Fragebogen der Datenschutzbehörde: Die ersten 14 Tage

Inhalt in Kürze

• Ein Fragebogen der Aufsichtsbehörde ist kein Bußgeldverfahren, sondern eine Informationsanfrage nach Art. 58 Abs. 1 DSGVO. Wie Sie antworten, entscheidet darüber, ob daraus eines wird.
• Antworten ist Pflicht. Art. 31 DSGVO verlangt die Zusammenarbeit mit der Aufsicht; Verstöße dagegen sind eigenständig bußgeldbewehrt mit bis zu 10 Mio. Euro oder 2 Prozent des Jahresumsatzes.
• Fristverlängerung ist normal, Fristversäumnis nicht. Ein begründeter Antrag vor Ablauf wird in der Praxis meist gewährt.
• 2026 läuft die europaweite koordinierte Prüfaktion zu den Transparenz- und Informationspflichten (Art. 12 bis 14 DSGVO) mit rund 25 beteiligten Behörden.

Der Brief kommt selten überraschend allein: Meist steckt entweder eine Beschwerde dahinter, eine gemeldete Datenpanne — oder Sie sind in eine Stichprobe geraten. Die erste Reaktion ist fast immer dieselbe: Wer hat uns angezeigt? Das ist die falsche erste Frage.

Was Sie da eigentlich in der Hand halten

Die Aufsichtsbehörden haben nach Art. 58 Abs. 1 DSGVO umfangreiche Untersuchungsbefugnisse. Dazu gehört, von Verantwortlichen alle Informationen anzufordern, die zur Erfüllung ihrer Aufgaben erforderlich sind. Der Fragebogen ist genau das — ein Auskunftsverlangen, kein Vorwurf.

Auf der anderen Seite steht Art. 31 DSGVO: die Pflicht zur Zusammenarbeit. Sie ist knapp formuliert und wird gern übersehen. Verstöße dagegen fallen unter Art. 83 Abs. 4 lit. a DSGVO — also denselben Rahmen wie viele materielle Verstöße.

Warum gerade 2026 mehr Post kommt

Der Europäische Datenschutzausschuss legt jedes Jahr einen gemeinsamen Prüfschwerpunkt fest. Für 2026 sind es die Transparenz- und Informationspflichten nach Art. 12 bis 14 DSGVO — also die Frage, ob Datenschutzhinweise verständlich, vollständig und rechtzeitig sind. Rund 25 europäische Aufsichtsbehörden beteiligen sich, jede mit eigenem Zuschnitt. Die Brandenburger Aufsicht etwa hat einen Schwerpunkt auf Personalvermittlungen gelegt.

Praktisch heißt das: Wenn Ihr Fragebogen nach Datenschutzhinweisen, Informationszeitpunkten und der Verständlichkeit Ihrer Texte fragt, sind Sie mit hoher Wahrscheinlichkeit Teil dieser Stichprobe — und nicht Ziel einer Beschwerde.

Der Ablaufplan für die ersten 14 Tage

1. Tag 1 – Eingang dokumentieren. Datum, Aktenzeichen, Frist, Absender, Ansprechpartner. Die Frist kommt in den Kalender, mit einer Vorwarnung eine Woche vorher. Klingt banal, ist der häufigste Grund für Fristversäumnisse.
2. Tag 1 – Verantwortliche Person benennen. Eine Person führt die Antwort, sammelt die Zulieferungen und kommuniziert mit der Behörde. Kein Rundmail-Chaos, keine drei parallelen Entwürfe.
3. Tag 2 bis 3 – Fragen zerlegen. Jede Frage einzeln, mit Zuständigkeit und benötigtem Nachweis. Viele Fragen sind bereits durch bestehende Dokumente beantwortet — Verarbeitungsverzeichnis, TOM-Dokument, Löschkonzept, Schulungsnachweise.
4. Tag 3 – Über Fristverlängerung entscheiden. Wenn absehbar knapp: jetzt beantragen, nicht am letzten Tag. Kurze Begründung, konkretes neues Datum, sachlicher Ton.
5. Tag 4 bis 10 – Belege zusammenstellen. Zu jeder Antwort die Anlage. Behauptungen ohne Beleg erzeugen Nachfragen und verlängern das Verfahren um Monate.
6. Tag 10 bis 12 – Gegenlesen lassen. Datenschutzbeauftragter und Geschäftsführung. Geprüft wird auf drei Dinge: Ist es vollständig? Ist es wahr? Steht mehr drin als gefragt wurde?
7. Tag 13 – Absenden und archivieren. Schriftform beachten, Eingangsnachweis sichern, komplette Antwort inklusive Anlagen im eigenen Datenschutzordner ablegen.

Die fünf Fallen

• Mehr schreiben als gefragt. Der Drang, die eigene Sorgfalt zu belegen, führt regelmäßig dazu, dass Verarbeitungen erwähnt werden, nach denen niemand gefragt hat. Jede zusätzliche Information ist ein zusätzlicher Prüfansatz.
• Zustände beschönigen. „Ist in Umsetzung" für etwas, das noch nicht begonnen hat. Wenn die Behörde nachfasst, ist aus einer Lücke ein Vertrauensproblem geworden.
• Antworten ohne Beleg. „Alle Mitarbeiter sind geschult" ohne Teilnehmerliste ist keine Antwort, sondern eine Behauptung.
• Alleingang der IT. Technische Fragen werden technisch beantwortet — und die rechtliche Einordnung fehlt. Der Datenschutzbeauftragte gehört von Anfang an eingebunden.
• Frist verstreichen lassen. Der teuerste Fehler und zugleich der vermeidbarste. Die Behörde verlängert fast immer, wenn man rechtzeitig fragt.

Aus der Praxis

Der häufigste Reflex ist Panik, der zweithäufigste Trotz. Beide kosten Geld. Wir hatten einen Mandanten, der auf die erste Anfrage vier Monate nicht reagiert hat, weil die Geschäftsführung sich über den Ton geärgert hat. Danach war das Thema nicht mehr der Fragebogen, sondern die fehlende Mitwirkung. Umgekehrt haben wir Fälle, in denen der Fragebogen mit drei Anlagen sauber beantwortet war und die Akte danach geschlossen wurde. Der Unterschied liegt in den ersten vierzehn Tagen.

Nils OehmichenDatenschutzberater bei frag.hugo

Was fast immer abgefragt wird

Die Fragebögen unterscheiden sich je nach Anlass, aber ein Kern wiederholt sich. Wer diese Unterlagen im Haus hat, ist in zwei Tagen auskunftsfähig statt in zwei Wochen.

Genau diese Liste ist auch der Grund, warum ein regelmäßiges internes Audit sich rechnet: Die Unterlagen entstehen ohnehin. Wie so ein Durchlauf abläuft, steht im Beitrag zum Datenschutzaudit; den Aufbau des Verzeichnisses erklärt der Beitrag zum Verarbeitungsverzeichnis.

Fazit: Ihr nächster Schritt

Ein Fragebogen der Aufsichtsbehörde ist unangenehm, aber beherrschbar. Er wird erst dann teuer, wenn er liegen bleibt, wenn er unvollständig beantwortet wird oder wenn die Antwort Dinge behauptet, die sich nicht belegen lassen.

Die ehrlichste Vorbereitung ist die, die vor dem Brief passiert: Wer Verzeichnis, TOM, Schulungsnachweise und AVV aktuell hält, beantwortet den Fragebogen aus dem Bestand. Wer erst dann anfängt zu sammeln, braucht die Fristverlängerung. Wir begleiten beides — im DSGVO-Audit und laufend als externer Datenschutzbeauftragter. Eine Übersicht der zuständigen Stellen finden Sie in unserer Aufsichtsbehörden-Übersicht.

Häufige Fragen (FAQ)

Muss ich einen Fragebogen der Datenschutzbehörde beantworten?

Ja. Art. 31 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zur Zusammenarbeit mit der Aufsichtsbehörde. Art. 58 Abs. 1 DSGVO gibt der Behörde ausdrücklich das Recht, alle für ihre Aufgaben erforderlichen Informationen anzufordern. Wer nicht antwortet, riskiert ein eigenes Bußgeld – unabhängig vom eigentlichen Prüfthema.

Wie lange habe ich Zeit für die Antwort?

Die Frist steht im Anschreiben und liegt typischerweise bei zwei bis vier Wochen. Sie ist behördlich gesetzt und verlängerbar: Ein kurzer, sachlich begründeter Antrag vor Fristablauf wird in der Praxis meist gewährt. Was nicht funktioniert, ist die stillschweigende Fristüberschreitung.

Kann die Antwort gegen mich verwendet werden?

Ja, die Angaben können Grundlage weiterer Maßnahmen bis hin zu einem Bußgeldverfahren sein. Trotzdem ist Schweigen keine Option, weil die Mitwirkungspflicht nach Art. 31 DSGVO selbst bußgeldbewehrt ist. Der richtige Weg ist eine vollständige, präzise und belegte Antwort – ohne Spekulationen und ohne Ausschmückungen.

Was bedeutet die koordinierte Prüfaktion 2026?

Der Europäische Datenschutzausschuss hat für 2026 die Transparenz- und Informationspflichten nach Art. 12 bis 14 DSGVO zum Schwerpunkt der koordinierten Prüfaktion gemacht. Rund 25 Aufsichtsbehörden in Europa beteiligen sich und verschicken dazu Fragebögen. Deutsche Behörden setzen dabei eigene Branchenschwerpunkte.

Was droht, wenn ich gar nicht reagiere?

Verstöße gegen die Mitwirkungspflicht aus Art. 31 DSGVO fallen unter Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Zusätzlich kann die Behörde Anordnungen treffen und im Extremfall Verarbeitungen beschränken oder untersagen.

Brauche ich für die Antwort einen Anwalt?

Bei einem reinen Informationsfragebogen meist nicht – der Datenschutzbeauftragte und die verantwortliche Fachabteilung reichen. Anwaltliche Begleitung ist sinnvoll, sobald es um eine konkrete Beschwerde, einen gemeldeten Datenschutzvorfall oder die Anhörung in einem Bußgeldverfahren geht.