Daten anfordern: was dein Gerät über dich gespeichert hat

Kurz gesagt

Worum es geht

Du holst dir eine Kopie dessen, was Gerät und App über dich gespeichert haben. Drei Rechte ergänzen sich, und weil Gerätedaten laut Datenschutzaufsicht des Bundes (BfDI) „in vielen Fällen“ personenbezogen sind, etwa bei einem Konto, greifen meist zwei zugleich.

Was du brauchst

• Du nutzt das Gerät selbst — als Besitzer, Mieter oder über seine App — und lebst in der EU. Beim Data Act zählen auch gebrauchte und ältere Geräte, laut EU-Kommission und Bundesnetzagentur aber nur mit Daten ab dem 12.09.2025.
• Zugang zu deinem Konto und, falls zur Hand, Modell und Seriennummer.
• Einen sicheren Ablageort: Exporte können sehr private Aufnahmen enthalten; Verschlüsselung kann sie laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) für Mitbenutzer unlesbar machen.

Personenbezogene Daten anderer, etwa von Mitbewohnern, darf die Firma dir nur mit einer Rechtsgrundlage nach der DSGVO herausgeben (Art. 4 Abs. 12 Data Act). Für ein Kind können je nach dessen Reife die Eltern handeln, in Deutschland grundsätzlich gemeinsam (§ 1629 Abs. 1 BGB). Liest womöglich jemand über ein gemeinsames Gerät oder Konto mit, lies zuerst „Wird mein Handy überwacht?“: Anfrage, Bestätigungsmails und Export können der Person auffallen. Bei akuter Gefahr: Notruf 110.

1. Selbst herunterladen, was der Anbieter anbietet

Notiere zu jedem Gerät App, Konto und Hersteller. Einen direkten Download müssen erst Geräte bieten, die nach dem 12.09.2026 auf den Markt kommen, und auch nur „soweit relevant und technisch durchführbar“ (Art. 3 Abs. 1 Data Act). Manche Anbieter haben schon einen Weg im Konto, andere nur E-Mail oder Kundendienst:

Stimmt ein Menüpunkt nicht, such in der App-Hilfe nach „Daten anfordern“. Hol Archive bald ab: Bei Google laufen sie nach etwa 7 Tagen ab, bei Apple nach 14.

2. Die Anfrage schreiben

Schick sie über den Weg des Anbieters aus Schritt 1 oder an den Datenschutzbeauftragten aus der Datenschutzerklärung; laut Europäischem Datenschutzausschuss (EDSA) genügt jede offizielle Kontaktstelle. Nenne beide Rechte ausdrücklich: Laut einer europaweiten Behördenprüfung 2024 werden womöglich nicht alle Anfragen erkannt. Einen Grund musst du nicht nennen (EuGH, C-307/22).

Betreff: Auskunft nach Art. 15 DSGVO und Datenzugang
nach Art. 4 Abs. 1 Data Act (VO (EU) 2023/2854)

Sehr geehrte Damen und Herren,

bitte bestätigen Sie mir, ob Sie personenbezogene Daten
über mich verarbeiten, und senden Sie mir nach Art. 15
DSGVO eine kostenlose Kopie in einem gängigen
elektronischen Format, dazu Zwecke, Datenkategorien,
Empfänger mit Namen, Speicherdauer, Herkunft und Garantien
bei Übermittlungen in Drittländer.

Nach Art. 4 Abs. 1 Data Act bitte ich außerdem um die ohne
Weiteres verfügbaren Daten meines Geräts und der
zugehörigen Dienste samt Metadaten, maschinenlesbar.

Gerät: [Modell, Seriennummer]
Konto: [E-Mail-Adresse]
Zeitraum: [etwa seit dem Kauf am …]

Bitte stellen Sie alles als sicheren Download bereit und
bestätigen Sie den Eingang. Ich erwarte Ihre Antwort
unverzüglich, spätestens binnen eines Monats
(Art. 12 Abs. 3 DSGVO).

Mit freundlichen Grüßen
[Name], [Datum]

3. Ausweis nur, wenn nötig — und geschwärzt

Weitere Nachweise darf die Firma nur bei begründeten Zweifeln an deiner Identität verlangen (Art. 12 Abs. 6 DSGVO); fragst du aus deinem angemeldeten Konto, ist eine Ausweiskopie laut EDSA unverhältnismäßig. Musst du doch einen Ausweis zeigen, darfst du laut EDSA je nach Fall schwärzen, was die Firma nicht braucht: Zugangs- und Seriennummer, Foto, Größe, Augenfarbe, Staatsangehörigkeit, maschinenlesbare Zone — außer ein Gesetz verlangt eine ungeschwärzte Kopie. Eine Kopie des Personalausweises muss eindeutig und dauerhaft als Kopie erkennbar sein; die Firma darf sie nicht an Dritte weitergeben (§ 20 Abs. 2 PAuswG).

Die Prüfung dient auch deinem Schutz: Laut c’t (20.12.2018) bekam ein Amazon-Kunde mit seiner Auskunft rund 1.700 Sprachaufnahmen eines Fremden; Amazon sprach dort von einem menschlichen Fehler und einem mit beiden Kunden geklärten Einzelfall.

4. Frist notieren und Belege sichern

Die Monatsfrist läuft ab Eingang, gelesen oder nicht: Eingang am 5. März, Antwort bis einschließlich 5. April (EDSA). Um zwei Monate verlängern darf die Firma nur bei komplexen oder vielen Anträgen, begründet im ersten Monat; fragt sie zügig zu deiner Identität nach, kann die Frist ruhen. Beim Data Act gilt „unverzüglich“ ohne feste Tageszahl; bei Autoherstellern kann es laut ADAC (Dezember 2025) bis zu 30 Tage dauern. Hebe Anfrage, Eingangsbestätigung und Bildschirmfotos auf.

5. Die Antwort prüfen

Prüfe den DSGVO-Teil auf die Pflichtangaben (Art. 15 Abs. 1):

• Zwecke, Kategorien und Herkunft der Daten, deine Rechte samt Beschwerderecht.
• Empfänger, grundsätzlich mit Namen (EuGH, C-154/21).
• Speicherdauer — sie fehlte im Marktcheck der Verbraucherzentrale 2023 in 14 von 17 Auskünften von Zyklus-Apps.
• Eine originalgetreue, verständliche Kopie (EuGH, C-487/21); beim Data Act auch Zeitstempel und andere Begleitdaten.

Aufnahmen schuldet der Data Act grundsätzlich nicht: Inhalte wie Text, Ton und Video nimmt er aus (Erwägungsgrund 16); bei Kameras gibt es laut EU-Kommission aber Ereignisprotokolle, Zeitstempel und Akkustand. Für Aufnahmen von dir kommt nach fachlicher Einordnung Art. 15 DSGVO in Betracht, mit Rücksicht auf die Rechte anderer (Videoklingel und Kamera); ob Sprachbefehle als Inhalt zählen, ist ungeklärt. Was das Gerät nie verlässt, ist nicht geschuldet (Erwägungsgrund 20), was einmal in die Cloud des Herstellers ging, laut Kommission schon.

6. Nachfassen und beschweren

Fehlt etwas oder ist die Frist um, erinnere mit kurzer Frist. Dann beschwer dich, wenn nötig bei beiden Stellen zugleich und in Deutschland, auch wenn die Firma im Ausland sitzt (Art. 77 DSGVO, Art. 38 Data Act).

Wer Gerätedaten nicht, unvollständig oder zu spät bereitstellt, riskiert bis 500.000 Euro Bußgeld (§ 15 DADG); eine Schlichtungsstelle für den Data Act ist in Deutschland noch nicht zugelassen. Schadensersatz musst du selbst einklagen (Art. 82 DSGVO), laut EuGH auch bei verletztem Auskunftsrecht, wenn dir tatsächlich ein Schaden entstand und dein eigenes Verhalten nicht die entscheidende Ursache war (C-526/24).

Was du siehst — ein Beispiel

Tarek schreibt am 3. März an den Hersteller seines Saugroboters. Am 1. April kommt ein Link zu einem gepackten Archiv (ZIP) voller Textdateien mit Klammern (JSON): Reinigungsläufe mit Zeitstempeln, Fehlermeldungen, Kartendaten. Speicherdauer und Empfängernamen fehlen; Tarek fordert beides mit kurzer Frist nach (erfundenes Beispiel). Eine DSGVO-Kopie muss verständlich sein; sonst frag nach.

Wenn etwas nicht passt

• „Das kostet eine Gebühr“: Die erste Kopie ist kostenlos (EuGH, C-307/22), Data-Act-Daten sind unentgeltlich. Schilder, die für Auskünfte nur eine kostenpflichtige Rufnummer nannten, kosteten ein spanisches Unternehmen 100.000 Euro Bußgeld (laut EDSA, endgültig seit 2023).
• „Ihr Antrag ist exzessiv“, also übermäßig: Das muss die Firma nachweisen. Laut EuGH-Urteil C-526/24 vom 19.03.2026 geht das auch beim ersten Antrag, aber nur bei nachgewiesener Missbrauchsabsicht: Der Antrag diente dann nicht der Kontrolle der eigenen Daten, sondern etwa dazu, künstlich Schadensersatz zu erzeugen.
• „Geschäftsgeheimnis“: Verweigern darf der Hersteller nur ohne Einigung über Schutzmaßnahmen oder bei deren Verletzung, in Ausnahmefällen auch bei nachweislich drohendem schwerem wirtschaftlichem Schaden — schriftlich begründet und der Behörde gemeldet (Art. 4 Abs. 6 bis 8 Data Act).
• „Alles bleibt auf dem Gerät“: Das kann stimmen; such dann in der App nach einem Export.
• Fremde Daten in deiner Auskunft: nicht weitergeben, die Firma informieren, alles dokumentieren.

Was du danach aufräumst

An Gerät und Konto ändert sich nichts; aufzuräumen sind die Kopien: Links nicht weiterleiten, Unnötiges löschen, gründlich wie in Gerät verkaufen, verschenken, entsorgen. Die Löschung personenbezogener Daten kannst du verlangen, soweit Art. 17 DSGVO greift, mit derselben Monatsfrist wie die Auskunft (Art. 12 Abs. 3 DSGVO); für andere Gerätedaten schafft der Data Act laut Kommission kein Löschrecht.

So prüfst du erneut

• Frag in angemessenen Abständen erneut (Erwägungsgrund 63 DSGVO), etwa bevor du ein Gerät weitergibst.
• Vergleiche den Export mit den Pflichtangaben vor dem Kauf (Vor dem Kauf); fehlende Datenarten sind eine Nachfrage wert.

Was dieser Artikel nicht sagt

• Ob im Einzelfall Ausnahmen greifen, etwa Geschäftsgeheimnisse oder § 34 BDSG, kann nur eine Rechtsberatung einschätzen, wie sie auch Verbraucherzentralen anbieten.
• Ob ein Export vollständig ist, kannst du als Laie nicht prüfen, nur ob er plausibel ist.
• Die Anbieterwege sind deren Angaben mit Stand 24.10.2026, keine Bewertung und keine Empfehlung.
• Offen sind die Grenze für Daten vor dem 12.09.2025, die Einordnung von Sprachaufnahmen und ein EU-Vorschlag vom 19.11.2025, Auskunftsanträge leichter als übermäßig einzustufen (am 24.10.2026 im Parlamentsausschuss).

Quellen

Geprüft am 24. Oktober 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.