Wenn Behörden mauern: Unvollständige DSGVO-Auskünfte in NRW -

DSGVO Auskunftsrecht

Es sollte selbstverständlich sein: Bürger haben das Recht zu erfahren, welche Daten Behörden über sie gespeichert haben. Artikel 15 der Datenschutz-Grundverordnung verspricht vollständige Transparenz. Doch die Realität in nordrhein-westfälischen Ämtern, Schulen und Kommunen sieht anders aus. Behörden antworten unvollständig, verzögert oder verweisen auf technische Unmöglichkeiten. Das Problem: Wer nicht weiß, welche Daten die öffentliche Hand über ihn speichert, kann auch keine anderen Rechte geltend machen.

Das Fundament aller Betroffenenrechte

Das Auskunftsrecht nach Artikel 15 DSGVO ist nicht verhandelbar. Es ist die Grundlage, auf der alle anderen Datenschutzrechte aufbauen. Für öffentliche Stellen in NRW gelten die DSGVO sowie das Datenschutzgesetz Nordrhein-Westfalen (DSG NRW), das zusätzliche Regelungen für Behörden, Schulen und Kommunen enthält.

Die DSGVO gewährt Betroffenen umfassende Rechte:

Artikel 15 DSGVO: Recht auf Auskunft über gespeicherte Daten
Artikel 16 DSGVO: Recht auf Berichtigung falscher Daten
Artikel 17 DSGVO: Recht auf Löschung (“Recht auf Vergessenwerden”)
Artikel 18 DSGVO: Recht auf Einschränkung der Verarbeitung
Artikel 20 DSGVO: Recht auf Datenübertragbarkeit
Artikel 21 DSGVO: Widerspruchsrecht gegen bestimmte Verarbeitungen
Artikel 22 DSGVO: Recht auf Information bei automatisierten Entscheidungen

Doch all diese Rechte stehen auf tönernen Füßen, wenn das erste Recht – die Auskunft – von Behörden blockiert, verzögert oder nur unvollständig erfüllt wird.

Besondere Herausforderungen bei Schulen in NRW

Schulen verarbeiten besonders sensible Daten: Leistungsdaten, Gesundheitsinformationen, Disziplinarvermerke, psychologische Gutachten. § 120 Schulgesetz NRW regelt die Datenverarbeitung im Schulbereich. Die Verordnung über die zur Verarbeitung zugelassenen Daten (VO-DV I) konkretisiert, welche Schüler- und Elterndaten verarbeitet werden dürfen.

Schüler und Eltern haben nach § 120 Absatz 9 SchulG NRW das Recht, Einsicht in die sie betreffenden Unterlagen zu nehmen und Auskunft nach Artikel 15 DSGVO zu erhalten. Die Dienstanweisung für die automatisierte Verarbeitung stellt klar: “Schülerinnen, Schüler, Eltern und Lehrkräfte sowie die anderen Bediensteten der Schule haben einen Anspruch auf unentgeltliche Auskunft über die Daten, die über sie gespeichert sind.”

Doch die Praxis zeigt: Viele Schulen tun sich schwer mit diesem Recht.

Wenn Behörden und Schulen mauern: Typische Probleme

Problem 1: Unvollständige Datenempfänger

§ 12 Absatz 1 DSG NRW erlaubt es Behörden bei großen Datenmengen zwar, eine Präzisierung des Auskunftsersuchens zu verlangen. Doch das rechtfertigt keine pauschalen Kategorien statt konkreter Empfängerbezeichnungen.

Beispiel: Eine Schule teilt mit, Daten seien an “Schulaufsichtsbehörden” und “externe Partner im Bereich Berufsorientierung” weitergegeben worden. Welche Bezirksregierung? Welches Jobcenter? Diese Informationen sind essentiell, um weitere Rechte geltend zu machen.

Problem 2: Fehlende Speicherdauern

“Bis zum Ende der Schulpflicht” oder “gemäß gesetzlicher Aufbewahrungsfristen” – solche Formulierungen sind Standard bei Behördenantworten. Doch § 9 VO-DV I gibt konkrete Fristen vor: Schülerstammdaten werden fünf Jahre nach Verlassen der Schule gelöscht, Zeugnisse zehn Jahre aufbewahrt. Diese Informationen müssen in der Auskunft stehen.

Problem 3: Unvollständige Datenkopien

Das ist der häufigste Trick: Die Schule oder Behörde übermittelt eine Datenkopie – aber nicht alle Daten sind enthalten. Fehlende Inhalte sind typischerweise:

Interne E-Mails und Vermerke über den Schüler
Protokolle von Konferenzen, in denen der Schüler erwähnt wurde
Notizen der Lehrkräfte (seit dem 15. Schulrechtsänderungsgesetz von 2020 nicht mehr vom Auskunftsrecht ausgenommen)
Daten aus Lernplattformen und digitalen Klassenbüchern
Übermittlungen an die Bundesagentur für Arbeit

Problem 4: Die “große Datenmengen”-Ausrede

§ 12 Absatz 1 DSG NRW wird von Behörden gerne als Totschlagargument verwendet: “Wir verarbeiten große Mengen von Daten über Sie, bitte präzisieren Sie Ihr Ersuchen.” Doch diese Bestimmung ist keine Blankovollmacht für Arbeitsverweigerung. Sie soll lediglich ermöglichen, dass bei wirklich umfangreichen Datenbeständen eine Fokussierung erfolgt – nicht die Auskunft gänzlich verweigern.

Problem 5: Verzögerungen und Verschleppung

Art. 12 Absatz 3 DSGVO gibt klare Fristen vor: Die Auskunft muss binnen eines Monats erfolgen, in komplexen Fällen binnen drei Monaten. Die Praxis in NRW-Behörden: Monatelanges Schweigen, vage Vertrö

stungen, Verweis auf Überlastung.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI) erhält regelmäßig Beschwerden über verzögerte oder ausbleibende Auskünfte. Eine IFG-Anfrage bei der LDI zeigt: Selbst die Aufsichtsbehörde ist überlastet und bearbeitet nicht alle Beschwerden zeitnah.

Der Teufelskreis unvollständiger Auskünfte

Wenn die Auskunft unvollständig ist, sind alle anderen Rechte praktisch wertlos:

Berichtigung nach Art. 16 DSGVO: Wie soll man fehlerhafte Einträge korrigieren lassen, wenn die Behörde diese in der Auskunft verschweigt?

Löschung nach Art. 17 DSGVO: Wie soll man die Löschung nicht mehr benötigter Daten verlangen, wenn man gar nicht weiß, welche Daten noch gespeichert sind?

Einschränkung nach Art. 18 DSGVO: Wie soll man die Verarbeitung einschränken lassen, wenn die Behörde nicht offenlegt, welche Verarbeitungen überhaupt stattfinden?

Widerspruch nach Art. 21 DSGVO: Wie soll man Widerspruch gegen eine Datenverarbeitung einlegen, von der man nichts weiß?

Datenübertragbarkeit nach Art. 20 DSGVO: Wie soll man Daten übertragen lassen, die man nicht vollständig erhalten hat?

Automatisierte Entscheidungen nach Art. 22 DSGVO: Wie soll man prüfen, ob algorithmische Systeme verwendet werden, wenn die Behörde darüber keine Auskunft gibt?

Besondere Beschränkungen für Behörden in NRW

Das DSG NRW enthält in § 12 Beschränkungen des Auskunftsrechts, die für Behörden gelten. Die Auskunft kann abgelehnt werden, wenn:

dies zur Verfolgung von Straftaten oder Ordnungswidrigkeiten notwendig ist
die Auskunft die öffentliche Sicherheit gefährden würde
die Daten nach einer Rechtsvorschrift geheim zu halten sind

Doch diese Ausnahmen werden in der Praxis oft zu weit ausgelegt. Eine Schule kann nicht pauschal behaupten, alle internen Vermerke seien “geheim zu halten”. Ein Jobcenter kann nicht jede Auskunft mit “laufenden Ermittlungen” ablehnen.

Wenn die Auskunft verweigert wird, muss die Behörde nach § 12 Absatz 3 DSG NRW die betroffene Person darüber informieren, dass sie die LDI NRW anrufen kann.

Was Betroffene tun können

Schritt 1: Präzises Auskunftsersuchen stellen

Je konkreter das Ersuchen, desto schwerer kann sich die Behörde herausreden. Ein gutes Auskunftsersuchen enthält:

Ausdrücklichen Verweis auf Art. 15 DSGVO
Anforderung einer vollständigen Datenkopie
Bitte um Benennung aller Empfänger (nicht nur Kategorien)
Anfrage nach konkreten Speicherfristen
Frage nach der Herkunft der Daten
Frage nach automatisierten Entscheidungsfindungen

Schritt 2: Nachfassen bei unvollständiger Auskunft

Wenn die Behörde unvollständig antwortet, sollte man strukturiert nachfassen und die konkreten Mängel benennen.

Schritt 3: Beschwerde bei der LDI NRW

Die LDI NRW ist die zuständige Aufsichtsbehörde für öffentliche Stellen in Nordrhein-Westfalen. Artikel 77 DSGVO gewährt das Recht auf Beschwerde.

Zuständigkeit der LDI NRW:

Landesbehörden (Ministerien, Bezirksregierungen)
Kommunen und Gemeindeverbände
Schulen und Hochschulen in NRW
Öffentlich-rechtliche Körperschaften unter Landesaufsicht

Die Beschwerde kann formlos per E-Mail an poststelle@ldi.nrw.de oder über das Beschwerdeformular eingereicht werden.

Wichtig: Die LDI weist darauf hin, dass sie “außergewöhnlich viele Anfragen” erhält und sich die Bearbeitung verzögern kann. Das ist beschönigend ausgedrückt. Die Realität: Manche Beschwerden werden jahrelang nicht bearbeitet.

Schritt 4: Gerichtlicher Rechtsschutz

Nach Art. 78 DSGVO können Betroffene gegen die Untätigkeit einer Behörde oder Aufsichtsbehörde vor dem Verwaltungsgericht klagen. Bei Schulen ist zunächst der Verwaltungsrechtsweg über die Schulaufsicht möglich.

Musterschreiben: Nachforderung bei Schule oder Behörde in NRW

[Ihr Name]
[Ihre Adresse]
[Ihre E-Mail]

[Name der Schule/Behörde]
[Adresse]
z. Hd. Schulleitung/Behördenleitung
z. Hd. Datenschutzbeauftragter

[Datum]

Betreff: Unvollständige Auskunft gemäß Art. 15 DSGVO – Nachforderung und Fristsetzung

Sehr geehrte Damen und Herren,

mit Schreiben vom [Datum des ersten Auskunftsersuchens] habe ich Sie um vollständige Auskunft gemäß Art. 15 DSGVO gebeten. Mit Schreiben vom [Datum der Antwort] haben Sie mir eine Auskunft erteilt, die jedoch in mehrfacher Hinsicht unvollständig und damit rechtswidrig ist.

1. Rechtliche Grundlagen für öffentliche Stellen in NRW

Als öffentliche Stelle des Landes Nordrhein-Westfalen unterliegen Sie der Datenschutz-Grundverordnung sowie dem Datenschutzgesetz Nordrhein-Westfalen (DSG NRW). Ihre Pflicht zur vollständigen Auskunftserteilung ergibt sich aus Art. 15 DSGVO in Verbindung mit § 5 DSG NRW für Behörden bzw. § 120 SchulG NRW und der VO-DV I für Schulen.

2. Festgestellte Mängel der erteilten Auskunft

a) Unvollständige Angaben zu Datenempfängern (Art. 15 Abs. 1 lit. c DSGVO)

Sie haben lediglich Kategorien von Empfängern genannt (“Schulaufsichtsbehörde”, “Beratungsstellen”). Dies genügt nicht. Sie müssen die konkreten Empfänger benennen: Welche Bezirksregierung? Welches Jugendamt? Welche Stelle bei der Bundesagentur für Arbeit? Bei Schulen ist die Übermittlung an die Bundesagentur für Arbeit seit 2023 möglich – wurde dies in meinem Fall durchgeführt?

b) Fehlende konkrete Speicherfristen (Art. 15 Abs. 1 lit. d DSGVO)

Die Angabe “gemäß gesetzlicher Aufbewahrungsfristen” ist unzureichend. § 9 VO-DV I gibt klare Fristen vor. Bitte teilen Sie mir konkret mit, wann welche Daten gelöscht werden.

c) Unvollständige Datenkopie (Art. 15 Abs. 3 DSGVO)

Die mir übermittelte Datenkopie enthält offensichtlich nicht alle über mich verarbeiteten Daten. Es fehlen:

[Interne E-Mails und Vermerke]
[Protokolle von Konferenzen/Dienstbesprechungen, in denen ich erwähnt wurde]
[Daten aus digitalen Lernplattformen und Schulverwaltungssoftware]
[Notizen und Aufzeichnungen der Lehrkräfte – diese sind seit dem 15. Schulrechtsänderungsgesetz vom Mai 2020 nicht mehr vom Auskunftsrecht ausgenommen]
[Daten, die an Dritte übermittelt wurden]

Die Dienstanweisung für automatisierte Verarbeitung stellt klar, dass der Auskunftsanspruch unentgeltlich und vollständig zu erfüllen ist.

d) Keine Information über automatisierte Entscheidungsfindung (Art. 15 Abs. 1 lit. h DSGVO)

Sie haben nicht mitgeteilt, ob und welche automatisierten Systeme bei der Verarbeitung meiner Daten eingesetzt werden. Dies ist jedoch Pflicht nach Art. 22 DSGVO.

3. § 12 DSG NRW rechtfertigt keine pauschale Verweigerung

§ 12 Absatz 1 DSG NRW erlaubt Ihnen bei großen Datenmengen, um Präzisierung zu bitten. Dies rechtfertigt jedoch keine unvollständige Auskunft. Ich habe mein Ersuchen bereits hinreichend präzise formuliert. Sollten Sie dennoch Präzisierungen benötigen, teilen Sie mir dies konkret mit – statt eine unvollständige Auskunft zu erteilen.

4. Rechtsfolgen der unvollständigen Auskunft

Durch die unvollständige Auskunft bin ich nicht in der Lage, meine weiteren Betroffenenrechte wirksam auszuüben:

Das Recht auf Berichtigung nach Art. 16 DSGVO kann ich nicht ausüben, da ich nicht weiß, welche falschen Daten Sie gespeichert haben.
Das Recht auf Löschung nach Art. 17 DSGVO kann ich nicht geltend machen, da mir nicht bekannt ist, welche Daten unrechtmäßig gespeichert werden.
Das Recht auf Einschränkung nach Art. 18 DSGVO setzt voraus, dass ich alle Verarbeitungsvorgänge kenne.
Das Widerspruchsrecht nach Art. 21 DSGVO kann ich nicht ausüben, wenn mir die Empfänger nicht bekannt sind.

5. Forderung und Fristsetzung

Ich fordere Sie hiermit auf, mir binnen zwei Wochen ab Zugang dieses Schreibens eine vollständige und korrekte Auskunft gemäß Art. 15 DSGVO zu erteilen. Insbesondere erwarte ich:

Konkrete Benennung aller Empfänger (keine Kategorien)
Genaue Speicherfristen mit Rechtsgrundlage
Vollständige Datenkopie einschließlich interner Vermerke und E-Mails
Information über automatisierte Entscheidungsfindungen
Herkunft der Daten, soweit nicht direkt bei mir erhoben

6. Androhung weiterer Schritte

Sollten Sie dieser Aufforderung nicht fristgerecht nachkommen, werde ich ohne weitere Ankündigung:

a) Beschwerde bei der Landesbeauftragten für Datenschutz und Informationsfreiheit NRW gemäß Art. 77 DSGVO und § 29 DSG NRW einreichen.

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW
Kavalleriestraße 2-4
40213 Düsseldorf
E-Mail: poststelle@ldi.nrw.de

b) Bei weiterer Untätigkeit der Aufsichtsbehörde Klage vor dem Verwaltungsgericht gemäß Art. 78 DSGVO erheben.

7. Dokumentation

Ich weise darauf hin, dass ich diesen gesamten Vorgang vollständig dokumentiere und alle Schriftstücke für ein mögliches Beschwerde- oder Gerichtsverfahren aufbewahre.

Bitte bestätigen Sie mir den Erhalt dieses Schreibens und teilen Sie mir mit, bis wann ich mit der vollständigen Auskunft rechnen kann.

Mit freundlichen Grüßen

[Unterschrift]
[Name]

Anlagen:

Kopie des ursprünglichen Auskunftsersuchens vom [Datum]
Kopie Ihrer unvollständigen Antwort vom [Datum]

Musterschreiben: Beschwerde bei der LDI NRW

Falls die Behörde oder Schule auch nach Nachforderung nicht vollständig antwortet:

[Ihr Name]
[Ihre Adresse]
[Ihre E-Mail]
[Ihr Telefon]

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW
Kavalleriestraße 2-4
40213 Düsseldorf

[Datum]

Betreff: Beschwerde gemäß Art. 77 DSGVO und § 29 DSG NRW wegen Verletzung des Auskunftsrechts nach Art. 15 DSGVO

Sehr geehrte Damen und Herren,

hiermit erhebe ich förmlich Beschwerde gemäß Art. 77 DSGVO und § 29 Datenschutzgesetz NRW gegen:

[Name der Schule/Behörde]
[Adresse]

1. Sachverhalt

Am [Datum] habe ich bei der oben genannten Stelle ein Auskunftsersuchen gemäß Art. 15 DSGVO gestellt. Die Stelle antwortete am [Datum], jedoch in mehrfacher Hinsicht unvollständig und rechtswidrig.

Am [Datum] habe ich die Stelle unter Fristsetzung zur vollständigen Auskunft aufgefordert. Bis heute ([Datum]) ist keine vollständige Auskunft erfolgt.

2. Rechtliche Einordnung

Bei der verantwortlichen Stelle handelt es sich um:

Eine Schule gemäß § 120 SchulG NRW, die der VO-DV I unterliegt
Eine Behörde des Landes NRW gemäß § 5 DSG NRW
Eine Kommune/Gemeinde in NRW

Für diese Stelle gilt die DSGVO in Verbindung mit dem DSG NRW. Die Verarbeitung personenbezogener Daten durch öffentliche Stellen wird in § 5 DSG NRW geregelt.

3. Konkrete Rechtsverstöße

Die verantwortliche Stelle verstößt gegen:

a) Art. 15 Abs. 1 lit. c DSGVO – Unvollständige Angaben zu Datenempfängern
Statt konkreter Empfänger wurden nur vage Kategorien genannt. Dies widerspricht der Rechtsprechung des EuGH und den Leitlinien des EDSA zum Auskunftsrecht.

b) Art. 15 Abs. 1 lit. d DSGVO – Fehlende konkrete Angaben zur Speicherdauer
Bei Schulen sind die Fristen in § 9 VO-DV I klar geregelt, wurden aber nicht mitgeteilt.

c) Art. 15 Abs. 3 DSGVO – Unvollständige Datenkopie
Die Kopie enthält nicht alle verarbeiteten personenbezogenen Daten, insbesondere fehlen interne Vermerke und E-Mails.

d) Art. 12 Abs. 3 DSGVO – Nichteinhaltung der Antwortfrist
[Falls zutreffend: Die Antwort erfolgte erst nach [Anzahl] Monaten.]

e) Missbrauch von § 12 DSG NRW
Die Stelle beruft sich zu Unrecht auf “große Datenmengen”, ohne konkret darzulegen, warum eine Präzisierung erforderlich wäre.

4. Folgen für meine Betroffenenrechte

Durch die unvollständige Auskunft kann ich folgende Rechte nicht ausüben:

Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO)

5. Mein Antrag

Ich bitte Sie:

Den Sachverhalt zu prüfen und die verantwortliche Stelle zur vollständigen Auskunftserteilung aufzufordern
Geeignete Maßnahmen nach Art. 58 Abs. 2 DSGVO zu ergreifen
[Bei Schulen: Die Schulleitung auf ihre Pflichten nach § 120 SchulG NRW und VO-DV I hinzuweisen]
[Bei anderen Behörden: Die Einhaltung von § 5 DSG NRW durchzusetzen]
Die Verhängung eines Bußgeldes nach Art. 83 DSGVO zu prüfen
Mich über den Stand und das Ergebnis der Beschwerde zu informieren

6. Einverständniserklärung

Ich erkläre mich ausdrücklich damit einverstanden, dass Sie meine Identität gegenüber der verantwortlichen Stelle offenlegen, soweit dies zur Bearbeitung der Beschwerde erforderlich ist. Ich bin mir bewusst, dass § 29 Satz 2 DSG NRW mir zusichert, dass mir aus der Beschwerde keine Nachteile entstehen dürfen.

7. Beweismittel

Ich füge folgende Unterlagen bei:

Kopie des Auskunftsersuchens vom [Datum]
Kopie der unvollständigen Antwort vom [Datum]
Kopie des Nachfassschreibens vom [Datum]
[Ggf. weitere relevante Unterlagen]

Ich stehe für Rückfragen jederzeit zur Verfügung und bin bereit, weitere Informationen zur Verfügung zu stellen.

Hinweis zur Bearbeitungszeit:

Mir ist bewusst, dass die LDI NRW auf ihrer Website mitteilt, dass aufgrund außergewöhnlich vieler Anfragen die Bearbeitungszeit verzögert sein kann. Nach Art. 78 Abs. 2 DSGVO besteht jedoch die Möglichkeit, gegen die Untätigkeit der Aufsichtsbehörde gerichtlich vorzugehen, wenn diese sich nicht innerhalb von drei Monaten mit der Beschwerde befasst.

Mit freundlichen Grüßen

[Unterschrift]
[Name]

Anlagen: [Liste der beigefügten Dokumente]

Die Realität der Aufsicht in NRW

An dieser Stelle muss man ehrlich sein: Die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW ist chronisch überlastet. Auf ihrer Website warnt sie explizit: “Aufgrund außergewöhnlich vieler Anfragen kann sich die Bearbeitung Ihrer Beschwerde verzögern.” Das ist eine Untertreibung.

Eine Anfrage nach dem Informationsfreiheitsgesetz offenbart das wahre Ausmaß: Hunderte Beschwerden bleiben monatelang oder sogar jahrelang unbearbeitet. Die LDI ist personell und finanziell nicht in der Lage, ihrer Aufsichtspflicht vollständig nachzukommen.

Das ist ein strukturelles Problem. Während die DSGVO starke Rechte gewährt, fehlt es an der Durchsetzung. Behörden wissen: Die Wahrscheinlichkeit, dass die LDI tätig wird, ist gering. Und selbst wenn sie tätig wird – Sanktionen gegen öffentliche Stellen sind selten.

Die Konsequenz: Betroffene müssen hartnäckig bleiben, mehrfach nachfassen und notfalls den Rechtsweg beschreiten. Das ist unbefriedigend, aber Realität.

Was wirklich helfen würde

Personalaufstockung bei der LDI NRW: Die Aufsichtsbehörde braucht mehr Mitarbeiter, um ihrer Aufgabe gerecht zu werden. Andere Bundesländer sind hier besser aufgestellt.
Sanktionen auch gegen Behörden: Bußgelder sollten nicht nur gegen Privatunternehmen, sondern auch gegen öffentliche Stellen verhängt werden können. Das würde den Druck erhöhen.
Verbandsklagebefugnis: Datenschutzorganisationen sollten stellvertretend für Betroffene gegen systematische Verstöße vorgehen können.
Standardisierte Auskunftsverfahren: Einheitliche Formulare und digitale Systeme würden Behörden die Arbeit erleichtern und Betroffenen vollständigere Auskünfte garantieren.
Verpflichtende Schulungen: Alle Mitarbeiter in Behörden und Schulen, die mit personenbezogenen Daten arbeiten, sollten regelmäßig zum Datenschutz geschult werden.
Öffentliche Transparenz: Eine Datenbank aller Beschwerdefälle würde zeigen, welche Behörden und Schulen systematisch gegen das Auskunftsrecht verstoßen.

Besondere Hinweise für Eltern und Schüler

Gerade im Schulbereich ist das Auskunftsrecht von besonderer Bedeutung. § 120 Absatz 9 SchulG NRW gibt Schülern und Eltern ausdrücklich das Recht auf Einsicht und Auskunft. Doch viele Schulen sind sich ihrer Pflichten nicht bewusst oder versuchen, diese einzuschränken.

Wichtige Punkte für Schulauskünfte:

Bei minderjährigen Schülern können sowohl das Kind als auch die Eltern Auskunft verlangen
Notizen von Lehrkräften sind seit 2020 nicht mehr vom Auskunftsrecht ausgenommen
Auch E-Mails und interne Vermerke über den Schüler müssen herausgegeben werden
Die Auskunft muss kostenlos erfolgen
Schulen dürfen nicht pauschal auf “pädagogische Freiheit” verweisen

Der politische Wille fehlt

Das eigentliche Problem ist politischer Natur. Solange Behörden wissen, dass unvollständige Auskünfte ohne Konsequenzen bleiben, wird sich nichts ändern. Die DSGVO ist auf EU-Ebene ein starkes Gesetz – aber ihre Durchsetzung hängt von den Mitgliedstaaten ab.

In NRW fehlt der politische Wille, die LDI so auszustatten, dass sie ihrer Aufgabe gerecht werden kann. Das Ergebnis: Ein Datenschutzrecht, das auf dem Papier stark ist, in der Praxis aber zahnlos bleibt.

Besonders perfide: Während Privatpersonen und Unternehmen mit hohen Bußgeldern rechnen müssen, kommen Behörden meist ungeschoren davon. Das ist nicht nur ungerecht – es untergräbt das Vertrauen in den Rechtsstaat.

Praktische Tipps für den Umgang mit Behörden

Aus der Erfahrung zahlreicher Fälle lassen sich folgende Empfehlungen ableiten:

1. Schriftlich und nachweisbar kommunizieren
Nutzen Sie E-Mail mit Lesebestätigung oder Einschreiben. Dokumentieren Sie jeden Kontakt.

2. Konkret werden
Je präziser Ihr Auskunftsersuchen, desto schwerer kann sich die Behörde herausreden. Nennen Sie konkrete Datenarten, Zeiträume, Empfänger.

3. Fristen setzen und nachfassen
Die gesetzliche Frist beträgt einen Monat. Setzen Sie eigene Fristen und mahnen Sie nach.

4. Nicht einschüchtern lassen
Behörden versuchen oft, mit Fachbegriffen und Verweisen auf Gesetze zu verwirren. Bleiben Sie hartnäckig.

5. Die LDI einschalten
Auch wenn die Bearbeitung dauert – jede Beschwerde erhöht den Druck auf die verantwortliche Stelle.

6. Öffentlichkeit herstellen
Berichten Sie (anonymisiert) in Datenschutzforen und sozialen Medien über Ihre Erfahrungen. Öffentlicher Druck wirkt.

7. Rechtsbeistand erwägen
Bei hartnäckigen Fällen kann ein auf Datenschutzrecht spezialisierter Anwalt helfen. Manche Rechtsschutzversicherungen decken dies ab.

Ausblick: Hoffnung trotz allem?

Es gibt auch positive Entwicklungen. Die Sensibilität für Datenschutzthemen nimmt zu. Immer mehr Bürger kennen ihre Rechte und machen sie geltend. Datenschutzorganisationen wie Digitalcourage und die Gesellschaft für Freiheitsrechte kämpfen für bessere Durchsetzung.

Die DSGVO war ein Meilenstein. Jetzt muss die Durchsetzung nachziehen. Das braucht Zeit, politischen Willen und engagierte Bürger, die ihre Rechte einfordern.

Jede erfolgreiche Beschwerde, jede erzwungene vollständige Auskunft ist ein kleiner Sieg. Gemeinsam können wir Behörden dazu bringen, das Auskunftsrecht ernst zu nehmen.

Fazit: Transparenz ist kein Gnadenakt

Das Auskunftsrecht nach Art. 15 DSGVO ist kein Geschenk, das Behörden großzügig gewähren können – oder eben nicht. Es ist ein fundamentales Grundrecht. Wer es aushöhlt, untergräbt den Kern des Datenschutzes und das Vertrauen in staatliches Handeln.

Wenn Schulen und Behörden mit unvollständigen oder fehlerhaften Auskünften davonkommen, wird die DSGVO zur Makulatur. Dann nützt es nichts, dass auf dem Papier schöne Rechte stehen. Dann ist Datenschutz nur noch Folklore.

Gerade im öffentlichen Sektor, wo es um das Verhältnis zwischen Staat und Bürger geht, muss Transparenz selbstverständlich sein. Behörden sind keine privaten Unternehmen – sie handeln im Namen der Allgemeinheit und mit staatlicher Autorität. Umso wichtiger ist es, dass sie sich an die Regeln halten.

Betroffene in NRW sollten sich nicht einschüchtern lassen. Nutzt eure Rechte. Stellt Auskunftsersuchen. Hakt nach. Beschwert euch bei der LDI. Dokumentiert alles. Und wenn nötig: Geht vor Gericht.

Denn am Ende geht es um mehr als nur um Daten. Es geht um die Frage, ob wir in einer Gesellschaft leben wollen, in der Behörden alles über uns wissen – während wir selbst im Dunkeln tappen. Es geht um Rechtsstaatlichkeit, Transparenz und das Vertrauen zwischen Bürgern und Staat.

Dieses Vertrauen wird nicht durch schöne Worte geschaffen, sondern durch Taten. Durch Behörden, die ihre Pflichten ernst nehmen. Durch eine Aufsichtsbehörde, die handlungsfähig ist. Durch ein System, das Betroffenenrechte nicht nur auf dem Papier garantiert, sondern in der Praxis durchsetzt.

Bis dahin bleibt uns nichts anderes übrig, als hartnäckig zu bleiben und für unsere Rechte zu kämpfen.

Weiterführende Informationen und Beratungsstellen:

Datenschutzaufsicht NRW:

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
Online-Beschwerdeformular

Informationen für Schulen:

Rechtliche Grundlagen:

Beratung und Unterstützung:

Musterschreiben und Vorlagen:

Die in diesem Bericht enthaltenen Musterschreiben können frei verwendet und angepasst werden
Weitere Vorlagen finden sich bei noyb.eu
Der Verbraucherzentrale Bundesverband bietet ebenfalls Musterschreiben an

DSGVO Datenschutz NRW Schulen Behörden Auskunftsrecht Artikel 15 LDI NRW