Auskunftsersuchen nach Art. 15 DSGVO: Daten Dritter richtig schwärzen

Wenn Sie ein Auskunftsersuchen beantworten, erhält die Person eine Kopie ihrer eigenen personenbezogenen Daten. Nach Art. 15 Abs. 4 DSGVO darf diese Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Sie schwärzen also, was andere Personen erkennbar macht, wenn die Herausgabe ihnen wirklich schaden würde. Alles andere geben Sie heraus. Und Sie halten fest, warum.

Ein Beispiel: Erika Mustermann verlangt von ihrem früheren Arbeitgeber Auskunft. In ihrer Akte liegt ein E-Mail-Wechsel, in dem sich ein Kollege über sie beschwert. Erika hat ein Recht auf das, was dort über sie steht. Der Kollege hat ebenfalls Rechte. Dieser Leitfaden ist eine allgemeine Information und keine Rechtsberatung. Stand: September 2026.

Was regeln Art. 15 Abs. 3 und Abs. 4 DSGVO?

EU: Nach Art. 15 Abs. 3 stellt der Verantwortliche eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind. Für weitere Kopien kann er ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Absatz 4 setzt dann die Grenze.

Das Recht auf Erhalt einer Kopie [...] darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. (Art. 15 Abs. 4 DSGVO)

Erwägungsgrund 63 nennt als Beispiele Geschäftsgeheimnisse, Rechte des geistigen Eigentums und das Urheberrecht an Software. Er stellt aber klar: Dies darf nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Art. 15 Abs. 4 erlaubt, Teile herauszunehmen. Er erlaubt nicht, die ganze Akte zurückzuhalten.

Was sagen die EDSA-Leitlinien zu Daten anderer Personen?

Der Europäische Datenschutzausschuss (EDSA) hat seine Leitlinien 01/2022 zum Auskunftsrecht am 28. März 2023 angenommen. Abschnitt 6.2 behandelt Art. 15 Abs. 4. Die Kernpunkte:

• „Andere Personen“ ist jede Person oder Einrichtung außer der antragstellenden Person, etwa auch der Verantwortliche selbst mit seinen Geschäftsgeheimnissen.
• Eine allgemeine Besorgnis reicht nicht. Der Verantwortliche muss nachweisen können, dass in der konkreten Situation tatsächlich Rechte beeinträchtigt würden.
• Drei Schritte: nachteilige Auswirkung feststellen, die Rechte in Einklang bringen (etwa durch Schwärzen), dann entscheiden, welches Recht Vorrang hat.
• Informationen über andere werden so weit wie möglich unkenntlich gemacht, statt die Kopie zu verweigern.
• Art. 15 Abs. 4 ist nicht anwendbar auf die Informationen über die Verarbeitung nach Art. 15 Abs. 1, etwa Zwecke oder Empfänger.

Was wird typischerweise geschwärzt, und was dürfen Sie nicht zurückhalten?

Was ergänzen die nationalen Behörden?

Deutschland: Laut BfDI darf der Verantwortliche die Auskunft regelmäßig nicht vollständig verweigern. Er muss beispielsweise die Namen dritter Personen in Dokumenten schwärzen. Nach § 29 Abs. 1 Satz 2 BDSG besteht das Auskunftsrecht nicht, soweit Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach geheim gehalten werden müssen, insbesondere wegen überwiegender berechtigter Interessen eines Dritten.

Vereinigtes Königreich: Die Aufsichtsbehörde ICO beschreibt drei Schritte. Lässt sich das Ersuchen erfüllen, ohne Informationen über einen identifizierbaren Dritten preiszugeben? Hat der Dritte eingewilligt? Ist die Offenlegung sonst ohne Einwilligung angemessen? Frankreich: Die CNIL nennt für dienstliche E-Mails das Löschen, Anonymisieren oder Pseudonymisieren der Daten Dritter als ersten Schritt vor einer Ablehnung.

Wie gehen Sie beim Schwärzen Schritt für Schritt vor?

1. 1Sammeln. Durchsuchen Sie alle Systeme mit Daten der Person: Personalakte, E-Mail, Chat, CRM, Papier.
2. 2Prüfen. Markieren Sie, was die antragstellende Person betrifft, was andere betrifft und was ein Geschäftsgeheimnis sein kann.
3. 3Schwärzen. Arbeiten Sie mit einer Kopie, nie mit dem Original. Schwärzen Sie nur, was die Abwägung trägt. Ersetzen Sie einen Namen durch eine neutrale Bezeichnung wie Kollege A, damit der Text lesbar bleibt.
4. 4Kontrollieren. Lassen Sie eine zweite Person gegenlesen. Versuchen Sie, Text unter jeder Schwärzung zu markieren und zu kopieren. Prüfen Sie Kommentare und Metadaten.
5. 5Dokumentieren. Halten Sie fest, was geschwärzt wurde, warum, von wem und wann. Bewahren Sie die ungeschwärzte und die geschwärzte Fassung klar beschriftet auf.

Die Sächsische Datenschutz- und Transparenzbeauftragte warnt: Überdeckt ist nicht gleich anonymisiert. Text unter einem Balken lässt sich oft einfach markieren und in einen Texteditor kopieren. Nutzen Sie ein Werkzeug, das Inhalte wirklich entfernt. Laut Adobe-Dokumentation (Stand September 2026) entfernt das Werkzeug „Schwärzen“ in Acrobat Pro, Premium und Studio Informationen dauerhaft, und das Bereinigen beseitigt Kommentare, Metadaten und verborgene Ebenen.

Eine Alternative im Browser: ONYRI Sanitize schwärzt ein PDF, eine Word-Datei oder einen Scan, ohne die Datei hochzuladen, und exportiert abgeflachte Seiten ohne Textebene. Kein Detektor findet alles. Prüfen Sie jedes Element von Hand.

Die Dokumentation ist Ihr Nachweis. Art. 5 Abs. 2 DSGVO verlangt, dass der Verantwortliche die Einhaltung nachweisen kann. Die britische Aufsichtsbehörde ICO rät: Halten Sie fest, was Sie entschieden haben und warum, damit Sie Herausgabe oder Zurückhaltung begründen können.

Welche Fristen gelten?

EU: Nach Art. 12 Abs. 3 DSGVO antworten Sie unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Die Frist kann um weitere zwei Monate verlängert werden, wenn Komplexität und Anzahl der Anträge das erfordern. Die Verlängerung kündigen Sie mit Gründen im ersten Monat an. Der EDSA zählt die Notwendigkeit, Informationen über andere unkenntlich zu machen, zu den Faktoren eines komplexen Antrags. Ein großer Aufwand allein genügt nicht.

Laut EDSA gilt Art. 12 Abs. 4 DSGVO, wenn Sie einen Antrag nach Art. 15 Abs. 4 ganz oder teilweise ablehnen. Unverzüglich, spätestens innerhalb eines Monats, nennen Sie die Gründe und weisen auf die Beschwerde bei einer Aufsichtsbehörde und auf den gerichtlichen Rechtsbehelf hin. Laut EDSA muss sich die Begründung auf die konkreten Umstände beziehen. Planen Sie rückwärts: Schwärzen und Gegenlesen können Tage dauern.