DSGVO-Auskunftsrecht: So fordern Sie Ihre Daten an (Art. 15 DSGVO)

Rechtsgrundlage und Anwendungsbereich

Das Auskunftsrecht ist in Art. 15 DSGVO verankert und gehört zu den zentralen Betroffenenrechten der Datenschutz-Grundverordnung. Es verpflichtet jeden Verantwortlichen – also jedes Unternehmen, jede Behörde oder Organisation, die personenbezogene Daten verarbeitet – auf Anfrage mitzuteilen, ob und welche Daten gespeichert sind.

• Verarbeitungszwecke
• Kategorien der Daten
• Empfänger oder Kategorien von Empfängern
• Geplante Speicherdauer oder Kriterien für die Festlegung
• Bestehen eines Rechts auf Berichtigung, Löschung oder Einschränkung
• Beschwerderecht bei einer Aufsichtsbehörde
• Herkunft der Daten, wenn nicht beim Betroffenen erhoben
• Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Der Begriff 'personenbezogene Daten' ist weit gefasst: Er umfasst alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Name, Adresse und E-Mail ebenso wie IP-Adressen, Kundennummern, Gesundheitsdaten oder Bewegungsprofile.

So stellen Sie einen Auskunftsantrag

Ein Auskunftsantrag nach Art. 15 DSGVO ist an keine bestimmte Form gebunden. Sie können den Antrag per E-Mail, Brief, Fax oder – sofern angeboten – über ein Online-Formular des Unternehmens stellen. Eine Begründung müssen Sie nicht angeben.

1. Identifizieren Sie den Verantwortlichen (Impressum, Datenschutzerklärung)
2. Formulieren Sie den Antrag formlos mit Bezug auf Art. 15 DSGVO
3. Geben Sie Ihre Identifizierungsdaten an (Name, E-Mail, Kundennummer)
4. Senden Sie den Antrag an den Datenschutzbeauftragten oder die allgemeine Kontaktadresse
5. Setzen Sie eine Frist von einem Monat
6. Bewahren Sie den Nachweis des Versands auf

In der Praxis empfiehlt es sich, den Antrag schriftlich zu stellen und eine Bestätigung oder einen Nachweis aufzubewahren. Bei E-Mails genügt in der Regel die Lesebestätigung oder der Sendungsnachweis. Bei einem Brief ist ein Einschreiben mit Rückschein sinnvoll, wenn Sie befürchten, dass das Unternehmen den Zugang bestreiten könnte.

Fristen und Antwortpflichten

Der Verantwortliche muss die Auskunft grundsätzlich innerhalb eines Monats nach Eingang des Antrags erteilen (Art. 12 Abs. 3 DSGVO). Diese Frist kann bei besonders komplexen oder umfangreichen Anfragen um weitere zwei Monate verlängert werden – der Verantwortliche muss Sie jedoch innerhalb des ersten Monats über die Verlängerung und deren Gründe informieren.

Die Auskunft muss in einer präzisen, transparenten und leicht zugänglichen Form erfolgen. In der Regel geschieht dies schriftlich oder – auf Wunsch – elektronisch. Mündliche Auskünfte sind nur zulässig, wenn der Betroffene dies ausdrücklich wünscht und seine Identität nachgewiesen ist.

Kosten und Format der Auskunft

Die erste Auskunft ist grundsätzlich kostenfrei (Art. 15 Abs. 3 DSGVO). Der Verantwortliche stellt eine Kopie der verarbeiteten personenbezogenen Daten zur Verfügung. Für weitere Kopien darf ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangt werden.

• Erste Kopie: kostenfrei
• Weitere Kopien: angemessenes Entgelt möglich
• Format: elektronisch bei elektronischer Anfrage (z. B. PDF, CSV)
• Umfang: Alle personenbezogenen Daten, nicht aber interne Bewertungen, die keine personenbezogenen Daten darstellen

Bei elektronischer Antragstellung soll die Auskunft grundsätzlich in einem gängigen elektronischen Format erteilt werden (z. B. PDF). Unternehmen sind nicht verpflichtet, komplette Datenbankauszüge oder interne Vermerke im Originalformat herauszugeben – eine strukturierte Zusammenfassung genügt, solange alle Pflichtangaben enthalten sind.

Identitätsprüfung und Missbrauchsschutz

Der Verantwortliche darf und muss die Identität des Antragstellers überprüfen, bevor er Daten herausgibt. Dies dient dem Schutz vor unbefugtem Zugriff Dritter auf personenbezogene Daten. Die Art der Identitätsprüfung richtet sich nach dem Kontext und dem Risiko.

Übliche Methoden sind der Abgleich mit hinterlegten E-Mail-Adressen, die Angabe von Kundennummern oder – bei sensiblen Daten – die Vorlage eines Ausweises. Der Verantwortliche darf jedoch nicht unverhältnismäßig hohe Hürden aufbauen, um das Auskunftsrecht faktisch zu unterlaufen.

Einschränkungen und Ausnahmen

Das Auskunftsrecht gilt nicht schrankenlos. Art. 15 Abs. 4 DSGVO ordnet an, dass die Auskunft die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf. Zudem enthalten die nationalen Datenschutzgesetze – in Deutschland insbesondere § 34 BDSG – weitere Einschränkungen.

In der Praxis relevant sind vor allem Konstellationen, in denen die Auskunft Geschäftsgeheimnisse offenlegen würde, Daten Dritter betroffen sind (z. B. in einem Gesprächsprotokoll) oder die Daten ausschließlich zu Archivzwecken gespeichert werden und die Auskunft einen unverhältnismäßigen Aufwand erfordern würde.

Durchsetzung – Wenn das Unternehmen nicht reagiert

Reagiert der Verantwortliche nicht, unvollständig oder verspätet auf Ihren Auskunftsantrag, stehen Ihnen mehrere Rechtsbehelfe zur Verfügung. Der wichtigste ist die Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde (Art. 77 DSGVO). Diese prüft den Fall und kann das Unternehmen zur Auskunft verpflichten oder ein Bußgeld verhängen.

• Beschwerde bei der Datenschutzaufsichtsbehörde (kostenfrei)
• Klage vor dem Zivilgericht auf Auskunftserteilung
• Schadensersatzklage nach Art. 82 DSGVO
• Einstweiliger Rechtsschutz bei besonderer Eilbedürftigkeit

Darüber hinaus haben Sie nach Art. 82 DSGVO einen Anspruch auf Schadensersatz, wenn Ihnen durch die Verletzung des Auskunftsrechts ein materieller oder immaterieller Schaden entstanden ist. Deutsche Gerichte haben in den letzten Jahren vermehrt immaterielle Schadensersatzansprüche bei DSGVO-Verstößen zugesprochen – die Höhe variiert je nach Schwere des Verstoßes erheblich.