DSGVO-Auskunftspflicht und Löschanfragen: So reagieren Sie als Webseitenbetreiber richtig

Als ich vor einigen Jahren meine ersten WordPress-Projekte für deutsche Kunden betreute, war die DSGVO gerade neu in Kraft getreten. Seither hat sich viel verändert: Die Behörden prüfen aktiver, Nutzer sind selbstbewusster geworden, und Auskunfts- oder Löschanfragen landen mittlerweile auch bei kleinen Handwerksbetrieben und Einzelunternehmen.

Dieser Leitfaden richtet sich an Webseitenbetreiber ohne eigene Rechtsabteilung: Ich zeige, welche Fristen gelten, wie Sie strukturiert vorgehen und welche Fehler Sie teuer zu stehen kommen können. Ich bin Webentwickler, kein Anwalt - für konkrete rechtliche Fragen im Einzelfall empfehle ich eine anwaltliche Beratung.

Was steckt hinter dem Auskunftsrecht (Art. 15 DSGVO)?

Art. 15 DSGVO gibt jeder Person das Recht, bei einem Unternehmen oder einer Webseite nachzufragen: "Welche Daten über mich speichert ihr, warum und wie lange?" Wer eine solche Anfrage erhält, muss nicht nur bestätigen, ob überhaupt Daten verarbeitet werden, sondern auch eine vollständige Auskunft erteilen.

Dazu gehören:

• Welche Datenkategorien verarbeitet werden (Name, E-Mail, IP-Adressen, Verhaltensdaten usw.)
• Der Verarbeitungszweck (Newsletter, Bestellabwicklung, Kontaktformular)
• Empfänger oder Kategorien von Empfängern (Hosting-Anbieter, E-Mail-Tool, Zahlungsdienstleister)
• Die geplante Speicherdauer oder Kriterien dafür
• Hinweis auf Betroffenenrechte wie Berichtigung, Löschung oder Widerspruch
• Bei Drittlandtransfer: welche Garantien bestehen

Die Frist: ein Monat, nicht mehr

Die DSGVO gibt in Art. 12 Abs. 3 eine klare Vorgabe: Sie müssen innerhalb eines Monats nach Eingang der Anfrage antworten. Diese Frist gilt auch dann, wenn die Anfrage per einfacher E-Mail, telefonisch oder sogar mündlich bei einem Kundentermin eingeht.

Eine Verlängerung auf bis zu drei Monate ist möglich, wenn die Anfrage komplex ist oder Sie viele Anfragen gleichzeitig erhalten. Aber: Die betroffene Person muss innerhalb des ersten Monats über die Verlängerung und deren Gründe informiert werden. Wer das vergisst, hat die Frist praktisch schon gerissen.

Das Recht auf Löschung (Art. 17 DSGVO)

Das sogenannte "Recht auf Vergessenwerden" ist in Art. 17 DSGVO geregelt. Wenn jemand verlangt, dass seine Daten gelöscht werden, müssen Sie das grundsätzlich tun - und zwar, wenn einer der folgenden Gründe vorliegt:

• Die Daten sind für den ursprünglichen Zweck nicht mehr erforderlich
• Die Einwilligung wurde widerrufen und es gibt keine andere Rechtsgrundlage
• Die betroffene Person widerspricht der Verarbeitung und es überwiegen keine berechtigten Interessen
• Die Daten wurden unrechtmäßig verarbeitet

Für Löschanfragen gilt dieselbe Monatsfrist wie für Auskunftsanfragen. Der entscheidende Unterschied: Bevor Sie die Frist überhaupt beginnen lassen, sollten Sie die Identität des Anfragenden prüfen.

Wann dürfen (oder müssen) Sie die Löschung verweigern?

Nicht jede Löschanfrage muss sofort umgesetzt werden. Es gibt gesetzliche Aufbewahrungspflichten, die Vorrang haben:

Wenn Sie die Löschung ablehnen, müssen Sie das der anfragenden Person schriftlich mitteilen - mit Begründung und mit dem Hinweis, dass sie sich bei der zuständigen Datenschutzaufsichtsbehörde beschweren kann.

Wie sieht ein sinnvoller Prozess für kleine Betriebe aus?

Bei einem Kundenprojekt aus Hamburg - einem kleinen Handwerksbetrieb mit Kontaktformular, Newsletter und WooCommerce-Shop - habe ich den folgenden Prozess eingerichtet. Er funktioniert ohne teure Software, braucht aber Disziplin.

Für die Dokumentation reicht zunächst eine einfache Tabelle in Excel oder Google Sheets mit den Spalten: Datum Eingang, Name Anfragender, Art der Anfrage, Frist, Datum Antwort, Ergebnis. Wer das nicht systematisch führt, verliert schnell den Überblick - besonders wenn mehrere Anfragen gleichzeitig eingehen.

Wo finde ich alle Daten meiner Nutzer überhaupt?

Das ist die praktisch schwierigste Frage. Als Webseitenbetreiber sollten Sie genau wissen, welche Systeme personenbezogene Daten speichern. Eine typische WordPress-Seite speichert Daten an mindestens folgenden Stellen:

Für eine vollständige Auskunft müssen Sie all diese Quellen abfragen. Wer kein Verzeichnis der Verarbeitungstätigkeiten (VVT) führt, hat bei einer Auskunftsanfrage schlechte Karten - und braucht doppelt so lange für die Bearbeitung.

Typische Fehler und wie Sie sie vermeiden

In meiner Praxis begegnen mir immer wieder dieselben Probleme. Der häufigste: Die Anfrage landet im allgemeinen Posteingang, wird als normales Support-Ticket behandelt und gerät in Vergessenheit. Nach sechs Wochen meldet sich die Datenschutzbehörde.

Weitere Fehler:

• Auskunft erteilen, ohne die Identität zu prüfen - Datenleck inklusive
• Daten löschen, obwohl steuerrelevante Aufbewahrungspflichten bestehen
• Antwort zu allgemein halten: "Wir verarbeiten Ihre Daten gemäß DSGVO" reicht nicht
• Kein Nachweis, dass und wann geantwortet wurde
• Verlängerung der Frist nicht kommunizieren

Was droht bei Verstößen?

Die Datenschutzbehörden in Deutschland sind aktiv. 2025 hat der Europäische Datenschutzausschuss (EDSA) eine europaweite Prüfaktion zum Recht auf Löschung durchgeführt. Das Ignorieren von Betroffenenanfragen gehört zu den sanktionierten Verstößen.

Die Bandbreite der Konsequenzen reicht von der einfachen Verwarnung bis zu Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes - je nachdem, welcher Betrag höher ist. Für kleine Betriebe sind Bußgelder im vier- bis fünfstelligen Bereich realistisch, wenn Anfragen systematisch ignoriert werden.

Wer sich über seine konkreten Pflichten im Zusammenhang mit seiner Webseite unsicher ist, findet bei mir auf der Seite Webseiten erstellen auch Informationen dazu, wie ich datenschutzkonforme WordPress-Projekte aufsetze.

Verzeichnis der Verarbeitungstätigkeiten als Grundlage

Wer kein VVT führt, tappt bei Auskunftsanfragen im Dunkeln. Das Verzeichnis muss für jeden Verarbeitungsvorgang enthalten: Zweck, Rechtsgrundlage, Kategorien betroffener Personen, Empfänger, Drittlandtransfer und geplante Löschfristen.

Das klingt nach viel Bürokratie, ist aber die einzige Möglichkeit, strukturiert Auskunft erteilen zu können. Ohne VVT weiß man schlicht nicht, welche Daten man überhaupt hat - und kann damit weder vollständig Auskunft erteilen noch zuverlässig löschen.

Praktische Tools und Vorlagen

Für die meisten kleinen Betriebe reichen drei Dinge: ein Muster-Antwortschreiben für Auskunftsanfragen, ein Muster für Ablehnungen mit Begründung und eine einfache Tabelle zur Dokumentation.

Wer WordPress nutzt, kann über Plugins wie WP GDPR Compliance oder Complianz eine Anfrageverwaltung direkt ins Backend integrieren. Das macht den Prozess sichtbarer - aber nur, wenn dann auch jemand draufschaut. Die Technik ersetzt nicht die Verantwortung.

Für meine Kunden aus Hamburg und anderen deutschen Städten baue ich bei komplexeren Projekten eine eigene Anfrage-Schnittstelle, über die Nutzer direkt ihre Anfragen einreichen können. Das reduziert den manuellen Aufwand erheblich und dokumentiert automatisch Datum und Inhalt jeder Anfrage.

Checkliste vor dem ersten Ernstfall

Wer diese Punkte abhakt, ist für die meisten Situationen gerüstet. Wenn Sie unsicher sind, welche Daten Ihre Webseite genau erhebt, oder Sie eine Datenschutzseite und ein VVT aufsetzen wollen, können Sie mich gerne über meine Webseiten-Leistungen oder direkt über den Kontakt ansprechen.

Häufige Fragen

Wie lange habe ich Zeit, auf eine DSGVO-Auskunftsanfrage zu antworten?

Grundsätzlich einen Monat ab Eingang der Anfrage. Wenn der Fall komplex ist oder Sie viele Anfragen gleichzeitig bearbeiten, dürfen Sie die Frist um zwei weitere Monate verlängern - müssen den Anfragenden aber innerhalb des ersten Monats darüber informieren.

Muss ich wirklich jeden Nutzer meiner Webseite über seine gespeicherten Daten informieren?

Nur wenn jemand aktiv darum bittet. Es gibt keine Pflicht zur spontanen Auskunft. Sobald aber eine schriftliche oder mündliche Anfrage eingeht, greift Art. 15 DSGVO und Sie müssen innerhalb der Frist reagieren.

Was passiert, wenn jemand die Löschung aller Daten verlangt, ich aber gesetzliche Aufbewahrungspflichten habe?

Dann überwiegen die gesetzlichen Aufbewahrungspflichten - zum Beispiel die steuerliche Aufbewahrungspflicht nach § 257 HGB für Rechnungen. Sie dürfen die Daten für den gesetzlich vorgeschriebenen Zeitraum weiter speichern, müssen dem Anfragenden das aber klar und verständlich mitteilen.

Reicht eine einfache E-Mail als Auskunft aus?

Ja, wenn die Auskunft vollständig ist. Sie muss alle verarbeiteten Datenkategorien, den Verarbeitungszweck, die Empfänger, die Speicherdauer und gegebenenfalls die Herkunft der Daten enthalten. Viele nutzen dafür eine Vorlage, die sie pro Anfrage individuell anpassen.

Darf ich für die Bearbeitung einer DSGVO-Auskunftsanfrage eine Gebühr verlangen?

Die erste Auskunft ist kostenlos zu erteilen. Nur bei offensichtlich unbegründeten oder exzessiven Wiederholungsanfragen dürfen Sie ein angemessenes Entgelt verlangen oder die Auskunft verweigern - beides muss aber begründet und dokumentiert werden.

Was tue ich, wenn ich mir bei der Identität des Anfragenden nicht sicher bin?

Sie dürfen eine Identitätsprüfung verlangen, zum Beispiel durch Vorlage eines Ausweises oder Bestätigung per E-Mail. Die Monatsfrist beginnt erst dann zu laufen, wenn die Identität zweifelsfrei feststeht. Übermäßige Hürden sollten Sie aber vermeiden, da die Behörden hier sehr genau hinschauen.