Art. 15 DSGVO gibt jeder betroffenen Person zwei Ansprüche gegen den Verantwortlichen: die Bestätigung, ob überhaupt Daten über sie verarbeitet werden, und die Auskunft über diese Daten samt acht gesetzlich festgelegten Zusatzinformationen. Dazu kommt der Anspruch auf eine Kopie. Die Antwort ist unverzüglich fällig, spätestens nach einem Monat. Wie weit der Anspruch reicht, haben mehrere Urteile des Europäischen Gerichtshofs aus dem Jahr 2023 geklärt.
Dieser Beitrag ist Teil unseres Wissens-Hubs zu Betroffenenanfragen, in dem der gesamte Prozess von der Identitätsprüfung bis zur Herausgabe beschrieben ist.
Was muss die Auskunft nach Art. 15 DSGVO enthalten?
Die Auskunft besteht aus den verarbeiteten personenbezogenen Daten selbst und acht Angaben, die der Verordnungstext abschließend aufzählt. Diese Liste ist der verlässlichste Prüfmaßstab für eine vollständige Antwort, denn jeder fehlende Punkt ist eine unvollständige Auskunft.
| Nr. | Pflichtangabe nach Art. 15 Abs. 1 DSGVO |
|---|---|
| 1 | Die Verarbeitungszwecke |
| 2 | Die Kategorien der verarbeiteten personenbezogenen Daten |
| 3 | Die Empfänger oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder werden, insbesondere in Drittländern |
| 4 | Die geplante Speicherdauer oder, falls das nicht möglich ist, die Kriterien für deren Festlegung |
| 5 | Das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung und des Widerspruchsrechts |
| 6 | Das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde |
| 7 | Bei nicht bei der betroffenen Person erhobenen Daten: alle verfügbaren Informationen über deren Herkunft |
| 8 | Das Bestehen automatisierter Entscheidungsfindung einschließlich Profiling samt aussagekräftiger Informationen über die involvierte Logik, Tragweite und angestrebte Auswirkungen |
Quelle: Art. 15 Abs. 1 DSGVO. Werden Daten in ein Drittland übermittelt, kommt nach Art. 15 Abs. 2 DSGVO die Unterrichtung über die geeigneten Garantien nach Art. 46 DSGVO hinzu.
Welche Frist gilt und wann dürfen Sie verlängern?
Die Antwort ist unverzüglich zu erteilen, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Bei komplexen Anträgen oder einer hohen Zahl von Anträgen darf die Frist um zwei weitere Monate verlängert werden. Die Verlängerung samt Gründen müssen Sie der betroffenen Person innerhalb des ersten Monats mitteilen (Art. 12 Abs. 3 DSGVO).
Der Fristbeginn ist der Eingang des Antrags, nicht der Tag Ihrer Kenntnisnahme. Anträge, die im Urlaub in einem Sammelpostfach liegen bleiben, verkürzen die verbleibende Bearbeitungszeit entsprechend. Das exakte Fristende, einschließlich Wochenenden und Feiertagen, bestimmt der DSGVO-Fristenrechner.
Müssen Sie die konkreten Empfänger benennen?
Grundsätzlich ja. Der Europäische Gerichtshof hat am 12. Januar 2023 entschieden, dass die betroffene Person Anspruch darauf hat, die Identität der konkreten Empfänger zu erfahren. Auf Kategorien dürfen Sie sich beschränken, wenn die Empfänger noch nicht feststehen oder wenn der Antrag offenkundig unbegründet oder exzessiv ist (EuGH, Urteil vom 12.01.2023, C-154/21, Österreichische Post, ECLI:EU:C:2023:3).
Praktisch heißt das: Ihr Verarbeitungsverzeichnis muss die Empfänger je Verarbeitung so führen, dass sie auf Anfrage benennbar sind. Wer nur Kategorien dokumentiert, kann die Auskunft im Ernstfall nicht rechtskonform erteilen.
Was bedeutet der Anspruch auf eine Kopie?
Der Verantwortliche stellt eine Kopie der Daten zur Verfügung, die Gegenstand der Verarbeitung sind (Art. 15 Abs. 3 DSGVO). Der EuGH hat den Begriff am 4. Mai 2023 präzisiert: Gemeint ist eine originalgetreue und verständliche Reproduktion der Daten. Ein allgemeiner Anspruch auf Herausgabe sämtlicher Dokumente folgt daraus nicht. Die Reproduktion von Auszügen aus Dokumenten oder von ganzen Dokumenten kann aber erforderlich sein, wenn die Kontextualisierung für das Verständnis der Daten unerlässlich ist (EuGH, Urteil vom 04.05.2023, C-487/21, ECLI:EU:C:2023:369).
Die erste Kopie ist kostenlos. Für weitere Kopien darf ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangt werden. Stellt die betroffene Person den Antrag elektronisch, sind die Informationen in einem gängigen elektronischen Format bereitzustellen, sofern sie nichts anderes angibt.
Wann dürfen Sie die Auskunft einschränken oder verweigern?
Drei Grenzen sind in der Praxis relevant, und alle drei verlangen eine Begründung im Einzelfall.
Rechte Dritter. Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Enthält ein Dokument Daten unbeteiligter Personen, werden diese vor der Herausgabe unkenntlich gemacht. Wie das technisch sicher gelingt, steht in unserem Beitrag dazu, was geschwärzt werden muss.
Gesetzliche Ausnahmen. § 34 BDSG regelt für das deutsche Recht, wann das Auskunftsrecht nicht besteht, etwa wenn die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen, und die Auskunft einen unverhältnismäßigen Aufwand erfordern würde.
Rechtsmissbrauch. Das Oberlandesgericht Hamm hat ein Auskunftsbegehren als rechtsmissbräuchlich eingestuft, das erkennbar allein der Vorbereitung anderer Ansprüche diente (Beschluss vom 15.11.2021, 20 U 269/21). Als Zweck des Auskunftsrechts nennt Erwägungsgrund 63 die Möglichkeit, sich der Verarbeitung bewusst zu werden und ihre Rechtmäßigkeit zu überprüfen. Diese Einordnung hängt am Einzelfall und trägt keine pauschale Ablehnung. Ergänzend erlaubt Art. 12 Abs. 5 DSGVO bei offenkundig unbegründeten oder exzessiven Anträgen ein angemessenes Entgelt oder die Weigerung, wobei der Verantwortliche den exzessiven Charakter nachweisen muss.
Wie beantworten Sie ein Auskunftsersuchen in der Praxis?
Der Ablauf ist in jedem Unternehmen derselbe, unabhängig von der Größe.
- Eingang festhalten. Datum und Kanal dokumentieren, denn der Eingang startet die Frist. Ein Auskunftsersuchen ist an keine Form gebunden und kann auch in einer beiläufigen E-Mail stecken.
- Identität prüfen. Bei begründeten Zweifeln dürfen Sie zusätzliche Informationen zur Bestätigung der Identität anfordern (Art. 12 Abs. 6 DSGVO). Erwägungsgrund 64 verlangt angemessene Maßnahmen, ohne dass dafür pauschal eine Ausweiskopie nötig wäre.
- Systeme vollständig durchsuchen. Fachanwendungen, Postfächer, Archive, Backups und Papierakten. Die häufigste Ursache unvollständiger Auskünfte sind vergessene Nebensysteme.
- Fremde Daten schwärzen. Alles, was Dritte betrifft, wird vor der Herausgabe unkenntlich gemacht, und zwar nicht wiederherstellbar.
- Antwort zusammenstellen. Die Daten selbst, die acht Pflichtangaben und die Kopie in einem gängigen Format. Bei elektronischem Antrag elektronisch antworten.
- Nachweis sichern. Was wann an wen herausgegeben wurde, gehört in die Akte. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO trifft den Verantwortlichen.
Wo diese Schritte von Hand laufen, kosten sie in großen Organisationen Tage. veronto requests führt den Vorgang als Workflow: Fristen laufen mit, die Suche greift über Systeme hinweg, fremde Daten werden vor der Herausgabe erkannt und geschwärzt, und jede Freigabe steht im Audit-Trail. Den gesamten Prozess samt Vorlagen finden Sie im Hub zu Betroffenenanfragen.
Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.