Das Recht auf Auskunft nach Art. 15 DSGVO: Was Unternehmen wirklich wissen müssen
Eine E-Mail am Freitagnachmittag: „Bitte teilen Sie mir gemäß Art. 15 DSGVO mit, welche personenbezogenen Daten Sie über mich verarbeiten.“ Für viele Unternehmen ist das der Moment, in dem Unsicherheit einsetzt. Muss der Antragsteller einen Grund nennen? Wie schnell muss geantwortet werden? Und was, wenn die Anfrage offenkundig nur der Vorbereitung eines Rechtsstreits dient? Die gute Nachricht: Das Auskunftsrecht wirkt komplizierter, als es ist – wenn man den rechtlichen Rahmen kennt und einem klaren Ablauf folgt.
Art. 15 DSGVO gehört zu den zentralen Betroffenenrechten der Datenschutz-Grundverordnung. Es soll einer Person ermöglichen, zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen über sie verarbeitet. Damit ist es im Kern ein Kontrollrecht: Nur wer weiß, welche Daten über ihn gespeichert sind, kann beurteilen, ob diese rechtmäßig verarbeitet werden, ob sie korrekt sind und ob er weitere Rechte wie Berichtigung, Löschung oder Widerspruch geltend machen sollte. Für Unternehmen bedeutet das umgekehrt: Die Fähigkeit, eine vollständige und fristgerechte Auskunft zu erteilen, zeigt, ob die eigenen Datenverarbeitungen tatsächlich bekannt und im Griff sind. Ein aktuelles Verzeichnis von Verarbeitungstätigkeiten ist dabei der wichtigste Ausgangspunkt – die dort enthaltenen Angaben müssen für die konkrete Auskunft aber immer auf die betroffene Person zugeschnitten werden.
Drei Bestandteile einer vollständigen Auskunft
Eine rechtmäßige Auskunft besteht aus drei Elementen: der Bestätigung, ob überhaupt Daten verarbeitet werden, dem Zugang zu den tatsächlich verarbeiteten personenbezogenen Daten selbst und den ergänzenden Informationen über die Verarbeitung (Zwecke, Kategorien, Empfänger, Speicherdauer, Herkunft, Rechte, ggf. automatisierte Entscheidungsfindung). Werden keine Daten verarbeitet, muss trotzdem eine sogenannte Negativauskunft erteilt werden – die Anfrage darf niemals einfach ignoriert werden.
Entscheidend ist dabei: Eine allgemeine Aufzählung von Datenkategorien wie „Wir verarbeiten Stammdaten, Vertragsdaten und Kommunikationsdaten“ genügt nicht. Erforderlich ist die konkrete Angabe der tatsächlich gespeicherten Informationen – Name, Kundennummer, Anschrift, aber auch interne Vermerke, sofern sie sich auf die Person beziehen. Der Europäische Gerichtshof hat in der Rechtssache C-487/21 klargestellt, dass sich der Begriff „Kopie“ nicht auf ein Dokument als solches bezieht, sondern auf die darin enthaltenen personenbezogenen Daten – die aber vollständig sein müssen. Das kann im Einzelfall auch die Übermittlung ganzer Dokumente oder Datenbankauszüge erfordern, wenn der Zusammenhang für das Verständnis nötig ist. Ein allgemeines Akteneinsichtsrecht ist Art. 15 DSGVO deshalb trotzdem nicht: Was keine personenbezogenen Daten über den Antragsteller enthält, muss auch nicht herausgegeben werden – etwa reine Vertragsklauseln, technische Unterlagen oder interne Arbeitsanweisungen ohne Personenbezug.
Keine Begründungspflicht – aber keine Freikarte für Missbrauch
Ein häufiger Irrtum in der Praxis: Ein Antragsteller müsse erklären, warum er Auskunft verlangt. Das ist falsch. Weder die Vermutung, dass jemand Beweise für einen Rechtsstreit sammeln will, noch ein laufendes Kündigungsschutzverfahren beseitigen den Auskunftsanspruch. Der EuGH hat das in der Rechtssache C-307/22 – dort ging es um die kostenlose erste Kopie einer Patientenakte zur Prüfung möglicher Haftungsansprüche – ausdrücklich bestätigt.
Diese Großzügigkeit hat allerdings eine Grenze, die erst jüngst nachgeschärft wurde. Der EuGH hat im März 2026 in der Rechtssache C-526/24 („Brillen Rottler“) entschieden, dass auch ein erster Auskunftsantrag ausnahmsweise als exzessiv eingestuft werden kann – dann nämlich, wenn er nachweislich nicht der Kontrolle der eigenen Daten dient, sondern gezielt dazu, künstlich die Voraussetzungen für einen späteren Schadensersatzanspruch nach Art. 82 DSGVO zu schaffen. Wichtig für die Praxis: Der Gerichtshof betont ausdrücklich, dass diese Ausnahme eng auszulegen ist und hohe Maßstäbe gelten. Die Beweislast liegt vollständig beim Unternehmen. Ein unbequemer Antrag, eine angekündigte Schadensersatzforderung oder ein bestehender Rechtsstreit allein reichen dafür nicht aus – das Urteil ist also kein Freibrief, unliebsame Anfragen pauschal als missbräuchlich zurückzuweisen, sondern eine eng umgrenzte Ausnahme für tatsächlich nachweisbare Missbrauchsfälle.
Die Monatsfrist – und was „unverzüglich“ wirklich bedeutet
Die Antwort muss nach Art. 12 Abs. 3 DSGVO unverzüglich, spätestens aber innerhalb eines Monats nach Eingang erfolgen. Diese Monatsfrist ist keine reguläre Bearbeitungszeit, sondern eine Höchstfrist – kann eine Anfrage in wenigen Tagen beantwortet werden, darf nicht bis zum letzten Tag gewartet werden. Bei komplexen oder zahlreichen Anträgen ist eine Verlängerung um bis zu zwei weitere Monate möglich, allerdings kein Automatismus: Die betroffene Person muss noch innerhalb des ersten Monats über die Verlängerung und die konkreten Gründe informiert werden. Ein pauschaler Hinweis auf „hohes Arbeitsaufkommen“ reicht dafür regelmäßig nicht.
Identitätsprüfung: notwendig, aber keine pauschale Ausweiskopie
Weil eine Auskunft sensible Informationen enthalten kann, muss die Identität des Antragstellers geprüft werden – aber nur, wenn begründete Zweifel bestehen, und mit den mildesten geeigneten Mitteln. Ein aktiver Mitarbeiter, der über seine bekannte geschäftliche E-Mail-Adresse anfragt, löst in der Regel keine solchen Zweifel aus. Was hier häufig schiefgeht, zeigt ein Bußgeld der niederländischen Datenschutzaufsichtsbehörde gegen den Medienkonzern DPG Media: Das Unternehmen hatte routinemäßig von jedem Antragsteller eine vollständige Ausweiskopie verlangt – unabhängig davon, ob überhaupt Zweifel an der Identität bestanden. Die Lehre daraus: Zusätzliche Identitätsnachweise dürfen nie zur Standardhürde werden, sondern sind die Ausnahme für den begründeten Einzelfall.
Identitätsprüfung bei Auskunftsanfragen: Zusätzliche Nachweise sind nur bei begründeten Zweifeln und unter Wahrung der Verhältnismäßigkeit zulässig.
Welche Datenquellen zählen dazu?
Ein typischer Fehler ist es, die Suche auf ein einzelnes System zu beschränken – etwa bei einem ehemaligen Mitarbeiter nur die Personalsoftware zu prüfen, während E-Mail-Postfächer, Zeiterfassung oder Zutrittsprotokolle unberücksichtigt bleiben. Das Auskunftsrecht erfasst grundsätzlich alle Systeme und Ablagen, in denen personenbezogene Daten vorkommen können – auch E-Mails, interne Bewertungen und Gesprächsnotizen. Auch subjektive Einschätzungen wie „Der Mitarbeiter hat im Gespräch einen überforderten Eindruck gemacht“ sind personenbezogene Daten; ob eine Aussage objektiv zutrifft, spielt dabei keine Rolle. Und selbst Protokoll- und Zugriffsdaten können auskunftspflichtig sein: Der EuGH hat in der Rechtssache C-579/21 entschieden, dass eine Person grundsätzlich Auskunft über Zeitpunkte und Zwecke interner Datenabfragen verlangen kann – einen automatischen Anspruch auf die Namen der zugreifenden Mitarbeiter gibt es dagegen nicht, hier muss im Einzelfall abgewogen werden.
Auskunft nach Art. 15 DSGVO: Personenbezogene Daten müssen systemübergreifend in allen relevanten Datenquellen gesucht werden.
Empfänger: konkrete Namen statt bloßer Kategorien
Lange herrschte die Auffassung, ein Unternehmen könne frei wählen, ob es konkrete Empfänger oder nur Kategorien nennt. Der EuGH hat das in der Rechtssache C-154/21 eingeschränkt: Steht die Identität eines Empfängers fest, ist sie grundsätzlich mitzuteilen. Statt „Ihre Daten wurden an IT-Dienstleister übermittelt“ muss es also – soweit bekannt – konkret heißen, an welches Unternehmen und zu welchem Zweck.
Rechte anderer Personen: kein Freibrief zur Verweigerung
Enthält ein Dokument auch Daten Dritter, etwa in einer Beschwerde über einen Kollegen oder einer E-Mail, in der über mehrere Personen gesprochen wird, rechtfertigt das allein noch keine vollständige Ablehnung der Auskunft. Erforderlich ist eine konkrete Abwägung: Welche Rechte wären betroffen, wie schwer wiegt der Eingriff, und lässt er sich durch Schwärzung oder eine zusammenfassende Darstellung vermeiden? Auch Geschäftsgeheimnisse führen nicht automatisch zum Ausschluss – der EuGH hat das in der Rechtssache C-203/22 zu automatisierten Bonitäts-Scores konkretisiert: Die bloße Berufung auf ein „proprietäres Modell“ reicht nicht, verständlich erläutert werden müssen die tatsächlich verwendeten Kriterien und ihre Auswirkung auf die Entscheidung – ohne dass der komplette Algorithmus offengelegt werden muss.
Format, Sicherheit und Kosten
Die Auskunft muss präzise, transparent und in klarer Sprache erfolgen – technische Codes ohne Erläuterung genügen dem nicht. Bei umfangreichen oder besonders sensiblen Daten (Gesundheits-, Einkommens- oder arbeitsrechtliche Informationen) ist eine sichere Übermittlung Pflicht, etwa durch verschlüsselten Versand mit getrennt übermitteltem Passwort. Die erste Kopie ist grundsätzlich kostenlos – auch wenn die Zusammenstellung für das Unternehmen aufwendig ist. Ein angemessenes Entgelt kommt erst für tatsächlich weitere, inhaltsgleiche Kopien in Betracht.
Was bei Verstößen droht
Verstöße gegen das Auskunftsrecht sind keine Formalie. Die schwedische Datenschutzaufsichtsbehörde verhängte 2023 gegen Spotify eine Geldbuße von umgerechnet rund fünf Millionen Euro, weil Informationen im Zusammenhang mit Auskunftsanfragen nicht klar genug bereitgestellt wurden. Die französische Aufsichtsbehörde CNIL belegte 2024 das Unternehmen KASPR mit 240.000 Euro, unter anderem weil bei Anfragen zur Herkunft der Daten lediglich pauschal auf „öffentlich zugängliche Quellen“ verwiesen wurde, obwohl konkretere Angaben vorlagen. Zusätzlich kann die betroffene Person nach Art. 82 DSGVO Schadensersatz verlangen – der EuGH hat in der bereits erwähnten Entscheidung „Brillen Rottler“ bestätigt, dass auch die Verletzung des Auskunftsrechts selbst grundsätzlich einen ersatzfähigen Schaden begründen kann.
Zusammenfassung
Das Recht auf Auskunft wirkt vor allem dann bedrohlich, wenn ein Unternehmen nicht genau weiß, welche Daten es wo verarbeitet. Das eigentliche Problem ist deshalb häufig weniger Art. 15 DSGVO selbst als eine fehlende Übersicht über die eigenen Datenbestände. Wer eine Anfrage unabhängig vom Eingangskanal erkennt, die Frist sofort notiert, alle relevanten Systeme und Rollen der Person einbezieht, die Rechte Dritter durch Abwägung statt pauschaler Verweigerung schützt und den gesamten Vorgang dokumentiert, nimmt einer datenschutzrechtlichen Anfrage den Schrecken – und macht daraus einen beherrschbaren, wiederholbaren Unternehmensprozess.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
