Auskunft nach Art. 15 DSGVO erteilen, ohne Daten Dritter preiszugeben

Ein ehemaliger Mitarbeiter schreibt an die Personalabteilung: „Bitte stellen Sie mir eine Kopie aller über mich gespeicherten personenbezogenen Daten zur Verfügung, einschließlich aller E-Mails, in denen ich erwähnt werde.“ Das Auskunftsersuchen ist zulässig, die Frist läuft ab Eingang. Dann öffnet jemand das Postfach: In den Nachrichten stehen auch Kolleginnen, ein verärgerter Kunde, die Führungskraft aus einem Konfliktgespräch und ein Lieferant mit Handynummer in der Signatur. Alles unverändert herauszugeben, verletzt deren Rechte. Alles zu schwärzen, macht die Auskunft wertlos und provoziert eine Beschwerde bei der Aufsichtsbehörde.

Dieser Beitrag zeigt ein wiederholbares Vorgehen: was das Recht verlangt, wo Daten Dritter versteckt sind, wie man sie wirksam schwärzt und was man aufbewahren sollte, um später nachweisen zu können, dass die Auskunft korrekt war.

Was der Auskunftsanspruch verlangt und wo er endet

Art. 15 DSGVO gibt jeder betroffenen Person das Recht auf Bestätigung, ob Daten verarbeitet werden, auf Informationen über die Verarbeitung (Zwecke, Kategorien, Empfänger, Speicherdauer, Herkunft) und nach Abs. 3 auf eine Kopie der personenbezogenen Daten. Abs. 4 setzt die Grenze: Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Der EuGH hat im Urteil C-487/21 (Mai 2023) klargestellt, dass die Kopie eine originalgetreue und verständliche Reproduktion der Daten sein muss. Sie kann Auszüge aus Dokumenten oder ganze Dokumente umfassen, wenn das unerlässlich ist, damit die Person ihre Daten verstehen und ihre Rechte ausüben kann – stets unter Berücksichtigung der Rechte Dritter. In der Praxis heißt das oft: Die E-Mail selbst wird herausgegeben, die Angaben über andere Personen werden geschwärzt.

Im deutschen Recht ergänzt das BDSG die Regeln: Nach § 29 Abs. 1 BDSG besteht das Auskunftsrecht nicht, soweit Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach – insbesondere wegen überwiegender berechtigter Interessen eines Dritten – geheim gehalten werden müssen. § 34 BDSG regelt weitere Ausnahmen. Der Bayerische Landesbeauftragte für den Datenschutz nennt in seiner Kurz-Information zum Schwärzen genau diesen Fall als Beispiel: die Kopie eines Formulars, in dem Angaben eines Dritten nach Art. 15 Abs. 4 DSGVO zu schwärzen sind.

Fristen, die in den Kalender gehören

• Ein Monat ab Eingang für die Antwort (Art. 12 Abs. 3 DSGVO).
• Verlängerung um höchstens zwei weitere Monate bei komplexen oder zahlreichen Anträgen – die betroffene Person muss innerhalb des ersten Monats unter Angabe der Gründe informiert werden.
• Die Auskunft ist grundsätzlich unentgeltlich; nur für weitere Kopien oder bei offenkundig unbegründeten oder exzessiven Anträgen kommen ein angemessenes Entgelt oder eine Weigerung in Betracht, die zu begründen ist.
• Wird dem Antrag nicht entsprochen, ist die Person innerhalb eines Monats über die Gründe und die Beschwerdemöglichkeit bei der Aufsichtsbehörde zu informieren.

Wo sich Daten Dritter verstecken

Namen im Fließtext fallen auf. Übersehen wird meist das, was niemand prüft, weil es „kein Inhalt“ ist:

• E-Mail-Header: Empfänger in CC und BCC, Verteilerlisten, Weiterleitungsadressen und der Verlauf zitierter Antworten am Ende.
• Signaturen mit Durchwahl, Funktion oder privater Handynummer von Kollegen und Dienstleistern.
• Anhänge: Tabellen mit Spalten zu anderen Beschäftigten, Protokolle mit Teilnehmerlisten, Arbeitsunfähigkeitsbescheinigungen mit Angehörigen.
• Kommentare und Änderungsverfolgung in Word, Notizen in Präsentationen.
• Metadaten: Autor, zuletzt bearbeitet von, Netzwerkpfade mit Benutzernamen.
• Bilder und Scans: der Ausweis einer anderen Person in derselben Datei, ein Namensstempel, ein Screenshot aus einem Gruppenchat.

Vorgehen in sechs Schritten

1. Umfang klären und suchen

Prüfen Sie die Identität verhältnismäßig und fragen Sie nur nach, wenn es wirklich nötig ist. Durchsuchen Sie alle Systeme mit Daten der Person: E-Mail, CRM, Lohnabrechnung, DMS, Fachverfahren. Halten Sie fest, was Sie wo mit welchen Suchbegriffen durchsucht haben – diese Notiz ist Ihr bestes Argument, falls die Auskunft angegriffen wird.

2. Jedes Dokument einordnen

Bilden Sie drei Stapel: Dokumente nur mit Daten der antragstellenden Person (herausgeben), Dokumente ohne ihre Daten (nicht betroffen) und gemischte Dokumente, die Arbeit machen. Entscheiden Sie bei diesen, ob ein Auszug genügt oder ob das ganze Dokument für das Verständnis nötig ist.

3. Abwägen, was geschwärzt wird

Nicht jede Angabe über Dritte wird automatisch geschwärzt. Fragen Sie: Kennt die Person die Information bereits? Handelte der Dritte in seiner dienstlichen Funktion? Welcher Nachteil droht ihm durch die Offenlegung? Die Einschätzung eines Kollegen über den Antragsteller ist ein Datum beider: Üblich ist, den Inhalt herauszugeben und die Identität des Urhebers zu schwärzen, wenn ihm ein Risiko droht.

4. Unumkehrbar schwärzen

Ein schwarzer Balken über dem Text entfernt nichts: Der Text bleibt darunter und lässt sich kopieren. Nutzen Sie ein Werkzeug mit echter Schwärzungsfunktion, reduzieren Sie das Ergebnis auf eine Ebene und entfernen Sie die PDF-Metadaten vor dem Versand. Bei Scans prüfen Sie zusätzlich die unsichtbare OCR-Textebene.

5. Vier-Augen-Kontrolle

Eine zweite Person öffnet das Ergebnis, sucht mit Strg+F nach den Namen Dritter aus dem Original und kopiert einige geschwärzte Stellen in einen Editor. Taucht etwas auf, zurück zu Schritt 4.

6. Sicher übermitteln

Kam der Antrag elektronisch, wird die Auskunft in einem gängigen elektronischen Format erteilt, sofern nichts anderes gewünscht ist. Nutzen Sie befristete Links oder passwortgeschützte Dateien mit separat übermitteltem Passwort und vermeiden Sie Dateinamen wie „Auskunft_Max_Mustermann_Beschwerde_Frau_Klein.pdf“.

E-Mails und Anhänge: der häufigste Fall

Die meisten Auskunftsersuchen von Beschäftigten und Kunden landen im Postfach. Jede Nachricht einzeln als PDF zu drucken und von Hand zu schwärzen, ist langsam und fehleranfällig, weil dieselbe Person dutzendfach in Varianten vorkommt („Anna“, „A. Schmidt“, „aschmidt@…“). Besser ist es, mit der Originalnachricht (.eml oder .msg) zu arbeiten, damit Header und Anhänge erhalten bleiben, eine einheitliche Regel auf den ganzen Verlauf anzuwenden und jeden Anhang als eigenes Dokument zu prüfen. Mehr dazu in unserem Leitfaden zum Anonymisieren von E-Mails mit Anhängen.

Was Sie dokumentieren sollten

Die Rechenschaftspflicht verlangt, die ordnungsgemäße Bearbeitung nachweisen zu können. Eine schlanke Akte je Antrag enthält:

Wie Anonimatum dabei hilft

Anonimatum erkennt mit eigener KI auf Servern in der EU Namen, Organisationen, Adressen, Telefonnummern, Ausweisnummern und IBAN und zeigt eine Vorschau zur menschlichen Prüfung, bevor die unumkehrbare Schwärzung angewendet wird. Seit Version 1.9.0 verarbeitet es .eml- und .msg-Nachrichten mit Anhängen: Header, Betreff und Text werden anonymisiert, und Anhänge, die sich nicht anonymisieren lassen, werden nie in das Ergebnis aufgenommen. Eine Whitelist lässt die Daten der antragstellenden Person sichtbar, Vorgänge bündeln alle Dokumente eines Antrags, und das Audit-Protokoll der Gruppe hält jede Operation fest, ohne Dokumentnamen oder Inhalte zu speichern. Mehr im Anwendungsfall Auskunftsersuchen nach der DSGVO bearbeiten.