Betroffenenanfragen nach der DSGVO: der Praxis-Leitfaden

Eine Betroffenenanfrage ist ein Antrag, mit dem eine Person ihre Rechte aus der DSGVO geltend macht, am häufigsten das Auskunftsrecht nach Art. 15. Als Verantwortlicher müssen Sie unverzüglich reagieren, spätestens innerhalb eines Monats nach Eingang. Dieser Leitfaden führt Sie durch den vollständigen Ablauf: Eingang, Identitätsprüfung, Fristberechnung, Auskunftsumfang nach Art. 15 und die kostenlose erste Kopie. Er richtet sich an Verantwortliche und Datenschutzbeauftragte.

Was ist eine Betroffenenanfrage nach der DSGVO?

Eine Betroffenenanfrage ist die Ausübung eines Betroffenenrechts gegenüber dem Verantwortlichen. Der häufigste Fall ist das Auskunftsrecht nach Art. 15 DSGVO. Die betroffene Person will bestätigt bekommen, ob Sie personenbezogene Daten über sie verarbeiten, und falls ja, welche.

Der Antrag ist an keine Form gebunden. Er kann per E-Mail, Brief, über ein Formular oder mündlich eingehen. Nach den Leitlinien des Europäischen Datenschutzausschusses (EDPB-Leitlinien 01/2022 zum Auskunftsrecht) genügt der Zugang über einen offiziellen Kanal des Verantwortlichen; die tatsächliche Kenntnisnahme durch die zuständige Stelle ist für den Fristbeginn nicht erforderlich. Für Ihre Organisation heißt das: Jeder Kanal, über den Anfragen eingehen können, braucht einen definierten Weg zur Bearbeitung.

Welche Betroffenenrechte kann eine Person geltend machen?

Die DSGVO gibt betroffenen Personen mehrere Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Das Auskunftsrecht ist der praktische Ausgangspunkt, weil es der Person zeigt, welche Daten überhaupt vorliegen.

Art. 15 Abs. 1 lit. e verweist selbst auf die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch. Eine Auskunft ist deshalb oft die Vorstufe zu einem weiteren Antrag. Dieser Leitfaden konzentriert sich auf die Auskunft nach Art. 15, weil sie die höchsten operativen Anforderungen stellt und die meisten Anfragen ausmacht. Für Arbeitgeber ist der Spezialfall besonders brisant: Wenn ehemalige Mitarbeitende nach Kündigung oder Offboarding Auskunft verlangen, müssen HR, Legal, Datenschutz und IT gemeinsam arbeiten. Der Ablauf steht im Leitfaden Auskunftsersuchen ehemaliger Mitarbeiter.

Wie läuft die Bearbeitung einer Betroffenenanfrage Schritt für Schritt ab?

Die Bearbeitung folgt einem wiederholbaren Ablauf aus fünf Schritten. Jeder Schritt hat eine klare Aufgabe, und die Reihenfolge stellt sicher, dass die Frist läuft, die Identität geklärt ist und die Auskunft vollständig wird.

1. Eingang erfassen und Frist starten. Halten Sie Eingangsdatum, Kanal und Antragsteller fest. Ab dem Zugang läuft die Monatsfrist nach Art. 12 Abs. 3.
2. Identität prüfen. Nur bei begründeten Zweifeln fordern Sie zusätzliche Informationen an (Art. 12 Abs. 6).
3. Frist berechnen und überwachen. Bestimmen Sie das genaue Fristende und legen Sie eine interne Wiedervorlage vor Fristablauf an.
4. Auskunft nach Art. 15 zusammenstellen. Sammeln Sie die Daten aus allen Systemen und die acht Pflichtinformationen nach Art. 15 Abs. 1.
5. Antwort und Kopie bereitstellen. Geben Sie eine originalgetreue Kopie frei, geschwärzt um die Daten Dritter, und dokumentieren Sie die Bearbeitung.

Den vollständigen Ablauf mit Zuständigkeiten und typischen Stolperstellen behandelt der DSAR-Prozess im Ablauf. Für Mitarbeiterdaten nach dem Ausscheiden hilft zusätzlich die Mitarbeiterdaten-Systemlandkarte, weil sie typische Quellen von Personalakte bis IAM und Mailarchiv sichtbar macht.

Innerhalb welcher Frist müssen Sie eine Betroffenenanfrage beantworten?

Sie müssen der betroffenen Person die Informationen über die ergriffenen Maßnahmen „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ zur Verfügung stellen (Art. 12 Abs. 3 Satz 1 DSGVO). Eine Verlängerung um zwei weitere Monate ist möglich, wenn die Komplexität oder die Zahl der Anträge dies erfordert. Damit sind maximal drei Monate erreichbar.

Der Haken liegt in der Unterrichtung. Über die Verlängerung und deren Gründe müssen Sie die Person innerhalb des ersten Monats informieren. Nach den EDPB-Leitlinien 01/2022 ist die Verlängerung eine Ausnahme und soll nicht routinemäßig genutzt werden; häufige Verlängerungen deuten auf mangelhafte Prozesse hin. Die Grundregel bleibt: Wer schneller antworten kann, soll schneller antworten. Ein elektronisch gestellter Antrag ist nach Möglichkeit elektronisch zu beantworten, und die Informationen sind in einem gängigen elektronischen Format bereitzustellen (Art. 12 Abs. 3 Satz 4, Art. 15 Abs. 3 Satz 3 DSGVO). Die Norm im Wortlaut steht in Art. 12 DSGVO.

Wie berechnen Sie das genaue Fristende?

Die Monatsfrist berechnet sich nach der EU-Fristenverordnung Nr. 1182/71. Die Frist endet an dem Tag im Folgemonat, der dieselbe Zahl trägt wie der Eingangstag. Fehlt dieser Tag im Folgemonat, endet die Frist am letzten Tag des Folgemonats. Fällt das Ende auf einen Samstag, Sonntag oder Feiertag, verschiebt es sich auf den nächsten Werktag.

Die EDPB-Leitlinien nennen dazu zwei Beispiele: Geht ein Antrag am 5. März ein, läuft die Frist bis einschließlich 5. April. Geht er am 31. August ein, hat der September keinen 31., und die Frist endet am 30. September. Wer stur „plus 30 Tage“ rechnet, liegt daneben. Die Regeln im Detail zeigt der Beitrag Monatsfrist richtig berechnen; den konkreten Fall rechnet der DSGVO-Fristenrechner weiter unten aus. Rechtsgrundlage ist Art. 3 der VO 1182/71.

Die folgende Übersicht fasst die Fristregeln zusammen.

Aspekt	Regelung	Rechtsgrundlage
Regelfrist	Unverzüglich, spätestens ein Monat nach Eingang des Antrags	Art. 12 Abs. 3 Satz 1 DSGVO
Verlängerung	Um bis zu zwei weitere Monate bei Komplexität oder hoher Antragszahl; Unterrichtung samt Gründen innerhalb des ersten Monats, maximal drei Monate insgesamt	Art. 12 Abs. 3 Satz 2 und 3 DSGVO
Fristbeginn	Mit Zugang des Antrags über einen offiziellen Kanal; die tatsächliche Kenntnisnahme durch die zuständige Stelle ist nicht erforderlich	Art. 12 Abs. 3 DSGVO; EDPB-Leitlinien 01/2022
Wochenende und Feiertag	Fällt das Fristende auf Samstag, Sonntag oder Feiertag, verschiebt es sich auf den nächsten Werktag	Art. 3 Abs. 4 VO (EWG, Euratom) Nr. 1182/71

Wie prüfen Sie die Identität der antragstellenden Person?

Hat der Verantwortliche „begründete Zweifel an der Identität“ der antragstellenden Person, darf er zusätzliche Informationen anfordern, die zur Bestätigung erforderlich sind (Art. 12 Abs. 6 DSGVO). Der Maßstab ist Verhältnismäßigkeit. Ein pauschaler Ausweisnachweis bei jeder Anfrage überschreitet diese Grenze, wenn keine echten Zweifel bestehen.

Fordern Sie zulässige Informationen an, kann die Frist nach Auffassung des EDPB gehemmt sein, bis Sie die benötigten Angaben erhalten haben, sofern Sie unverzüglich nachgefragt haben (EDPB-Leitlinien 01/2022, Beispiel 31). Das ist eine Auslegung der Aufsichtsbehörden, kein Wortlaut der DSGVO. Verlassen Sie sich deshalb nicht darauf, die Frist beginne generell erst mit dem Identitätsnachweis. Fragen Sie zügig nach und dokumentieren Sie den Zeitpunkt.

Welche Informationen muss die Auskunft nach Art. 15 DSGVO enthalten?

Die Auskunft umfasst die Bestätigung der Verarbeitung, eine Kopie der Daten und acht Pflichtinformationen nach Art. 15 Abs. 1 lit. a bis h. Diese Angaben machen die Verarbeitung für die betroffene Person nachvollziehbar und sind der inhaltliche Kern jeder Auskunft.

Die acht Pflichtinformationen im Überblick:

Buchstabe	Pflichtinformation nach Art. 15 Abs. 1 DSGVO
lit. a	Verarbeitungszwecke
lit. b	Kategorien der verarbeiteten personenbezogenen Daten
lit. c	Empfänger oder Kategorien von Empfängern, besonders in Drittländern oder bei internationalen Organisationen
lit. d	Geplante Speicherdauer oder die Kriterien für ihre Festlegung
lit. e	Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
lit. f	Beschwerderecht bei einer Aufsichtsbehörde
lit. g	Verfügbare Informationen über die Herkunft der Daten, wenn sie nicht bei der Person erhoben wurden
lit. h	Bestehen einer automatisierten Entscheidungsfindung samt Profiling, mit aussagekräftigen Informationen zur involvierten Logik sowie zu Tragweite und angestrebten Auswirkungen

Bei Übermittlungen in Drittländer oder an internationale Organisationen kommen die geeigneten Garantien nach Art. 46 hinzu (Art. 15 Abs. 2 DSGVO). Ob Ihre Auskunft alle acht Angaben enthält, prüfen Sie mit der interaktiven Checkliste weiter unten. Wie Sie diese Angaben sauber zusammenstellen, zeigt der Beitrag Auskunftsersuchen beantworten. Der Normtext steht in Art. 15 DSGVO.

Was umfasst das Recht auf Kopie nach Art. 15 Abs. 3 DSGVO?

Die betroffene Person hat Anspruch auf eine Kopie der verarbeiteten Daten. Der EuGH hat diesen Anspruch weit ausgelegt: Er bedeutet, dass „der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird“ (EuGH, Urteil vom 04.05.2023, C-487/21, ECLI:EU:C:2023:369).

Das Recht kann auch Auszüge aus Dokumenten, ganze Dokumente oder Auszüge aus Datenbanken umfassen, wenn dies unerlässlich ist, damit die Person ihre Rechte wirksam ausüben kann. Eine bloße Liste von Datenpunkten reicht nicht, wenn erst der Kontext die Angaben verständlich macht. Der EuGH stellt zugleich klar, dass Abs. 3 die praktischen Modalitäten regelt und kein über Abs. 1 hinausgehendes Recht gewährt. Dabei sind die Rechte und Freiheiten anderer zu berücksichtigen (Art. 15 Abs. 4 DSGVO). Deshalb schwärzen Sie personenbezogene Daten Dritter, bevor Sie die Kopie herausgeben. Genau an dieser Stelle entsteht der größte Handaufwand: jede Seite auf Fremddaten prüfen und zuverlässig unkenntlich machen.

Auskunft nach Abs. 1 und Kopie nach Abs. 3 sind zwei Ebenen desselben Rechts. Der Vergleich zeigt, was jede Ebene leistet.

Merkmal	Auskunft (Art. 15 Abs. 1)	Kopie (Art. 15 Abs. 3)
Was wird geschuldet	Bestätigung der Verarbeitung und die acht Pflichtinformationen nach lit. a bis h	Eine originalgetreue und verständliche Reproduktion aller verarbeiteten Daten
Rolle in der Norm	Legt Gegenstand und Anwendungsbereich des Auskunftsrechts fest	Regelt die praktischen Modalitäten und gewährt kein über Abs. 1 hinausgehendes Recht
Umfang	Angaben zu Zwecken, Kategorien, Empfängern, Speicherdauer und weiteren Umständen	Die Daten selbst, bei Bedarf als Auszug oder ganzes Dokument, wenn für die Verständlichkeit unerlässlich
Kosten und Grenzen	Teil der unentgeltlichen Auskunft	Erste Kopie kostenlos; die Rechte und Freiheiten Dritter bleiben nach Abs. 4 gewahrt

Die Abgrenzung geht auf den EuGH zurück (Urteil vom 04.05.2023, C-487/21, ECLI:EU:C:2023:369) und den Wortlaut von Art. 15 DSGVO.

Ist die erste Kopie kostenlos, und wann dürfen Sie ein Entgelt verlangen?

Die erste Kopie der verarbeiteten Daten ist kostenlos. Für jede weitere Kopie dürfen Sie ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen (Art. 15 Abs. 3 DSGVO). Der EuGH hat bestätigt, dass die erste Kopie auch dann unentgeltlich zusteht, wenn der Antrag einen datenschutzfremden Zweck verfolgt.

Im entschiedenen Fall wollte ein Patient seine Behandlungsunterlagen einsehen, um Behandlungsfehler zu prüfen; die Zahnärztin verlangte dafür ein Entgelt. Der EuGH entschied, dass ein solcher Zweck der Unentgeltlichkeit nicht entgegensteht und der Antrag nicht begründet werden muss (EuGH, Urteil vom 26.10.2023, C-307/22, ECLI:EU:C:2023:811). Ein Entgelt für die erste Kopie zum Schutz wirtschaftlicher Interessen des Verantwortlichen ist damit unzulässig.

Welche internen Unterlagen erfasst das Auskunftsrecht?

Das Auskunftsrecht reicht über die Stammdaten hinaus. Der BGH legt den Begriff der personenbezogenen Daten weit aus: Eine Information ist personenbezogen, wenn sie „aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist“ (BGH, Urteil vom 15.06.2021, VI ZR 576/19). Signifikante biografische Angaben sind dafür nicht erforderlich.

Erfasst sind auch interne Vermerke, interne Kommunikation und Korrespondenz mit Dritten, soweit sie personenbezogene Daten der Person enthalten. Dass ein Schreiben der Person bereits bekannt ist, ändert daran nichts: „Dass diese Schreiben der betroffenen Person bereits bekannt sind, schließt den datenschutzrechtlichen Auskunftsanspruch nicht aus.“ Eine Grenze zieht der BGH bei der rechtlichen Bewertung selbst. Rechtliche Analysen können zwar personenbezogene Daten enthalten, die daraus abgeleitete Beurteilung der Rechtslage ist aber keine Information über die Person.

Was gilt speziell bei Patientenakten und Gesundheitsdaten?

Bei Gesundheitsdaten schließt das Recht auf Kopie jedenfalls eine Kopie der Daten aus der Patientenakte ein. Dazu zählen Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen (EuGH C-307/22). Auch hier gilt: eine originalgetreue und verständliche Reproduktion, und die erste Kopie ist kostenlos.

Hintergrund des Verfahrens war die deutsche Kostenregelung für Patientenakten. Der EuGH stellte klar, dass eine nationale Regelung der betroffenen Person die Kosten der ersten Kopie zum Schutz der wirtschaftlichen Interessen des Verantwortlichen nicht auferlegen darf. Für Kliniken und Praxen bedeutet das: Behandlungsunterlagen sind auf Antrag als erste Kopie unentgeltlich herauszugeben, in einer Form, die Richtigkeit und Vollständigkeit prüfbar macht.

Wann dürfen Sie eine Betroffenenanfrage ablehnen?

Eine Ablehnung ist die Ausnahme. Nur bei offenkundig unbegründeten oder exzessiven Anträgen, insbesondere bei häufiger Wiederholung, dürfen Sie ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern (Art. 12 Abs. 5 DSGVO). Den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter tragen Sie als Verantwortlicher.

Werden Sie nicht tätig, endet die Sache damit nicht. Sie müssen die betroffene Person unverzüglich, spätestens innerhalb eines Monats, über die Gründe und über die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde sowie eines gerichtlichen Rechtsbehelfs unterrichten (Art. 12 Abs. 4 DSGVO). Daneben können enge nationale Ausnahmen greifen, etwa nach § 34 BDSG; deren Voraussetzungen prüfen Sie im Einzelfall. Eine schweigende Nichtbearbeitung ist in keinem Fall zulässig.