Ein Auskunftsersuchen nach Art. 15 DSGVO müssen Sie unverzüglich beantworten, spätestens einen Monat nach Eingang (Art. 12 Abs. 3 DSGVO). Sie teilen mit, ob Sie Daten über die Person verarbeiten, nennen Zwecke, Empfänger, Speicherdauer und Herkunft und stellen eine kostenlose Kopie der Daten zur Verfügung. Bei begründeten Zweifeln dürfen Sie die Identität prüfen. Ablehnen dürfen Sie nur in engen Ausnahmefällen, und nie ohne Begründung.
Was umfasst das Auskunftsrecht nach Art. 15 DSGVO?
Das Auskunftsrecht hat drei Stufen:
- Bestätigung, ob Sie überhaupt Daten über die Person verarbeiten. Auch eine Negativauskunft ist Pflicht.
- Informationen nach Art. 15 Abs. 1 und 2 DSGVO.
- Kopie der personenbezogenen Daten (Art. 15 Abs. 3 DSGVO).
| Angabe | Fundstelle | Hinweis für die Praxis |
|---|---|---|
| Verarbeitungszwecke | Art. 15 Abs. 1 lit. a | je Zweck, nicht nur "Kundenbetreuung" |
| Kategorien der Daten | lit. b | z. B. Stammdaten, Vertragsdaten, Nutzungsdaten |
| Empfänger | lit. c | auf Verlangen die konkreten Empfänger (EuGH, 12.01.2023, C-154/21) |
| Speicherdauer | lit. d | Frist oder Kriterien für die Frist |
| Betroffenenrechte | lit. e | Berichtigung, Löschung, Einschränkung, Widerspruch |
| Beschwerderecht | lit. f | bei einer Aufsichtsbehörde |
| Herkunft | lit. g | wenn die Daten nicht bei der Person erhoben wurden |
| Automatisierte Entscheidungen | lit. h | einschließlich Profiling und Informationen zur Logik |
| Drittlandübermittlung | Abs. 2 | die Garantien nach Art. 46 DSGVO |
Die Kopie der Daten (Art. 15 Abs. 3 DSGVO)
Die Kopie muss eine originalgetreue und verständliche Wiedergabe der Daten sein. Wenn der Zusammenhang für das Verständnis nötig ist, gehören auch Auszüge aus Dokumenten oder ganze Dokumente dazu (EuGH, 04.05.2023, C-487/21). Die erste Kopie ist kostenlos, auch wenn die Person sie für einen anderen Zweck braucht, etwa einen Rechtsstreit (EuGH, 26.10.2023, C-307/22). Für weitere Kopien dürfen Sie ein angemessenes Entgelt verlangen.
Darf ich die Auskunft per E-Mail erteilen? Ja. Kommt das Ersuchen elektronisch, antworten Sie in einem gängigen elektronischen Format, etwa als PDF, sofern die Person nichts anderes wünscht. Wählen Sie einen sicheren Weg, zum Beispiel verschlüsselt oder über ein Kundenportal. Auf Wunsch können Sie mündlich Auskunft geben, wenn die Identität nachgewiesen ist (Art. 12 Abs. 1 DSGVO).
Die Frist: ein Monat, höchstens drei
- Grundsatz: unverzüglich, spätestens einen Monat nach Eingang (Art. 12 Abs. 3 DSGVO).
- Beispiel: Eingang am 15. März, Fristende am 15. April. Fällt das Ende auf einen Samstag, Sonntag oder Feiertag, endet die Frist am nächsten Werktag.
- Verlängerung: um höchstens zwei Monate, wenn das Ersuchen komplex ist oder viele Anträge eingehen. Verlängerung und Gründe teilen Sie innerhalb des ersten Monats mit.
- Eingang: Die Frist läuft ab Eingang im Unternehmen, auch bei einer Filiale, im Vertrieb oder beim Datenschutzbeauftragten.
- Untätigkeit: Werden Sie nicht tätig, müssen Sie innerhalb eines Monats die Gründe nennen und auf Beschwerde und Rechtsbehelf hinweisen (Art. 12 Abs. 4 DSGVO).
Ein Ersuchen ist formlos möglich, per E-Mail, Brief, Formular oder mündlich. Eine Begründung muss die Person nicht geben. Die Auskunft ist grundsätzlich kostenlos (Art. 12 Abs. 5 DSGVO).
Identität prüfen, aber mit Augenmaß
Bei begründeten Zweifeln dürfen Sie zusätzliche Informationen anfordern (Art. 12 Abs. 6 DSGVO). Das ist sogar geboten, denn eine Auskunft an eine falsche Person ist selbst eine Datenpanne. Die Prüfung muss verhältnismäßig sein: Eine Ausweiskopie ist nicht pauschal erforderlich. Oft genügt ein Abgleich mit vorhandenen Daten, die Anfrage aus dem Kundenkonto oder eine Rückfrage an die bekannte E-Mail-Adresse. Sie müssen keine zusätzlichen Daten erheben, nur um jemanden identifizieren zu können (Art. 11 DSGVO). Fordern Sie fehlende Angaben sofort an, denn die Frist läuft bereits.
Muss ein Auskunftsersuchen immer beantwortet werden?
Ja, jedes Ersuchen braucht eine Antwort: die Auskunft, eine Negativauskunft oder eine begründete Ablehnung. Ablehnen oder einschränken dürfen Sie nur in diesen Fällen:
- Offenkundig unbegründet oder exzessiv, etwa bei häufiger Wiederholung (Art. 12 Abs. 5 Satz 2 DSGVO). Sie dürfen dann ein angemessenes Entgelt verlangen oder die Auskunft verweigern. Die Beweislast liegt bei Ihnen. Ein datenschutzfremdes Motiv allein macht das Ersuchen nicht missbräuchlich.
- Rechte Dritter (Art. 15 Abs. 4 DSGVO): Daten anderer Personen und Geschäftsgeheimnisse dürfen Sie schwärzen. Eine vollständige Verweigerung rechtfertigt das nicht.
- § 34 BDSG: kein Auskunftsrecht unter anderem für Daten, die nur wegen gesetzlicher Aufbewahrungspflichten gespeichert sind oder ausschließlich der Datensicherung oder Datenschutzkontrolle dienen, wenn die Auskunft einen unverhältnismäßigen Aufwand erfordern würde und eine andere Nutzung technisch und organisatorisch ausgeschlossen ist.
Eine Ablehnung begründen Sie gegenüber der Person und weisen auf Beschwerde und Rechtsbehelf hin (Art. 12 Abs. 4 DSGVO). Die Gründe dokumentieren Sie (§ 34 Abs. 2 BDSG).
Beschäftigte und ehemalige Beschäftigte
Auskunftsersuchen kommen oft im Zusammenhang mit einer Kündigung. Umfasst sind Personalakte, Zeiterfassung, Beurteilungen, Gesprächsnotizen und E-Mails, in denen es um die Person geht. Das Ersuchen ist zulässig, auch wenn die Person es im Prozess nutzen will. Bitten Sie bei großen Datenmengen um eine Konkretisierung, etwa welche E-Mails gemeint sind. Eine Pflicht zur Begründung folgt daraus nicht. Binden Sie Personalabteilung und IT früh ein. Steht ein Rechtsstreit an, ziehen Sie eine Kanzlei hinzu.
So beantworten Sie ein Auskunftsersuchen in 7 Schritten
- Eingang dokumentieren und Fristende notieren.
- Identität prüfen, verhältnismäßig.
- Daten suchen in allen Systemen: CRM, E-Mail, Personalakte, Buchhaltung, Ticketsystem, Papierakten. Auftragsverarbeiter einbinden (Art. 28 Abs. 3 lit. e DSGVO).
- Rechte Dritter prüfen und schwärzen.
- Antwort erstellen mit allen Angaben nach Art. 15 Abs. 1 und 2 DSGVO und der Kopie.
- Sicher versenden und Versand dokumentieren.
- Vorgang ablegen als Nachweis (Art. 5 Abs. 2 DSGVO).
Muster: Aufbau einer Antwort
Sehr geehrte/r ..., Ihr Auskunftsersuchen vom ... ist am ... bei uns eingegangen. Wir verarbeiten folgende personenbezogene Daten über Sie: ... Zwecke und Rechtsgrundlagen: ... Empfänger: ... Speicherdauer: ... Herkunft: ... Eine automatisierte Entscheidungsfindung findet nicht statt. Sie haben das Recht auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie auf Beschwerde bei einer Aufsichtsbehörde. Eine Kopie Ihrer Daten finden Sie in der Anlage.
Passen Sie das Muster an jeden Einzelfall an.
Gleiche Regeln für alle Betroffenenrechte
Die Frist, die Kostenfreiheit und die Identitätsprüfung nach Art. 12 DSGVO gelten für alle Betroffenenrechte: Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Über Berichtigungen, Löschungen und Einschränkungen informieren Sie auch alle Empfänger (Art. 19 DSGVO). Ein zentraler Eingangskanal, etwa datenschutz@ihre-firma.de, und ein gemeinsamer Prozess sparen Zeit.
Folgen einer späten oder fehlenden Antwort
Verstöße gegen Betroffenenrechte können mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 5 lit. b DSGVO). Hinzu kommen Beschwerden bei der Aufsichtsbehörde (Art. 77 DSGVO) und Schadensersatzforderungen, wenn der Person ein Schaden entstanden ist (Art. 82 DSGVO).
Einen Überblick über alle Rechte und ihre Fristen gibt der Artikel zu den Betroffenenrechten. Datenkodex unterstützt als externer Datenschutzbeauftragter auch bei der Bearbeitung von Auskunftsersuchen.