Klient will seine Daten sehen — was jetzt? (Auskunftsrecht)

Das Auskunftsersuchen kommt selten aus Neugier. Es kommt meist am Ende einer Betreuung, oft im Streit, manchmal als Vorbereitung eines Schadenersatzanspruchs. Umso wichtiger, dass die Antwort routiniert ausfällt statt improvisiert.

Was genau kann ein Klient verlangen?

Art. 15 Abs. 1 nennt acht Punkte. Es ist keine Sammelfrage, sondern eine Liste:

1. Verarbeitungszwecke
2. Kategorien der verarbeiteten Daten
3. Empfänger oder Kategorien von Empfängern
4. geplante Speicherdauer oder die Kriterien dafür
5. das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
6. das Beschwerderecht bei der Aufsichtsbehörde
7. die Herkunft der Daten, wenn sie nicht beim Klienten erhoben wurden
8. das Bestehen einer automatisierten Entscheidungsfindung

Dazu kommt nach Abs. 3 die Kopie der Daten selbst — das ist der Teil, der Arbeit macht.

Wie lange hast du Zeit?

Einen Monat ab Eingang. Art. 12 Abs. 3 erlaubt eine Verlängerung um zwei weitere Monate bei Komplexität oder einer Vielzahl von Anträgen — die Mitteilung darüber muss aber innerhalb des ersten Monats erfolgen und begründet sein.

Die Frist läuft ab Eingang, nicht ab Kenntnisnahme. Ein Antrag, der in einem selten gelesenen Postfach liegt, verkürzt nur deine eigene Bearbeitungszeit.

Muss der Antrag in einer bestimmten Form gestellt werden?

Nein — und das ist die häufigste Fehlannahme. Der Antrag braucht keine Schriftform, keine Begründung und keinen Verweis auf die DSGVO. Ein „Schick mir bitte alles, was du über mich gespeichert hast" per Nachricht ist ein wirksames Auskunftsersuchen.

Umgekehrt darfst du bei begründeten Zweifeln an der Identität nach Art. 12 Abs. 6 zusätzliche Informationen verlangen. Das ist kein Freibrief für eine Ausweiskopie: Wenn die Person seit zwei Jahren aus derselben Mailadresse mit dir schreibt, bestehen keine begründeten Zweifel.

Zählen Chatverlauf und handschriftliche Notizen dazu?

Ja, beides. Maßgeblich ist nicht der Speicherort, sondern der Personenbezug. Erfasst sind unter anderem:

• Stammdaten, Termine, Rechnungen
• Trainingspläne und der gesamte Verlauf
• Gewicht, Umfänge, Fortschrittsfotos
• Nachrichtenverläufe, auch aus einem Messenger
• Gesprächsnotizen, auch handschriftliche
• Vermerke im Kalender

Genau daran zeigt sich, warum eine verstreute Ablage teuer wird: Wer die Daten an fünf Orten hat, muss fünf Orte durchsuchen — unter Fristdruck. Wie sich das entzerren lässt, steht in Darf ich Klientendaten über WhatsApp schicken?

Was heißt „Kopie" nach der Rechtsprechung?

Der Europäische Gerichtshof hat am 4. Mai 2023 in der Sache C-487/21 entschieden, dass die Kopie eine originalgetreue und verständliche Reproduktion der Daten sein muss. Eine bloße Aufzählung von Kategorien genügt nicht. Wenn es zum Verständnis nötig ist, müssen sogar Auszüge aus Dokumenten oder ganze Dokumente herausgegeben werden.

Praktisch heißt das: Eine Liste „wir speichern Gewichtsdaten" ist keine Auskunft. Der tatsächliche Verlauf gehört dazu.

Darfst du etwas zurückhalten?

Nur in engen Grenzen. Art. 15 Abs. 4 stellt klar, dass die Kopie die Rechte anderer Personen nicht beeinträchtigen darf. Steht in einer Notiz auch etwas über einen Dritten — etwa über eine Begleitperson —, schwärzt du diese Stelle und gibst den Rest heraus.

Was kein Grund zum Zurückhalten ist: eine offene Rechnung, ein laufender Streit oder die Sorge, die Auskunft könne gegen dich verwendet werden.

Was kostet dich die Auskunft?

Die erste Kopie ist kostenlos. Für weitere Kopien darfst du nach Art. 15 Abs. 3 ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen. Bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt Art. 12 Abs. 5 ein Entgelt oder die Weigerung — den Nachweis dafür trägst du.

Ein Klient, der einmal im Jahr fragt, ist nicht exzessiv. Die Schwelle liegt höher, als sie im Ärger wirkt.

Wie bereitest du dich vor, damit es zwanzig Minuten dauert?

Der Aufwand entsteht nicht beim Antworten, sondern beim Suchen. Drei Vorkehrungen genügen:

1. Ein Ort je Klient. Wenn Plan, Verlauf, Nachrichten und Werte zusammen liegen, ist die Auskunft ein Export statt einer Recherche.
2. Ein Standardschreiben mit den acht Punkten aus Art. 15 Abs. 1, in das du nur noch Zwecke, Dauer und Empfänger einträgst.
3. Eine aktuelle Empfängerliste — sie ist ohnehin identisch mit deinen Auftragsverarbeitungsverträgen, siehe Auftragsverarbeitungsvertrag für Personal Trainer.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Weil Plan, Verlauf und Nachrichten dort an einem Ort liegen, betrifft eine Auskunft einen Datensatz statt fünf Ablagen — Näheres auf der Startseite und in den häufigen Fragen.

Was folgt oft direkt danach?

In der Praxis folgt auf die Auskunft häufig der Löschwunsch nach Art. 17. Beide Anträge lassen sich sinnvoll zusammen bearbeiten: erst herausgeben, was vorhanden ist, dann löschen, was gelöscht werden muss. Was dabei bleiben darf, steht in Klient kündigt: Welche Daten müssen weg?

Wie sieht eine brauchbare Antwort aus?

Eine gute Auskunft besteht aus zwei Teilen — und der zweite wird häufig vergessen.

Was das Anschreiben leisten muss: Es benennt konkret, wozu du verarbeitest (Planung und Auswertung des Trainings), auf welcher Grundlage (Vertrag für Stammdaten, Einwilligung für Gesundheitsdaten), wer die Daten bekommt (namentlich die eingesetzten Werkzeuge) und wie lange du sie speicherst.

Zwei Formulierungen, die regelmäßig beanstandet werden: „soweit erforderlich" als Zweck und „so lange wie nötig" als Speicherdauer. Beides sind keine Angaben, sondern Platzhalter — Art. 15 verlangt entweder die Dauer oder die Kriterien, nach denen sie festgelegt wird.

Und ein praktischer Hinweis: Verschick die Kopie nicht unverschlüsselt an eine Adresse, die du nicht geprüft hast. Eine Auskunft, die bei der falschen Person landet, ist eine Datenpanne nach Art. 33 — mit einer Meldefrist von 72 Stunden.

Fazit

Ein Auskunftsersuchen ist kein Angriff, sondern eine Frist. Wer weiß, wo seine Daten liegen, beantwortet es in zwanzig Minuten; wer sie über Chat, Kamerarolle und zwei Tabellen verteilt hat, verbringt damit einen Arbeitstag — und riskiert, etwas zu übersehen. Der Überblick über alle Pflichten steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 21. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.