Es ist ein Montagmorgen, und die E-Mail im Postfach deines Kunden klingt harmlos: Ein ehemaliger Mitarbeiter „bittet um Auskunft über alle zu seiner Person gespeicherten Daten". Was nach einer Formalie aussieht, ist der Startschuss für eine Uhr, die unerbittlich läuft – und die dein Kunde meist nicht allein anhalten kann. Denn die Daten liegen im Kundenformular, das du gebaut hast, im Newsletter-Tool, das du betreust, in den Server-Logs deines Hostings. Damit sitzt du mit im Boot.
Für kleine Agenturen ist das Auskunftsersuchen nach Art. 15 DSGVO ein unterschätztes Risiko. Es kommt selten angekündigt, oft von unzufriedenen Ex-Mitarbeitern, verärgerten Kunden oder im Streit befindlichen Geschäftspartnern – und zwei Gerichtsentscheidungen aus dem Jahr 2026 haben die Spielregeln gerade geschärft. Dieser Beitrag zeigt dir, was ein solcher Antrag auslöst, welche Fristen wirklich gelten, welche Rolle deine Agentur dabei spielt und wie du einen Prozess aufsetzt, der deinen Kunden schützt. Vorweg: Das ist eine journalistische Einordnung, keine Rechtsberatung.
Warum ein Auskunftsersuchen für Agentur-Kunden riskant ist
Das Auskunftsrecht aus Art. 15 DSGVO gibt jeder Person das Recht zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen über sie verarbeitet. Verantwortlich für die Antwort ist dein Kunde als sogenannter Verantwortlicher. Das Tückische: Die Auskunft muss vollständig sein und alle Stellen umfassen, an denen Daten liegen – auch die technischen Systeme, die du im Hintergrund betreust.
Genau hier wird es für viele kleine Unternehmen eng. Wer nicht genau weiß, wo überall Daten einer Person gespeichert sind, kann keine vollständige Auskunft geben. Und eine unvollständige oder verspätete Auskunft ist kein Kavaliersdelikt: Sie kann Schadenersatzansprüche und Beschwerden bei der Aufsichtsbehörde nach sich ziehen. Weil du als Agentur die Systeme kennst und betreibst, bist du oft die einzige Instanz, die überhaupt sagen kann, welche Daten wo liegen. Das ist eine Last – aber auch ein Beleg dafür, wie wertvoll deine Betreuung ist.
Die Monatsfrist ist keine Empfehlung
Der wichtigste und meistunterschätzte Punkt ist die Frist. Nach Art. 12 Abs. 3 DSGVO muss die Auskunft grundsätzlich innerhalb eines Monats erteilt werden. Nur in komplexen Fällen darf um bis zu zwei weitere Monate verlängert werden – aber auch das nur, wenn die betroffene Person innerhalb des ersten Monats über die Verzögerung und ihre Gründe informiert wird. Wer diese Benachrichtigung vergisst, verliert die Verlängerungsoption.
Wie ernst die Gerichte das nehmen, zeigt ein Urteil des Verwaltungsgerichts Osnabrück vom 13. Januar 2026 (Az. 7 A 6/24), treffend zusammengefasst mit dem Satz „Monatsfrist heißt Monatsfrist". Das Gericht stellte klar, dass der Eingang des Antrags beim Verantwortlichen den maßgeblichen Zeitpunkt für den Fristbeginn markiert – ein Stichtag muss vom Antragsteller nicht genannt werden. Im konkreten Fall ging der Antrag am 22. November ein, die Frist endete damit am 22. Dezember; die Stelle reagierte erst am 3. Januar und lag damit rund zwölf Tage zu spät. Eine solche Überschreitung, so das Gericht, kann Schadenersatzansprüche nach Art. 82 DSGVO begründen. Für die Praxis heißt das: Ab dem Tag, an dem der Antrag eingeht, tickt die Uhr – nicht ab dem Tag, an dem sich jemand darum kümmert.
Was in die Auskunft gehört
Eine vollständige Auskunft nach Art. 15 Abs. 1 DSGVO umfasst deutlich mehr als eine Liste gespeicherter Daten. Der Verantwortliche muss unter anderem über die Verarbeitungszwecke informieren, über die Kategorien der verarbeiteten Daten, über die Empfänger oder Empfängerkategorien, über die geplante Speicherdauer beziehungsweise die Kriterien dafür, über die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden, sowie über das Bestehen einer etwaigen automatisierten Entscheidungsfindung. Dazu kommen die Hinweise auf die weiteren Betroffenenrechte wie Berichtigung, Löschung und Beschwerde.
Hinzu tritt das Recht auf eine Kopie der verarbeiteten Daten nach Art. 15 Abs. 3 DSGVO. Die erste Kopie ist kostenlos; für weitere Kopien darf ein angemessenes Entgelt verlangt werden. Wird der Antrag elektronisch gestellt, ist die Auskunft in einem gängigen elektronischen Format bereitzustellen. Wichtig ist dabei die Grenze zum Schutz Dritter: Enthalten Dokumente auch Daten anderer Personen, dürfen deren Rechte nicht beeinträchtigt werden – hier ist sorgfältig zu schwärzen statt pauschal alles herauszugeben.
Was 2026 neu ist: der Streit um den Missbrauch
Viele Betroffene stellen einen Auskunftsantrag nicht aus Neugier, sondern strategisch – etwa um vor einem arbeitsgerichtlichen Streit Material zu sammeln oder Druck aufzubauen. Lange war umstritten, ob ein Unternehmen solche Anträge als „rechtsmissbräuchlich" zurückweisen darf. Zwei Entscheidungen aus 2026 sorgen für mehr Klarheit – in beide Richtungen.
Der Europäische Gerichtshof entschied im Fall „Brillen Rottler" (Urteil vom 19. März 2026, C-526/24), dass die Absicht des Antragstellers durchaus eine Rolle spielen kann. Ein Antrag könne missbräuchlich sein, wenn er nicht gestellt werde, um sich der eigenen Datenverarbeitung bewusst zu werden, sondern um künstlich die Grundlage für einen späteren Vorteil – etwa Schadenersatz – zu schaffen. Bemerkenswert: Auch ein erstmaliger Antrag kann nach dieser Rechtsprechung bereits „exzessiv" sein, nicht erst ein wiederholter. Verweigern darf der Verantwortliche aber nur, wenn er zwei Dinge zugleich nachweist: objektive Anhaltspunkte, dass das eigentliche Ziel des Auskunftsrechts verfehlt wird, und die subjektive Absicht des Antragstellers, sich einen ungerechtfertigten Vorteil zu verschaffen. Die Norm sei eng auszulegen, bloße Verdachtsmomente genügen nicht.
Die praktische Konsequenz ist ernüchternd: Der Missbrauchseinwand ist eine schmale Ausnahme, kein bequemer Ausweg. Das zeigt auch eine Entscheidung des OLG Nürnberg, wonach ein umfangreicher Auskunftsanspruch eines ehemaligen Arbeitnehmers nicht schon deshalb rechtsmissbräuchlich ist, weil er im Kontext eines Arbeitsrechtsstreits steht. Für deine Kunden heißt das: In aller Regel führt kein Weg an einer fristgerechten, vollständigen Auskunft vorbei. Sich auf den Missbrauch zu berufen und die Frist verstreichen zu lassen, ist ein riskantes Spiel.
Deine Rolle als Agentur: Auftragsverarbeiter in der Pflicht
Hier kommt der Punkt, den viele Agenturen übersehen. Wenn du im Auftrag deines Kunden personenbezogene Daten verarbeitest – etwa über ein Kontaktformular, ein Newsletter-System oder das Hosting –, bist du in der Regel Auftragsverarbeiter. Und ein Auftragsverarbeiter ist nach der DSGVO verpflichtet, den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen. Diese Pflicht sollte in eurem Auftragsverarbeitungsvertrag festgehalten sein – warum dieser Vertrag auch bei modernen Tools kein bürokratisches Beiwerk ist, haben wir im Beitrag zum AVV für KI-Tools beschrieben.
Praktisch bedeutet Unterstützung: Du musst im Ernstfall schnell sagen können, welche Daten einer Person in den von dir betreuten Systemen liegen und diese exportieren können. Das setzt voraus, dass du deine Datenlandschaft überhaupt kennst – von Formulareinträgen über CRM und Newsletter-Tool bis zu Log-Dateien und Backups. Diese Übersicht ist dieselbe, die dir auch im Fall einer Datenpanne das Leben rettet, wo eine noch kürzere Frist gilt. Wer seine Systeme kennt, ist bei beiden Pflichten im Vorteil. Ein Nebeneffekt sauber abgegrenzter Systeme: Setzt du etwa einen Chatbot ein, der ausschließlich mit freigegebenen, klar umrissenen Inhalten arbeitet – wie es das Prinzip hinter Ragnova vorsieht –, bleibt sein Datenbestand transparent und leicht auskunftsfähig, statt in einer undurchschaubaren Wolke zu verschwinden.
Der Fahrplan für den Ernstfall
Aus all dem lässt sich ein einfacher Prozess ableiten, den du gemeinsam mit deinen Kunden aufsetzen solltest. Erstens: ein klarer Eingangskanal, damit ein Antrag nicht in irgendeinem Postfach untergeht und die Frist unbemerkt anläuft. Zweitens: eine Identitätsprüfung, denn Auskunft darf nur an die berechtigte Person gehen, nicht an jeden, der einen Namen nennt. Drittens: eine gepflegte Übersicht aller Systeme, in denen Daten liegen – dein Beitrag als Agentur. Viertens: eine dokumentierte Fristenkontrolle mit Wiedervorlage deutlich vor Ablauf des Monats. Und fünftens: eine vorbereitete Antwortvorlage, die alle Pflichtinformationen abdeckt, damit im Ernstfall nicht jedes Mal von vorn recherchiert wird.
Der Aufwand, diesen Prozess einmal einzurichten, ist überschaubar – der Schaden eines verpatzten Auskunftsersuchens dagegen nicht. Genau darin liegt für dich als Agentur die Chance: Wer seinen Kunden diesen Fahrplan anbietet und die technische Seite übernimmt, verkauft nicht nur eine Website, sondern Sicherheit. Und das ist ein Argument, das bei Geschäftsführern kleiner Unternehmen zieht, sobald sie einmal erlebt haben, wie schnell aus einer harmlosen E-Mail ein teures Problem wird.
- Ein Auskunftsersuchen nach Art. 15 DSGVO muss binnen eines Monats ab Antragseingang beantwortet werden; das VG Osnabrück bestätigte am 13.01.2026 (Az. 7 A 6/24), dass eine Fristüberschreitung Schadenersatz nach Art. 82 DSGVO auslösen kann.
- Die Auskunft ist umfassend: Zwecke, Datenkategorien, Empfänger, Speicherdauer, Herkunft und automatisierte Entscheidungen – plus eine erste kostenlose Kopie nach Art. 15 Abs. 3, unter Wahrung der Rechte Dritter.
- Der EuGH entschied im Fall Brillen Rottler (19.03.2026, C-526/24), dass ein Antrag missbräuchlich sein kann, wenn er nur einen künstlichen Vorteil bezweckt – doch der Einwand ist eine eng auszulegende Ausnahme, kein Ausweg aus der Frist.
- Als Auftragsverarbeiter muss deine Agentur den Kunden bei der Auskunft unterstützen: Du musst schnell sagen können, welche Daten in Formularen, CRM, Newsletter-Tool, Logs und Backups liegen.
- Ein vorbereiteter Prozess aus Eingangskanal, Identitätsprüfung, Systemübersicht, Fristenkontrolle und Antwortvorlage macht aus einem Risiko eine verkaufbare Leistung.