Person legt Unterlagen in eine Ablagebox, daneben Laptop, Tischkalender und Briefumschlag
Compliance

Auskunftsersuchen nach Art. 15 DSGVO: Frist, Inhalt und Ablauf für Unternehmen

ShapeMinds Redaktion

Ein Auskunftsersuchen ist der Antrag einer Person, zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen über sie verarbeitet. Grundlage ist Art. 15 DSGVO. Unternehmen müssen unverzüglich und spätestens innerhalb eines Monats antworten, vollständig, verständlich und für die erste Kopie kostenlos.

Das Wichtigste in Kürze

  • Jede betroffene Person kann Auskunft verlangen: Kundinnen und Kunden, Beschäftigte, Bewerbende, ehemalige Mitarbeitende.
  • Die Antwortfrist beträgt einen Monat ab Eingang. Sie lässt sich nur in begründeten Fällen um zwei Monate verlängern.
  • Zur Auskunft gehören eine Bestätigung, eine Kopie der Daten und die Informationen nach Art. 15 Abs. 1 lit. a bis h DSGVO.
  • Die erste Kopie ist kostenlos, auch wenn die Person ganz andere Ziele verfolgt als den Datenschutz.
  • Einschränkungen gibt es, etwa zum Schutz Dritter oder bei offenkundig unbegründeten und exzessiven Anträgen. Die Beweislast liegt beim Unternehmen.

Was ist ein Auskunftsersuchen?

Das Auskunftsrecht ist das zentrale Betroffenenrecht der Datenschutz-Grundverordnung. Es soll Menschen ermöglichen, die Verarbeitung ihrer Daten nachzuvollziehen und ihre weiteren Rechte wahrzunehmen, etwa Berichtigung oder Löschung.

Ein Auskunftsersuchen muss keine bestimmte Form haben. Es kann per E-Mail, Brief, Kontaktformular oder am Telefon eingehen und muss weder das Wort „Auskunftsersuchen“ noch einen Paragraphen enthalten. Die Person muss ihren Antrag auch nicht begründen. Das stellt der Europäische Datenschutzausschuss (EDSA) in seinen Leitlinien zum Auskunftsrecht klar.

Für die Praxis heißt das: Ein Auskunftsersuchen kann bei jeder Stelle im Unternehmen landen, im Kundenservice, im Vertrieb oder in der Personalabteilung. Wer es dort nicht als solches erkennt, lässt womöglich die Frist verstreichen.

Welche Frist gilt für ein Auskunftsersuchen?

Nach Art. 12 Abs. 3 DSGVO müssen Unternehmen die Auskunft unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags erteilen. Die Frist beginnt mit dem Eingang, nicht erst mit der Weiterleitung an die zuständige Stelle.

Eine Verlängerung um weitere zwei Monate ist möglich, wenn dies wegen der Komplexität oder der Anzahl der Anträge erforderlich ist. Darüber müssen Sie die Person innerhalb des ersten Monats informieren und die Gründe für die Verzögerung nennen.

Lehnen Sie einen Antrag ganz oder teilweise ab, gilt ebenfalls die Monatsfrist. Sie müssen die Gründe mitteilen und auf die Möglichkeit hinweisen, sich bei einer Aufsichtsbehörde zu beschweren oder einen gerichtlichen Rechtsbehelf einzulegen (Art. 12 Abs. 4 DSGVO).

Was gehört in die Auskunft?

Art. 15 DSGVO umfasst drei Bestandteile: die Bestätigung, ob Daten verarbeitet werden, die Daten selbst als Kopie und Informationen über die Verarbeitung.

Bestandteil Inhalt
Bestätigung Ob personenbezogene Daten der Person verarbeitet werden. Auch eine Negativauskunft ist eine Auskunft.
Kopie der Daten Die verarbeiteten personenbezogenen Daten selbst (Art. 15 Abs. 3 DSGVO).
a) Zwecke Wofür die Daten verarbeitet werden.
b) Kategorien Welche Arten von Daten, zum Beispiel Kontakt-, Vertrags- oder Zahlungsdaten.
c) Empfänger Wer die Daten erhalten hat oder erhält, insbesondere in Drittländern.
d) Speicherdauer Die geplante Dauer oder die Kriterien dafür.
e) Rechte Hinweis auf Berichtigung, Löschung, Einschränkung und Widerspruch.
f) Beschwerderecht Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde.
g) Herkunft Woher die Daten stammen, wenn sie nicht bei der Person selbst erhoben wurden.
h) Automatisierte Entscheidungen Ob automatisierte Entscheidungen einschließlich Profiling stattfinden, mit aussagekräftigen Informationen zur Logik und Tragweite.

Werden Daten in ein Drittland übermittelt, hat die Person zusätzlich das Recht, über die geeigneten Garantien informiert zu werden (Art. 15 Abs. 2 DSGVO). Stellt sie den Antrag elektronisch, erhalten Sie die Informationen in einem gängigen elektronischen Format, sofern sie nichts anderes wünscht.

Kosten: Die erste Kopie ist kostenlos

Die erste Kopie der Daten muss unentgeltlich sein. Nur für weitere Kopien dürfen Unternehmen ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen (Art. 15 Abs. 3 DSGVO).

Der Europäische Gerichtshof hat 2023 entschieden, dass die kostenlose erste Kopie auch dann geschuldet ist, wenn die Person ihren Antrag mit ganz anderen Zielen verbindet. Im Fall ging es um einen Patienten, der eine Kopie seiner Patientenakte verlangte, um Haftungsansprüche gegen seine Zahnärztin zu prüfen (EuGH, Urteil vom 26. Oktober 2023, C-307/22). Unternehmen können ein Auskunftsersuchen also nicht deshalb ablehnen oder berechnen, weil sie einen Rechtsstreit im Hintergrund vermuten.

Wann dürfen Unternehmen die Auskunft einschränken?

Das Auskunftsrecht ist weit, aber nicht grenzenlos. Diese Ausnahmen sind in der Praxis wichtig:

  • Rechte anderer Personen: Die Kopie darf die Rechte und Freiheiten anderer nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Daten Dritter, etwa Namen von Kolleginnen und Kollegen in E-Mails, schwärzen Sie deshalb. Die Auskunft insgesamt verweigern dürfen Sie deswegen nicht.
  • Offenkundig unbegründete oder exzessive Anträge: Hier dürfen Sie ein angemessenes Entgelt verlangen oder den Antrag ablehnen (Art. 12 Abs. 5 DSGVO). Das gilt vor allem bei häufiger Wiederholung. Den Nachweis dafür müssen Sie erbringen.
  • Zweifel an der Identität: Haben Sie begründete Zweifel, wer den Antrag stellt, dürfen Sie zusätzliche Informationen zur Bestätigung der Identität anfordern (Art. 12 Abs. 6 DSGVO). Fragen Sie dabei nur ab, was zur Identifizierung wirklich nötig ist.
  • Ausnahmen im BDSG: § 34 BDSG schränkt das Auskunftsrecht unter anderem für Daten ein, die nur wegen gesetzlicher Aufbewahrungspflichten gespeichert sind oder ausschließlich der Datensicherung dienen. Voraussetzung ist, dass die Auskunft einen unverhältnismäßigen Aufwand erfordern würde und eine Verwendung für andere Zwecke durch technische und organisatorische Maßnahmen ausgeschlossen ist. Die Gründe für eine Ablehnung sind zu dokumentieren.

So bearbeiten Sie ein Auskunftsersuchen in sieben Schritten

  1. Eingang erkennen und festhalten: Datum des Eingangs notieren und die Monatsfrist eintragen. Legen Sie fest, an wen Mitarbeitende Anfragen sofort weiterleiten.
  2. Identität prüfen: Nur bei begründeten Zweifeln zusätzliche Angaben anfordern, und nur so viele wie nötig.
  3. Datenquellen durchsuchen: CRM, Shop- und Buchhaltungssystem, E-Mail-Postfächer, Personalakte, Ticketsystem, Dienstleister. Ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten zeigt, wo Daten liegen.
  4. Daten Dritter schwärzen: Kopien auf Angaben über andere Personen prüfen. Worauf es dabei technisch ankommt, erklärt der Beitrag Datenschutzkonform schwärzen – aber wie? unseres Beratungsteams.
  5. Informationen zusammenstellen: Zwecke, Kategorien, Empfänger, Speicherdauer, Rechte und Herkunft verständlich aufbereiten.
  6. Sicher übermitteln: Die Auskunft enthält oft sensible Daten. Nutzen Sie einen geschützten Weg, zum Beispiel ein verschlüsseltes Dokument oder ein Portal.
  7. Dokumentieren: Eingang, Prüfschritte, Antwort und gegebenenfalls Ablehnungsgründe ablegen. So können Sie gegenüber der Aufsichtsbehörde nachweisen, dass Sie korrekt gehandelt haben.

Der häufigste Fehler passiert ganz am Anfang: Eine Anfrage bleibt im Postfach liegen, weil niemand sie als Auskunftsersuchen erkennt. Ein sichtbarer Hinweis am Arbeitsplatz hilft, etwa das Datenschutzzeichen zur Mitarbeiterinformation für Auskunftsersuchen. Wer Fristen, Zuständigkeiten und Nachweise dauerhaft organisieren will, bildet den Prozess in einem Datenschutzmanagementsystem (DSMS) ab.

Was droht bei Verstößen?

Wer ein Auskunftsersuchen zu spät, unvollständig oder gar nicht beantwortet, verletzt die Rechte der betroffenen Person. Die Person kann sich bei der zuständigen Aufsichtsbehörde beschweren. Verstöße gegen die Betroffenenrechte der Art. 12 bis 22 DSGVO können mit Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 lit. b DSGVO). Die Höhe im Einzelfall richtet sich nach den Umständen. Wichtiger als die Obergrenze ist für die meisten Unternehmen: Ein sauberer Prozess verhindert Beschwerden, bevor sie entstehen.

Häufige Fragen

Muss ein Auskunftsersuchen schriftlich gestellt werden?

Nein. Die DSGVO schreibt keine Form vor. Auch eine E-Mail oder ein Anruf kann ein wirksames Auskunftsersuchen sein.

Muss die Person begründen, warum sie Auskunft möchte?

Nein. Eine Begründung ist nicht erforderlich, und die Auskunft darf nicht vom Zweck abhängig gemacht werden.

Dürfen wir eine Ausweiskopie verlangen?

Nur wenn begründete Zweifel an der Identität bestehen, und nur in dem Umfang, der zur Identifizierung nötig ist. Oft reichen Angaben, die Sie bereits kennen, zum Beispiel eine Kundennummer.

Gilt das Auskunftsrecht auch für Beschäftigte?

Ja. Art. 15 DSGVO gilt für alle betroffenen Personen, also auch für aktuelle und ehemalige Mitarbeitende sowie Bewerbende.

Wie lange haben wir Zeit?

Einen Monat ab Eingang. Eine Verlängerung um zwei Monate ist nur bei komplexen oder zahlreichen Anträgen möglich und muss innerhalb des ersten Monats mit Begründung mitgeteilt werden.

Sie sind unsicher, ob Ihr Ablauf für Auskunftsersuchen trägt, oder liegt ein schwieriger Fall auf dem Tisch? Das Beratungsteam von WIEMER ARNDT, unserem Schwesterunternehmen, unterstützt Sie bei der Datenschutzberatung und auf Wunsch als externer Datenschutzbeauftragter.

Quellen

Stand: September 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Weitere Ratgeber: Compliance

Zurück zum Blog