Wissen Betroffenenanfragen

Auskunftsersuchen ehemaliger Mitarbeiter: HR, Art. 15 DSGVO und Offboarding

Martin Meng 6 Min Lesezeit

Ein Auskunftsersuchen ehemaliger Mitarbeitender ist selten ein isolierter Datenschutzfall. Häufig kommt es nach Kündigung, Aufhebungsvertrag, Abmahnung, Zeugnisstreit oder im Umfeld einer Abfindungsverhandlung. Für HR beginnt dann ein Fristenlauf, für Legal und Datenschutz eine Anspruchsprüfung, für IT eine Suche in Systemen, und für die Geschäftsführung ein Organisationsrisiko.

Die wichtigste operative Regel: Behandeln Sie die Anfrage ab Eingang als Vorgang. Erfassen Sie Datum, Kanal, anfragende Person, Status der Identitätsprüfung und die beteiligten Abteilungen. Danach arbeitet die Organisation eine festgelegte Kette ab, mit klarer Zuständigkeit für Suche, Prüfung, Schwärzung und Freigabe.

Was tun, wenn ehemalige Mitarbeitende Auskunft verlangen?

Wenn ehemalige Mitarbeitende Auskunft verlangen, prüfen Sie zuerst Eingang, Identität und Frist. Danach bestimmen Sie die Datenquellen: Personalakte, Payroll, Bewerbermanagement, E-Mail, Kalender, Chat, Tickets, DMS, IAM, Security-Logs und Archive. Die Antwort nach Art. 15 DSGVO enthält die Pflichtinformationen und eine Kopie der personenbezogenen Daten. Daten Dritter werden vorher geprüft und geschwärzt.

HR ist oft der erste Kontaktpunkt. Die Anfrage kommt per E-Mail an die Personalabteilung, als Anlage zur Kündigungsschutzklage oder über eine frühere Führungskraft. Schon damit läuft die Frist nach Art. 12 Abs. 3 DSGVO, sofern der Antrag beim Verantwortlichen eingeht.

Legal oder der Datenschutzbeauftragte prüft den rechtlichen Rahmen: Handelt es sich um eine Auskunft nach Art. 15 DSGVO? Gibt es Zweifel an der Identität? Ist der Umfang klar? Können Rechte Dritter oder Geschäftsgeheimnisse betroffen sein? Muss innerhalb der Monatsfrist eine Verlängerung begründet werden?

IT und Security bestimmen den Suchraum. Mitarbeiterdaten liegen selten nur in der Personalakte. Sie stecken in Mailboxen, Teams- oder Slack-Verläufen, Tickets, Zugriffsprotokollen, DMS-Strukturen, Bewerbermanagement, Payroll und Altsystemen. Die Geschäftsführung ist beteiligt, sobald Fristversäumnis, hoher Aufwand oder ein arbeitsrechtlicher Konflikt eskalieren.

Rolle Erste Frage Typischer Beitrag
HR Wer hat angefragt, welcher Anlass liegt vor? Personalakte, Austrittsunterlagen, Payroll, Zeugnis, Abmahnung, Ansprechpartner
Legal oder DSB Welche Auskunft ist geschuldet, welche Grenzen gelten? Frist, Anspruch, Identitätsprüfung, Rechte Dritter, Dokumentation
IT/Security Welche Systeme enthalten Daten zur Person? Mailbox, Chat, IAM, Tickets, DMS, Logs, Archive
Kanzlei Wie beraten wir den Arbeitgebermandanten? Prüfschema, Antwortstruktur, Begründung, Eskalation
Geschäftsführung Wie hoch ist Risiko und Aufwand? Priorisierung, Ressourceneinsatz, Prozessentscheidung

Der Ablauf nach Eingang der Anfrage

Ein guter Vorgang beginnt mit einer schlichten Liste. Sie verhindert, dass Fristberechnung, Systemsuche und Schwärzung nebeneinander laufen, ohne dass jemand den Gesamtstand sieht.

  1. Eingang erfassen. Datum, Uhrzeit, Kanal, anfragende Person, zuständige Stelle und Aktenzeichen festhalten.
  2. Identität prüfen. Nur bei begründeten Zweifeln zusätzliche Informationen verlangen (Art. 12 Abs. 6 DSGVO).
  3. Frist berechnen. Regelfrist: ein Monat nach Eingang (Art. 12 Abs. 3 DSGVO). Der DSGVO-Fristenrechner berechnet das konkrete Datum.
  4. Suchplan erstellen. Datenquellen, Verantwortliche und Fristen je System festlegen.
  5. Daten exportieren und klassifizieren. Personenbezug, Datenkategorien, Empfänger, Herkunft und Speicherdauer prüfen.
  6. Drittdaten schwärzen. Namen, Kontaktdaten, Bewertungen oder Aussagen anderer Personen prüfen und bei Bedarf unkenntlich machen.
  7. Antwort freigeben. Ein Mensch entscheidet, welche Inhalte herausgegeben werden.
  8. Audit-Trail sichern. Jede Entscheidung, Quelle und Schwärzung dokumentieren.

Welche Systeme enthalten nach dem Ausscheiden Mitarbeiterdaten?

Nach dem Ausscheiden verteilt sich der Personenbezug über viele Systeme. Manche enthalten Stammdaten, andere nur Spuren: Tickets, Zugriffe, Chatnachrichten, Kalendertermine, Berechtigungen, Freigaben, Security-Events. Ein Auskunftsprozess braucht deshalb eine Systemlandkarte.

Datenquelle Beispiele Zuständige Rolle DSAR-Risiko
Personalakte Vertrag, Abmahnung, Zeugnis, Vermerke HR hohe Dichte an Personenbezug, häufig Drittdaten
Payroll Gehalt, Steuer, Sozialversicherung HR/Finance sensible Beschäftigtendaten
Bewerbermanagement Bewerbung, Interviewnotizen HR Daten aus früherem Bewerbungsprozess
E-Mail und Kalender Nachrichten, Einladungen, Anhänge IT/HR Daten Dritter und Geschäftsgeheimnisse
Teams, Slack, Chat Verlauf, Reaktionen, Dateien IT/Security informelle Bewertungen und Drittdaten
Ticketsysteme Supportfälle, interne Anfragen IT/Operations versteckte personenbezogene Daten
IAM/SSO Rollen, Rechte, Logins IT/Security Protokolldaten, Offboarding-Nachweis
DMS und Fileshares PDFs, Verträge, Scans Fachbereich/IT verstreute Kopien und Metadaten
Backups und Archive historische Kopien IT Such- und Wiederherstellungsgrenzen

Die vollständige Übersicht gehört in eine eigene Daten-Seite: die Mitarbeiterdaten-Systemlandkarte. Sie eignet sich als Suchplan für HR, IT, Legal und Datenschutz.

Was gehört in die Auskunft nach Art. 15 DSGVO?

Die Auskunft umfasst die Bestätigung, ob personenbezogene Daten verarbeitet werden, und die Pflichtinformationen nach Art. 15 Abs. 1 DSGVO: Zwecke, Datenkategorien, Empfänger, Speicherdauer, Rechte, Beschwerderecht, Herkunft der Daten und automatisierte Entscheidungen. Zusätzlich ist nach Art. 15 Abs. 3 eine Kopie der personenbezogenen Daten bereitzustellen.

Im Arbeitgeberkontext ist die Kopie der schwierige Teil. Personalakten, E-Mail-Threads und Chatverläufe enthalten oft Daten anderer Personen. Art. 15 Abs. 4 DSGVO schützt deren Rechte und Freiheiten. Deshalb braucht jede Herausgabe einen Schwärzschritt. Das konkrete Prüfschema steht in Personalakte und Art. 15 DSGVO schwärzen.

Welche Rolle spielt Offboarding?

Offboarding endet in vielen Unternehmen mit der Deaktivierung des Accounts. Für spätere Auskunftsanfragen reicht das selten. Der bessere Zeitpunkt für die spätere DSAR-Fähigkeit ist der Austritt selbst: Welche Systeme wurden genutzt? Welche Daten bleiben aus gesetzlichen Gründen aufbewahrt? Welche Postfächer werden archiviert? Wer ist für Rückfragen verantwortlich?

Eine schlanke Offboarding-Notiz kann später Tage sparen:

Offboarding-Punkt Warum er für Art. 15 hilft
Systemliste der Person grenzt die spätere Suche ein
Account-Status und Deaktivierungsdatum belegt Zugriffsentzug und Zuständigkeit
Mailbox- und Kalenderregel verhindert ungeklärte Archivsuche
Aufbewahrungsgrund je Datenkategorie trennt Löschung, Aufbewahrung und Auskunft
Ansprechpartner je System verkürzt interne Rückfragen
offene Konflikte oder Verfahren hilft bei Priorisierung und Legal-Review

Wie veronto den Vorgang abbildet

veronto requests führt die Auskunftsanfrage als Vorgang: Eingang erfassen, Frist setzen, Verantwortliche zuweisen, Datenquellen abfragen, Antwort vorbereiten, Freigabe dokumentieren. veronto redact schwärzt Daten Dritter in Dokumenten. alias hält Klardaten aus KI-Schritten heraus, indem Beteiligte konsistent als Platzhalter verarbeitet werden.

Das Verkaufsargument für HR ist einfach: Der Fall bleibt bearbeitbar. Die Anfrage verliert ihre Wirkung als Organisationsstörung, weil Frist, Suchplan und Schwärzung geführt werden. Für Legal und DSB entsteht ein Audit-Trail. Für IT steht fest, welche Systeme gefragt sind. Für die Geschäftsführung wird der Aufwand sichtbar.

Quellen und Stand

Stand: 14. August 2026. Diese Seite ist eine allgemeine Prozess- und Orientierungshilfe, keine Rechtsberatung.

Zeigt zusätzlich einen internen Arbeitsplan für HR, Legal/DSB und IT. Die gesetzlichen Fristen bleiben unverändert.

Nur bei besonders komplexen Anfragen zulässig. Die betroffene Person muss binnen eines Monats über die Verlängerung informiert werden (Art. 12 Abs. 3 Satz 2 DSGVO).

Vertiefungen zu Betroffenenanfragen

In der Praxis

veronto requests führt jede Betroffenenanfrage als geführten Workflow: Eingang erfassen, Identität prüfen, Frist überwachen, Auskunft nach Art. 15 zusammenstellen und eine geschwärzte Kopie freigeben. Jeder Schritt bleibt im Audit-Trail nachvollziehbar.

veronto requests ansehen
In KI öffnen ChatGPT Perplexity Google AI-Modus Grok

Häufige Fragen.

Gilt Art. 15 DSGVO auch für ehemalige Mitarbeiter?

Ja. Ehemalige Mitarbeitende bleiben betroffene Personen im Sinne der DSGVO. Sie können Auskunft über personenbezogene Daten verlangen, die der ehemalige Arbeitgeber über sie verarbeitet. Das gilt unabhängig davon, ob das Arbeitsverhältnis beendet ist.

Welche Abteilung sollte eine Auskunftsanfrage nach dem Ausscheiden zuerst bearbeiten?

In der Praxis landet die Anfrage häufig bei HR. Dort sollte sie sofort als Datenschutzvorgang erfasst und an Legal, den Datenschutzbeauftragten oder die zuständige Datenschutzfunktion weitergeleitet werden. HR bleibt wichtig, weil Personalakte, Payroll und Offboarding-Unterlagen dort liegen.

Müssen E-Mails und Chatverläufe durchsucht werden?

Wenn sie personenbezogene Daten der anfragenden Person enthalten können, gehören auch E-Mail-Postfächer, Chatverläufe und Ticketsysteme in den Suchplan. Der Suchumfang hängt vom Einzelfall ab und muss nachvollziehbar dokumentiert werden.

Dürfen Daten anderer Mitarbeitender geschwärzt werden?

Ja. Art. 15 Abs. 4 DSGVO schützt die Rechte und Freiheiten anderer Personen. Namen, Kontaktdaten, Bewertungen oder Aussagen Dritter müssen vor der Herausgabe geprüft und bei Bedarf geschwärzt werden.

Hilft ein guter Offboarding-Prozess bei späteren Auskunftsanfragen?

Ja. Beim Austritt lassen sich Datenquellen, Aufbewahrungsfristen, Account-Status und Verantwortlichkeiten dokumentieren. Diese Informationen verkürzen später die Suche und senken das Risiko, Systeme zu übersehen.

Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.