Checkliste: Wenn die Polizei anruft – Auskunft an Behörden

Zuletzt aktualisiert am 28. Oktober 2026

Kurzfassung: Der datenschutzkonforme Umgang mit Auskunftsverlangen von Polizei und anderen Behörden erfordert klare interne Prozesse, geschulte Mitarbeiter und die frühzeitige Einbindung des Datenschutzbeauftragten. Die hier vorgestellte Checkliste hilft Unternehmen, bei Behördenanfragen strukturiert und rechtskonform vorzugehen, ohne den Datenschutz der betroffenen Personen zu gefährden.

Nicht selten nimmt die Polizei Kontakt zu Unternehmen auf, um Sachverhalte aufzuklären. Dabei fordern die Behörden die Übermittlung von Aufnahmen der Videoüberwachung, IP-Adressen, Namen von Fahrern des Firmenwagens oder ähnlichen personenbezogenen Daten. Doch wann ist eine solche Auskunft datenschutzkonform?

Erfahren Sie hier, welcher Schritte der Checkliste zur Auskunft an Polizei und Co. Sie prüfen müssen, bevor Sie personenbezogene Daten an Behörden weitergeben können.

1.     Identifizierung der anfragenden Behörde

Bevor Sie überhaupt eine Prüfung bezüglich der betroffenen Daten durchführen, ist es wichtig, zunächst die anfragende Behörde zu identifizieren. Hierbei handelt es sich nicht um eine Pflicht aus der DSGVO, sondern um eine Maßnahme zum Selbstschutz. Wird Ihrem Unternehmen später eine unzulässige Übermittlung (Datenschutzverstoß) vorgeworfen, müssen Sie nachweisen können, unter welchen Umständen die Übermittlung erfolgte und dass sie datenschutzkonform war.

Legen Sie deshalb im Unternehmen fest, dass keine Auskünfte über personenbezogene Daten am Telefon erteilt werden. Bei schriftlichen Anfragen sollten die Mitarbeiter den Absende immer genau überprüfen. Jede Kommunikation ist dabei zu dokumentieren.

2.     Überprüfung des Auskunftsverlangens

Als Verantwortlicher müssen Sie dann prüfen, ob die anfragende Behörde die entsprechenden Daten überhaupt herausverlangen darf. Ein Auskunftsverlangen muss immer eine Rechtsgrundlage haben. Hierbei kann es sich um einen richterlichen Beschluss, ein Auskunftsersuchen der Staatsanwaltschaft oder einen Paragrafen aus der Strafprozessordnung (StPO) und einer kurzen Begründung bzw. Darstellung des Sachverhaltes handeln.

Der Datenschutzbeauftragte kennt die rechtlichen Anforderungen und kann die Zulässigkeit der Datenübermittlung fachkundig beurteilen. Schalten Sie zu diesem Zeitpunkt unbedingt auch Ihren Datenschutzbeauftragten parallel zu Rechtsabteilung o.ä. mit ein. Dieser kann eventuell auftretende Risiken schnell erkennen und Sie entsprechend beraten.

3.     Überprüfung der Rechtsgrundlage

Nach Art. 5 DSGVO darf eine Verarbeitung nur dann erfolgen, wenn die entsprechende Rechtsgrundlage diese auch erlaubt. Es bedarf also einer Rechtfertigung der Weitergabe über Art. 6 DSGVO bzw. Art. 9 DSGVO bei Daten der besonderen Kategorie.

a.      Art. 6 I lit. c DSGVO: rechtliche Verpflichtung

Der Verantwortliche darf solche Daten übermitteln, die er aufgrund einer entsprechenden rechtlichen Verpflichtung erhebt. Will beispielsweise die Polizei eine Auskunft auf Grundlage der StPO erwirken, ist das Unternehmen grundsätzlich verpflichtet im Rahmen der StPO Auskunft zu erteilen. Hier können sich aber auch entsprechende Freiwilligkeiten oder Zeugnisverweigerungsrechte ergeben.

b.     Art. 6 I lit. f DSGVO: überwiegende berechtigte Interessen

Ansonsten kann eine Auskunft aufgrund überwiegender berechtigter Interessen gerechtfertigt sein. Im Erwägungsgrund 50 zur DSGVO wird festgehalten, dass die Strafverfolgung ein solches berechtigtes Interesse darstellt.

c.      Art. 9 DSGVO: besondere personenbezogene Daten

Handelt es sich bei den die Auskunft betreffenden Daten um solche der besonderen Kategorie nach Art. 9 DSGVO, ist der höhere Schutz zu beachten. Der deutsche Gesetzgeber hat hier aber von der Möglichkeit einer Öffnungsklausel nach Art. 9 II lit. g iVm IV DSGVO Gebrauch gemacht und § 4 III BDSG geschaffen. Dieser regelt u.a. die Weitergabe von Materialien aus der Videoüberwachung von öffentlich zugänglichen Räumen zum Zwecke der Strafverfolgung. Andere Videoüberwachung wie z.B. von unternehmensinternen Bereichen, zu denen nur Mitarbeiter Zugang haben, fallen jedoch nicht darunter.

Auch hierbei sollte im Einzelfall immer der Datenschutzbeauftragte befragt werden.

4.     Herausgabe und Dokumentation

Werden am Ende Daten herausgegeben, ist auch dies zu dokumentieren.

Bei der Auskunft ist vor allem auf den Grundsatz der Datenminimierung zu achten, sodass das Material immer so weit wie möglich gekürzt oder geschwärzt werden muss. Außerdem sind auch bei der Auskunft technisch-organisatorische Maßnahmen zum Schutz der Daten bereitzuhalten. Alle Schritte der Checklist und das entsprechende Vorgehen des Unternehmens sind im Detail zu dokumentieren.

Dokumentation als Compliance-Nachweis

Die lückenlose Dokumentation aller Schritte bei der Bearbeitung von Behördenanfragen dient nicht nur dem Selbstschutz des Unternehmens, sondern ist auch ein wichtiger Bestandteil der datenschutzrechtlichen Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Im Falle einer Überprüfung durch die Datenschutzaufsichtsbehörde muss das Unternehmen nachweisen können, dass es bei der Datenübermittlung an Behörden alle datenschutzrechtlichen Anforderungen eingehalten hat. Eine strukturierte Dokumentation, die den Eingang der Anfrage, die durchgeführte Prüfung, die Einbindung des Datenschutzbeauftragten, die Rechtsgrundlage der Übermittlung und den Umfang der herausgegebenen Daten festhält, ist daher wichtig. Vorlagen und Checklisten für diesen Prozess sollten allen relevanten Mitarbeitern bekannt und jederzeit zugänglich sein.

Fazit

Im Bereich Datenschutz im Unternehmen ist es wichtig, einheitliche Leitlinien zu schaffen, an die sich bei jedem Umgang mit personenbezogenen Daten orientiert werden kann. Diese Leitlinien müssen wie die hier erklärte Checkliste zum Umgang mit Auskunftsverlangen von Behörden wie der Polizei allen Mitarbeitern bekannt sein. Eine regelmäßige Schulung aller Mitarbeiter ist dabei nötig.

Die konsequente Einhaltung der hier dargestellten Checkliste schützt das Unternehmen vor datenschutzrechtlichen Sanktionen und stellt sicher, dass die berechtigten Interessen aller Beteiligten — der anfragenden Behörde, des Unternehmens und der betroffenen Personen — angemessen berücksichtigt werden.

Auch die Einbeziehung des Datenschutzbeauftragten erleichtert das Vorgehen und bewahrt vor so manchem Datenschutzverstoß. Der Datenschutzbeauftragte sollte sorgsam ausgewählt und regelmäßig geschult werden. Es macht Sinn, hier auf einen professionellen externen Datenschutzbeauftragten zu setzen.

Häufige Fehler bei der Bearbeitung von Behördenanfragen

In der Praxis werden bei der Bearbeitung von Auskunftsverlangen durch Behörden immer wieder Fehler gemacht, die zu Datenschutzverstößen führen können. Ein besonders häufiger Fehler ist die vorschnelle und ungeprüfte Herausgabe von Daten am Telefon. Selbst wenn der Anrufer sich als Polizeibeamter ausgibt, sollte keine telefonische Auskunft über personenbezogene Daten erteilt werden. Es besteht keine Möglichkeit, die Identität des Anrufers zweifelsfrei festzustellen.

Ein weiterer verbreiteter Fehler ist die Herausgabe von mehr Daten als angefordert. Wenn die Polizei beispielsweise nach der Adresse einer bestimmten Person fragt, sollten nicht zusätzlich Kontodaten, Telefonnummer oder weitere Informationen übermittelt werden. Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO gilt auch bei behördlichen Anfragen.

Besonderheiten bei der Herausgabe von Videoüberwachungsmaterial

Besonders häufig werden Unternehmen von der Polizei um die Herausgabe von Aufzeichnungen aus der Videoüberwachung gebeten. Hier gelten besondere Regeln: Die Aufnahmen dürfen nach § 4 Abs. 3 BDSG nur an Behörden herausgegeben werden, wenn dies zur Verfolgung von Straftaten erforderlich ist. Dabei ist zu beachten, dass nur die für den konkreten Sachverhalt relevanten Aufnahmen übermittelt werden — nicht das gesamte Videomaterial eines Tages oder einer Woche.

Vor der Herausgabe sollte das Videomaterial zudem soweit möglich anonymisiert werden. Sind auf den Aufnahmen unbeteiligte Personen zu erkennen, sollten deren Gesichter unkenntlich gemacht werden, sofern dies technisch möglich und mit vertretbarem Aufwand realisierbar ist. Die Herausgabe der Aufnahmen ist in jedem Fall zu protokollieren, einschließlich des Zeitraums der Aufnahmen, des Empfängers und der Rechtsgrundlage.

Interne Richtlinien und Mitarbeiterschulungen

Um im Ernstfall schnell und datenschutzkonform reagieren zu können, sollten Unternehmen klare interne Richtlinien zum Umgang mit Behördenanfragen etablieren. Diese Richtlinien sollten festlegen, wer im Unternehmen befugt ist, Auskünfte an Behörden zu erteilen, und welche Prüfschritte dabei einzuhalten sind. Idealerweise gibt es einen benannten Ansprechpartner, an den alle eingehenden Anfragen weitergeleitet werden.

Regelmäßige Datenschutz-Schulungen der Mitarbeiter sind dabei wichtig. Alle Mitarbeiter, die potenziell mit Behördenanfragen konfrontiert werden könnten — insbesondere an der Telefonzentrale, am Empfang oder in der Personalabteilung — sollten wissen, wie sie mit solchen Anfragen umzugehen haben. Die Schulungen sollten praxisnahe Szenarien enthalten und regelmäßig aufgefrischt werden.

Sonderfälle: Steuerfahndung, Zoll und andere Behörden

Neben der Polizei können auch andere Behörden Auskunftsverlangen an Unternehmen richten. Die Steuerfahndung hat beispielsweise nach § 93 der Abgabenordnung (AO) weitreichende Auskunftsrechte, die über die der Polizei hinausgehen können. Auch der Zoll und das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) können im Rahmen ihrer Zuständigkeiten Daten anfordern.

Für Unternehmen ist es wichtig, die unterschiedlichen Rechtsgrundlagen und Befugnisse der verschiedenen Behörden zu kennen. Während die Polizei in der Regel auf Grundlage der StPO oder des jeweiligen Landespolizeigesetzes handelt, stützen sich andere Behörden auf ihre spezifischen Fachgesetze. Die datenschutzrechtliche Prüfung muss daher immer die konkrete Rechtsgrundlage des Auskunftsverlangens berücksichtigen.

Ein besonderer Fall sind zudem Anfragen von Datenschutzaufsichtsbehörden selbst. Diese haben nach Art. 58 Abs. 1 DSGVO vollständige Untersuchungsbefugnisse und können vom Verantwortlichen alle Informationen anfordern, die zur Erfüllung ihrer Aufgaben erforderlich sind. Einer Anfrage der Datenschutzaufsichtsbehörde muss grundsätzlich Folge geleistet werden, wobei auch hier die Verhältnismäßigkeit zu wahren ist.

Besonders zu beachten ist, dass für bestimmte Berufsgruppen spezielle Zeugnisverweigerungsrechte und Beschlagnahmeverbote gelten. Rechtsanwälte, Ärzte, Steuerberater und weitere in § 53 StPO genannte Berufsgeheimnisträger können die Auskunft über Informationen verweigern, die ihnen in ihrer beruflichen Eigenschaft anvertraut wurden. Diese besonderen Schutzrechte gelten auch für die bei ihnen beschäftigten Mitarbeiter und erstrecken sich auf die entsprechenden Unterlagen und Datenträger. Unternehmen, die solche Berufsgeheimnisträger beschäftigen oder mit ihnen zusammenarbeiten, sollten diese besonderen Regeln kennen und in ihren internen Richtlinien berücksichtigen.

In allen Fällen empfiehlt es sich, den Datenschutzbeauftragten und gegebenenfalls die Rechtsabteilung frühzeitig einzubinden. Eine sorgfältige Dokumentation aller Schritte schützt das Unternehmen im Falle späterer Überprüfungen und weist die Datenschutzkonformität des Handelns nach.

Ein gut vorbereitetes Unternehmen kann Behördenanfragen souverän und datenschutzkonform bearbeiten, ohne dabei die berechtigten Interessen der Strafverfolgung zu behindern. Der Schlüssel liegt in der Balance zwischen kooperativem Verhalten gegenüber den Behörden und dem Schutz der personenbezogenen Daten der betroffenen Personen.

Sie suchen einen externen Datenschutzbeauftragten oder brauchen sonst Hilfe im Bereich Datenschutz (z.B. online Mitarbeitersensibilisierung oder Live-Schulungen angepasst an Ihr Unternehmen)? Kontaktieren Sie uns! Unser Team an Experten freut sich auf Sie.

Datenschutz für Ihr Unternehmen

• DSGVO-Beratung
• Verarbeitungsverzeichnis
• TOM Datenschutz
• Datenschutz-Schulung

Erstberatung anfragen