Auskunft nach Art. 15 DSGVO erteilen
Eine Auskunft ist mehr als eine Liste von Datenarten. Art. 15 Abs. 1 DSGVO trägt drei Pflichten nebeneinander: die Bestätigung, ob überhaupt verarbeitet wird, die Auskunft über die Daten selbst und acht weitere Angaben. Antworten müssen Sie unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO).
Alle Funktionen inklusive. Keine Kreditkarte.
Vorgang anlegen und Frist rechnenPflichtangaben des Art. 15 als Checkliste · Frist ab Eingang, nicht ab Bearbeitung · Server in Deutschland
So geht es
- Eingang erfassenMaßgeblich ist der Tag, an dem der Antrag Sie über einen Ihrer Kommunikationswege erreicht hat – nicht das Öffnen der Mail, nicht das Anlegen des Vorgangs. Urlaub und Wochenende verschieben nichts.
- Identität nur bei Zweifeln prüfenZusätzliche Angaben dürfen Sie nur bei begründeten Zweifeln und nur verhältnismäßig verlangen (Art. 12 Abs. 6 DSGVO). Die Checkliste hält die Abwägung fest, statt die Ausweiskopie zur Routine zu machen.
- Pflichtangaben abhakenDie App führt die Bestätigung, die Daten selbst und die Angaben aus Art. 15 Abs. 1 lit. a bis h als Liste – jede Zeile einzeln quittiert, statt als Fließtext im Entwurf unterzugehen.
- Antwort dokumentierenAntwort-Baustein, Versanddatum und Fristende liegen am selben Vorgang. Der Nachweis-Export hält sie zusammen, wenn die Aufsichtsbehörde später danach fragt.
Drei Pflichten, nicht eine
Der häufigste Fehler in der Praxis ist die Auskunft, die nur die Kategorien nennt und die Daten selbst weglässt. lit. b verlangt die Kategorien personenbezogener Daten, der Einleitungssatz von Art. 15 Abs. 1 verlangt daneben die Auskunft über diese Daten. Wer nur „Stammdaten, Vertragsdaten“ schreibt, hat lit. b erfüllt und den Einleitungssatz nicht. Und wird gar nichts verarbeitet, ist die Bestätigung darüber die geschuldete Antwort, nicht das Schweigen.
Zur Auskunft gehört die Kopie der verarbeiteten Daten (Art. 15 Abs. 3 Satz 1 DSGVO). Dass die erste Kopie nichts kostet, steht dort allerdings nicht: Es folgt aus Art. 12 Abs. 5 Satz 1, und der Europäische Gerichtshof hat diese Verbindung im Urteil vom 26.10.2023 in der Rechtssache C-307/22 ausdrücklich hergestellt. Für weitere Kopien darf ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangt werden (Art. 15 Abs. 3 Satz 2) – einen Betrag nennt die Verordnung nicht.
Empfänger: Namen statt Kategorien
lit. c nennt „die Empfänger oder Kategorien von Empfängern“. Das ist kein Wahlrecht des Unternehmens: Nach dem Urteil des Europäischen Gerichtshofs vom 12.01.2023 in der Rechtssache C-154/21 kann die betroffene Person verlangen, dass ihr die Identität der Empfänger mitgeteilt wird. Nur wenn die Empfänger nicht identifizierbar sind oder der Antrag offenkundig unbegründet oder exzessiv ist (Art. 12 Abs. 5 DSGVO), genügt die Angabe von Kategorien. Erfasst sind dabei auch die bereits erfolgten Offenlegungen, nicht nur die künftigen.
Zwei Angaben fallen regelmäßig heraus. lit. e nennt vier Rechte – Berichtigung, Löschung, Einschränkung und Widerspruch –, und vergessen wird meist das Widerspruchsrecht aus Art. 21. Und Art. 15 Abs. 2 steht außerhalb der Buchstabenliste: Werden Daten in ein Drittland oder an eine internationale Organisation übermittelt, ist über die geeigneten Garantien nach Art. 46 zu unterrichten.
Häufige Fragen
Wie lange habe ich Zeit für die Auskunft?
Unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags (Art. 12 Abs. 3 Satz 1 DSGVO). Der Monat ist die äußerste Grenze, nicht die vorgesehene Bearbeitungszeit.
Darf ich eine Ausweiskopie verlangen?
Nur bei begründeten Zweifeln an der Identität und nur, soweit das verhältnismäßig ist (Art. 12 Abs. 6 DSGVO). Kommt der Antrag aus einem angemeldeten Kundenkonto, ist eine Ausweiskopie in der Regel mehr, als zur Bestätigung nötig ist.
Muss ich die Empfänger namentlich nennen?
Im Regelfall ja. Der Europäische Gerichtshof hat in der Rechtssache C-154/21 entschieden, dass die betroffene Person die Identität der Empfänger verlangen kann; die Angabe bloßer Kategorien bleibt die begründungsbedürftige Ausnahme.
Was kostet die Auskunft die betroffene Person?
Im Regelfall nichts: Mitteilungen und Maßnahmen nach den Artikeln 15 bis 22 werden unentgeltlich zur Verfügung gestellt (Art. 12 Abs. 5 Satz 1 DSGVO). Zwei Ausnahmen nennt die Verordnung. Bei offenkundig unbegründeten oder exzessiven Anträgen darf ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden – den Nachweis dafür trägt der Verantwortliche (Art. 12 Abs. 5 Satz 2 und 3). Und für weitere Kopien ist ein angemessenes Entgelt auf Grundlage der Verwaltungskosten möglich (Art. 15 Abs. 3 Satz 2).
Alle Funktionen inklusive. Keine Kreditkarte.
Vorgang anlegen und Frist rechnenPflichtangaben des Art. 15 als Checkliste · Frist ab Eingang, nicht ab Bearbeitung · Server in Deutschland
Welche Angaben im Einzelfall geschuldet sind, entscheidet der Verantwortliche. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.