DSGVO-Auskunftsersuchen (Art. 15) automatisieren
Ein Multi-Agenten-System durchsucht CRM, Postfächer, Tickets und Dateien parallel, schwärzt Dritt-Daten, der DSB gibt frei. Demo-Referenzarchitektur.
- Branche
- Compliance · Datenschutz · Mittelstand
- Aufbau, geschätzt
- 6–9 Wochen
Auf einen Blick
- Es beginnt mit
- Auskunftsersuchen geht ein
- Die Maschine übernimmt
- 12 von 13 Schritten
- Beim Menschen bleibt
- DSB-Freigabe
- Unterm Strich
- Tage statt WochenBearbeitungszeit
Das Problem
Mal ehrlich: Ein Auskunftsersuchen nach Art. 15 DSGVO will niemand auf dem Tisch haben. Ein Kunde, ein Ex-Mitarbeiter oder ein Bewerber schreibt „Bitte senden Sie mir alle Daten, die Sie über mich gespeichert haben" — und die Uhr läuft.
Eine Frist von einem Monat, und die Daten der Person liegen verstreut über CRM, mehrere Postfächer, das Helpdesk, Laufwerke und Backups. Jemand muss jedes System einzeln durchsuchen, zusammentragen, fremde Namen schwärzen, prüfen, freigeben. Tagelange Handarbeit für eine Aufgabe, die keinen Umsatz bringt.
Und der teure Teil: Wird etwas übersehen oder die Frist gerissen, ist das ein Verstoß. Auskunftsrechte sind bei den Aufsichtsbehörden die häufigste Beschwerdekategorie überhaupt — 2024 haben die EU-Behörden das Auskunftsrecht sogar zum Schwerpunkt einer koordinierten Prüfaktion gemacht.
Genau hier kommt das spannendste Architektur-Muster von 2026 ins Spiel: ein Team spezialisierter KI-Agenten, das die Drecksarbeit parallel erledigt — und einen Menschen am Ende entscheiden lässt. Hier ist die Crew.
Auskunftsersuchen nach Art. 15 DSGVO sind Pflicht, größenunabhängig, und die Frist ist hart: ein Monat ab Eingang, nur bei komplexen oder zahlreichen Anfragen um zwei weitere Monate verlängerbar — und die Verlängerung muss man innerhalb des ersten Monats ankündigen.
Das eigentliche Problem ist nicht das Antworten, sondern das Finden: Die Daten einer Person liegen in CRM, Postfächern, Helpdesk, Dateiablagen, HR und Backups — oft unter verschiedenen Kennungen (Name, E-Mail, Kundennummer). Auch Backups und das Archiv fallen unter das Auskunftsrecht. Manuell ist das tage- bis wochenlange Sucharbeit.
Zwei Fehler sind teuer, und beide passieren ständig: etwas übersehen (eine unvollständige Auskunft verletzt das Betroffenenrecht) oder fremde Daten mitschicken (Daten Dritter in der Auskunft sind eine meldepflichtige Datenpanne). Art. 15(4) verlangt, die Daten anderer zu schützen — verschweigen darf man die Auskunft deshalb aber nicht: schwärzen statt verweigern.
Und die Behörden greifen durch: Norwegen verhängte 2023 rund 850.000 € gegen eine Kette, die Auskunfts- und Löschanträge nicht fristgerecht bearbeitete; die französische CNIL belegte Free mit 300.000 € unter anderem wegen verschleppter Auskünfte. Bei der irischen Aufsichtsbehörde waren Auskunftsbeschwerden zuletzt die mit Abstand häufigste Beschwerde.
Der Ablauf, Schritt für Schritt
Scrollen Sie durch. Das Diagramm bleibt stehen und markiert den Schritt, bei dem Sie gerade sind.
- 01
Auskunftsersuchen geht ein
Portal · E-Mail · Brief
Ein Auskunftsersuchen nach Art. 15 DSGVO geht über Portal, E-Mail oder Brief ein und startet den Prozess samt Fristen-Uhr — ein Monat ab Eingang.
- 02
Identität & Umfang prüfen
Art. 12(6) · nur bei Zweifel
Nur bei objektiv begründeten Zweifeln wird die Identität geprüft (Art. 12(6)) und der Umfang der Anfrage geklärt — keine pauschale Ausweis-Pflicht, kein Speichern der Ausweiskopie.
- 03
Orchestrator-Agent
plant & verteilt Suchaufträge
Der Orchestrator-Agent leitet die relevanten Kennungen der Person ab (Name, E-Mail, Kundennummer) und plant die parallele Suche.
- 04
parallel
Ein AND-Gateway startet alle Such-Agenten gleichzeitig — so bleibt die Bearbeitung auch bei vielen Quellen schnell.
- 05
CRM-Agent
Kundenstammdaten
Der CRM-Agent durchsucht Kundenstammdaten, Verträge und Notizen nach allen personenbezogenen Daten der Person.
- 06
Postfach-Agent
E-Mail-Verlauf
Der Postfach-Agent findet die relevante E-Mail-Korrespondenz über die angebundenen Postfächer.
- 07
Ticket-Agent
Helpdesk / Support
Der Ticket-Agent durchsucht Helpdesk- und Support-Systeme nach Vorgängen der Person.
- 08
Datei-Agent
Laufwerke · Archiv · Backups
Der Datei-Agent durchsucht Laufwerke, Archive und Backups — auch dort gilt das Auskunftsrecht, eine „Technik-Ausnahme" gibt es nicht.
- 09
Redaktions-Agent
Dritt-Daten schwärzen · Art. 15(4)
Der Redaktions-Agent schwärzt die Daten Dritter, bevor irgendetwas die Auskunft erreicht (Art. 15(4)) — schwärzen statt verweigern.
- 10
Dossier-Assembly
Kopie + Pflichtinfos · Art. 15
Die Funde werden zu einem verständlichen Dossier zusammengeführt: die Kopie der Daten plus die Pflichtinformationen nach Art. 15(1).
- 11Mensch entscheidet
DSB-Freigabe
Human-in-the-Loop · Art. 22
Der Datenschutzbeauftragte prüft und gibt frei — die verpflichtende menschliche Kontrolle (Art. 22 DSGVO / Art. 14 AI Act). Keine KI entscheidet allein über die Herausgabe.
- 12
Verschlüsselter Versand
Frist gewahrt
Nach Freigabe geht die Auskunft verschlüsselt und im üblichen elektronischen Format an die betroffene Person — fristgerecht.
- 13
Audit-Log & Abschluss
Art. 30 · ≤ 1 Monat
Jeder Schritt ist revisionssicher protokolliert (Art. 30); der Fristen-Monitor bestätigt: erledigt innerhalb eines Monats.
Was sich ändert
Möglicher Aufbau, kein fertiges Produkt
Die Zahlen sind modellierte Zielwerte für einen möglichen Aufbau, abgeleitet aus Branchenwerten und eigenen Tests. Sie stammen nicht aus einem Kundenprojekt, echte Werte hängen von Ihrem Betrieb ab. Wir verkaufen diesen Aufbau nicht als fertiges Produkt: Wir messen, wo Ihr Engpass liegt, und bauen dann mit Ihrem Team. Für zertifizierungspflichtige Systeme (etwa KIS, gematik, DATEV-zertifiziert) arbeiten wir mit spezialisierten Partnern.
Vorher vs. Nachher
| Aspekt | Vorher | Nachher |
|---|---|---|
| Suche über die Systeme | Vorher: Manuell, ein System nach dem anderen | Nachher: Vier Agenten suchen parallel |
| Bearbeitungszeit | Vorher: Tage bis Wochen Handarbeit | Nachher: Stunden bis Tage, überwacht |
| Monatsfrist (Art. 12) | Vorher: Wird oft gerissen | Nachher: Monitor warnt früh, Frist gewahrt |
| Dritt-Daten | Vorher: Übersehen → meldepflichtige Panne | Nachher: Redaktions-Agent, dann DSB-Freigabe |
| Vollständigkeit | Vorher: Systeme oder Backups vergessen | Nachher: Definierte Quellenliste, protokolliert |
| Nachweis gegenüber Behörde | Vorher: Lückenhaft, nicht belegbar | Nachher: Audit-Trail nach Art. 30 |
Technik
Technologie-Stack
Integrationen
Systeme, an die dieser Aufbau anschließen kann
- n8n (self-hosted)Orchestrierung
- Workflow-Engine und Orchestrator-Agent, der die Such-Agenten als Sub-Workflows / Tools koordiniert
- AI Agent (LangChain)Agenten-Framework
- n8n AI-Agent-Node: Reasoning-Modell, Speicher und Tools — andere Agenten als Tools eingebunden
- Llama / Mistral (EU oder lokal)Souveräne Modelle
- Self-hosted via Ollama oder AVV-fähige EU-Endpoints kommerzieller Modelle — kein Datenabfluss, kein Training
- CRM / Helpdesk / MailDatenquellen
- Lese-Zugriff der spezialisierten Such-Agenten, je Agent auf seine Quelle beschränkt (data minimization)
- PostgreSQLAudit-Log
- Revisionssicheres Protokoll aller Schritte und Fristen-Monitor nach Art. 30
- S3-kompatibler SpeicherVerschlüsselte Ablage
- Verschlüsselte, temporäre Ablage des Dossiers und der Versand-Nachweise
Sicherheit & Compliance
Worauf der Aufbau achtet
- Self-hosted & EU-Datenresidenz
- Der gesamte Workflow läuft self-hosted (n8n) mit lokalen (Llama/Mistral via Ollama) oder EU-gehosteten Modellen. Personenbezogene Daten verlassen das eigene Haus bzw. die EU nicht.
- Auf Abruf statt Dauer-Speicher
- Das vollständige Dossier wird nur für die Beantwortung zusammengestellt und danach nicht als konsolidierter Datenpool gehalten — Datenminimierung nach Art. 5(1)(c) by Design.
- Human-in-the-Loop & kein Training
- Der Datenschutzbeauftragte gibt jede Auskunft frei (Art. 22 / Art. 14 AI Act), und die durchlaufenden Daten werden niemals zum Training von Modellen verwendet (Zweckbindung, Art. 5(1)(b)).
- Lückenloser Audit-Trail
- Suche, Schwärzung, Freigabe und Versand werden revisionssicher protokolliert (Art. 30). Jeder Agent erhält nur minimalen, zweckgebundenen Zugriff auf seine Quelle.
Häufige Fragen
Wie sähe das bei Ihnen aus?
Dieser Ablauf ist eine Demo. Ob er sich bei Ihnen lohnt, hängt davon ab, wo es bei Ihnen hakt. Wie man das herausfindet, zeigt die Methode. Einen eigenen Ablauf einordnen können Sie im Selbst-Check, kostenlos und ohne Gespräch.