DSGVO-Auskunft nach Identitätsdiebstahl: Daten finden und löschen lassen

DSGVO Auskunft nach Identitätsdiebstahl – wie Sie betroffene Daten aufspüren, falsche Einträge beseitigen und Ihre Rechte nach Art. 15 und 17 DSGVO durchsetzen.

Identitätsdiebstahl ist mehr als ein Betrugsdelikt – er hinterlässt digitale Spuren, die sich über Monate oder Jahre in Datenbanken, Bonitätsauskünften und Plattform-Accounts festsetzen. Kreditkartenverträge werden auf fremde Namen abgeschlossen, Inkassoforderungen treffen Menschen, die mit dem zugrunde liegenden Vertrag nichts zu tun hatten.

Genau hier setzen die Datenschutzrechte an. Die DSGVO Auskunft Identitätsdiebstahl gibt Betroffenen ein effektives Werkzeug an die Hand: Auf Basis von Art. 15 DSGVO können Sie von jeder verarbeitenden Stelle verlangen zu wissen, welche Daten über Sie gespeichert sind. Mit Art. 17 DSGVO können Sie die Löschung rechtswidrig verarbeiteter Daten erzwingen.

Dieser Beitrag erklärt, wie Sie vorgehen, welche Fristen gelten, welche Schadensersatzansprüche bestehen – und wann anwaltliche Unterstützung die Durchsetzung dieser Rechte erheblich beschleunigt.

Was ist Identitätsdiebstahl – und warum ist die DSGVO relevant?

Identitätsdiebstahl bezeichnet das unberechtigte Verwenden personenbezogener Daten einer anderen Person – in der Regel Name, Adresse, Geburtsdatum und Bankverbindung. Die Täter eröffnen Konten, bestellen Waren auf Rechnung oder schließen Mobilfunkverträge ab. Die Opfer bemerken das oft erst, wenn Inkasso-Forderungen eintreffen oder die Schufa einen negativen Eintrag meldet.

Der datenschutzrechtliche Einstiegspunkt ist das Auskunftsrecht nach Art. 15 DSGVO. Jede Stelle, die personenbezogene Daten verarbeitet – ob Onlinehändler, Bank, Inkassounternehmen oder Auskunftei –, ist verpflichtet, auf Anfrage eine vollständige Kopie der gespeicherten Daten herauszugeben. Diese DSGVO Auskunft nach Identitätsdiebstahl ist der erste Schritt zur Aufklärung des Schadens.

Daneben besteht das Recht auf Berichtigung nach Art. 16 DSGVO und das Recht auf Löschung nach Art. 17 DSGVO. Diese Rechte greifen, wenn Daten auf Basis eines betrügerisch abgeschlossenen Vertrags verarbeitet werden – was nach einem Identitätsdiebstahl regelmäßig der Fall ist. Die Rechtsgrundlage für die Verarbeitung fehlt dann, und die Löschung ist zwingend.

Wie Identitätsdiebstahl abläuft: Typische Muster und erste Warnsignale

Die häufigsten Einstiegspunkte sind Datenpannen bei großen Plattformen, Phishing-Angriffe auf Bankkonten oder das sogenannte Dumpster Diving – das Sichten weggeworfener Post mit persönlichen Daten. Sobald Täter über Name, Anschrift und Geburtsdatum verfügen, können sie in vielen Fällen bereits im Namen der Betroffenen handeln.

Frühwarnsignale, auf die Betroffene achten sollten:

• Unerklärliche Inkassoforderungen für Verträge, die nie abgeschlossen wurden
• Negative Schufa-Einträge für unbekannte Kredite oder Rechnungen
• Unbestellte Pakete an die eigene Adresse – auf fremden Namen
• Benachrichtigungen über neue Accounts oder Passwortänderungen, die nicht von Ihnen stammen
• Kreditablehnungen ohne nachvollziehbaren Grund
• Kontaktaufnahme von Gläubigern für Schulden, die unbekannt sind

Wer einen oder mehrere dieser Punkte erkennt, sollte sofort handeln – und als ersten Schritt eine DSGVO Auskunft bei den infrage kommenden Stellen anfordern. Nur so lässt sich das Ausmaß des Datenmissbrauchs vollständig erfassen. Verwandte Muster kennt man auch vom Identitätsdiebstahl beim Bankkonto.

DSGVO Auskunft Identitätsdiebstahl: So stellen Sie den Antrag richtig

Der Antrag auf DSGVO Auskunft nach Identitätsdiebstahl kann formlos gestellt werden – schriftlich per Post, per E-Mail oder über ein Onlineformular. Entscheidend ist, dass der Antrag klar identifiziert, wer die anfragende Person ist, und was verlangt wird: eine vollständige Kopie aller verarbeiteten Daten sowie Auskunft über Herkunft, Zweck und Empfänger der Weitergabe.

Die Frist zur Beantwortung beträgt einen Monat ab Eingang des Antrags. Bei komplexen Anfragen kann die Stelle die Frist um weitere zwei Monate verlängern – muss das aber begründet mitteilen. Wer keine Antwort erhält oder eine unvollständige Auskunft bekommt, hat das Recht, Beschwerde bei der zuständigen Datenschutzbehörde einzureichen.

Für Betroffene eines Bankdaten-Diebstahls mit Identitätsdiebstahl empfiehlt sich ein systematisches Vorgehen: Zunächst Auskunft bei der Schufa und anderen Auskunfteien (Creditreform, CRIF), dann bei den jeweiligen Gläubigern und schließlich bei Plattformen, auf denen betrügerische Accounts angelegt wurden.

Wichtig: Die DSGVO Auskunft nach Identitätsdiebstahl ist kostenlos. Wer sich für die Übermittlung eine Gebühr berechnen lässt, hat Anspruch auf Rückzahlung. Ausnahme: Bei offensichtlich unbegründeten oder exzessiven Anträgen darf eine angemessene Gebühr verlangt werden – das ist in der Praxis aber selten.

Löschung und Berichtigung: Art. 17 und 16 DSGVO in der Praxis

Sobald klar ist, welche Daten missbräuchlich verarbeitet werden, beginnt der zweite Schritt: die Geltendmachung des Löschungsrechts nach Art. 17 DSGVO. Voraussetzung ist, dass die Daten für den ursprünglichen Zweck nicht mehr erforderlich sind, oder – im Fall des Identitätsdiebstahls besonders relevant – dass die Rechtsgrundlage für die Verarbeitung von Anfang an fehlte, weil der zugrunde liegende Vertrag betrügerisch zustande kam.

Negative Schufa-Einträge, die auf betrügerisch abgeschlossenen Verträgen beruhen, sind auf diesem Weg löschbar. Die Schufa ist nach Art. 17 DSGVO verpflichtet, unrichtige oder rechtswidrig gespeicherte Einträge zu entfernen. Ein einfaches Schreiben mit Nachweis der Täuschung – etwa eine Strafanzeige oder ein Negativattest – reicht in vielen Fällen aus, um den Prozess anzustoßen.

Für Berichtigungsansprüche nach Art. 16 DSGVO gilt: Sind Daten inhaltlich falsch – etwa eine falsche Adresse oder eine falsch zugeordnete Forderung –, hat die verarbeitende Stelle diese zu korrigieren. Auch das ist ein direktes Werkzeug nach einem Neobank-Phishing mit Datendiebstahl.

Schadensersatz nach Art. 82 DSGVO: Was Betroffene fordern können

Neben dem Auskunfts- und Löschungsrecht besteht bei rechtswidriger Datenverarbeitung ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO. Der Bundesgerichtshof hat mit Urteil vom 18. November 2024 (BGH VI ZR 10/24) klargestellt: Bereits der Kontrollverlust über personenbezogene Daten durch ein Datenleck ist ein ersatzfähiger immaterieller Schaden – ein konkreter Missbrauchsnachweis ist nicht erforderlich.

Der BGH nannte als Richtwert einen Betrag von etwa 100 Euro für einfache Fälle ohne nachgewiesenen Folgeschaden. Bei schwerem Identitätsdiebstahl mit finanziellem Schaden, Bonitätsverschlechterung und psychischer Belastung kann der Betrag erheblich höher ausfallen. Entscheidend ist, dass die verarbeitende Stelle die unzureichende Datensicherheit zu verantworten hat.

Der Anspruch richtet sich gegen denjenigen, der die Daten rechtswidrig verarbeitet hat – also den Händler, die Bank oder die Plattform, bei der die Datenpanne stattfand. Hinzu kann ein Anspruch gegen den eigentlichen Täter aus § 823 BGB treten, soweit der Täter identifiziert werden kann.

Sofortmaßnahmen nach einem Identitätsdiebstahl

Wer Opfer eines Identitätsdiebstahls wird, sollte folgende Schritte einleiten:

• Strafanzeige erstatten bei der Polizei – das Aktenzeichen ist für spätere Löschungsanträge wichtig
• Schufa-Selbstauskunft anfordern nach Art. 15 DSGVO
• Kontosperren bei Banken und Zahlungsdiensten beantragen, falls Kontodaten abgegriffen wurden
• Passwörter und Zugangsdaten ändern für alle betroffenen Dienste
• DSGVO-Auskunftsanträge stellen bei Inkassounternehmen, Auskunfteien und Plattformen
• Löschungsbegehren formulieren für alle rechtswidrig gespeicherten Einträge

Das Aktenzeichen der Strafanzeige öffnet weitere strafprozessuale Wege: Mit § 406e StPO können Verletzte nach Verfahrenseinleitung Akteneinsicht beantragen. Über § 475 StPO sind auch Auskünfte für Privatpersonen möglich. Beides liefert wichtige Informationen zur Identifizierung der Täter und zum Umfang des Datenmissbrauchs.

Verjährung und Fristen: Was Sie zeitlich beachten müssen

Für Schadensersatzansprüche nach Art. 82 DSGVO gilt die regelmäßige dreijährige Verjährungsfrist des deutschen Zivilrechts. Gemäß § 199 BGB beginnt diese Frist mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Geschädigte Kenntnis von Schaden und Schuldner erlangt hat. Gerade bei der DSGVO Auskunft Identitätsdiebstahl ist der Zeitpunkt der Kenntnis oft schwer zu bestimmen.

Wer erst spät von einem Identitätsdiebstahl erfährt – etwa durch einen Inkasso-Brief mehrere Jahre nach dem Datendiebstahl –, hat unter Umständen noch ausreichend Zeit. Das Risiko liegt darin, dass die Kenntnis später als angenommen eingesetzt haben könnte. Ein Anwalt kann helfen, den Verjährungsbeginn korrekt zu bestimmen.

Das Löschungsrecht nach Art. 17 DSGVO hingegen verjährt nicht in dem Sinne, dass eine Löschungspflicht zeitlich entfällt – solange die Daten weiter rechtswidrig verarbeitet werden, besteht der Anspruch fort. Für Betroffene eines Romance-Scam-Phishing mit Identitätsdaten ist das eine wichtige Grundlage.

Wann anwaltliche Unterstützung die Durchsetzung beschleunigt

Die DSGVO Auskunft Identitätsdiebstahl ist formell einfach zu beantragen – die praktische Durchsetzung ist es nicht immer. Stellen verweigern Auskunft, antworten unvollständig oder berufen sich auf angebliche Ausnahmen. Inkassounternehmen halten an der Forderung fest, obwohl der Vertrag betrügerisch zustande kam.

Ein Rechtsanwalt kann das Auskunftsbegehren formal absichern, Beschwerde bei der zuständigen Datenschutzbehörde einlegen und im Streitfall klagen. Das ist besonders dann sinnvoll, wenn mehrere Stellen involviert sind, negative Bonitätseinträge nicht freiwillig gelöscht werden oder ein Schadensersatzanspruch nach Art. 82 DSGVO geltend gemacht werden soll.

Informieren Sie sich zudem über den Weg zur Hilfe als Cybercrime-Opfer und über die Möglichkeit, den Täter zu identifizieren. Wer den Schädiger kennt, kann zivilrechtliche Ansprüche nach § 826 BGB (vorsätzliche sittenwidrige Schädigung) direkt durchsetzen.

AK LAW Rechtsanwaltsgesellschaft mbH – Ihr Partner im Bank- und Kapitalmarktrecht

Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu DSGVO Auskunft Identitätsdiebstahl