ein Antrag kann grundsätzlich schriftlich oder elektronisch gestellt werden. Entscheidend ist, dass aus der Nachricht eindeutig hervorgeht, dass die betroffene Person Auskunft über ihre personenbezogenen Daten verlangt.
Eine sinnvolle Anfrage enthält beispielsweise:
- Name und ausreichende Angaben zur Zuordnung des Kunden- oder Nutzerkontos.
- Den eindeutigen Hinweis auf eine Auskunft nach Artikel 15 DSGVO.
- Die Bitte um eine Kopie der verarbeiteten personenbezogenen Daten.
- Eine aktuelle Kontaktmöglichkeit für die Antwort.
- Bei Bedarf eine Konkretisierung, wenn nur ein bestimmter Zeitraum oder Dienst betroffen ist.
Eine Begründung dafür, warum die Informationen benötigt werden, ist grundsätzlich nicht erforderlich. Das Auskunftsrecht hängt nicht davon ab, ob bereits ein konkreter Datenschutzverstoß vermutet wird.
Verantwortliche dürfen allerdings zusätzliche Informationen zur Identitätsprüfung verlangen, wenn berechtigte Zweifel daran bestehen, dass die anfragende Person tatsächlich die betroffene Person ist. Eine pauschale Forderung nach einer vollständigen Ausweiskopie bei jeder Anfrage wäre damit nicht automatisch gerechtfertigt. Die Prüfung muss zum Risiko und zur konkreten Situation passen.
Wer einen Antrag per E-Mail stellt, sollte Anfrage, Versanddatum und Antwort dauerhaft speichern. Diese Dokumentation kann später entscheidend sein, wenn Fristen oder der Umfang der Antwort strittig werden.
Datenschutzprobleme entstehen zudem nicht ausschließlich bei klassischen Nutzerkonten. Sensible Informationen können auch durch digitale Zahlungs- und Prüfsysteme sichtbar werden. Ein konkretes Beispiel behandelt der Artikel über das IBAN-Leck und die Preisgabe sensibler Bankdaten.
Welche Frist Unternehmen für die Antwort haben
Artikel 12 DSGVO setzt für Betroffenenrechte einen klaren zeitlichen Rahmen. Verantwortliche müssen ohne unangemessene Verzögerung reagieren und grundsätzlich spätestens innerhalb eines Monats nach Eingang des Antrags über die ergriffenen Maßnahmen informieren.
Bei komplexen Fällen oder einer großen Zahl von Anfragen kann die Frist um zwei weitere Monate verlängert werden. Die Verlängerung darf jedoch nicht kommentarlos erfolgen. Der Verantwortliche muss innerhalb des ersten Monats mitteilen, dass mehr Zeit benötigt wird, und die Verzögerung begründen.
| Situation | Regelfrist |
|---|---|
| Normaler Auskunfts- oder Löschantrag | spätestens innerhalb eines Monats |
| Komplexer Antrag | Verlängerung um bis zu zwei weitere Monate möglich |
| Keine Bearbeitung des Antrags | Information über Gründe grundsätzlich innerhalb eines Monats |
| Elektronische Anfrage | Antwort nach Möglichkeit ebenfalls elektronisch |
Anfragen und Maßnahmen nach den Artikeln 15 bis 22 sind grundsätzlich kostenlos. Erst bei offensichtlich unbegründeten oder exzessiven, insbesondere häufig wiederholten Anträgen sieht die DSGVO die Möglichkeit einer angemessenen Gebühr oder einer Ablehnung vor. Die Voraussetzungen dafür muss der Verantwortliche nachweisen.
Praxis-Kommentar: Ein automatischer Hinweis wie „Ihre Anfrage wurde empfangen“ erfüllt den Auskunftsanspruch noch nicht. Entscheidend ist die inhaltliche Antwort innerhalb der gesetzlichen Frist.
Wann personenbezogene Daten gelöscht werden müssen
Das Recht auf Löschung nach Artikel 17 DSGVO wird häufig als „Recht auf Vergessenwerden“ bezeichnet. Es bedeutet allerdings nicht, dass jede Person jederzeit die vollständige Löschung sämtlicher Informationen verlangen kann.
Ein Anspruch kann insbesondere bestehen, wenn personenbezogene Daten für den ursprünglichen Zweck nicht mehr benötigt werden, eine Einwilligung widerrufen wurde und keine andere Rechtsgrundlage vorhanden ist oder die Verarbeitung rechtswidrig erfolgte. Auch ein erfolgreicher Widerspruch gegen bestimmte Verarbeitungen kann einen Löschanspruch auslösen.
Typische Fälle sind:
- ein längst geschlossenes Online-Konto ohne verbleibende Aufbewahrungspflichten;
- freiwillig bereitgestellte Profildaten nach Widerruf einer Einwilligung;
- irrtümlich gespeicherte personenbezogene Daten;
- rechtswidrig erhobene Informationen;
- Daten, deren ursprünglicher Verarbeitungszweck endgültig weggefallen ist.
Nicht jede Datenschutzfrage beginnt dabei mit einer sichtbaren Datenbank. Sensoren und vernetzte Systeme können ebenfalls Informationen über Personen erzeugen. Der Beitrag darüber, wie WLAN-Technik zur Erfassung von Bewegungen eingesetzt werden kann, zeigt, wie weit der Begriff datenbasierter Verarbeitung inzwischen reicht.
Warum ein Löschantrag abgelehnt werden kann
Ein DSGVO Löschantrag stößt an Grenzen, sobald andere gesetzliche Pflichten entgegenstehen. Unternehmen müssen beispielsweise bestimmte Rechnungs-, Vertrags- oder Buchhaltungsunterlagen über gesetzlich vorgegebene Zeiträume aufbewahren. Eine Person kann diese gesetzlichen Pflichten nicht allein durch einen Löschantrag beseitigen.
Artikel 17 DSGVO nennt weitere Ausnahmen. Eine Löschung kann unter anderem ausscheiden, soweit die Verarbeitung für die Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
Deshalb kann ein Unternehmen Daten teilweise löschen und andere Informationen weiterhin speichern. Entscheidend ist dann, ob für die verbleibende Speicherung eine konkrete Rechtsgrundlage besteht.
„Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass personenbezogene Daten unverzüglich gelöscht werden“, sofern eine der gesetzlichen Voraussetzungen erfüllt ist.
Ein pauschales „Wir müssen Ihre Daten aufbewahren“ reicht als Erklärung kaum aus, wenn völlig unterschiedliche Datenarten betroffen sind. Kundenkonto, Rechnungsdaten, Marketingprofil und Support-Kommunikation können rechtlich unterschiedlich behandelt werden.
Auskunft und Löschung lassen sich sinnvoll kombinieren
Wer nicht weiß, welche Informationen vorhanden sind, kann zunächst eine Auskunft anfordern und anschließend gezielt Löschung verlangen. Das verhindert, dass ein sehr allgemeiner Löschwunsch an gesetzlichen Aufbewahrungsfristen scheitert oder wichtige Datengruppen übersehen werden.
In der Praxis ist folgende Reihenfolge sinnvoll:
- Auskunft über die gespeicherten Daten verlangen.
- Antwort auf Vollständigkeit prüfen.
- Nicht mehr erforderliche oder unrechtmäßig verarbeitete Daten identifizieren.
- Für diese Daten eine konkrete Löschung oder Berichtigung verlangen.
- Antwort und Fristen dokumentieren.
- Bei fehlender Reaktion gegebenenfalls die Aufsichtsbehörde einschalten.
Auskunft und Löschung sind keine konkurrierenden Rechte. Die Auskunft kann gerade dazu dienen, einen späteren Löschantrag präzise zu formulieren.
Dabei lohnt sich die Trennung verschiedener Anliegen. Eine Reklamation wegen eines defekten Produkts, ein Widerruf und ein Datenschutzantrag folgen unterschiedlichen Regeln. Einen Überblick über diese Abgrenzung bietet der Ratgeber zu Verbraucherrechten 2026 in Deutschland.
Wann eine Datenschutzbeschwerde sinnvoll ist
Eine Datenschutz Beschwerde kommt infrage, wenn eine betroffene Person der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt. Artikel 77 gibt das Recht, sich an eine zuständige Aufsichtsbehörde zu wenden.
Das betrifft beispielsweise Fälle, in denen:
- ein Unternehmen einen Auskunftsantrag ignoriert;
- die Antwort offensichtlich unvollständig bleibt;
- ein begründeter Löschantrag ohne nachvollziehbare Erklärung abgelehnt wird;
- personenbezogene Daten ohne erkennbare Rechtsgrundlage verarbeitet werden;
- Daten unzulässig an Dritte weitergegeben werden;
- eine Person ihre Datenschutzrechte praktisch nicht ausüben kann.
In Deutschland gibt es nicht nur eine einzige Datenschutzaufsicht. Je nach Verantwortlichem und Bundesland können unterschiedliche Landesbehörden oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig sein. Die Datenschutzkonferenz veröffentlicht eine Übersicht der deutschen Aufsichtsbehörden.
Eine vorherige Kontaktaufnahme mit dem Unternehmen ist häufig praktisch, aber Artikel 77 macht das Beschwerderecht nicht grundsätzlich davon abhängig, dass zuvor jeder denkbare außerbehördliche Schritt ausgeschöpft wurde.
Was in eine Beschwerde bei der Datenschutzbehörde gehört
Eine Beschwerde bei der Datenschutzbehörde sollte so konkret wie möglich sein. Allgemeine Aussagen wie „Das Unternehmen verstößt gegen Datenschutz“ erschweren die Bearbeitung.
Hilfreich sind stattdessen:
- Name und Kontaktdaten der betroffenen Person;
- Name des verantwortlichen Unternehmens oder der Behörde;
- Beschreibung des konkreten Sachverhalts;
- Datum der ursprünglichen Anfrage;
- Kopien relevanter E-Mails oder Schreiben;
- erhaltene Antworten;
- Hinweis auf bereits abgelaufene Fristen;
- Beschreibung der Daten oder Verarbeitung, um die es geht.
Screenshots können nützlich sein, wenn sich der Vorgang in einem Nutzerkonto, einer App oder einem Online-Portal abgespielt hat. Dabei sollten nur Informationen eingereicht werden, die für den Fall tatsächlich benötigt werden.
Praxis-Kommentar: Eine chronologische Darstellung mit wenigen klaren Belegen ist für eine Behörde regelmäßig hilfreicher als ein langer Text ohne Datumsangaben und konkrete Dokumente.
Artikel 77 erlaubt eine Beschwerde insbesondere bei der Aufsichtsbehörde am gewöhnlichen Aufenthaltsort, am Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Für Deutschland stellt die Datenschutzkonferenz die Kontaktdaten der Bundes- und Landesaufsichtsbehörden zusammen.
Auskunft, Löschung und Beschwerde im direkten Vergleich
| Recht | Rechtsgrundlage | Typisches Ziel | Reaktion des Verantwortlichen |
|---|---|---|---|
| Auskunft | Art. 15 DSGVO | erfahren, welche Daten verarbeitet werden | Information und grundsätzlich Kopie der Daten |
| Berichtigung | Art. 16 DSGVO | falsche Daten korrigieren | Berichtigung unrichtiger Daten |
| Löschung | Art. 17 DSGVO | nicht mehr zulässige oder benötigte Daten entfernen | Löschung oder begründete Ablehnung |
| Einschränkung | Art. 18 DSGVO | Verarbeitung zeitweise begrenzen | Daten bleiben gespeichert, Verarbeitung wird eingeschränkt |
| Widerspruch | Art. 21 DSGVO | bestimmte Verarbeitung stoppen | Interessenabwägung oder Ende der Verarbeitung |
| Beschwerde | Art. 77 DSGVO | Datenschutzverstoß behördlich prüfen lassen | Prüfung durch zuständige Aufsichtsbehörde |
Die Tabelle zeigt auch, warum ein Löschantrag nicht immer das passende Instrument ist. Sind Daten lediglich falsch, kann eine Berichtigung sinnvoller sein. Besteht Streit über die Rechtmäßigkeit, kann vorübergehend eine Einschränkung der Verarbeitung relevant werden.
Datenschutzrechte funktionieren am besten mit klaren Anträgen
Ein wirksamer Datenschutzantrag muss weder juristisch kompliziert noch besonders lang sein. Eindeutige Angaben zum gewünschten Recht, zum betroffenen Konto oder Vertrag und zum erwarteten Ergebnis reichen häufig aus. Unnötig breite Forderungen können dagegen zu Rückfragen führen.
Für Verbraucher sind 2026 vor allem drei Punkte entscheidend: Unternehmen müssen Betroffenenrechte ernsthaft bearbeiten, die Regelfrist beträgt einen Monat und eine Ablehnung muss sich auf nachvollziehbare rechtliche Gründe stützen. Bleibt eine Antwort aus oder erscheint die Datenverarbeitung rechtswidrig, steht der Weg zur Datenschutzaufsicht offen.
Die DSGVO gibt damit ein abgestuftes System vor: zuerst Transparenz über die gespeicherten Daten schaffen, anschließend erforderliche Korrekturen oder Löschungen verlangen und bei einem möglichen Verstoß die zuständige Behörde einschalten.