Auskunftsanspruch nach Art. 15 DSGVO

Das Auskunftsrecht nach Art. 15 DSGVO ist das wichtigste Betroffenenrecht: Jede Person kann von einem Unternehmen, einer Behörde oder einem Verein verlangen zu erfahren, ob und welche Daten über sie verarbeitet werden, und eine Kopie erhalten. Wir setzen Auskunftsansprüche für Betroffene durch und helfen Unternehmen, Anfragen fristgerecht, vollständig und ohne unnötige Preisgabe von Geschäftsgeheimnissen zu beantworten.

Was muss die Auskunft enthalten?

Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person zunächst ein Recht auf Bestätigung, ob sie betreffende Daten verarbeitet werden. Ist das der Fall, umfasst die Auskunft:

• die personenbezogenen Daten selbst und die Verarbeitungszwecke,
• die Kategorien der Daten,
• die Empfänger – grundsätzlich die konkreten Empfänger, nicht nur Kategorien (EuGH, Urteil vom 12. Januar 2023, C-154/21),
• die geplante Speicherdauer oder die Kriterien dafür,
• Hinweise auf die Rechte auf Berichtigung, Löschung, Einschränkung, Widerspruch und Beschwerde bei der Aufsichtsbehörde,
• die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden,
• bei automatisierten Entscheidungen einschließlich Profiling aussagekräftige Informationen über die involvierte Logik (Art. 22 DSGVO),
• bei Übermittlungen in Drittländer die geeigneten Garantien (Art. 46 DSGVO).

Das Recht auf eine Kopie

Art. 15 Abs. 3 DSGVO gewährt zusätzlich einen Anspruch auf eine Kopie der Daten. Der EuGH versteht darunter eine originalgetreue und verständliche Reproduktion; sie kann Auszüge aus Dokumenten oder ganze Dokumente umfassen, wenn das nötig ist, um die Daten im Kontext zu verstehen (Urteil vom 4. Mai 2023, C-487/21). Die erste Kopie ist unentgeltlich – und zwar auch dann, wenn die Person die Auskunft für andere als datenschutzrechtliche Zwecke nutzen will, etwa zur Vorbereitung eines Prozesses; eine Begründung muss sie nicht liefern (EuGH, Urteil vom 26. Oktober 2023, C-307/22, Patientenakte).

Frist: ein Monat

Der Verantwortliche muss unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags antworten (Art. 12 Abs. 3 DSGVO). Bei komplexen oder zahlreichen Anträgen kann die Frist um weitere zwei Monate verlängert werden – das muss der betroffenen Person aber innerhalb des ersten Monats mitgeteilt und begründet werden. Bleibt die Antwort aus, kommen eine Beschwerde bei der Aufsichtsbehörde, eine Auskunftsklage und unter Umständen Schadensersatz nach Art. 82 DSGVO in Betracht.

Grenzen des Auskunftsrechts

• Rechte anderer: Die Kopie darf die Rechte und Freiheiten Dritter nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO) – etwa Daten von Kollegen, Zeugen oder Geschäftsgeheimnisse. Das rechtfertigt Schwärzungen, aber keine pauschale Verweigerung.
• Offenkundig unbegründete oder exzessive Anträge: Hier kann der Verantwortliche ein angemessenes Entgelt verlangen oder die Auskunft verweigern (Art. 12 Abs. 5 DSGVO). Die Beweislast trägt er; die Hürde ist hoch.
• Nationale Ausnahmen: §§ 29 und 34 BDSG schränken die Auskunft etwa bei Geheimhaltungspflichten oder bei Daten ein, die nur aufgrund gesetzlicher Aufbewahrungspflichten gespeichert sind.

Auskunft verlangen: praktische Tipps für Betroffene

1. Richten Sie das Ersuchen schriftlich oder per E-Mail an den Verantwortlichen bzw. dessen Datenschutzbeauftragten und berufen Sie sich ausdrücklich auf Art. 15 DSGVO.
2. Verlangen Sie neben der Auskunft ausdrücklich eine Kopie (Art. 15 Abs. 3 DSGVO).
3. Notieren Sie den Zugang und setzen Sie sich eine Wiedervorlage nach einem Monat.
4. Rechnen Sie mit einer Identitätsprüfung – sie ist zulässig, soweit begründete Zweifel bestehen.

Das Auskunftsrecht wird häufig auch strategisch eingesetzt: von Beschäftigten im Kündigungsschutzverfahren, von Versicherungsnehmern bei Beitragsanpassungen oder von Kunden nach einem Datenleck. Das ist zulässig. Wir beraten, wie die Auskunft in Ihrem Fall am wirkungsvollsten genutzt wird – und welche Ansprüche sich daraus ergeben können, etwa auf Löschung oder Berichtigung.

Auskunftsersuchen beantworten: Leitfaden für Unternehmen

Für Unternehmen ist ein Auskunftsersuchen oft aufwendig: Daten liegen in CRM, E-Mail-Postfächern, Personalakten, Ticketsystemen und Backups. Ein strukturiertes Vorgehen spart Zeit und Haftungsrisiken:

• Eingang dokumentieren, Frist berechnen, zuständige Stelle festlegen,
• Identität prüfen – nur so viel wie nötig,
• Datenquellen anhand des Verzeichnisses der Verarbeitungstätigkeiten systematisch abfragen,
• Drittdaten und Geschäftsgeheimnisse schwärzen und die Abwägung dokumentieren,
• Auskunft klar und verständlich formulieren (Art. 12 Abs. 1 DSGVO), sicher übermitteln,
• bei Arbeitsrechtsstreit oder drohender Klage die Antwort mit dem Prozessanwalt abstimmen.

Wir übernehmen die Beantwortung für Sie oder prüfen Ihren Entwurf vor dem Versand. Für wiederkehrende Anfragen erstellen wir Musterprozesse und Vorlagen – auf Wunsch eingebunden in die Tätigkeit als externer Datenschutzbeauftragter.

Häufige Fragen zur DSGVO-Auskunft

Muss ich begründen, warum ich Auskunft verlange?

Nein. Das Auskunftsrecht setzt keine Begründung voraus; die erste Kopie ist auch dann kostenlos, wenn Sie andere Ziele verfolgen (EuGH, C-307/22).

Wie lange hat das Unternehmen Zeit?

Grundsätzlich einen Monat ab Eingang; in begründeten Fällen ist eine Verlängerung um zwei Monate möglich, die Ihnen innerhalb des ersten Monats mitgeteilt werden muss.

Darf das Unternehmen die Auskunft verweigern?

Nur in engen Ausnahmefällen, etwa bei offenkundig unbegründeten oder exzessiven Anträgen oder soweit Rechte Dritter entgegenstehen. Eine pauschale Ablehnung ist regelmäßig unzulässig.