Wie stellt man als Infrastrukturbetreiber die DSGVO-Konformität bei Planauskünften sicher?

Nikolaus Frank · 03 Aug. 2026

Infrastrukturbetreiber stellen DSGVO-Konformität bei Planauskünften sicher, indem sie personenbezogene Anfragedaten auf einer klaren Rechtsgrundlage verarbeiten, Speicherfristen dokumentieren, einen Auftragsverarbeitungsvertrag mit ihrem Auskunftsportal schließen und technisch-organisatorische Maßnahmen zum Schutz der Daten umsetzen. Die Pflichten betreffen nicht nur den Datenschutz im engeren Sinne, sondern auch die Nachweispflicht gegenüber Aufsichtsbehörden. Die folgenden Abschnitte gehen auf die einzelnen Fragen ein, die dabei in der Praxis entstehen.

Welche personenbezogenen Daten fallen bei Planauskünften überhaupt an?

Bei Planauskünften fallen personenbezogene Daten vor allem dann an, wenn Anfragen von natürlichen Personen gestellt werden. Typischerweise gehören dazu Name, Firmenname, Kontaktdaten wie E-Mail-Adresse und Telefonnummer, die Anschrift des Antragstellers sowie der geografische Bereich des geplanten Bauvorhabens. Auch IP-Adressen, die beim Zugriff auf ein webbasiertes Auskunftsportal protokolliert werden, können als personenbezogene Daten gelten.

Für Infrastrukturbetreiber ist dabei entscheidend zu verstehen, dass sie diese Daten nicht nur empfangen, sondern auch speichern und weiterverarbeiten, sobald sie eine Planauskunft erteilen. Das Antwortdokument selbst, das Leitungsverläufe im betroffenen Bereich zeigt, wird zusammen mit den Anfragedaten archiviert. Diese Kombination aus Antragstellerdaten und ortsbezogenen Informationen fällt vollständig unter den Anwendungsbereich der DSGVO.

Handelt es sich bei dem Antragsteller um eine juristische Person, also ein Unternehmen oder eine Behörde, greifen die Datenschutzvorschriften der DSGVO formal nicht. In der Praxis sind jedoch häufig auch Mitarbeiterdaten wie der Name eines Sachbearbeiters enthalten, sodass Betreiber gut beraten sind, den Datenschutzrahmen grundsätzlich anzuwenden.

Welche DSGVO-Pflichten treffen Infrastrukturbetreiber konkret bei der Auskunftserteilung?

Infrastrukturbetreiber sind bei der Erteilung von Planauskünften als datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO einzustufen. Das bedeutet, sie müssen eine Rechtsgrundlage für die Verarbeitung der Antragstellerdaten benennen, eine Datenschutzerklärung bereithalten, Betroffenenrechte wie Auskunft, Berichtigung und Löschung gewährleisten sowie die Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentieren.

Die Rechtsgrundlage für die Verarbeitung ergibt sich in der Regel aus Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung oder vorvertragliche Maßnahmen) oder aus einem berechtigten Interesse nach Art. 6 Abs. 1 lit. f DSGVO, da Betreiber gesetzlich verpflichtet sind, Auskunft über ihre Leitungsverläufe zu erteilen. Diese Verpflichtung ergibt sich unter anderem aus dem Telekommunikationsgesetz und dem Energiewirtschaftsgesetz.

Darüber hinaus müssen Betreiber sicherstellen, dass die eingesetzten technischen Systeme dem Stand der Technik entsprechen und geeignete Sicherheitsmaßnahmen nach Art. 32 DSGVO umgesetzt sind. Dazu gehören eine verschlüsselte Datenübertragung, Zugriffskontrollen und die Protokollierung von Systemzugriffen.

Wie lange dürfen Planauskünfte und Anfragedaten gespeichert werden?

Planauskünfte und die dazugehörigen Anfragedaten dürfen nur so lange gespeichert werden, wie ein berechtigter Zweck besteht. Für Infrastrukturbetreiber ergibt sich ein solcher Zweck aus der Notwendigkeit, im Schadensfall nachweisen zu können, dass eine Auskunft erteilt wurde und welchen Inhalt sie hatte. Branchenüblich werden Anfragedaten daher für einen Zeitraum von mindestens fünf bis zehn Jahren aufbewahrt.

Konkret orientiert sich die Speicherdauer an zwei Faktoren: den gesetzlichen Aufbewahrungspflichten aus dem Handels- und Steuerrecht sowie der zivilrechtlichen Verjährungsfrist für Schadensersatzansprüche. Letztere beträgt nach deutschem Recht in der Regel drei Jahre, kann bei Personenschäden jedoch bis zu 30 Jahre betragen. Da bei Beschädigungen von Versorgungsleitungen erhebliche Schäden entstehen können, ist eine längere Aufbewahrung sachlich begründbar.

Wichtig ist, dass die gewählte Speicherdauer dokumentiert und in der Datenschutzerklärung kommuniziert wird. Eine unbegrenzte Speicherung ohne definierten Zweck verstößt gegen den Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO.

Was muss ein zentrales Leitungsauskunftssystem für DSGVO-Konformität bieten?

Ein zentrales Leitungsauskunftssystem muss für DSGVO-Konformität mindestens folgende technische und organisatorische Anforderungen erfüllen: Betrieb in einem zertifizierten Rechenzentrum innerhalb der EU, verschlüsselte Datenübertragung, rollenbasierte Zugriffskontrollen, revisionssichere Archivierung aller Anfragen und Auskünfte sowie die Möglichkeit, Betroffenenrechte systemseitig umzusetzen.

Für Infrastrukturbetreiber ist die revisionssichere Archivierung besonders relevant, da sie im Streitfall nachweisen müssen, welche Auskunft zu welchem Zeitpunkt erteilt wurde. Ein System, das Anfragen und Antwortdokumente unveränderbar speichert und jederzeit abrufbar macht, erleichtert diesen Nachweis erheblich. Systeme, die in einem nach ISO-Standards zertifizierten Rechenzentrum betrieben werden, bieten hier eine nachvollziehbare Qualitätssicherung.

Darüber hinaus sollte das System den Betreiber in die Lage versetzen, Löschanfragen gezielt umzusetzen, ohne die gesetzlich vorgeschriebene Dokumentation zu beeinträchtigen. Das erfordert eine granulare Datenverwaltung, bei der personenbezogene Daten von den inhaltlichen Auskunftsdaten technisch trennbar sind.

Wie funktioniert die Auftragsverarbeitung zwischen Betreiber und Auskunftsportal?

Wenn ein Infrastrukturbetreiber ein externes Portal zur Erteilung von Planauskünften nutzt, verarbeitet der Portalbetreiber personenbezogene Daten im Auftrag des Betreibers. Das begründet eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO, die zwingend durch einen schriftlichen Auftragsverarbeitungsvertrag (AVV) geregelt werden muss.

Der AVV legt fest, welche Daten zu welchem Zweck verarbeitet werden, welche technischen und organisatorischen Maßnahmen der Auftragsverarbeiter einhält, ob und unter welchen Bedingungen Subunternehmer eingesetzt werden dürfen, und wie der Betreiber seine Kontrollrechte ausüben kann. Ohne einen solchen Vertrag verstößt die Nutzung des Portals gegen die DSGVO, auch wenn das Portal selbst datenschutzkonform betrieben wird.

Betreiber sollten vor der Nutzung eines Auskunftsportals prüfen, ob ein AVV angeboten wird und ob dieser die wesentlichen Anforderungen des Art. 28 DSGVO abdeckt. Ein seriöser Portalbetreiber stellt diesen Vertrag standardmäßig zur Verfügung und benennt konkrete Maßnahmen zur Datensicherheit.

Welche Risiken entstehen bei DSGVO-Verstößen im Bereich Planauskünfte?

DSGVO-Verstöße im Bereich Planauskünfte können für Infrastrukturbetreiber zu Bußgeldern, zivilrechtlichen Schadensersatzforderungen und Reputationsschäden führen. Die Datenschutz-Grundverordnung sieht Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

In der Praxis sind besonders zwei Szenarien relevant: Erstens die unzureichende Absicherung der Datenübertragung, die zu einem Datenleck führen kann. Zweitens das Fehlen eines Auftragsverarbeitungsvertrags mit dem genutzten Portal, das von Aufsichtsbehörden als formaler Verstoß gewertet wird, selbst wenn kein konkreter Schaden entstanden ist. Beide Fälle können Aufsichtsverfahren auslösen.

Hinzu kommt das operative Risiko: Wer keine revisionssichere Dokumentation seiner erteilten Auskünfte vorhält, kann im Schadensfall nicht nachweisen, dass er seiner Informationspflicht nachgekommen ist. Das kann die Haftungssituation des Betreibers bei Leitungsschäden erheblich verschlechtern.

Wie BIL Infrastrukturbetreibern bei der DSGVO-konformen Auskunftserteilung hilft

BIL bietet Infrastrukturbetreibern eine Komplettlösung, die die zentralen datenschutzrechtlichen Anforderungen bei der Erteilung von Planauskünften technisch und organisatorisch abdeckt. Das Portal wurde speziell für die rechtssichere Abwicklung von Leitungsauskünften entwickelt und wird in einem ISO- und TÜV-zertifizierten Rechenzentrum in Deutschland betrieben.

Konkret unterstützt BIL Betreiber auf folgenden Ebenen:

Alle Anfragen und erteilten Auskünfte werden DSGVO-konform archiviert und sind für den Betreiber jederzeit abrufbar, was die Nachweispflicht im Schadensfall erfüllt.
Der Betrieb in einem zertifizierten deutschen Rechenzentrum stellt sicher, dass keine Daten in Drittstaaten ohne angemessenes Datenschutzniveau übertragen werden.
BIL stellt die notwendigen vertraglichen Grundlagen für die Auftragsverarbeitung bereit, sodass Betreiber ihre DSGVO-Pflichten gegenüber Aufsichtsbehörden dokumentieren können.
Das webbasierte System ermöglicht eine strukturierte Verwaltung von Anfragen, Zuständigkeitsflächen und Antwortdokumenten mit klar definierten Zugriffsrechten.

Infrastrukturbetreiber, die ihre Planauskunft rechtssicher erteilen möchten, ohne eigene IT-Infrastruktur aufzubauen, finden in BIL eine genossenschaftlich betriebene Lösung ohne Gewinnerzielungsabsicht. Wer mehr über die konkreten Möglichkeiten erfahren möchte, kann direkt über die BIL-Kontaktseite Kontakt aufnehmen.