Bin ich gespeichert, obwohl ich kein Nutzer bin?

NoData.ForSale · Impulse · Datenschatten · Veröffentlicht 29.08.2026

Wissensstand: August 2026

Sie haben kein Facebook-Konto, verwenden kein TikTok oder haben sich bewusst gegen Telegram entschieden. Trotzdem können Ihre Telefonnummer, Ihre E-Mail-Adresse oder Ihr Name bei diesen Unternehmen angekommen sein – über die Adressbücher anderer Menschen.

Viele Plattformen begründen diese Verarbeitung mit einem berechtigten Interesse. Das bedeutet aber nicht, dass Betroffene jede Behauptung eines Unternehmens widerspruchslos hinnehmen müssen.

Ein berechtigtes Interesse ist eine mögliche Rechtsgrundlage. Es ist kein Freibrief und kein Ersatz für die Rechte auf Transparenz, Auskunft, Widerspruch und gegebenenfalls Löschung.

Die praktische Frage lautet deshalb:

Wie erfahre ich, ob ein Unternehmen meine Daten verarbeitet, obwohl ich dort kein Konto habe?

Das Recht auf eine klare Antwort

Nach Artikel 15 der Datenschutz-Grundverordnung können Sie von einem Unternehmen zunächst eine einfache Bestätigung verlangen: Werden personenbezogene Daten über mich verarbeitet – ja oder nein?

Falls die Antwort „ja“ lautet, können Sie unter anderem nach folgenden Punkten fragen:

• Welche konkreten Daten sind gespeichert?
• Woher stammen sie?
• Wurden sie aus den Adressbüchern, Kalendern oder Konten anderer Menschen übernommen?
• Zu welchen Zwecken werden sie verwendet?
• Auf welche Rechtsgrundlage stützt sich das Unternehmen?
• Wie lange werden sie gespeichert?
• An wen wurden sie übermittelt?
• Gibt es Hashwerte, Profile, Zuordnungen oder abgeleitete Informationen zu den Identifikatoren?
• Werden die Daten außerhalb der Europäischen Union verarbeitet?

Grundsätzlich muss das Unternehmen innerhalb eines Monats reagieren. Bei einer komplexen Anfrage kann die Frist um bis zu zwei weitere Monate verlängert werden. Über die Verlängerung und ihre Gründe muss es jedoch innerhalb des ersten Monats informieren.

Erst Auskunft, dann Löschung

Wer sofort die Löschung verlangt, kann möglicherweise nie erfahren, was vorher gespeichert war. Sinnvoller ist deshalb ein Vorgehen in zwei Schritten:

1. Zuerst Auskunft und eine Kopie der Daten verlangen.
2. Nach der Antwort widersprechen und – soweit die Voraussetzungen vorliegen – Löschung verlangen.

Bei einem automatischen Prüf- und Löschwerkzeug sollte das Ergebnis vor dem Löschen als Bildschirmfoto gesichert werden. Auch Bestätigungsmails, Vorgangsnummern und das Datum der Anfrage gehören in die eigene Dokumentation.

Die direkten Wege zu den Unternehmen

Die folgende Übersicht bezieht sich ausdrücklich auf Anfragen von Menschen, die den jeweiligen Dienst nicht verwenden oder wissen möchten, ob Daten aus fremden Adressbüchern vorhanden sind.

Diese Links sind keine Garantie für eine vollständige Auskunft. Sie sind die derzeit erkennbaren offiziellen Zugangswege. Formulare und Zuständigkeiten können sich ändern.

Meta: Prüfen, löschen – und trotzdem gespeichert bleiben?

Meta bietet für Nichtnutzer das praktischste Werkzeug. Nach Eingabe einer Mobilnummer, Festnetznummer oder E-Mail-Adresse kann geprüft werden, ob dieser Identifikator durch Kontakt-Uploads bei Facebook, Messenger oder Instagram in der Adressbuchdatenbank gelandet ist.

Meta sendet zur Bestätigung einen Code an die angegebene Nummer oder E-Mail-Adresse. Wird ein Treffer gefunden, kann die Löschung verlangt werden.

Dabei gibt es einen wichtigen Zusatz: Um zu verhindern, dass derselbe Identifikator durch das nächste synchronisierte Adressbuch erneut aufgenommen wird, behält Meta nach eigener Darstellung eine Kopie in einer Sperrliste.

Das ist technisch nachvollziehbar, aber sprachlich wichtig: „Gelöscht“ bedeutet hier nicht, dass überhaupt nichts mehr gespeichert wird. Der Zweck und die Art der verbleibenden Sperrlisteninformation sollten deshalb ebenfalls dokumentiert werden.

Google und Apple: Das schwierige Problem fremder Cloudkontakte

Bei Google und Apple ist die Lage komplizierter. Der betreffende Kontakt kann Bestandteil des Cloudadressbuchs eines anderen Kunden sein. Eine Auskunft darf nicht dazu führen, dass dessen private Daten oder Identität offengelegt werden.

Das hebt das eigene Auskunftsrecht jedoch nicht vollständig auf. Ein Unternehmen kann beispielsweise mitteilen, ob es einen Identifikator verarbeitet, welche Datenkategorien betroffen sind und zu welchen Zwecken die Verarbeitung erfolgt, ohne den Namen der Person preiszugeben, die den Kontakt gespeichert hat.

Problematisch ist, dass die komfortablen Datenportale beider Unternehmen auf Kontoinhaber ausgerichtet sind. Ein echter Nichtnutzer trifft damit auf ein Verfahren, das seine Situation nur unzureichend abbildet. Genau das sollte in einer Anfrage festgehalten werden.

Muster: Auskunftsanfrage für Nichtnutzer

Die folgende Vorlage kann in ein Kontaktformular oder eine E-Mail kopiert werden. Eckige Klammern müssen ersetzt werden.

Betreff: Auskunft nach Art. 15 DSGVO – Daten eines Nichtnutzers

Sehr geehrte Damen und Herren,

ich nutze Ihren Dienst nicht und unterhalte dort kein Konto. Dennoch ist es möglich, dass personenbezogene Daten über mich durch Kontakt-, Adressbuch- oder Kalendersynchronisierungen anderer Personen an Ihr Unternehmen übermittelt wurden.

Hiermit bitte ich gemäß Art. 15 DSGVO um Bestätigung, ob Sie personenbezogene Daten verarbeiten, die den folgenden Identifikatoren zugeordnet werden können:

Telefonnummer: [Nummer im internationalen Format, beispielsweise +49 …]
E-Mail-Adresse: [E-Mail-Adresse]
Name: [Name, soweit für die Suche erforderlich]

Falls Sie entsprechende Daten verarbeiten, bitte ich um eine Kopie der personenbezogenen Daten sowie um Auskunft über:

1. die verarbeiteten Daten und Datenkategorien,
2. die Verarbeitungszwecke und Rechtsgrundlagen,
3. die Herkunft der Daten, insbesondere eine mögliche Übernahme aus Adressbüchern, Kalendern, Kontaktimporten oder Datenbeständen Dritter,
4. Empfänger oder Empfängerkategorien,
5. die vorgesehene Speicherdauer,
6. Übermittlungen in Drittländer und die verwendeten Garantien,
7. vorhandene Hashwerte, pseudonyme Kennungen, Profile, Zuordnungen oder aus meinen Identifikatoren abgeleitete Informationen,
8. eine etwaige Verwendung in Kontakt-, Freundschafts- oder Kontovorschlägen.

Bitte führen Sie die Auskunft vollständig durch, bevor Sie eine eventuelle Löschung veranlassen. Teilen Sie mir bitte auch mit, welche Angaben Sie zur angemessenen Identitätsprüfung benötigen.

Mit freundlichen Grüßen
[Name]

Kurzfassung für kleine Formularfelder

Ich nutze Ihren Dienst nicht. Nach Art. 15 DSGVO bitte ich um Bestätigung, ob Sie personenbezogene Daten zu meiner Telefonnummer [NUMMER] oder E-Mail-Adresse [ADRESSE] verarbeiten – insbesondere aus Kontakt-, Adressbuch- oder Kalendersynchronisierungen anderer Personen. Falls ja, bitte ich um eine Datenkopie sowie Angaben zu Datenarten, Herkunft, Zwecken, Rechtsgrundlagen, Empfängern, Speicherdauer, Drittlandtransfers und vorhandenen Hashwerten, Profilen oder Kontaktzuordnungen. Bitte erteilen Sie zuerst die vollständige Auskunft und löschen Sie die Daten nicht vor Beantwortung der Anfrage.

Nach der Auskunft: Widerspruch und Löschung

Beruft sich das Unternehmen auf berechtigte Interessen, kann zusätzlich ein Widerspruch nach Artikel 21 DSGVO erklärt werden. Der Widerspruch sollte die persönliche Situation beschreiben. Bei einem Nichtnutzer bietet sich beispielsweise folgende Begründung an:

Ich habe mich bewusst gegen die Nutzung Ihres Dienstes entschieden und musste nicht damit rechnen, dass meine Kontaktdaten durch Adressbuch-Uploads Dritter für Kontaktabgleiche oder Netzwerkvorschläge verarbeitet werden. Ich widerspreche daher der Verarbeitung meiner personenbezogenen Daten nach Art. 21 DSGVO. Soweit keine zwingenden schutzwürdigen Gründe entgegenstehen, verlange ich außerdem die Löschung nach Art. 17 DSGVO. Sollte zur Verhinderung erneuter Uploads eine Sperrlisteninformation erforderlich sein, bitte ich um genaue Mitteilung, welche Information zu welchem Zweck und für welche Dauer gespeichert bleibt.

Ein Widerspruch führt nicht automatisch zur Löschung. Das Unternehmen kann zwingende schutzwürdige Gründe geltend machen. Es muss diese jedoch benennen und gegen die Rechte der betroffenen Person abwägen.

Was Sie nicht vorschnell versenden sollten

Ein Unternehmen darf bei begründeten Zweifeln zusätzliche Informationen zur Identitätsprüfung verlangen. Das bedeutet nicht, dass sofort eine ungeschwärzte Ausweiskopie verschickt werden sollte.

• Senden Sie zunächst nur die Identifikatoren, nach denen gesucht werden soll.
• Verschicken Sie keine Zugangsdaten, Passwörter oder Bestätigungscodes an Mitarbeiter.
• Wird ein Ausweis verlangt, fragen Sie nach der Notwendigkeit und ob eine geschwärzte Kopie genügt.
• Schwärzen Sie nicht benötigte Angaben wie Ausweisnummer, Foto oder Anschrift, sofern sie nicht nachweisbar erforderlich sind.
• Nutzen Sie ausschließlich die offiziellen Seiten und Domains der Unternehmen.

Auch die Anfrage selbst erzeugt Daten: E-Mail-Adresse, Telefonnummer, Zeitpunkt, IP-Adresse und Inhalt der Nachricht können gespeichert werden. Ganz ohne neue Datenspur lässt sich ein bestehender Datenschatten daher kaum prüfen.

Wenn keine oder nur eine ausweichende Antwort kommt

Speichern Sie die ursprüngliche Anfrage, den Versandnachweis, automatische Bestätigungen und jede Antwort. Erfolgt innerhalb eines Monats weder eine Antwort noch eine begründete Fristverlängerung, kann eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde eingereicht werden.

Offizielle Beschwerdewege in allen Bundesländern

Nach Artikel 77 DSGVO können Betroffene sich insbesondere an eine Aufsichtsbehörde an ihrem gewöhnlichen Aufenthaltsort, an ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes wenden. Für den Einstieg ist daher meist die Datenschutzaufsicht des eigenen Bundeslandes der einfachste Weg. Ist eine andere deutsche oder europäische Behörde federführend, kann die angerufene Behörde über das weitere Vorgehen informieren.

Die folgende Übersicht ist vor allem für Beschwerden gegen private Unternehmen und Plattformen gedacht. Bayern teilt die Aufsicht: Für private Unternehmen ist das BayLDA zuständig, für bayerische öffentliche Stellen der BayLfD. Für Bundesbehörden sowie bestimmte Post- und Telekommunikationssachverhalte kann stattdessen die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig sein. Auch Kirchen und öffentlich-rechtliche Rundfunkanstalten haben teilweise eigene Aufsichtsstellen.

Die Formulare fragen meist nach dem betroffenen Unternehmen, einer verständlichen Schilderung, dem bisherigen Schriftwechsel und vorhandenen Belegen. Deshalb sollten die ursprüngliche Auskunftsanfrage, die Eingangsbestätigung, Antworten und Bildschirmfotos gemeinsam eingereicht werden. Eine Beschwerde ist von der Meldung einer Datenpanne nach Artikel 33 DSGVO zu unterscheiden: Letztere ist für verantwortliche Unternehmen und Behörden bestimmt, nicht für betroffene Privatpersonen.

Eine Antwort wie „Wir konnten keine Daten finden“ sollte ebenfalls aufbewahrt werden. Sie beweist nicht zwangsläufig, dass in keinem technischen System irgendein Bezug existiert. Sie dokumentiert aber, was das Unternehmen auf eine konkrete Auskunftsanfrage erklärt hat.

NoData // Souveränitätscheck

Mehrere Identifikatoren einzeln prüfen: Alte und aktuelle Telefonnummern, private und berufliche E-Mail-Adressen können in unterschiedlichen Adressbüchern stehen.

Internationales Telefonnummernformat verwenden: Eine deutsche Nummer sollte als +49 … angegeben werden, damit die Suche nicht an unterschiedlichen Schreibweisen scheitert.

Ergebnis vor dem Löschen sichern: Bildschirmfotos und Bestätigungsmails können später wichtig werden.

Nicht alles in eine Anfrage packen: Zuerst Auskunft, anschließend Widerspruch und Löschung. So bleibt nachvollziehbar, was gespeichert war.

Nach einem Monat nachhaken: Auf das Datum der ersten Anfrage und die Vorgangsnummer verweisen.

Ablehnungen nicht einfach hinnehmen: Eine konkrete Begründung verlangen und bei Bedarf die Datenschutzaufsicht einschalten.

Fazit

„Berechtigtes Interesse“ beendet die Diskussion nicht. Es eröffnet sie erst.

Wer keine Plattform nutzt, darf trotzdem fragen, ob dort Telefonnummern, E-Mail-Adressen, Hashwerte oder Kontaktzuordnungen über ihn verarbeitet werden. Die Antworten werden nicht immer vollständig oder befriedigend sein. Manche Unternehmen bieten einen direkten Prüfvorgang, andere verstecken Betroffenenrechte hinter allgemeinen Formularen oder kontogebundenen Portalen.

Doch jede dokumentierte Anfrage zwingt ein Unternehmen zu einer Aussage. Sie macht aus einer abstrakten Vermutung einen überprüfbaren Vorgang – und aus dem unsichtbaren Datenschatten zumindest einen Gegenstand, über den Rechenschaft abgelegt werden muss.

---

Quellen und offizielle Anlaufstellen

1. Europäische Union: Datenschutz-Grundverordnung – insbesondere Art. 12, 15, 17 und 21
2. Meta: Informationen für Menschen, die keine Meta-Produkte verwenden
3. Meta: Kontaktinformationen prüfen und entfernen
4. WhatsApp: Informationen für Menschen, die WhatsApp nicht verwenden
5. WhatsApp: Formular für Fragen zur Datenschutzrichtlinie
6. TikTok: Datenschutzanfrage
7. LinkedIn: Datenschutzrichtlinie
8. LinkedIn: Privacy Policy Inquiries
9. Telegram: Datenschutzrichtlinie für den Europäischen Wirtschaftsraum
10. Google: Formular für Datenschutzanfragen
11. Google: Privacy Help Center und Hinweise zu Datenzugangsanfragen
12. Apple: Privacy Inquiries
13. Truecaller: Datenschutzrichtlinie für Europa und Rechte von Nichtnutzern
14. Truecaller: Telefonnummer aus der Suche entfernen
15. LfDI Baden-Württemberg: Beschwerde einreichen
16. BayLDA: Online-Beschwerde gegen private Unternehmen
17. BayLfD: Beschwerde gegen bayerische öffentliche Stellen
18. Berliner Beauftragte für Datenschutz und Informationsfreiheit: Beschwerde einreichen
19. Landesbeauftragte Brandenburg: Beschwerdeformular
20. Landesbeauftragte Bremen: Beschwerdeformular
21. HmbBfDI: Beschwerde oder Hinweis einreichen
22. HBDI Hessen: Beschwerde übermitteln
23. LfDI Mecklenburg-Vorpommern: Online-Beschwerdeformular
24. LfD Niedersachsen: Online-Beschwerde
25. LDI Nordrhein-Westfalen: Ihre Beschwerde
26. LfDI Rheinland-Pfalz: Beschwerdeformular
27. Unabhängiges Datenschutzzentrum Saarland: Beschwerde oder Kontrollanregung
28. Sächsische Datenschutz- und Transparenzbeauftragte: Beschwerde einreichen
29. Landesbeauftragte für den Datenschutz Sachsen-Anhalt: Beschwerde nach Art. 77 DSGVO
30. ULD Schleswig-Holstein: Formulare für Beschwerden und Meldungen
31. TLfDI Thüringen: Beschwerdeformular nach Art. 77 DSGVO
32. BfDI: Beschwerde bei einer Datenschutzaufsichtsbehörde und Zuständigkeit