Ablauf
Ein Auskunftsersuchen ist eingegangen
Ein Auskunftsersuchen braucht keine Begründung. Die Beweggründe sind grundsätzlich unerheblich. Seit dem Urteil vom 19.03.2026 kann allerdings schon der erste Antrag exzessiv sein, wenn der Verantwortliche eine missbräuchliche Absicht nachweist. Die Nachweislast dafür liegt bei ihm. Die Frist läuft weiter.
Ein Auskunftsersuchen im laufenden Verfahren
Im allgemeinen Postfach liegt eine E-Mail mit dem Betreff „Auskunft über meine Daten“. Absenderin ist eine Beschäftigte, deren Kündigungsschutzklage seit drei Wochen läuft. Die Nachricht ist elf Tage alt. Gelesen hat sie bislang niemand.
Die Kopie ist keine Aktenkopie und mehr als eine Liste
Was die Kopie nach Art. 15 Abs. 3 Satz 1 DSGVO umfasst, wird in zwei Richtungen verfehlt. Geschuldet ist eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, nicht aber der Unterlagen, in denen sie stehen. Daneben treten die acht Angaben des Absatzes 1.
Die acht Angaben des Art. 15 Abs. 1 DSGVO
Zwecke und Kategorien
Die Verarbeitungszwecke und die Kategorien der verarbeiteten Daten, Buchstaben a und b. Beides steht bereits im Verzeichnis der Verarbeitungstätigkeiten und lässt sich daraus übernehmen.
Empfänger und Drittländer
Die Empfänger oder Kategorien von Empfängern, Buchstabe c, insbesondere in Drittländern. Nach Absatz 2 ist zusätzlich über die Garantien nach Art. 46 DSGVO zu unterrichten.
Dauer und Herkunft
Die geplante Speicherdauer oder die Kriterien für ihre Festlegung, Buchstabe d, sowie bei nicht bei der Person erhobenen Daten alle verfügbaren Informationen über deren Herkunft, Buchstabe g.
Rechte und automatisierte Entscheidungen
Die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch, das Beschwerderecht bei einer Aufsichtsbehörde sowie das Bestehen einer automatisierten Entscheidungsfindung nebst aussagekräftigen Informationen über die involvierte Logik, Buchstaben e, f und h.
Zwei Ansprüche in einer Vorschrift
| Auskunft nach Absatz 1 | Merkmal | Kopie nach Absatz 3 |
|---|---|---|
| Angaben über die VerarbeitungZwecke, Kategorien, Empfänger, Dauer, Rechte, Herkunft, automatisierte Entscheidungen. | Gegenstand | Die Daten selbstIn der Form, in der sie verarbeitet werden. |
| Abschließend aufgezähltAcht Buchstaben, dazu Absatz 2 für Drittlandübermittlungen. | Umfang | Alle verarbeiteten DatenAuch aus E-Mails, Vermerken und Freitextfeldern, soweit sie personenbezogen sind. |
| Art. 12 Abs. 5 DSGVOOffenkundig unbegründete oder exzessive Anträge. | Grenze | Zusätzlich Art. 15 Abs. 4 DSGVORechte und Freiheiten anderer Personen. |
| UnentgeltlichArt. 12 Abs. 5 Satz 1 DSGVO. | Kosten | Erste Kopie unentgeltlichFür weitere Kopien ein angemessenes Entgelt nach Verwaltungskosten. |
Die häufigste Fehlleistung ist die Verwechslung beider Ansprüche. Eine Aktenkopie ohne die acht Angaben erfüllt Absatz 1 nicht, eine Tabelle mit Stammdaten erfüllt Absatz 3 nicht.
Rechte Dritter begrenzen die Kopie, nicht die Auskunft
Wie mit Daten anderer Personen und mit Geschäftsgeheimnissen umzugehen ist, beantwortet Art. 15 Abs. 4 DSGVO nur zur Hälfte. Die Vorschrift begrenzt das Recht auf Erhalt einer Kopie und nicht die Auskunft über die Verarbeitung als solche.
Drei Schritte statt einer pauschalen Verweigerung
Trennen
Personenbezogene Daten der antragstellenden Person von denen anderer. Ein Vermerk über ein Gespräch enthält beides. Nur der erste Teil ist Gegenstand des Anspruchs.
Beeinträchtigung feststellen
Art. 15 Abs. 4 DSGVO verlangt eine Beeinträchtigung im Einzelfall. Der bloße Umstand, dass ein Dritter genannt ist, genügt nicht.
So wenig schwärzen wie nötig
Eine Schwärzung, nach der die Kopie nichts mehr aussagt, erfüllt den Anspruch nicht. Wo eine Beeinträchtigung feststeht, ist die betroffene Person darüber zu unterrichten.
3 von 3
Geschäftsgeheimnisse sind kein eigener Verweigerungsgrund der Verordnung. Sie können in die Abwägung nach Art. 15 Abs. 4 DSGVO eingehen, soweit sie Rechte einer anderen Person betreffen. Daneben stehen die Beschränkungen, die der nationale Gesetzgeber nach Art. 23 DSGVO erlassen darf, für Deutschland insbesondere § 34 BDSG.
Der Beweggrund zählt nicht, die missbräuchliche Absicht seit 2026 schon
Ob es etwas ändert, wenn das Ersuchen aus einem laufenden Konflikt kommt, hat der Gerichtshof zweimal beantwortet. Die zweite Antwort ist jung.
Zwei Entscheidungen, drei Jahre auseinander
26.10.2023
Der Antrag braucht keine Begründung
In der Sache C-307/22 hat der Gerichtshof entschieden, dass die erste Kopie auch dann unentgeltlich geschuldet ist, wenn der Antrag mit einem anderen Zweck begründet wird als dem der Datenschutzprüfung. Eine Begründung darf der Verantwortliche nicht verlangen.
19.03.2026
Auch der erste Antrag kann exzessiv sein
In der Sache C-526/24 hat der Gerichtshof entschieden, dass ein erster Antrag als exzessiv gelten kann, wenn der Verantwortliche eine missbräuchliche Absicht nachweist, etwa die künstliche Schaffung der Voraussetzungen für einen Vorteil aus der Verordnung.
Beides steht nebeneinander und widerspricht sich nicht. Der Beweggrund bleibt grundsätzlich unerheblich. Die Grenze liegt bei der missbräuchlichen Absicht. Zwei Folgerungen für die Praxis ergeben sich daraus.
Die Frist läuft ab Eingang und nicht ab Zuständigkeit
Wie die Monatsfrist im Betrieb zu organisieren ist, entscheidet über den Ausgang mehr als die materielle Rechtslage. Art. 12 Abs. 3 DSGVO setzt sie ab Eingang des Antrags. Ein Antrag geht auch im allgemeinen Postfach ein.
Was vor dem ersten Ersuchen feststehen sollte
Liste zu erledigender Punkte
- Wo Ersuchen eingehen können, also allgemeine Postfächer, Formulare, Telefon und Papierpost
- Wer sie erkennt und an wen weiterleitet
- In welchen Systemen zu suchen ist, abgeleitet aus dem Verzeichnis der Verarbeitungstätigkeiten
- Welche Auftragsverarbeiter zuzuarbeiten haben, nach Art. 28 Abs. 3 Buchst. e DSGVO
- Wer über eine Fristverlängerung entscheidet und wer sie mitteilt
Die Verlängerung um zwei Monate ist möglich, wenn Komplexität oder Anzahl der Anträge das erfordern. Mitzuteilen ist sie innerhalb des ersten Monats, zusammen mit den Gründen für die Verzögerung.
So unterstützen wir Sie bei der Beantwortung des Auskunftsersuchens
Die Vorbereitung kostet einen Vormittag und wirkt bei jedem Ersuchen. Grundlage ist das Verzeichnis der Verarbeitungstätigkeiten, aus dem sich die Liste der Systeme und der Auftragsverarbeiter ergibt. Ein Musterschreiben mit den acht Angaben des Art. 15 Abs. 1 DSGVO nimmt der Frist ihre Schärfe.
Häufige Fragen
Muss ein Auskunftsersuchen begründet werden?
Nein. Der Gerichtshof hat am 26.10.2023 entschieden, dass weder Art. 12 Abs. 5 noch Art. 15 Abs. 1 und 3 DSGVO eine Begründung verlangen. Der Verantwortliche darf sie deshalb auch nicht zur Voraussetzung machen.
Kann schon der erste Antrag exzessiv sein?
Seit dem 19.03.2026 ja. Der Gerichtshof hat entschieden, dass auch ein erster Antrag als exzessiv gelten kann, wenn der Verantwortliche eine missbräuchliche Absicht nachweist. Berücksichtigt werden darf dabei, ob die Person nach öffentlich zugänglichen Informationen mehrfach Auskunft verlangt und danach Schadensersatz gefordert hat.
Was gilt für Daten anderer Personen?
Art. 15 Abs. 4 DSGVO begrenzt das Recht auf Erhalt einer Kopie, wenn Rechte und Freiheiten anderer beeinträchtigt würden. Das ist im Einzelfall festzustellen und rechtfertigt keine pauschale Verweigerung. Die Auskunft über die Verarbeitung als solche bleibt geschuldet.
Wie lange ist die Frist?
Ein Monat ab Eingang des Antrags, Art. 12 Abs. 3 DSGVO. Sie kann um zwei Monate verlängert werden, wenn Komplexität oder Anzahl der Anträge das erfordern. Die Verlängerung ist innerhalb des ersten Monats mitzuteilen, zusammen mit den Gründen.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.