Anwendungsfall · Anwendungsfall · DSB
Auskunftsersuchen beantworten und die Daten Dritter schützen
Anonimatum-Team
Kurz gesagt
Nach Art. 15 DSGVO erhält die betroffene Person innerhalb eines Monats eine Kopie ihrer Daten, die Rechte anderer dürfen dabei nicht beeinträchtigt werden (Art. 15 Abs. 4). Der Weg: alles herausgeben und nur Fremdes schwärzen.
Ein ausgeschiedener Mitarbeiter verlangt „alle Daten, die Sie über mich gespeichert haben“, oft parallel zu einem Kündigungsschutzverfahren. Eine Patientin möchte eine Kopie ihrer Behandlungsunterlagen. Ein Kunde fordert im Streitfall sämtliche E-Mails an, in denen über ihn gesprochen wurde. Jedes dieser Anliegen ist ein Auskunftsanspruch nach Art. 15 DSGVO, mit gesetzlicher Frist und einem weniger offensichtlichen Risiko: Die Daten der anfragenden Person stehen fast nie allein, sondern neben Namen von Kollegen, anderen Patienten, Lieferanten oder Zeugen.
Diese Seite zeigt, was das Gesetz verlangt, wie Sie die Antwort fristgerecht organisieren und wie Sie eine brauchbare Kopie erstellen, ohne Daten Dritter offenzulegen. Sie ersetzt keine Rechtsberatung; sprechen Sie in Grenzfällen mit Ihrem Datenschutzbeauftragten.
Was Art. 15 DSGVO verlangt
Der Auskunftsanspruch hat drei Ebenen: die Bestätigung, ob personenbezogene Daten verarbeitet werden, die Kopie dieser Daten und die Informationen zur Verarbeitung (Zwecke, Kategorien, Empfänger, Speicherdauer, Herkunft, automatisierte Entscheidungen, Beschwerderecht bei der zuständigen Aufsichtsbehörde des Landes oder beim BfDI). Die erste Kopie ist unentgeltlich; nur für weitere Kopien darf ein angemessenes Entgelt verlangt werden.
Die Leitlinien 01/2022 des Europäischen Datenschutzausschusses stellen klar, dass die Kopie grundsätzlich vollständig sein muss und die betroffene Person keine Gründe nennen muss. Der EuGH hat im Verfahren C-307/22 (Urteil vom 26. Oktober 2023, auf Vorlage des BGH) entschieden, dass Patienten eine erste unentgeltliche Kopie ihrer Patientenakte verlangen können, auch wenn sie damit Haftungsansprüche vorbereiten. Eine nationale Kostenregel wie § 630g Abs. 2 BGB kann diesen Anspruch nicht einschränken.
Fristen: ein Monat, verlängerbar um zwei
Art. 12 Abs. 3 DSGVO gibt einen Monat ab Eingang vor. Bei komplexen oder zahlreichen Anträgen kann die Frist um zwei Monate verlängert werden, sofern die Person innerhalb des ersten Monats unter Angabe der Gründe informiert wird. Das BDSG enthält in § 34 zusätzliche Ausnahmen, etwa für Daten, die nur wegen Aufbewahrungspflichten gespeichert sind; Ablehnungen sind zu dokumentieren und grundsätzlich zu begründen.
Die Grenze des Art. 15 Abs. 4: Rechte und Freiheiten anderer
Nach Art. 15 Abs. 4 DSGVO darf das Recht auf eine Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Ergänzend sieht § 29 Abs. 1 Satz 2 BDSG vor, dass die Auskunft entfällt, soweit Informationen offenbart würden, die wegen überwiegender berechtigter Interessen Dritter geheim gehalten werden müssen. Beides rechtfertigt aber keine pauschale Verweigerung: Es ist im Einzelfall abzuwägen und das Dokument nach Möglichkeit herauszugeben, wobei nur die Angaben geschwärzt werden, die Dritten schaden würden.
- Interne E-Mails: Namen, Adressen und Signaturen von Kollegen, die nicht die anfragende Person sind.
- Patientenakten: Angaben von Angehörigen und Daten anderer Patienten.
- Hinweisgeber- oder Disziplinarvorgänge: Identität von Hinweisgebern und Zeugen.
- Kundenservice-Verläufe: Daten anderer Kunden in Weiterleitungen oder Screenshots.
- Geschäftsgeheimnisse und Urheberrechte, die Erwägungsgrund 63 ebenfalls nennt.
Ein Ablauf, der die Frist hält
Vom Eingang bis zur Übermittlung
- Eingangsdatum erfassen und Monatsfrist berechnen.
- Identität nur bei begründeten Zweifeln prüfen und nicht mehr Daten anfordern als nötig.
- Quellen ermitteln: Personalakte, CRM, Patientenakte, Postfächer, Netzlaufwerke, Papierakten.
- Relevante Dokumente und E-Mails samt Anhängen exportieren.
- Drittdaten markieren, nach Art. 15 Abs. 4 abwägen und die Entscheidung dokumentieren.
- Kopie erzeugen: Drittdaten geschwärzt oder pseudonymisiert, überflüssige Metadaten entfernt.
- Informationen nach Art. 15 Abs. 1 beifügen.
- Über einen sicheren Kanal übermitteln und den Nachweis aufbewahren.
E-Mails und Anhänge
Das Postfach ist meist die aufwendigste Quelle: Kopfzeilen mit Dutzenden Empfängern, weitergeleitete Verläufe, Anhänge als PDF, Word oder Excel. Jede Nachricht auszudrucken und von Hand zu schwärzen dauert Tage und lässt Lücken, vor allem in Kopfzeilen und Anhängen. Schneller ist es, die Nachrichten als .eml oder Outlook-.msg zu exportieren und gesammelt zu verarbeiten; mehr dazu in unserer Anleitung zum Anonymisieren von E-Mails mit Anhängen.
Schwärzen oder pseudonymisieren: die Kopie lesbar halten
Kommt ein Verlauf aus zwanzig E-Mails mit lauter schwarzen Balken an, weiß die anfragende Person nicht, ob zwei Nachrichten von derselben Person stammen. Konsistente Pseudonymisierung löst das: Jede dritte Person erhält immer denselben Platzhalter („Person A“, „Person B“). Den Unterschied zur Anonymisierung erklärt unser Glossareintrag zur Pseudonymisierung.
| Technik | Wann sinnvoll | Worauf achten |
|---|---|---|
| Unumkehrbare Schwärzung | Angaben ohne Wert für die anfragende Person (Telefonnummern, Anschriften, Kennungen Dritter) | Text, der im PDF unter dem Balken erhalten bleibt |
| Konsistente Ersetzung | E-Mail-Verläufe und Vorgänge mit mehreren Beteiligten | Kontext, aus dem sich die Person erschließen lässt |
| Zurückhalten eines Dokuments | Dokumente, die nur Drittdaten enthalten | Begründung dokumentieren |
Wie Anonimatum unterstützt
Anonimatum erkennt mit eigener KI auf Servern in der Europäischen Union Namen, Organisationen, Adressen, Datumsangaben und Beträge, per Muster zudem E-Mail-Adressen, Telefonnummern, IBAN und Kennungen. Für Auskunftsersuchen zentral ist die Positivliste: Name, E-Mail-Adresse und Kennungen der anfragenden Person werden hinterlegt, damit ihre Daten sichtbar bleiben, während alle anderen ausgeblendet werden. Alles wird vor dem Anwenden in einer Vorschau geprüft.
- Seit Version 1.9.0 verarbeitet Anonimatum .eml- und Outlook-.msg-Dateien: Kopfzeilen, Betreff, Text und unterstützte Anhänge, mit demselben Ersatz für denselben Wert. Anhänge, die nicht anonymisiert werden können, werden nie ausgegeben.
- Die Pseudonymisierung ersetzt jede dritte Person einheitlich und speichert die Zuordnungstabelle verschlüsselt.
- Gescannte Dokumente laufen durch OCR; Word, Excel und PDF bleiben im Ausgangsformat, ohne überflüssige Metadaten.
- Vorgänge mit Versionsverlauf bündeln alles, was zu einem Ersuchen herausgegeben wurde.
Im Gesundheitswesen lassen sich so Kopien der Patientenakte ohne Angaben von Angehörigen oder anderen Patienten erstellen, siehe Patientenakten anonymisieren.
Häufige Fragen
Darf ich ein Dokument verweigern, weil es Daten Dritter enthält?
Nicht pauschal. Art. 15 Abs. 4 DSGVO und § 29 Abs. 1 BDSG verlangen eine Abwägung; meist ist das Dokument mit Schwärzung der Drittdaten herauszugeben.
Wie lange habe ich Zeit für die Auskunft?
Einen Monat ab Eingang, bei komplexen oder zahlreichen Anträgen um zwei Monate verlängerbar, wenn die Person innerhalb des ersten Monats informiert wird.
Darf ich für die Kopie Geld verlangen?
Für die erste Kopie nicht. Nur für weitere Kopien ist ein angemessenes Entgelt zulässig. Der EuGH hat in C-307/22 bestätigt, dass auch die erste Kopie der Patientenakte kostenlos ist.
Muss ich E-Mails herausgeben, in denen über die Person gesprochen wird?
Die darin enthaltenen Daten der anfragenden Person sind vom Auskunftsanspruch umfasst. Üblich ist die Herausgabe der relevanten Nachrichten oder Auszüge mit geschwärzten Drittdaten.
Viele Auskunftsersuchen auf dem Tisch?
Sehen Sie sich die Tarife an und starten Sie: E-Mail-Verläufe und Akten mit geschützten Drittdaten und lesbaren Daten der anfragenden Person.