Auskunftsrecht nach Art. 15 DSGVO – Inhalt, Frist und Grenzen für Unternehmen

Was ist das Auskunftsrecht nach der DSGVO?

Das Auskunftsrecht nach Art. 15 DSGVO gibt jeder Person das Recht zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen über sie verarbeitet. Sie kann außerdem eine Kopie dieser Daten verlangen. Das Auskunftsrecht ist das wichtigste Betroffenenrecht, weil es die Grundlage für alle weiteren Rechte bildet, etwa Berichtigung oder Löschung.

Eine Begründung muss die Person nicht angeben. Kunden, Bewerber, ehemalige Beschäftigte und Newsletter-Abonnenten können ihr Recht jederzeit geltend machen.

Was muss die Auskunft enthalten?

Zuerst müssen Sie bestätigen, ob Sie überhaupt Daten der Person verarbeiten. Wenn ja, umfasst die Auskunft nach Art. 15 Abs. 1 DSGVO:

1. die Zwecke der Verarbeitung
2. die Kategorien der Daten, etwa Kontaktdaten, Vertragsdaten, Zahlungsdaten
3. die Empfänger, an die Daten weitergegeben wurden oder werden. Nach dem Europäischen Gerichtshof grundsätzlich die konkreten Empfänger, nicht nur Kategorien (EuGH, Urteil vom 12. Januar 2023, C-154/21)
4. die geplante Speicherdauer oder die Kriterien dafür
5. die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
6. das Beschwerderecht bei einer Aufsichtsbehörde
7. die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden
8. ob eine automatisierte Entscheidung oder Profiling stattfindet

Werden Daten in ein Drittland übermittelt, müssen Sie auch die Garantien dafür nennen (Art. 15 Abs. 2).

Was bedeutet das Recht auf eine Kopie?

Die Person kann eine Kopie aller personenbezogenen Daten verlangen, die Sie über sie verarbeiten (Art. 15 Abs. 3). Nach dem Europäischen Gerichtshof ist damit eine originalgetreue Wiedergabe der Daten gemeint. Das können auch Auszüge aus Dokumenten, E-Mails oder Datenbanken sein, wenn die Daten nur so verständlich werden (EuGH, Urteil vom 4. Mai 2023, C-487/21). Die erste Kopie ist kostenlos.

Welche Frist, Form und Kosten gelten?

• Frist: Die Auskunft muss unverzüglich erteilt werden, spätestens innerhalb eines Monats nach Eingang des Antrags. Bei vielen oder komplexen Anträgen kann die Frist um zwei Monate verlängert werden. Das müssen Sie der Person innerhalb des ersten Monats mitteilen und begründen (Art. 12 Abs. 3 DSGVO).
• Form: Der Antrag ist formfrei, er kann per E-Mail, Brief, Telefon oder über ein Kontaktformular kommen. Kommt er elektronisch, sollen Sie in der Regel auch elektronisch antworten. Die Auskunft muss verständlich und in klarer Sprache sein.
• Identität: Bevor Daten herausgehen, müssen Sie prüfen, ob die Anfrage wirklich von der betroffenen Person stammt. Mehr dazu im nächsten Abschnitt.
• Kosten: Die Auskunft und die erste Kopie sind kostenlos. Für weitere Kopien dürfen Sie ein angemessenes Entgelt verlangen.

Stellen Sie nötige Rückfragen zur Identität sofort, eine Anfrage sollte nicht tagelang in einem Postfach liegen. Ob die Monatsfrist schon ab Eingang oder erst ab Klärung der Identität läuft, wird unterschiedlich gesehen. Wer sicher gehen will, rechnet ab Eingang.

Warum ist die Identitätsprüfung so wichtig?

Eine Auskunft enthält oft genau die Daten, die Betrüger suchen: Adresse, Vertragsdaten, Bankverbindung, Kommunikationsverlauf. Wer ungeprüft antwortet und die Daten landen bei einer unbefugten Person, hat das Auskunftsrecht nicht erfüllt, sondern eine Datenpanne verursacht. Die muss in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO), und es drohen Bußgelder.

Die DSGVO verlangt deshalb, dass Unternehmen alle vertretbaren Mittel nutzen, um die Identität der anfragenden Person zu überprüfen, insbesondere bei Online-Diensten (Erwägungsgrund 64). Bei begründeten Zweifeln dürfen Sie zusätzliche Informationen anfordern (Art. 12 Abs. 6).

Gleichzeitig gilt: Die Prüfung muss verhältnismäßig sein. Die europäischen Datenschutzbehörden betonen, dass nicht routinemäßig mehr Daten angefordert werden dürfen, als für die Prüfung nötig sind (EDSA-Leitlinien 01/2022).

In der Praxis bewährt sich ein abgestuftes Vorgehen:

• Anfrage von bekannter E-Mail-Adresse eines Kunden: Abgleich mit gespeicherten Daten, Antwort an diese Adresse
• Anfrage von unbekannter E-Mail-Adresse: Rückfrage mit Kontrollfragen, etwa Kundennummer oder letzte Bestellung, oder Rückruf unter bekannter Nummer
• Sensible Daten wie Gesundheits- oder Personaldaten: strengere Prüfung, Zustellung per Post an bekannte Adresse oder über geschützten Zugang
• Anfrage über Anwalt oder Vertreter: Vollmacht anfordern
• Nur ein Ausweis kann die Zweifel ausräumen: Ausweiskopie, bei der alles außer Name, Anschrift, Geburtsdatum und Gültigkeit geschwärzt sein darf. Nur zur Prüfung nutzen und danach löschen

Solange die Identität nicht geklärt ist, bestätigen oder verneinen Sie nicht, ob überhaupt Daten vorliegen. Antworten Sie trotzdem fristgerecht: Weisen Sie darauf hin, dass die Angaben für eine Identifizierung nicht ausreichen, und schlagen Sie einen geeigneten Weg vor. Legen Sie die Kontrollfragen am besten einmal als festes Verfahren im Unternehmen fest.

Genauso wichtig ist der sichere Versand: Eine unverschlüsselte Datenkopie an eine falsche E-Mail-Adresse ist ebenfalls eine Datenpanne. Fragen Sie zur Identifizierung außerdem nie nach Passwörtern.

Wann dürfen Unternehmen eine Auskunft ablehnen?

Das Auskunftsrecht ist weitreichend, aber nicht grenzenlos. Eine Ablehnung ist nur in engen Ausnahmen möglich.

Offenkundig unbegründete oder exzessive Anträge

Nach Art. 12 Abs. 5 DSGVO können Unternehmen offenkundig unbegründete oder exzessive Anträge ablehnen oder ein Entgelt verlangen. Das Unternehmen muss den Missbrauch nachweisen.

Wie weit das geht, hat der Europäische Gerichtshof am 19. März 2026 geklärt (C-526/24, „Brillen Rottler“). Der Fall kam vom Amtsgericht Arnsberg: Eine Person hatte sich für den Newsletter eines Optikers angemeldet und kurz darauf Auskunft verlangt. Das Unternehmen fand Hinweise, dass sie dieses Vorgehen systematisch nutzte, um anschließend Schadensersatz zu fordern.

Der EuGH entschied:

• Schon ein erster Auskunftsantrag kann exzessiv sein, wenn er missbräuchlich gestellt wird. Es müssen nicht mehrere Anträge vorliegen.
• Dabei darf berücksichtigt werden, ob jemand bei verschiedenen Unternehmen wiederholt Auskunft verlangt und danach Schadensersatz fordert.
• Umgekehrt kann die Verletzung des Auskunftsrechts selbst einen Anspruch auf Schadensersatz begründen.

Für die Praxis heißt das: Die Ablehnung bleibt eine eng auszulegende Ausnahme. Wer sich auf Missbrauch beruft, muss sorgfältig prüfen und dokumentieren. Im Regelfall gilt: fristgerecht und vollständig antworten.

Rechte Dritter

Die Kopie darf die Rechte anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4). Daten von Dritten, etwa Namen anderer Kunden in einer E-Mail, werden geschwärzt. Auch Geschäftsgeheimnisse können geschützt werden, eine pauschale Verweigerung ist aber nicht zulässig.

Auskunft im Arbeitsverhältnis

Besonders aufwendig sind Auskunftsersuchen von Beschäftigten oder ehemaligen Mitarbeitenden, häufig im Zusammenhang mit einer Kündigung. Betroffen sind Personalakte, Lohnabrechnungen, Zeiterfassung, E-Mails, Protokolldaten und Bewertungen. Hier zahlt sich ein aktuelles Verzeichnis von Verarbeitungstätigkeiten aus: Es zeigt, in welchen Systemen überhaupt gesucht werden muss.

So beantworten Sie ein Auskunftsersuchen in 6 Schritten

1. Eingang dokumentieren: Datum notieren und die Frist berechnen. Legen Sie fest, wer Anfragen intern annimmt, und informieren Sie alle Mitarbeitenden darüber.
2. Identität prüfen: Immer prüfen, ob die Anfrage plausibel von der betroffenen Person stammt, etwa durch Abgleich mit bekannten Daten. Bei Zweifeln zusätzliche Angaben anfordern, bevor Daten herausgehen.
3. Daten suchen: Alle Systeme durchgehen, die im Verarbeitungsverzeichnis stehen: CRM, Buchhaltung, E-Mail, Ticketsystem, Datensicherungen, Papierakten. Auch Dienstleister wie Cloud-Anbieter einbeziehen, die laut AV-Vertrag helfen müssen.
4. Auskunft zusammenstellen: Alle acht Pflichtangaben und die Datenkopie vorbereiten, Daten Dritter schwärzen.
5. Prüfen und versenden: Vollständigkeit kontrollieren, am besten durch den Datenschutzbeauftragten. Sicher versenden, etwa verschlüsselt per E-Mail oder über einen geschützten Download.
6. Ablauf dokumentieren: Festhalten, wann die Anfrage einging, wie die Identität geprüft wurde und was wann beantwortet wurde. Bewahren Sie die Dokumentation für die regelmäßige Verjährungsfrist von drei Jahren auf, geschützt vor unbefugtem Zugriff.

Unser Praxistipp

Ein Auskunftsersuchen ist selten das eigentliche Anliegen. Oft steht ein Konflikt dahinter, etwa eine Kündigung, eine Reklamation oder eine Schadensersatzforderung. Wer schnell und vollständig antwortet, nimmt dem Konflikt eine Angriffsfläche.

Häufige Fragen zum Auskunftsrecht

Muss ich auch antworten, wenn ich keine Daten habe?

Ja. Auch die Auskunft, dass keine Daten gespeichert sind, ist eine Auskunft und muss innerhalb der Frist erteilt werden.

Was passiert, wenn ich die Frist verpasse?

Die Person kann sich bei der Aufsichtsbehörde beschweren und Schadensersatz verlangen. Nach dem EuGH kann schon die Verletzung des Auskunftsrechts einen Schadensersatzanspruch begründen. Zusätzlich sind Bußgelder möglich.

Darf ich eine Ausweiskopie verlangen?

Nur wenn Sie begründete Zweifel an der Identität haben und mildere Mittel nicht reichen. Bei bekannten Kunden reicht meist ein Abgleich mit vorhandenen Daten. Wenn eine Ausweiskopie nötig ist, darf die Person alles außer Name, Anschrift, Geburtsdatum und Gültigkeit schwärzen.

Ist eine Auskunft an die falsche Person ein Datenschutzverstoß?

Ja. Gehen Daten ohne ausreichende Prüfung an eine unbefugte Person, ist das eine unrechtmäßige Offenlegung und in der Regel eine meldepflichtige Datenpanne. Deshalb gilt: Erst plausibilisieren, dann antworten.

Müssen auch E-Mails herausgegeben werden?

Personenbezogene Daten in E-Mails gehören zur Auskunft. Nach dem EuGH kann die Kopie auch Auszüge aus E-Mails umfassen, wenn die Daten nur so verständlich werden. Daten Dritter werden geschwärzt.

Kann ich einen Anwalt oder Datenschutzbeauftragten einschalten?

Ja, und bei schwierigen Fällen ist das sinnvoll, etwa bei Anträgen im Zusammenhang mit einem Rechtsstreit oder bei Missbrauchsverdacht.

Fazit

Das Auskunftsrecht nach Art. 15 DSGVO verpflichtet Unternehmen, innerhalb eines Monats vollständig über gespeicherte Daten zu informieren und eine Kopie bereitzustellen. Seit dem EuGH-Urteil vom März 2026 ist klar, dass missbräuchliche Anträge auch beim ersten Mal abgelehnt werden können, aber nur mit guter Begründung. Wer einen festen Ablauf und ein aktuelles Verarbeitungsverzeichnis hat, beantwortet Anfragen schnell und rechtssicher.

Verwandte Begriffe im Glossar

• Auftragsverarbeitungsvertrag (AV-Vertrag)
• Verzeichnis von Verarbeitungstätigkeiten (VVT)
• Datenschutz-Folgenabschätzung (DSFA)
• Datenschutzbeauftragter (DSB)
• Löschkonzept
• Pseudonymisierung und Anonymisierung
• Drittlandübermittlung und EU-US Data Privacy Framework

Quellen und Rechtsgrundlagen

• Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Art. 12 und 15, EUR-Lex
• EuGH, Urteil vom 19. März 2026, C-526/24 (Brillen Rottler), Einordnung bei Heuking
• EuGH, Urteil vom 4. Mai 2023, C-487/21
• EuGH, Urteil vom 12. Januar 2023, C-154/21
• EDSA-Leitlinien 01/2022 zum Auskunftsrecht, deutsche Fassung
• LfDI Baden-Württemberg: Identitätsprüfung bei elektronischen Auskunftsersuchen