Wie ich ein Auskunftsersuchen nach DSGVO als Solopreneur richtig beantworte

Auskunftsersuchen gemäß Art. 15 DSGVO, sechs Wörter im Betreff, mehr nicht, und trotzdem reicht das, um jeden ruhigen Abend zu beenden.

Meine erste Reaktion war falsch, meine zweite hat mir am Ende alles gerettet: nicht sofort antworten, sondern zuerst prüfen, wer da überhaupt fragt. Erst wenn ich sicher bin, dass die Person auch wirklich ist, wer sie behauptet zu sein, sammle ich die Daten zusammen — alles andere ist ein offenes Scheunentor für die nächste Datenpanne.

Als freiberufliche Texterin mit einer Website, die ich seit 2024 selbst betreue, hatte ich bis dahin vor allem Cookie-Einwilligungen und Impressumsfragen im Blick. Ein echtes Auskunftsersuchen klang nach einer anderen Liga — nach einem großen Unternehmen mit eigener Rechtsabteilung, nicht nach einer Solopreneurin mit zu viel Kaffee und einer Inbox voller unsortierter Rechnungen.

Novemberabend: die E-Mail mit dem Auskunftsersuchen im Betreff

Ein ehemaliger Newsletter-Abonnent wollte wissen, was ich über ihn gespeichert hatte — nicht mehr und nicht weniger. Mein erster Impuls war, seine Daten einfach überall zu löschen und das Problem damit zu erledigen. Ein Trugschluss: Während ein Auskunftsersuchen läuft, Daten zu löschen, hätte mir genau die Grundlage genommen, auf der ich später hätte antworten müssen. Also musste ich liefern, nicht verschwinden lassen.

Renée, eine Grafikdesignerin aus Hamburg, mit der ich mich seit einer DSGVO-Facebook-Gruppe austausche, schrieb mir noch am selben Abend eine Nachricht: ob ich für die Antwort ein kostenloses Tool nehmen würde. Sie ist da grundsätzlich skeptischer als ich und traut kostenlosen Generatoren selten über den Weg. Ich habe mich trotzdem für einen DSGVO-Generator als Gerüst entschieden — die eigentlichen Inhalte musste ich sowieso selbst zusammentragen.

Was verlangt ein Auskunftsersuchen eigentlich von mir?

In meiner Tool-Liste, die ich mir Monate vorher zusammengestellt hatte — meine persönliche DSGVO Checkliste für die Website nach dem ersten Monat —, stand jede Software, die ich nutze: Newsletter-Tool, Buchhaltung, Kontaktformular. Ohne diese Liste hätte ich wahrscheinlich die Hälfte der Speicherorte vergessen.

Datenschutzerklärung, Cookie-Einwilligung, Impressum, meine AGB, die AV-Verträge mit den Tool-Anbietern, das doppelte Bestätigungsverfahren beim Newsletter, die lokal eingebundenen Schriftarten, die YouTube-Einbindung ohne Tracking-Cookies — jeden einzelnen Punkt bin ich durchgegangen, nicht weil ich sie neu erklären musste, sondern weil ich wissen musste, wo überall personenbezogene Daten liegen könnten, bevor ich überhaupt mit dem Antworten anfangen konnte.

Ein kleiner Stolperstein war das Buchungstool für Beratungstermine. Der Aufwand, den ich investiert hatte, als ich mein Terminbuchungstool DSGVO konform auf die Website eingebunden habe, zahlte sich jetzt aus: ein Klick auf Exportieren, und die relevanten Daten lagen sauber sortiert vor mir.

Etwas, das ich lieber vorher gewusst hätte: Ich hatte früher einmal einen Facebook-Pixel eingebunden, bevor ich überhaupt an eine vorherige Einwilligung gedacht hatte. Diese alte Entscheidung tauchte jetzt wieder auf, denn auch dort könnten theoretisch Daten dieses Abonnenten gelandet sein. Ich musste also auch dort nachsehen, ob und was gespeichert wurde — eine Konsequenz, die ich mir Monate vorher nicht ausgemalt hatte.

Drei Wochen im Dezember: durch die eigenen Daten wühlen

Der Dezember in Leipzig zeigte sich von seiner ungemütlichsten Seite, während ich mich durch Newsletter-Exporte, Rechnungsordner und E-Mail-Archive arbeitete. Am Lindenauer Markt bin ich in dieser Zeit öfter spazieren gegangen, einfach um den Kopf freizubekommen, bevor ich mich wieder an die nächste Liste setzte.

Manfred, ehemaliger PR-Berater und heute Life-Coach, der meine Artikel seit dem allerersten Beitrag liest, schrieb mir mittendrin eine kurze Mail. Technisches Kleingedrucktes interessiert ihn wenig, er wollte nur die Essenz: Was muss ich tun, wenn mir das mal passiert? Meine Antwort war kürzer, als ich erwartet hätte — Identität prüfen, Daten sammeln, nicht in Panik geraten. Genau dieser Dreisatz half mir auch selbst, als ich mitten in der eigenen Sucherei kurz den Überblick verlor.

Am Mittwoch dieser Woche wurde mir klar, dass es als Solopreneurin sogar einfacher ist als in einem großen Unternehmen. Ich habe keine fünfzig Abteilungen, sondern eine Handvoll Tools, in denen ich genau weiß, wo jedes Byte liegt. Unsicher war ich trotzdem: Muss ich auch die Randnotizen aus einem Telefonat mitschicken? Die Antwort, die ich mir aus Foren und der Website der Datenschutzbehörde zusammengesucht habe, war schlicht: Es geht um die personenbezogenen Daten, die bei mir wirklich anfallen — nicht um meine internen Überlegungen dazu.

In Woche 12 leuchtet der Haken endlich grün

Kurz vor der Deadline habe ich das fertige Dokument noch einmal durch einen Datenschutz-Scanner laufen lassen, mehr aus Gewohnheit als aus Sorge.

Das monotone Klicken der Maustaste, während ich mich noch einmal durch endlose Absätze auf der Website der Datenschutzbehörde scrollte, hat sich in mein Gedächtnis eingebrannt, genau wie das Gefühl danach, als ich das verschlüsselte PDF endlich verschickt und das Passwort über einen zweiten Kanal hinterhergeschickt hatte. Übertrieben vorsichtig, zugegeben, aber es fühlte sich richtig an. Als die Zeile im Scanner grün aufleuchtete, musste ich kurz lächeln — zum ersten Mal seit Wochen ganz entspannt. Es war die zwölfte Woche seit der ersten E-Mail, und der grüne Haken bedeutete einfach: fertig, ohne Lücke.

Was ich falsch eingeschätzt hatte: Ich dachte, ich müsste die Frist um jeden Preis auf den Tag genau einhalten. Eine kurze, sachlich begründete Verzögerung ist oft das kleinere Risiko als Hektik — wer unter Zeitdruck aus Versehen die Daten einer anderen Person mit ins Dokument packt, hat ein größeres Problem als jemand, der ein paar Tage später, aber sauber antwortet.

Was ich als Solopreneurin beim nächsten Mal genauso machen würde

Auskunftsersuchen sind kein Weltuntergang, eher eine unangekündigte Inventur. Wer weiß, welche Tools er nutzt und wo die eigenen Daten liegen, hat den größten Teil der Arbeit schon erledigt, bevor die erste Zeile geschrieben ist. Der Rest ist Fleißarbeit und ein bisschen Geduld mit sich selbst.

Falls dir das auch passiert: Erst die Identität prüfen, dann die eigene Tool-Liste durchgehen, dann erst schreiben. Rechtssicherheit ist für mich kein Zustand, den man einmal erreicht und abhakt, sondern eher wie das Update eines Website-Tagebuchs — man trägt regelmäßig nach, was sich verändert hat. Bei komplizierteren Fällen hole ich mir inzwischen lieber früh Rat von einer Fachperson, statt tagelang allein zu grübeln.

Kurz habe ich überlegt, ob ich direkt im Anschluss auch meine Facebook Fanpage Datenschutz konform noch einmal checke, einfach weil ich schon mittendrin war. Aber für diesen Tag war das Kontingent an Konzentration aufgebraucht.

Der nächste Newsletter-Abonnent, der so eine E-Mail schickt, wird mich hoffentlich nur kurz aus der Ruhe bringen — und dann sitze ich wieder entspannt vor meinem Kaffee, ohne diesen kalten Schauer im Nacken.