Auskunftsersuchen im Support: Ablauf, Fristen, Fallstricke

Wichtige Erkenntnisse

• Ein Auskunftsersuchen nach Art. 15 DSGVO muss vom Support unverzüglich, spätestens jedoch nach einem Monat beantwortet werden.
• Auch wenn keine Daten vorliegen, ist eine Negativauskunft zwingend erforderlich und sollte für drei Jahre dokumentiert werden.
• Eine pauschale Ausweiskopie zur Identitätsprüfung ist meist unzulässig; stattdessen gleicht man vorhandene CRM-Bestandsdaten ab.
• Beim Daten-Export aus dem Ticketsystem müssen Rechte Dritter beachtet und fremde personenbezogene Daten konsequent geschwärzt werden.
• Strikte Datenminimierung und automatisierte Löschkonzepte reduzieren den Aufwand bei künftigen Auskunftsersuchen drastisch.

Grundlagen: Was Artikel 15 DSGVO im Support bedeutet

Wenn ein Kunde oder eine Nutzerin eine E-Mail mit dem Betreff „Auskunft nach DSGVO“ an deinen Support schickt, landet das Anliegen fast immer im zentralen Posteingang. Artikel 15 der Datenschutz-Grundverordnung gibt jeder betroffenen Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden. Liegt eine Verarbeitung vor, besteht ein rechtlicher Anspruch auf eine vollständige Auskunft und eine kostenlose Kopie dieser Daten.

Dieser Leitfaden ist keine formelle Rechtsberatung, sondern eine praxisorientierte Handlungsanleitung für Support-Leads und Datenschutzbeauftragte. Im Support-Alltag geht es darum, die gesetzlichen Vorgaben ohne bürokratische Überlastung und ohne Datenpannen umzusetzen. Das übergeordnete Ziel von Artikel 15 ist maximale Transparenz: Betroffene sollen nachvollziehen können, welche Informationen ein Unternehmen gespeichert hat, zu welchem Zweck dies geschieht und an wen Daten weitergegeben wurden.

Transparenz schaffen. Risiken vermeiden.

Viele Support-Teams betrachten DSGVO-Auskunftsersuchen als lästige Störung im Tagesgeschäft. Das birgt operative Risiken. Unvollständige oder verspätete Auskünfte können zu Beschwerden bei den zuständigen Aufsichtsbehörden und zu empfindlichen Bußgeldern führen. Umgekehrt führt eine unbedachte Herausgabe ungeprüfter Rohdaten schnell zu einer Verletzung des Schutzes personenbezogener Daten Dritter.

• Bestätigung der Datenverarbeitung: Klarheit darüber, ob überhaupt Daten zur Person vorliegen.
• Verarbeitungszwecke und Kategorien: Warum Daten erhoben wurden und welche Datentypen existieren.
• Empfänger und Drittlandtransfers: An welche Dienstleister oder Auftragsverarbeiter Daten fließen.
• Speicherdauer: Konkrete Fristen oder Kriterien für die Löschung.
• Kopie der personenbezogenen Daten: Vollständige Herausgabe der tatsächlich gespeicherten Inhalte.

Für ein funktionierendes Support-Team bedeutet das: Wer die Struktur der eigenen Systeme kennt, beantwortet Auskunftsanträge strukturiert in wenigen Schritten, statt tagelang manuell Datenbanken zu durchforsten.

Die Frist: Wie schnell du antworten musst

Die gesetzliche Frist zur Beantwortung von Auskunftsersuchen ist in Artikel 12 Absatz 3 DSGVO unmissverständlich geregelt. Du musst der anfragenden Person unverzüglich antworten, in jedem Fall aber spätestens innerhalb eines Monats nach Eingang des Antrags.

Die Monatsfrist ist strikt einzuhalten: Der Verantwortliche muss die Informationen über die ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellen¹. Die Frist beginnt an dem Tag zu laufen, an dem das Ersuchen bei deinem Unternehmen eingeht, unabhängig davon, ob es direkt an die Geschäftsleitung, an den Datenschutzbeauftragten oder an das allgemeine Support-Postfach adressiert war.

Fristverlängerung. Nur bei echter Komplexität.

Eine Fristverlängerung um maximal zwei weitere Monate ist laut Artikel 12 Absatz 3 DSGVO nur unter strengen Bedingungen zulässig. Dies setzt voraus, dass das Ersuchen unter Berücksichtigung der Anzahl und Komplexität von Anträgen nicht innerhalb eines Monats bearbeitet werden kann. Hohes Ticketaufkommen im Support oder personelle Engpässe rechtfertigen keine Fristverlängerung.

Wenn du die Frist verlängern musst, bist du verpflichtet, die betroffene Person innerhalb des ersten Monats über die Verzögerung und die konkreten Gründe dafür zu informieren. Ein verspäteter Zwischenbescheid setzt die Fristverlängerung rechtlich außer Kraft.

Identitätsprüfung: Wem du die Auskunft erteilst

Die sorgfältige Prüfung der Identität ist der kritischste Schritt im gesamten Prozess. Gibst du personenbezogene Daten an einen unberechtigten Dritten heraus, begehst du eine schwerwiegende Datenpanne nach Artikel 33 DSGVO, die meldepflichtig ist und direkte Haftungsfolgen nach sich ziehen kann.

Gleichzeitig gilt das Prinzip der Datenminimierung: Eine pauschale Forderung nach einer Ausweiskopie ist in den allermeisten Fällen unverhältnismäßig und datenschutzrechtlich unzulässig. Du darfst nur solche Nachweise verlangen, die zur Feststellung der Identität wirklich erforderlich und angemessen sind.

Bestandsdaten nutzen. Unnötige Barrieren vermeiden.

Geht ein Ersuchen über eine verifizierte E-Mail-Adresse ein, die bereits mit einem aktiven Kundenkonto verknüpft ist, reicht dies im Regelfall für die Authentifizierung aus. Bestehen begründete Zweifel an der Identität der anfragenden Person, können zusätzliche Bestandsdaten aus dem CRM oder Ticketsystem abgefragt werden.

• Eingeloggter Bereich: Antragstellung direkt im Kundenportal bietet das höchste Sicherheitsniveau.
• Abgleich von Stammdaten: Verifikation über hinterlegte Vertrags-, Kunden- oder Rechnungsnummern.
• Sicherheitsabfrage bei E-Mail-Wechsel: Bestätigungslink an die ursprünglich hinterlegte Kontaktadresse senden.
• Ausweiskopie nur als Ultima Ratio: Wenn unumgänglich, nur mit geschwärzten Feldern (nur Name, Anschrift und Gültigkeit sichtbar).

Sollte im Ausnahmefall die Einsendung eines Ausweisdokuments unumgänglich sein, muss die Datei nach erfolgreicher Prüfung sofort gelöscht werden. Sie darf keinesfalls dauerhaft im Ticketsystem oder im CRM gespeichert bleiben.

Der Export: Was aus dem Ticketsystem herausgehört

Artikel 15 Absatz 3 DSGVO verlangt die Bereitstellung einer originalgetreuen Kopie aller personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Für das Support-Team bedeutet das, dass eine bloße Zusammenfassung oder tabellarische Übersicht der Kundenakte oft nicht ausreicht.

Aus dem Helpdesk und Ticketsystem müssen alle Kommunikationsverläufe und zugehörigen Metadaten exportiert werden, die der anfragenden Person zugeordnet sind. Dazu gehören nicht nur abgeschlossene E-Mail-Threads, sondern auch Live-Chat-Protokolle, Kontaktformular-Einsendungen und Rückmeldungen aus Kundenumfragen. Saubere Support-Tickets mit konsistenter Strukturierung erleichtern diesen Export erheblich.

Metadaten und Negativauskunft. Nicht vergessen.

Zum Datenbestand gehören neben dem reinen Textinhalt auch technische Begleitdaten. Zeitstempel der Ticketerstellung, Statusänderungen, zugewiesene Kategorien, IP-Adressen zum Zeitpunkt der Kontaktaufnahme sowie interne Notizen müssen auf ihren Personenbezug geprüft werden.

Falls deine Recherche ergibt, dass zu der Person überhaupt keine Daten im System vorhanden sind, darf der Vorgang nicht einfach ignoriert werden. In diesem Fall ist eine formelle Negativauskunft zwingend erforderlich. Halte diesen Vorgang aus Nachweisgründen in deinem Protokoll fest.

Grenzen der Auskunft: Rechte Dritter und Schwärzungen

Das Recht auf Auskunft gilt nicht absolut. Nach Artikel 15 Absatz 4 DSGVO darf das Recht auf Erhalt einer Datenkopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Für Support-Teams ist dieser Aspekt die häufigste Fehlerquelle im Exportprozess.

Im Kundenservice enthalten Tickets häufig E-Mail-Weiterleitungen, Kommentare externer Dienstleister oder Namen von Dritten, die an einem Vorgang beteiligt waren. Solche Fremddaten dürfen nicht ungeschwärzt an die anfragende Person übermittelt werden.

Richtig schwärzen. Substanz erhalten.

Ebenso unterliegen Geschäfts- und Betriebsgeheimnisse, interne Sicherheitskonzepte oder Software-Quellcodes, die eventuell in technischen Tickets diskutiert wurden, einem Schutzanspruch. Der Schutz Dritter darf jedoch nicht als Vorwand genutzt werden, um eine Auskunft komplett zu verweigern. Stattdessen müssen sensible Passagen vor der Herausgabe geschwärzt werden.

• Personenbezogene Daten Dritter: Namen, E-Mail-Adressen und Durchwahlen von anderen Kund:innen oder externen Partnern schwärzen.
• Namen von Support-Mitarbeitenden: Sofern keine überwiegenden schutzwürdigen Interessen bestehen, gehören Agentennamen zur Kommunikation, können bei berechtigter Gefährdung aber anonymisiert werden.
• Betriebs- und Geschäftsgeheimnisse: Interne Kalkulationen, System-Passwörter oder Sicherheits-Logs unkenntlich machen.
• Echte Schwärzung anwenden: Text tatsächlich aus PDF- oder Textdateien entfernen, statt nur schwarze Balken über den Text zu legen.

Achte darauf, dass nach der Schwärzung der inhaltliche Kern der eigenen personenbezogenen Daten des Anfragenden verständlich und nachvollziehbar bleibt.

Datenminimierung: Warum alte Tickets gelöscht werden

Die Bearbeitung von Auskunftsersuchen wird umso aufwendiger, je mehr veraltete Daten in deinen Systemen lagern. Hier greift das fundamentale Datenschutzprinzip der Speicherbegrenzung und Datenminimierung nach Artikel 5 Absatz 1 Buchstabe c und e DSGVO.

Die logische Konsequenz für die Praxis lautet: Was ordnungsgemäß gelöscht wurde, existiert nicht mehr und muss folglich bei einem Auskunftsersuchen nicht aufwendig gesucht, geprüft, geschwärzt und exportiert werden. Ein strukturierter Ablauf zur Löschung von Kundendaten schützt dein Team vor unnötigem manuellem Mehraufwand.

Automatisierte Löschregeln. Klare Aufbewahrungsfristen.

Viele Support-Teams bewahren Tickets jahrelang ohne festes Konzept auf. Routineanfragen zu Produktfeatures, Öffnungszeiten oder einfachen Retouren müssen nach Abschluss des Vorgangs und Ablauf handels- sowie steuerrechtlicher Aufbewahrungsfristen konsequent bereinigt werden.

• Routine-Tickets ohne Buchungsbezug: Löschung nach 3 bis 6 Monaten nach Schließung des Vorgangs.
• Relevante Vertrags- und Gewährleistungsdaten: Aufbewahrung entsprechend der gesetzlichen Verjährungsfristen (meist 3 Jahre).
• Rechnungs- und Zahlungsbelege: Zehnjährige Aufbewahrung nach Steuer- und Handelsrecht in den dafür vorgesehenen Finanzsystemen, nicht zwingend im Helpdesk.
• Automatische Bereinigung: Support-Tools so konfigurieren, dass inaktive Tickets nach definierten Fristen selbstständig gelöscht oder anonymisiert werden.

Durch ein klares Löschkonzept schrumpft das Datenvolumen im Ticketsystem auf die tatsächlich notwendigen Vorgänge zusammen. Das beschleunigt jeden zukünftigen DSGVO-Export massiv.

Prozesse etablieren: Auskünfte sicher orchestrieren

Damit Auskunftsersuchen weder im Support-Postfach untergehen noch Fristen reißen, braucht jedes Unternehmen einen klar definierten Standardarbeitsablauf. Ein solcher Prozess stellt sicher, dass Kundenservice und Datenschutzbeauftragte Hand in Hand arbeiten.

Sobald ein Ersuchen im Postfach eintrifft, sollte es mit einem spezifischen Tag markiert, die Monatsfrist im Kalender hinterlegt und die Identitätsprüfung eingeleitet werden. Erst nach positiver Prüfung erfolgt der koordinierte Datenexport über alle angebundenen Systeme.

1. 01Eingang und Tagging: Ersuchen sofort erfassen, im Helpdesk taggen und Fristlauf dokumentieren.
2. 02Identität verifizieren: Anfragende Person über Bestandsdaten oder gesicherte Kanäle prüfen.
3. 03Datensammlung: Tickets, Chats, Notizen und zugehörige Metadaten aus dem Support-System zusammentragen.
4. 04Prüfung und Schwärzung: Rechte Dritter schützen und fremde Daten unkenntlich machen.
5. 05Sicherer Versand: Auskunft in einem gängigen elektronischen Format (z. B. PDF oder ZIP) verschlüsselt an die betroffene Person übermitteln.

Ein stabiler technischer Unterbau vereinfacht diese Workflows deutlich. Moderne Support-Plattformen wie Comlayer setzen auf transparentes Hosting in europäischen Rechenzentren, stellen geprüfte Auftragsverarbeitungsverträge (AVV) nach Artikel 28 DSGVO bereit und trennen Inhalte strikt. Das stellt sicher, dass Kundendaten nicht für externes Modelltraining genutzt werden und Exporte im Ernstfall reibungslos gelingen.

Wenn Prozesse und Software aufeinander abgestimmt sind, verliert das Thema DSGVO-Auskunft seinen Schrecken: Dein Support-Team antwortet pünktlich, rechtssicher und mit minimalem operativem Aufwand.

Häufig gestellte Fragen