Wie ich ein Auskunftsersuchen nach DSGVO als Solopreneur richtig beantworte

Es war spät am Abend, das bläuliche Licht meines Monitors war die einzige Lichtquelle in meinem kleinen Leipziger Home-Office, als mein Posteingang mit einem leisen Plopp eine E-Mail ankündigte. Eigentlich wollte ich nur noch die letzte Korrektur für einen Kundenauftrag abschließen, doch der Betreff ließ mich sofort hellwach werden: "Auskunftsbegehren gemäß Art. 15 DSGVO". Ein ehemaliger Newsletter-Abonnent wollte genau wissen, was ich über ihn gespeichert hatte.

Dieser plötzliche, kalte Schauer in meinem Nacken, als ich das Wort Auskunftsbegehren fett gedruckt sah, ist schwer zu beschreiben. Es fühlte sich ein bisschen so an, als stünde plötzlich das Finanzamt unangekündigt zur Betriebsprüfung im Wohnzimmer, während man noch im Schlafanzug ist. Seit ich 2024 mit meiner Website gestartet bin, habe ich mich zwar durch Cookie-Banner und Impressums-Generatoren gekämpft, aber ein echtes Auskunftsersuchen? Das klang nach großer Rechtsabteilung, nicht nach einer freiberuflichen Texterin mit einer Vorliebe für zu viel Kaffee und einem Hang zum Chaos.

Ein grauer Montagmorgen im letzten November

Nach der ersten Schrecksekunde am Sonntagabend war der darauffolgende Montag geprägt von einer Mischung aus Tatendrang und purer Verwirrung. Ich saß an meinem Schreibtisch, starrte auf die E-Mail und griff instinktiv nach meinem Website-Tagebuch. Dort hatte ich mir bei der Erstellung meiner Datenschutzerklärung Notizen gemacht, falls dieser Fall jemals eintreten sollte. Ich erinnerte mich dunkel, dass das Auskunftsrecht in Paragraph 15 der DSGVO verankert ist. Aber was bedeutet das konkret für mich als Einzelunternehmerin?

Zuerst dachte ich: "Ich lösche ihn einfach überall, dann ist das Problem gelöst." Ein fataler Fehler, wie ich schnell lernte. Man darf Daten nicht einfach löschen, während ein Auskunftsersuchen läuft – das wäre so, als würde man Beweismittel vernichten, kurz bevor die Polizei eintrifft. Ich musste also liefern. Die DSGVO wurde 2018 eingeführt, damit Menschen die Kontrolle über ihre Daten behalten, und jetzt war ich diejenige, die beweisen musste, dass sie diese Kontrolle ernst nimmt. Ich fühlte mich wie bei meinem ersten Behördengang in Leipzig: Man hat Angst, das falsche Formular auszufüllen, obwohl man eigentlich nichts verbrochen hat.

Kurz vor der Weihnachtspause

Die Zeit rannte. Art. 12 Abs. 3 der DSGVO besagt ganz klar, dass man für die Beantwortung eine Regelfrist von genau 1 Monat hat. Klingt nach viel Zeit? Nicht, wenn man nebenbei noch Texte für Kunden schreibt und versucht, Plätzchen zu backen, die nicht nach Pappe schmecken. Ich merkte schnell, dass ich eine Struktur brauchte. In meinem Kopf herrschte Panik, wie bei einer Steuererklärung, die man am letzten Tag der Frist beginnt.

Ich entschied mich gegen das manuelle Zusammenbasteln einer Antwort. Stattdessen nutzte ich meinen bewährten DSGVO-Schritt-Generator, um eine strukturierte Antwort-Vorlage zu erstellen. Dabei stieß ich auf den ersten wichtigen Punkt, den ich fast übersehen hätte: die Identitätsprüfung. Ich kann nicht einfach jedem, der behauptet, Herr Müller zu sein, einen Datensatz schicken. Das wäre dann erst recht eine Datenpanne! Ich musste also sicherstellen, dass der Absender der E-Mail auch wirklich der Inhaber des Newsletter-Abos war. Ein kurzer Abgleich der E-Mail-Adresse und eine freundliche Rückfrage nach einem Identitätsmerkmal reichten aus, aber dieser kleine Schritt gab mir das erste Mal das Gefühl, die Sache im Griff zu haben.

In dieser Phase half es mir enorm, dass ich bereits vor Monaten meine persönliche DSGVO Checkliste für die Website nach dem ersten Monat abgearbeitet hatte. Dort standen nämlich alle Tools drin, die ich nutze. Ohne diese Liste hätte ich wahrscheinlich die Hälfte der Speicherorte vergessen.

Nach etwa drei Wochen des Schweigens

Es war Mitte Januar, der Winter in Leipzig zeigte sich von seiner ungemütlichsten Seite, und ich saß tief vergraben in meinen digitalen Archiven. Ich musste alles finden: Newsletter-Daten, Rechnungen aus meiner Buchhaltungssoftware, E-Mails im Postfach. Und hier passierte etwas Seltsames: Ich merkte, dass es als Solopreneurin eigentlich viel einfacher ist als in einem Großkonzern. Warum? Weil ich genau weiß, wo jedes Byte wohnt. Ich habe keine 50 Abteilungen, sondern nur meine Festplatte, meinen Cloud-Speicher und mein E-Mail-Programm.

Trotzdem war ich unsicher. Muss ich auch die Notizen schicken, die ich mir am Rand eines Telefonats gemacht habe? Ich bin keine Juristin – das ist mein wichtigstes Mantra –, also habe ich mich durch Foren gelesen und sogar kurz bei der Datenschutzbehörde auf der Website gestöbert. Die Quintessenz: Ich muss eine Kopie der personenbezogenen Daten bereitstellen, die ich verarbeite. Nicht meine internen strategischen Überlegungen, sondern die Fakten über den Nutzer. Während ich die Daten aus meinem Newsletter-Tool und der Rechnungssoftware zusammenklaubte, wurde mir klar: Ordnung ist beim Datenschutz nicht nur die halbe Miete, sondern die Lebensversicherung.

Ein kleiner Stolperstein war mein Buchungstool. Ich erinnerte mich daran, wie mühsam es war, als ich mein Terminbuchungstool DSGVO konform auf die Website eingebunden habe, aber genau dieser Aufwand zahlte sich jetzt aus. Ich musste nur den Export-Button drücken und hatte alle relevanten Daten sauber aufgelistet.

Anfang April: Der Moment der Wahrheit

Es war ein sonniger Morgen Anfang April, als ich das finale Dokument zusammenstellte. Und hier kommt mein persönlicher "Contrarian-Moment", den ich so in keinem Standard-Ratgeber gelesen habe: Die strikte Einhaltung der gesetzlichen Monatsfrist kann für uns Solopreneure gefährlicher sein als eine sachlich begründete, kurze Verzögerung. Warum? Weil wir alles alleine machen. Wenn ich in der Hektik, die Frist auf den Tag genau einzuhalten, versehentlich die Daten eines anderen Kunden mit in das PDF packe, habe ich ein echtes Problem. Ein Flüchtigkeitsfehler ist bei der DSGVO viel teurer als eine freundliche Mail nach drei Wochen: "Ich stelle gerade alles für Sie zusammen, bitte geben Sie mir noch ein paar Tage für die finale Prüfung."

Ich habe mir diese Zeit genommen. Ich habe das PDF verschlüsselt, das Passwort über einen separaten Kanal geschickt (ja, das klingt übertrieben, aber es fühlt sich verdammt professionell an) und auf Senden geklickt. Das gleichmäßige Surren meines Laptop-Lüfters im stillen Wohnzimmer war das einzige Geräusch, während ich den PDF-Export zum dritten Mal auf Tippfehler prüfte. Es war wie bei einem Apothekenbeipackzettel: Man liest alles dreimal, um sicherzugehen, dass man keine Nebenwirkungen übersieht.

Als die Bestätigung kam, dass die E-Mail zugestellt wurde, fiel eine Last von mir ab, die ich wochenlang mit mir herumgeschleppt hatte. Ich fühlte mich nicht mehr wie das Opfer einer komplizierten Verordnung, sondern wie jemand, der sein Business im Griff hat. Ich habe sogar kurz überlegt, ob ich auch meine Facebook Fanpage Datenschutz konform noch einmal checken sollte, nur um im Flow zu bleiben. Aber für diesen Tag war es genug.

Was ich daraus gelernt habe

Auskunftsersuchen sind kein Weltuntergang. Sie sind eher wie eine unangekündigte Inventur. Wenn man seine Hausaufgaben gemacht hat – also weiß, welche Tools man nutzt und wo die Daten liegen –, ist es eigentlich nur Fleißarbeit. Ich habe gelernt, dass Panik ein schlechter Ratgeber ist und dass es völlig okay ist, zuzugeben, dass man gerade lernt. Ich bin eben keine Anwältin, sondern eine Texterin, die ihre Website liebt und sie schützen will.

Falls du jemals so eine E-Mail bekommst: Atme tief durch. Greif zu deinem Generator, schau in deine Tool-Liste und nimm dir die Zeit, die du brauchst, um keine Fehler zu machen. Rechtssicherheit ist kein Zustand, den man einmal erreicht und dann vergisst. Es ist ein Prozess, ein ständiges Dazulernen. Und ganz ehrlich? Wenn ich das in meinem kleinen Leipziger Büro schaffe, dann schaffst du das auch. Frag im Zweifel immer einen Profi, wenn es um komplexe rechtliche Details geht, aber lass dich von der Bürokratie nicht einschüchtern.

Heute, Monate später, blicke ich fast schon dankbar auf diese Erfahrung zurück. Sie hat mir gezeigt, dass mein System funktioniert. Und das nächste Mal, wenn mein Monitor spät abends aufleuchtet, werde ich hoffentlich nur kurz zucken – und dann ganz entspannt meinen Kaffee trinken.