Ein Auskunftsersuchen nach Art. 15 DSGVO beantworten Sie in einem Zug: Sie bestätigen die Verarbeitung, stellen alle acht Pflichtinformationen nach Art. 15 Abs. 1 lit. a bis h zusammen und geben eine kostenlose erste Kopie der Daten heraus (Art. 15 Abs. 3). Bei begründeten Zweifeln prüfen Sie vorher die Identität (Art. 12 Abs. 6). Die Daten Dritter schwärzen Sie (Abs. 4). Die Antwort muss vollständig sein und spätestens einen Monat nach Eingang vorliegen (Art. 12 Abs. 3).
Dieser Beitrag vertieft den Schritt „Auskunft zusammenstellen“ aus dem Praxis-Leitfaden zu Betroffenenanfragen. Er richtet sich an Verantwortliche und Datenschutzbeauftragte, die eine einzelne Auskunft korrekt und vollständig erteilen wollen. Wie weit der Anspruch rechtlich reicht, welche Grenzen gelten und was die EuGH-Rechtsprechung zum Kopie-Anspruch entschieden hat, steht in der Referenz zu Art. 15 DSGVO.
Woran erkennen Sie ein Auskunftsersuchen nach Art. 15 DSGVO?
Ein Auskunftsersuchen ist jeder Antrag, mit dem eine Person Auskunft über ihre Daten verlangt. Es ist an keine Form gebunden und muss die DSGVO nicht erwähnen. Eine E-Mail mit der Bitte „Welche Daten haben Sie über mich?“ löst dieselben Pflichten aus wie ein förmliches Schreiben.
Der Antrag kann per E-Mail, Brief, Formular oder mündlich eingehen. Nach den Leitlinien des Europäischen Datenschutzausschusses (EDPB-Leitlinien 01/2022 zum Auskunftsrecht) genügt der Zugang über einen offiziellen Kanal; die tatsächliche Kenntnisnahme durch die zuständige Stelle ist für den Fristbeginn nicht erforderlich. Für die Praxis heißt das: Jeder Kanal, über den Anfragen eintreffen, braucht einen definierten Weg zur Bearbeitung. Ordnen Sie den Antrag früh richtig ein. Ein Wunsch nach Berichtigung oder Löschung folgt anderen Regeln als die Auskunft nach Art. 15.
Dürfen Sie vor der Auskunft die Identität prüfen?
Nur bei begründeten Zweifeln an der Identität dürfen Sie zusätzliche Informationen anfordern (Art. 12 Abs. 6 DSGVO). Ein pauschaler Ausweisnachweis bei jeder Anfrage ist unzulässig, wenn keine echten Zweifel bestehen. Der Maßstab ist Verhältnismäßigkeit.
Zwei Fehler drohen an dieser Stelle. Wer bei jeder Anfrage einen Ausweis verlangt, errichtet eine unzulässige Hürde. Wer die Identität ignoriert, riskiert eine Offenlegung an eine unbefugte Person. Kommt der Antrag über ein verifiziertes Kundenkonto oder eine bekannte Adresse, sind zusätzliche Nachweise meist entbehrlich. Bei echten Zweifeln fragen Sie gezielt nach. Nach Auffassung des EDPB kann die Frist dann gehemmt sein, bis Sie die benötigten Angaben erhalten haben, sofern Sie unverzüglich nachgefragt haben (EDPB-Leitlinien 01/2022, Beispiel 31). Das ist eine Auslegung der Aufsichtsbehörden. Verlassen Sie sich deshalb nicht darauf, die Frist beginne generell erst mit dem Identitätsnachweis. Der Wortlaut steht in Art. 12 DSGVO.
Welche acht Pflichtinformationen muss die Auskunft nach Art. 15 Abs. 1 enthalten?
Neben der Bestätigung der Verarbeitung und den Daten selbst muss die Auskunft acht Informationen nach Art. 15 Abs. 1 lit. a bis h enthalten. Fehlt eine davon, ist die Auskunft unvollständig. Diese Angaben sind für eine Verarbeitungstätigkeit meist gleich und lassen sich als Vorlage vorhalten.
Zusammenzustellen sind:
- lit. a: die Verarbeitungszwecke.
- lit. b: die Kategorien der verarbeiteten personenbezogenen Daten.
- lit. c: die Empfänger oder Kategorien von Empfängern, besonders in Drittländern.
- lit. d: die geplante Speicherdauer oder die Kriterien für ihre Festlegung.
- lit. e: das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch.
- lit. f: das Beschwerderecht bei einer Aufsichtsbehörde.
- lit. g: alle verfügbaren Informationen über die Herkunft der Daten, wenn diese nicht bei der Person erhoben wurden.
- lit. h: das Bestehen einer automatisierten Entscheidungsfindung samt Profiling, mit aussagekräftigen Informationen zur involvierten Logik sowie zu Tragweite und angestrebten Auswirkungen.
Bei Übermittlungen in Drittländer oder an internationale Organisationen kommen die geeigneten Garantien nach Art. 46 hinzu (Art. 15 Abs. 2 DSGVO). Sammeln Sie die eigentlichen Daten aus allen Systemen, in denen die Person geführt wird. Der Normtext steht in Art. 15 DSGVO.
Was bedeutet das Recht auf Kopie, und wie schützen Sie dabei die Rechte Dritter?
Die erste Kopie ist eine originalgetreue und verständliche Reproduktion aller verarbeiteten Daten. Der EuGH formuliert, das Recht auf Kopie bedeute, dass „der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird“ (EuGH, Urteil vom 04.05.2023, C-487/21, ECLI:EU:C:2023:369). Daten anderer Personen schwärzen Sie vorher, denn das Recht auf Kopie darf deren Rechte und Freiheiten nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO).
Das Recht kann Auszüge aus Dokumenten, ganze Dokumente oder Auszüge aus Datenbanken umfassen, wenn dies unerlässlich ist, damit die Person ihre Rechte wirksam ausüben kann. Erst wenn der Kontext die Angaben verständlich macht, gehören solche Auszüge dazu. An dieser Stelle entsteht der größte Handaufwand. Jede Seite ist auf Fremddaten zu prüfen und zuverlässig unkenntlich zu machen.
Ein Beispiel aus dem Personalbereich: Eine ehemalige Beschäftigte verlangt Auskunft. Sie stellen die acht Pflichtinformationen zusammen und geben die Personalakte als Kopie heraus. In einem internen Vermerk taucht der Name einer Kollegin auf. Diesen Namen schwärzen Sie, während die Daten der Antragstellerin erhalten bleiben. Diese Bearbeitung aus Zusammenstellen, Schwärzen und Fristüberwachung führt veronto requests als geführten Workflow, von der Erfassung des Eingangs bis zur freigegebenen, geschwärzten Kopie.
Bis wann müssen Sie ein Auskunftsersuchen beantworten?
Sie müssen unverzüglich reagieren, spätestens innerhalb eines Monats nach Eingang des Antrags (Art. 12 Abs. 3 DSGVO). Eine Verlängerung um zwei weitere Monate ist bei Komplexität oder hoher Antragszahl möglich. Über die Verlängerung und ihre Gründe informieren Sie die Person innerhalb des ersten Monats.
Das genaue Fristende bestimmen Sie nach der EU-Fristenverordnung Nr. 1182/71. Die Regeln mit der gleiche-Tag-Regel, dem fehlenden Kalendertag und der Werktagsverschiebung zeigt der Beitrag die Monatsfrist im Detail berechnen. Den konkreten Fall rechnet der DSGVO-Fristenrechner aus, ohne Anmeldung und im Browser.
Wann dürfen Sie ein Auskunftsersuchen ablehnen?
Eine Ablehnung ist die Ausnahme. Nur bei offenkundig unbegründeten oder exzessiven Anträgen, besonders bei häufiger Wiederholung, dürfen Sie ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern (Art. 12 Abs. 5 DSGVO). Den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter tragen Sie als Verantwortlicher.
Werden Sie nicht tätig, endet die Sache damit nicht. Sie müssen die Person unverzüglich, spätestens innerhalb eines Monats, über die Gründe und über die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde sowie eines gerichtlichen Rechtsbehelfs unterrichten (Art. 12 Abs. 4 DSGVO). Enge nationale Ausnahmen können daneben greifen, etwa nach § 34 BDSG; deren Voraussetzungen prüfen Sie im Einzelfall. Eine schweigende Nichtbearbeitung ist in keinem Fall zulässig.
Eine korrekte Auskunft ist vollständig, fristgerecht und um fremde Daten bereinigt. Wer die acht Pflichtinformationen als Vorlage vorhält und den Ablauf dokumentiert, beantwortet auch schwierige Anträge sicher. Den gesamten Ablauf von Eingang bis Freigabe ordnet unser Leitfaden zur Bearbeitung von Betroffenenanfragen ein.
Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.