DSGVO-Auskunft in der Praxis
Die DSGVO gibt jedem Betroffenen das Recht, Auskunft über seine gespeicherten Daten zu verlangen. Art. 15 regelt den Umfang, Art. 12 die Fristen, Art. 22 den Schutz vor rein automatisierten Entscheidungen. Auf dem Papier ist das ein klarer Prozess: Anfrage stellen, Antwort erhalten, bei Bedarf eskalieren. In der Praxis sieht das anders aus. Dies ist der Bericht eines solchen Verfahrens — von der ersten Anfrage bis zur letzten Antwort.
Der Anlass
Ich betreibe IT-Beratung und baute im Frühjahr 2026 mein Profil auf einem großen Karrierenetzwerk auf — durch qualitative Kommentare in Fachgruppen, nicht durch Massenaktivität. Nach zwei Wochen wurde meine Kommentarfunktion ohne Begründung gesperrt. Keine Benachrichtigung, keine Erklärung, kein Hinweis auf einen Verstoß.
Im Laufe des Support-Verfahrens lieferte ich Screenshots, Serverprotokolle und ein Bildschirmvideo als Belege. Die Sperre wurde Wochen später still aufgehoben — wieder ohne Erklärung. Was genau passiert war, warum es passiert war und ob automatisierte Systeme daran beteiligt waren, blieb offen. Das wollte ich wissen.
Schritt 1: Die Anfrage stellen
Art. 15 DSGVO gibt mir das Recht, folgende Informationen zu verlangen: welche Daten über mich gespeichert sind, zu welchem Zweck sie verarbeitet werden, an wen sie weitergegeben werden und ob automatisierte Entscheidungsfindung stattfindet. Art. 22 ergänzt: Wenn Entscheidungen ausschließlich auf automatisierter Verarbeitung beruhen und mich erheblich beeinträchtigen, habe ich das Recht auf Erklärung und menschliche Überprüfung.
Meine Anfrage war konkret: Welche Einschränkungen, Sperren oder Flags sind zu meinem Konto gespeichert? Zu welchem Zweck werden diese Daten verarbeitet, und an wen werden sie weitergegeben? Wurde die Kommentarsperre durch einen automatisierten Prozess verhängt?
Ich schickte die Anfrage an die E-Mail-Adresse des Datenschutzbeauftragten, die das Unternehmen auf seiner offiziellen GDPR-Seite bewirbt.
Schritt 2: Die E-Mail-Adresse, die es nicht gibt
Innerhalb von Sekunden kam eine automatische Antwort: Die Adresse sei nicht mehr aktiv und werde nicht mehr überwacht. Stattdessen solle ich ein Webformular nutzen.
Ein Unternehmen, das nach Art. 37 Abs. 7 DSGVO verpflichtet ist, die Kontaktdaten seines Datenschutzbeauftragten zu veröffentlichen, bewirbt eine E-Mail-Adresse, die abgeschaltet ist. Das Webformular wiederum erzeugt ein Support-Ticket — die Anfrage landet also im selben System wie eine normale Kundenbeschwerde.
Ich reichte die Anfrage über das Webformular ein, ohne Bezug auf das laufende Support-Ticket, um eine Vermischung der Vorgänge zu vermeiden.
Schritt 3: Die Antwort, die keine ist
24 Tage später kam die Antwort des Data Protection Office. Sie ging auf keinen meiner konkreten Punkte ein. Statt Auskunft über gespeicherte Einschränkungen und Flags erhielt ich einen Verweis auf die allgemeine Datenexport-Funktion — ein Self-Service-Tool, das meine konkreten Fragen nicht adressiert. Auf die Frage nach Verarbeitungszwecken und Empfängern: keine Antwort. Auf die Frage nach automatisierter Entscheidungsfindung: eine pauschale Verneinung, es finde keine Verarbeitung im Sinne von Art. 22 Abs. 1 statt.
Das steht im Widerspruch zur dokumentierten Erfahrung: Eine Einschränkung wurde ohne ersichtliche Kommunikation verhängt und ohne ersichtliche Kommunikation aufgehoben. Wenn das keine automatisierte Entscheidung ist, dann müsste es einen Menschen gegeben haben, der sie getroffen hat. Nach diesem Menschen habe ich im vorgelagerten Supportverfahren mehrfach gefragt. Es gab keinen.
Die Antwort enthielt darüber hinaus den Hinweis, bestimmte Datenkategorien seien von der Auskunft ausgenommen — interne Notizen, Risikoklassifizierungen, Monitoring-Indikatoren, Sicherheitsprotokolle, Ermittlungsmethoden. Eine Rechtsgrundlage für diese Ausnahmen wurde nicht genannt.
Schritt 4: Die Wiedereröffnung
Ich öffnete das bereits geschlossene Ticket erneut und benannte die Lücken Punkt für Punkt. Drei konkrete Fragen, die nicht beantwortet worden waren. Der Hinweis, dass ich angesichts des Ablaufs von einem Automatismus ausgehen muss. Und eine Erinnerung an die laufende Frist nach Art. 12 Abs. 3 DSGVO — ein Monat ab Eingang der Anfrage, also bis zum 2. Juni 2026.
Schritt 5: Die Verweigerung
Die Antwort des Data Protection Office kam diesmal schnell, knapp und unmissverständlich: Man verweise auf die vorherige Antwort vom 26. Mai. Keine inhaltliche Auseinandersetzung mit den benannten Lücken, kein Eingehen auf die konkreten Fragen. Stattdessen zwei Hinweise: Ich könne Beschwerde bei der irischen Datenschutzbehörde einreichen. Oder den Rechtsweg beschreiten.
Das ist pure Verweigerung, versehen mit dem Hinweis: Ich könne mich doch beschweren oder Rechtsmittel einlegen.
Was Art. 12 und Art. 15 tatsächlich verlangen
Art. 12 Abs. 3 DSGVO schreibt vor, dass der Verantwortliche die Anfrage „ohne unangemessene Verzögerung, in jedem Fall aber innerhalb eines Monats" beantworten muss. Die Antwort muss „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache" erfolgen.
Art. 15 Abs. 1 listet auf, worüber Auskunft zu erteilen ist: die Verarbeitungszwecke, die Kategorien personenbezogener Daten, die Empfänger, die Speicherdauer, das Bestehen von Betroffenenrechten, das Bestehen einer automatisierten Entscheidungsfindung einschließlich aussagekräftiger Informationen über die involvierte Logik.
Ein pauschaler Verweis auf ein Self-Service-Export-Tool ist keine individuelle Auskunft im Sinne von Art. 15 — er adressiert weder die konkret gestellten Fragen noch die angefragten Datenkategorien. Eine pauschale Verneinung automatisierter Entscheidungsfindung, ohne die widersprüchliche Faktenlage zu adressieren, ist keine transparente Antwort.
Was bleibt
Der Verweis auf die irische Datenschutzbehörde klingt nach einem funktionierenden Ausweg. Für EU-Bürger mit Wohnsitz außerhalb der EU ist er das nicht — warum, habe ich in Teil 1 dieser Serie beschrieben.
Der Rechtsweg bleibt. Art. 79 DSGVO erlaubt eine Klage am Sitz des Verantwortlichen — in diesem Fall Irland. Die praktische Hürde: ein Einzelner gegen einen der größten Technologiekonzerne der Welt, vor einem ausländischen Gericht, wegen einer Auskunftsanfrage.
Die DSGVO gibt Betroffenen auf dem Papier starke Rechte. In der Praxis dokumentiert dieses Verfahren, was passiert, wenn ein Verantwortlicher diese Rechte mit Textbausteinen beantwortet und darauf setzt, dass der Beschwerdeweg ins Leere führt. Nicht weil das Gesetz es erlaubt — sondern weil die Durchsetzung es nicht verhindert.
Dies ist Teil 2 einer dreiteiligen Serie. Teil 1 analysiert die Zuständigkeitslücke im DSGVO-Beschwerderecht. Teil 3 dokumentiert ein Verifizierungs-Paradox: derselbe Ausweis, einmal akzeptiert, dann abgelehnt.