DSGVO-Auskunftsersuchen nach einer Ablehnung oder Ghosting: Ein Leitfaden für Entwickler (2026)

Ein DSGVO-Auskunftsbegehren ist ein schriftliches Ersuchen gemäß Artikel 15 der Verordnung (EU) 2016/679, mit dem Du ein Unternehmen dazu aufforderst, zu bestätigen, ob es Deine personenbezogenen Daten verarbeitet, und Dir eine Kopie sowie die begleitenden Informationen auszuhändigen. Wenn Dich ein Unternehmen abgelehnt hat oder nach Deinem letzten Vorstellungsgespräch geschwiegen hat, hält es wahrscheinlich immer noch Deinen Lebenslauf, Deine Kontaktdaten und seine internen Notizen über Dich bereit, und Du hast das Recht, Einsicht in diese zu verlangen. Falls es diese gelöscht hat, muss es dennoch bestätigen, ob es irgendwelche Daten über Dich verarbeitet.

TL;DR:

• Auskunft (Art. 15): Du erhältst eine Kopie Deiner Daten sowie Informationen zu Zwecken, Kategorien, Empfängern, der geplanten Speicherdauer, der Quelle der Daten und Informationen zu etwaiger automatisierter Entscheidungsfindung.
• Löschung (Art. 17): Du kannst das Unternehmen auffordern, Deine Daten zu löschen, wenn sie beispielsweise für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind oder unrechtmäßig verarbeitet wurden. Es gibt Ausnahmen, einschließlich rechtlicher Ansprüche.
• Frist (Art. 12(3)): Ein Monat ab Erhalt, verlängerbar um zwei weitere Monate, aber nur, wenn Dir das Unternehmen innerhalb des ersten Monats den Grund dafür mitteilt.
• Kosten (Art. 12(5)): Kostenlos, es sei sich, dass das Ersuchen offensichtlich unbegründet oder übermäßig ist.
• Kein Grund erforderlich, kein Formular notwendig: Das EDPB sagt dies explizit in seinen Leitlinien zum Auskunftsrecht.

Warum Du Dir die Mühe machen solltest

Eine Absage per E-Mail verrät Dir normalerweise nichts. Ghosting verrät Dir sogar noch weniger. Ein Auskunftsersuchen ist eines der wenigen Instrumente, die ein Unternehmen dazu bringen, etwas Konkretes zu produzieren: was über Dich gespeichert wurde, woher die Daten stammen und mit wem sie geteilt wurden.

Gründe, warum man so etwas tatsächlich sendet:

• Du möchtest wissen, was das Unternehmen aus Deinen Interviews gespeichert hat, einschließlich interner Bewertungsnotizen und etwaiger Scores.
• Du vermutest, dass ein automatisierter Filter Dich abgelehnt hat, und möchtest wissen, ob das Unternehmen angibt, eine automatisierte Entscheidung getroffen zu haben (Art. 15(1)(h)).
• Du hast einen Lebenslauf, eine Testaufgabe oder ein Portfolio eingereicht und möchtest sicherstellen, dass diese nicht auf unbestimmte Zeit in einer Datenbank liegen.
• Du möchtest, dass das Unternehmen nach einem schlechten Prozess alles löscht.

Keiner dieser Gründe erfordert eine Begründung. Die Leitlinien 01/2022 des EDPB besagen, dass die betroffene Person keine Gründe für ein Auskunftsersuchen angeben muss und dass es nicht Aufgabe des Verantwortlichen ist, zu beurteilen, ob das Ersuchen Dir helfen wird (EDPB, Guidelines 01/2022 on data subject rights, right of access, version 2.1, adopted 28 March 2023).

Schritt 1: Finde heraus, wer der Verantwortliche ist

Das Recht wird gegenüber dem Verantwortlichen ausgeübt, also der Organisation, die darüber entscheidet, warum und wie Deine Daten verarbeitet werden. Bei einer direkten Bewerbung ist dies in der Regel der Arbeitgeber, bei dem Du Dich beworben hast. Wenn Du Dich über einen Recruiter oder eine Bewerbungsplattform beworben hast, können es mehr als eine Partei sein, und ein Auftragsverarbeiter kann im Namen des Verantwortlichen antworten, sofern der Vertrag zwischen ihnen dies vorsieht (wie die spanische Behörde, die AEPD, auf ihrer Seite zur Ausübung von Rechten erläutert).

Suche auf der Karriereseite des Unternehmens nach dem Datenschutzhinweis. Gemäß den Artikeln 13 und 14 sollte der Hinweis den Verantwortlichen nennen und, sofern zutreffend, die Kontaktdaten des Datenschutzbeauftragten (DPO) angeben. Art. 38(4) besagt, dass betroffene Personen den DPO zu allen Fragen im Zusammenhang mit der Verarbeitung und der Ausübung ihrer Rechte kontaktieren können; daher ist die Adresse des DPO, falls vorhanden, ein guter Ort, um die Anfrage zu senden.

Die Leitlinien des EDPB besagen, dass es kein vorgeschriebenes Format gibt und dass Du nicht verpflichtet bist, den eigenen Anfragekanal des Unternehmens zu nutzen: Du kannst die Anfrage an einen offiziellen Kontaktpunkt des Verantwortlichen senden. Sie besagen auch, dass ein Verantwortlicher nicht verpflichtet ist, auf Anfragen zu reagieren, die an völlig zufällige oder offensichtlich falsche Adressen gesendet werden. Nutze den Datenschutzkontakt, den DPO oder den in der Datenschutzerklärung genannten Recruiting-Kontakt und nicht das Postfach eines beliebigen Mitarbeiters.

Schritt 2: Erstelle die Anfrage

Halte Dich kurz und stelle sicher, dass alles, was das Unternehmen benötigt, direkt auf der ersten Seite steht:

1. Wer Du bist, mit genügend Details, um Dich zu identifizieren: vollständiger Name, die E-Mail-Adresse, von der aus Du Dich beworben hast, die Position und die ungefähren Daten.
2. Was Du anfragst: Bestätigung darüber, ob das Unternehmen Deine personenbezogenen Daten verarbeitet, eine Kopie davon sowie die in Art. 15(1)(a) bis (h) aufgeführten Informationen und, falls relevant, Art. 15(2).
3. Die Rechtsgrundlage: Art. 15 DSGVO, mit der einmonatigen Frist gemäß Art. 12(3).
4. Ein bevorzugtes Format: Wenn Du die Anfrage auf elektronischem Wege stellst und nicht anders verlangst, besagt Art. 15(3), dass die Kopie in einem gängigen elektronischen Format zur Verfügung gestellt werden muss.
5. Ein Datum: Schreibe das Datum auf, an dem Du die Anfrage sendest, und bewahre den Nachweis über den Versand und, falls möglich, über den Erhalt (eine Lesebestätigung, eine Ticketnummer oder eine Eingangsbestätigung) auf, da die Frist mit dem Eingang bei dem Unternehmen beginnt.

Was Art. 15(1) Dir zur Verfügung stellt, als Checkliste zum Einfügen in Deine Anfrage:

Art. 15 Punkt	Was Du anfragen solltest
(a)	Die Zwecke der Verarbeitung
(b)	Die Kategorien personenbezogener Daten
(c)	Empfänger oder Kategorien von Empfängern, einschließlich in Drittländern
(d)	Die geplante Speicherdauer oder die Kriterien, die zur Festlegung verwendet werden
(e)	Deine Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
(f)	Dein Recht, eine Beschwerde bei einer Aufsichtsbehörde einzulegen
(g)	Die Quelle der Daten, sofern sie nicht direkt von Dir erhoben wurden
(h)	Das Vorhandensein einer automatisierten Entscheidungsfindung, einschließlich Profiling, gemäß Art. 22(1) und (4), sowie aussagekräftige Informationen über die involvierte Logik sowie deren Bedeutung und die Folgen für Dich

Punkt (g) ist wichtig, wenn ein Recruiter Dich auf einem öffentlichen Profil gefunden hat oder ein Dritter Deinen Lebenslauf weitergeleitet hat. Punkt (h) solltest Du einschließen, wenn Du ein Screening-Tool vermutest.

Die AEPD veröffentlicht ein Formular für das Auskunftsrecht (verlinkt von ihrer Seite zum derecho de acceso), das als Vorlage nützlich ist, selbst wenn Deine Anfrage an ein Unternehmen in einem anderen Mitgliedstaat geht.

Schritt 3: Verstehe die Ein-Monats-Frist

Artikel 12(3) ist der entscheidende Satz. Der Verantwortliche muss Informationen über die im Rahmen Deiner Anfrage ergriffenen Maßnahmen ohne schuldhaftes Zögern und in jedem Fall innerhalb eines Monats nach Erhalt bereitstellen. Die Frist kann bei Bedarf um zwei weitere Monate verlaufen, wobei die Komplexität und die Anzahl der Anfragen zu berücksichtigen sind, und der Verantwortliche muss Dich innerhalb des ersten Monats über die Verlängerung sowie die Gründe darüber informieren.

Zwei praktische Konsequenzen:

• Die Uhr beginnt mit dem Erhalt zu laufen, nicht an dem Tag, an dem Du das Gefühl hast, Du hättest eine Rückmeldung erhalten sollen. Behalte die gesendete E-Mail oder den Zustellbeleg.
• Schweigen ist keine Verlängerung. Eine Verlängerung zählt nur, wenn Dir das Unternehmen innerhalb des ersten Monats unter Angabe der Gründe davon berichtet hat. Art. 12(4) ergänzt, dass der Verantwortliche, falls Er sich entscheidet, gar nicht tätig zu werden, Dir innerhalb eines Monats den Grund dafür sowie Dein Recht mitteilen muss, Beschwerde bei einer Aufsichtsbehörde einzulegen und einen Rechtsbehelf zu suchen.

Art. 12(6) erlaubt es dem Unternehmen, zusätzliche Informationen anzufordern, falls berechtigte Zweifel darüber bestehen, wer Du bist. Die Leitlinien des EDPB besagen, dass eine solche Anfrage verhältnismäßig sein muss. Wenn Du eine Antwort erhältst, in der nach einem Ausweis gefragt wird, gib nur das an, was vernünftigerweise erforderlich ist, und nicht mehr.

Schritt 4: Entscheide, ob Du die Löschung beantragen möchtest

Artikel 17 gibt Dir das Recht, die Löschung Deiner Daten ohne unnötige Verzögerung zu verlangen, sofern einer der aufgeführten Gründe vorliegt. Bei einem abgelehnten Bewerber sind die am wahrscheinlichsten zutreffenden Gründe, dass die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind (Art. 17(1)(a)), oder dass sie unrechtmäßig verarbeitet wurden (Art. 17(1)(d)). Wenn sich das Unternehmen auf Deine Einwilligung gestützt hat, um Dich in einem Talent-Pool zu behalten, und Du diese widerrufst, findet Art. 17(1)(b) Anwendung, sofern keine andere Rechtsgrundlage besteht.

Dieses Recht ist nicht absolut. Art. 17(3) listet Ausnahmen auf, unter anderem wenn die Verarbeitung zur Begründung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17(3)(e)). Ein Unternehmen kann darauf verweisen, wenn es Interview-Protokolle aufbewahrt, aber die Ausnahme deckt nur das ab, was tatsächlich für einen Anspruch benötigt wird, und nur so lange, wie ein solcher Anspruch noch geltend gemacht werden kann. Das Unternehmen muss Dir dennoch unter den gleichen Fristen aus Art. 12 mitteilen, was es tut und warum, da Art. 12(3) für Anfragen gemäß den Artikeln 15 bis 22 gilt.

Die Reihenfolge ist entscheidend. Wenn Du eine Löschungsanfrage zusammen mit einer Auskunftsanfrage sendest, kann das Unternehmen zuerst die Löschung vornehmen, und die Daten, die Du sehen wolltest, sind dann möglicherweise bereits weg. (Der EDPB besagt, dass ein Verantwortlicher Daten nicht löschen darf, um die Beantwortung einer Auskunftsanfrage zu vermeiden, und nennt in seinem eigenen Beispiel zu Bewerbungsverfahren, dass die Auskunft zuerst und die Löschung danach erfolgt; Guidelines 0:\/2022, Abs. 39.) Um auf der sicheren Seite zu sein, wähle eine dieser Optionen:

• Sende zuerst die Auskunftsanfrage und die Löschungsanfrage erst, nachdem Du die Antwort erhalten hast, oder
• Beantrage beides in einer Nachricht und gib an, dass die Kopie gemäß Art. 15 bereitgestellt werden muss, bevor die Löschung durchgeführt wird.

Dies ist ein praktischer Rat und keine gesetzliche Anforderung der Verordnung: Er ergibt sich aus der Tatsache, dass eine Löschung das Material entfernt, das eine Auskunftsanfrage für Dich sichtbar machen würde.

Schritt 5: wenn das Unternehmen nicht antwortet oder schlecht antwortet

Wenn die einmonatige Frist (oder eine Verlängerung, über die Dir mitgeteilt wurde) abgelaufen ist, ist eine kurze, sachliche Erinnerung, die das Datum des Eingangs und Art. 12(3) zitiert, der übiente erste Schritt.

Diese Erinnerung ist eine praktische Abfolge, keine rechtliche Voraussetzung. Art. 77(1) gibt Dir das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen, insbesondere in dem Mitgliedstaat Deines gewöhnlichen Aufenthaltsortes, Deines Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes. Die Behörde muss Dich über den Fortgang und das Ergebnis der Beschwerde informieren, einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs (Art. 77(2)). Wenn die Behörde die Beschwerde nicht bearbeitet oder Dich nicht innerhalb von drei Monaten informiert, gibt Dir Art. 78(2) das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen die Behörde.

Der EDPB listet die nationalen Behörden der EU und des EWR mit Links auf seiner Seite „Our members“ auf. In Spanien ist diese Behörde die AEPD.

Dinge, die Du in eine Beschwerde aufnehmen solltest: die Daten, eine Kopie Deiner Anfrage, den Nachweis über den Erhalt, jede Antwort und die fehlenden Informationen, die Du gemäß Art. 15(1) erwartet hast.

Verwandte Artikel

• Wie Du 2026 eine Ghost-Job-Anzeige erkennst
• Deine Bewerbung durchlief einen KI-Screener: Was Du als EU-Kandidat(in) dagegen tun kannst
• Du hast das Recht zu erfahren, wenn eine KI Dich interviewt

FAQ

Wie lange hat ein Unternehmen Zeit, auf einen DSGVO-Auskunftsersuchen zu antworten?

Einen Monat ab Erhalt des Ersuchens (Art. 12(3) DSGVO). Der Verantwortliche kann dies bei Bedarf um zwei weitere Monate verlängern, muss Dir aber innerhalb des ersten Monats über die Verlängerung und die Gründe informieren.

Muss ich erklären, warum ich meine Daten möchte?

Nein. Die Leitlinien 01/2022 des EDPB besagen, dass die betroffene Person keine Gründe angeben muss und dass der Verantwortliche nicht prüfen sollte, ob das Ersuchen Dir helfen wird.

Kann ein Unternehmen mir für ein Auskunftsersuchen Gebühren berechnen?

Normalerweise nicht. Art. 12(5) besagt, dass Informationen und Maßnahmen gemäß Art. 15 bis 22 kostenlos sind. Eine angemessene Gebühr oder eine Ablehnung ist nur möglich, wenn das Ersuchen offensichtlich unbegründet oder übermäßig ist, wobei der Verantwortliche die Beweislast trägt. Der Verantwortliche darf eine angemessene Gebühr für weitere Kopien erheben (Art. 15(3)).

Sollte ich Auskunft und Löschung in derselben E-Mail beantragen?

Es ist sicherer, zuerst nach Auskunft zu fragen. Wenn Du beides gleichzeitig möchtest, gib explizit an, dass die Kopie bereitgestellt werden muss, bevor die Daten gelöscht werden.

Was passiert, wenn das Unternehmen mein Ersuchen ignoriert?

Sende eine kurze Erinnerung unter Angabe des Datums des Erhalts und von Art. 12(3). Du kannst jederzeit gemäß Art. 77 Beschwerde bei einer Aufsichtsbehörde einlegen, in der Praxis mit Deinem ursprünglichen Ersuchen und der fehlenden oder unzureichenden Antwort.

Quellen

• Verordnung (EU) 2016/679 (GDPR), Amtsblatt, Art. 12, 13, 14, 15, 17, 38(4), 77 und 78 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
• European Data Protection Board, Leitlinien 01/2022 zu Betroffenenrechten, Auskunftsrecht, Version 2.1, verabschiedet am 28. März 2023 — https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en
• Dieselbe Leitlinie, PDF — https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf
• European Data Protection Board, Unsere Mitglieder (nationale Aufsichtsbehörden) — https://www.edpb.europa.eu/about-edpb/our-members_en
• Agencia Española de Protección de Datos, Ejerce tus derechos — https://www.aepd.es/derechos-y-deberes/ejerce-tus-derechos
• Agencia Española de Protección de Datos, Derecho de acceso — https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-acceso
• Agencia Española de Protección de Datos, Formulario para el ejercicio del derecho de acceso — https://www.aepd.es/documento/formulario-derecho-de-acceso.pdf

Dieser Artikel dient lediglich der allgemeinen Information über die EU-Datenschutzregeln. Er stellt keine Rechtsberatung dar. Wie eine Anfrage bearbeitet wird, hängt vom Verantwortlichen, dem Mitgliedstaat und Deinen konkreten Umständen ab; falls Du dich in einem Rechtsstreit befindest, wende Dich an einen Anwalt oder Deine nationale Datenschutzbehörde.

Ein Auskunftsersuchen ist einfacher, wenn Du angeben kannst, welches Unternehmen, welche Rolle und wann. Wenn Du Dich bei vielen Unternehmen bewirbst, führt Xeito pro Bewerbung einen Datensatz mit dem Unternehmensnamen, einem von sieben Status (interessiert, beworben, Telefoninterview, technisches Interview, Vor-Ort-Interview, Angebot, abgelehnt) und Freitextnotizen, und es erfasst das Bewerbungsdatum, wenn Du eine Stelle über Xeito als beworben markierst. Es erstellt oder versendet keine Auskunfts- oder Löschanträge; es ist ein Verzeichnis Deiner eigenen Bewerbungen, kein rechtliches Werkzeug.