Art. 15 DSGVO: Auskunftsrecht richtig erfüllen

Was umfasst das Auskunftsrecht nach Art. 15 DSGVO?

Der Anspruch hat drei praktische Bausteine:

1. Bestätigung: Verarbeitet das Unternehmen personenbezogene Daten der anfragenden Person?
2. Auskunft: Falls ja, sind die personenbezogenen Daten und die Informationen aus Art. 15 Abs. 1 und 2 bereitzustellen.
3. Kopie: Die erste Kopie der verarbeiteten personenbezogenen Daten ist grundsätzlich unentgeltlich.

Der Antrag ist nicht auf Stammdaten beschränkt. Je nach Verarbeitung können beispielsweise Vertrags- und Kontaktdaten, Korrespondenz, Supportverläufe, Nutzungsdaten, interne Vermerke, Bewertungen oder personenbezogene Protokolle erfasst sein. Entscheidend ist, ob eine Information sich auf die betroffene Person bezieht, nicht in welchem System oder Dateiformat sie liegt.

Art. 15 verschafft dagegen keinen allgemeinen Zugang zu sämtlichen Geschäftsunterlagen und ersetzt keine zivilprozessuale Akteneinsicht. Diese Abgrenzung darf jedoch nicht dazu genutzt werden, personenbezogene Inhalte allein wegen ihres Dokumentkontexts zurückzuhalten.

Welche Informationen gehören in die Antwort?

Neben den Daten selbst verlangt Art. 15 Abs. 1 insbesondere Angaben zu:

• Verarbeitungszwecken
• Kategorien personenbezogener Daten
• Empfängern oder Empfängerkategorien
• geplanter Speicherdauer oder den Kriterien für ihre Festlegung
• Rechten auf Berichtigung, Löschung, Einschränkung und Widerspruch
• Beschwerderecht bei einer Aufsichtsbehörde
• Herkunft der Daten, soweit sie nicht bei der Person erhoben wurden
• automatisierten Entscheidungen einschließlich Profiling, soweit einschlägig, einschließlich aussagekräftiger Informationen über Logik, Tragweite und angestrebte Auswirkungen

Bei Übermittlungen in ein Drittland oder an eine internationale Organisation ist außerdem über die geeigneten Garantien nach Art. 46 DSGVO zu informieren. Eine belastbare Antwort beschreibt die konkrete Verarbeitung der Person. Das bloße Beifügen der allgemeinen Datenschutzerklärung genügt dafür regelmäßig nicht.

Negativauskunft

Werden keine personenbezogenen Daten verarbeitet, ist auch das eine fristgebundene Antwort. Vor einer Negativauskunft sollte geprüft werden, ob Suchvarianten, frühere Kundennummern, Alias-Adressen oder archivierte Vorgänge relevant sind. „Im CRM nicht gefunden“ ist keine vollständige Recherche, wenn weitere Systeme Daten enthalten können.

Was bedeutet „Kopie“ nach Art. 15 Abs. 3?

Die Kopie muss die personenbezogenen Daten vollständig, originalgetreu und verständlich wiedergeben. Ein neu erstelltes Tabellenblatt oder PDF kann ausreichen, wenn es die Daten und ihren Kontext korrekt abbildet.

Der EuGH hat in C-487/21 klargestellt: Auszüge aus Dokumenten, ganze Dokumente oder Datenbankauszüge sind mitzuliefern, wenn dies unerlässlich ist, damit die betroffene Person ihre Daten verstehen und ihre Rechte wirksam ausüben kann. Daraus folgt weder ein pauschaler Anspruch auf jede Originalakte noch eine pauschale Erlaubnis, nur abstrakte Datenkategorien zu nennen.

Praktisch sollte die Kopie:

• alle relevanten Datenquellen abdecken;
• Feldbezeichnungen, Abkürzungen und Codes erklären;
• den erforderlichen Kontext erhalten;
• Daten anderer Personen und geschützte Informationen gezielt abgrenzen;
• über einen zur Sensibilität passenden sicheren Kanal übermittelt werden.

Die erste Kopie ist unentgeltlich. Für weitere Kopien darf ein angemessenes, an den Verwaltungskosten orientiertes Entgelt verlangt werden. Davon zu unterscheiden ist Art. 12 Abs. 5: Bei offenkundig unbegründeten oder exzessiven Anträgen kann der Verantwortliche ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern, trägt dafür aber die Nachweislast.

Müssen konkrete Empfänger genannt werden?

Grundsätzlich ja, soweit Daten Empfängern bereits offengelegt wurden oder noch offengelegt werden sollen. Der EuGH hat in C-154/21 entschieden, dass die betroffene Person regelmäßig die Identität der konkreten Empfänger erfahren können muss. Empfängerkategorien genügen nur, wenn es nicht möglich ist, die konkreten Empfänger zu identifizieren – insbesondere weil künftige Empfänger noch nicht bekannt sind – oder der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist.

Die Empfängerliste sollte deshalb aus Übermittlungsprotokollen, Dienstleisterübersichten und den betroffenen Fachprozessen abgeleitet werden. Der Begriff „Empfänger“ ist dabei nicht mit der Rolle „Auftragsverarbeiter“ gleichzusetzen; auch andere Stellen können Empfänger sein.

Welche Frist gilt?

Art. 12 Abs. 3 verlangt eine Reaktion ohne unangemessene Verzögerung, spätestens innerhalb eines Monats nach Eingang. Das ist eine Monatsfrist, keine starre 30-Tage-Regel. Das genaue Ende hängt vom Eingangsdatum und den unionsrechtlichen Fristregeln ab.

Eine Verlängerung um höchstens zwei weitere Monate ist nur unter Berücksichtigung von Komplexität und Anzahl der Anträge zulässig. Innerhalb des ersten Monats muss die betroffene Person über die Verlängerung und ihre Gründe informiert werden. Eine routinemäßige Dreimonatsfrist ist nicht zulässig.

Wenn das Unternehmen nicht tätig wird, muss es ebenfalls innerhalb eines Monats die Gründe mitteilen und auf Beschwerde- sowie gerichtliche Rechtsschutzmöglichkeiten hinweisen.

Praxistauglicher Monatsprozess

Eine Präzisierung kann bei großen Datenmengen helfen. Sie darf nicht als Voraussetzung vorgeschoben werden, wenn die Person ihren Antrag nicht eingrenzen möchte. Der Verantwortliche bleibt für eine ordnungsgemäße Bearbeitung zuständig.

Wie weit darf die Identitätsprüfung gehen?

Zusätzliche Informationen zur Identitätsbestätigung dürfen nach Art. 12 Abs. 6 nur verlangt werden, wenn begründete Zweifel an der Identität bestehen. Die Prüfung muss zum Risiko passen.

Oft reichen bestehende, datensparsame Kanäle aus, etwa ein authentifiziertes Kundenkonto oder eine Rückfrage über bereits verifizierte Kontaktdaten. Eine vollständige Ausweiskopie darf nicht reflexartig verlangt werden. Wenn sie im Einzelfall erforderlich ist, sind nicht benötigte Angaben zu schwärzen und Nachweise nur so lange wie nötig aufzubewahren.

Ungeeignet sind zwei Extreme:

• zu schwach: Daten werden an eine unbefugte Person offengelegt;
• zu streng: unnötige Nachweise verzögern oder vereiteln das Betroffenenrecht.

Grenzen: Rechte anderer bedeuten meist Redaktion, nicht Totalverweigerung

Nach Art. 15 Abs. 4 darf die Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Dazu können deren Datenschutzrechte, Geschäftsgeheimnisse oder geistiges Eigentum gehören. Diese Belange sind konkret zu prüfen.

Regelmäßig ist eine teilweise Erfüllung möglich: Namen Dritter schwärzen, Passagen trennen oder Inhalte verständlich zusammenstellen. Der Schutz anderer darf nicht pauschal dazu führen, sämtliche Informationen zurückzuhalten. Eine Einschränkung sollte mit dem betroffenen Inhalt und der vorgenommenen Abwägung dokumentiert werden.

Was ändert das EuGH-Urteil von 2026 zum Missbrauch?

Der Ausgangspunkt bleibt: Eine Person muss ihren Auskunftsantrag nicht begründen, und ein datenschutzfremdes Motiv macht ihn nicht automatisch unzulässig. Auch Arbeitsaufwand, Konfliktlage oder die Aussicht auf einen späteren Anspruch reichen für sich genommen nicht.

In C-526/24 hat der EuGH am 19. März 2026 zugleich klargestellt, dass ausnahmsweise schon ein erster Antrag „exzessiv“ im Sinne von Art. 12 Abs. 5 sein kann. Dafür muss der Verantwortliche anhand sämtlicher Umstände nachweisen, dass die Person missbräuchlich handelt, um künstlich die Voraussetzungen für einen Vorteil aus der DSGVO zu schaffen.

Für die Praxis bedeutet das:

1. Den Antrag zunächst wie jeden anderen fristgerecht bearbeiten.
2. Auffällige objektive Umstände sichern, nicht über Motive spekulieren.
3. Alternative Erklärungen und die normale Kontrollfunktion des Auskunftsrechts berücksichtigen.
4. Vor Gebühr oder Verweigerung eine fallbezogene, belastbare Begründung erstellen.
5. Die Mitteilungspflichten aus Art. 12 Abs. 4 einhalten.

Eine generelle „Missbrauchsklausel“ in Antwortvorlagen wäre mit der hohen Einzelfallhürde nicht vereinbar.

Häufige Fehler

• „Wir haben 30 Tage Zeit“: Die DSGVO nennt einen Monat und verlangt zusätzlich Handeln ohne unangemessene Verzögerung.
• „Die Datenschutzerklärung ist die Auskunft“: Sie beschreibt allgemeine Prozesse, nicht zwingend die konkreten Daten der Person.
• „Nur Stammdaten zählen“: Auch Inhalte, Vermerke und Protokolle können personenbezogen sein.
• „Jedes Dokument muss vollständig herausgegeben werden“: Geschuldet sind personenbezogene Daten; Dokumente nur, soweit der Kontext es erfordert.
• „Geschäftsgeheimnis bedeutet Ablehnung“: Zunächst sind Trennung, Redaktion und teilweise Erfüllung zu prüfen.
• „Eine Ausweiskopie ist immer Pflicht“: Zusätzliche Identitätsdaten setzen begründete Zweifel und Verhältnismäßigkeit voraus.
• „Ein erster Antrag kann nie exzessiv sein“: Seit C-526/24 ist das nicht absolut, die Missbrauchshürde bleibt aber hoch.

FAQ

Muss ein Auskunftsantrag das Wort „DSGVO“ enthalten?+

Nein. Es genügt, dass erkennbar Auskunft über eigene personenbezogene Daten verlangt wird. Empfangsstellen sollten solche Anfragen erkennen und unverzüglich an den zuständigen Prozess geben.

Darf ein Unternehmen den Antrag auf ein Formular beschränken?+

Ein Formular darf angeboten werden, aber ein wirksamer Antrag darf nicht allein wegen eines anderen Eingangskanals zurückgewiesen werden.

Muss jede interne E-Mail vollständig kopiert werden?+

Nein. Enthält sie personenbezogene Daten der anfragenden Person, müssen diese vollständig und verständlich zugänglich gemacht werden. Die gesamte E-Mail ist nur erforderlich, wenn der Kontext anders nicht erhalten werden kann; Rechte anderer können Redaktionen verlangen.

Wann beginnt die Frist bei Zweifeln an der Identität?+

Der Verantwortliche sollte erforderliche Zusatzinformationen unverzüglich anfordern. Die Identitätsfrage darf nicht als pauschale Fristverlängerung eingesetzt werden; maßgeblich sind die konkreten Umstände und eine zügige Bearbeitung nach Art. 12.

Muss ein Auftragsverarbeiter selbst antworten?+

Primär erfüllt der Verantwortliche das Betroffenenrecht. Der Auftragsverarbeiter muss ihn nach Art. 28 entsprechend den vertraglichen Regelungen unterstützen und direkt eingehende Anträge unverzüglich nach dem vereinbarten Prozess weitergeben.

Unterstützung bei Betroffenenanfragen

Wir unterstützen Unternehmen dabei, Suchmatrix, Rollen, Antwortvorlage und Nachweisführung in einen belastbaren Prozess zu übersetzen. Mehr dazu finden Sie unter Datenschutz-Beratung.

Quellen und Prüfung

Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:

• Datenschutz-Grundverordnung, insbesondere Art. 12 und 15 (EUR-Lex)
• Guidelines 01/2022 on data subject rights – Right of access, Version 2.1 (EDPB)
• Auskunftsrecht nach Art. 15 DSGVO (BfDI)
• EuGH, C-154/21 – Auskunft über konkrete Empfänger
• EuGH, C-487/21 – Inhalt und Form der Datenkopie
• EuGH, C-526/24 – exzessiver Antrag und Rechtsmissbrauch