Art. 15 DSGVO: So setzen Betroffene ihr Auskunftsrecht durch

Dieser Beitrag erklärt Ihr Auskunftsrecht nach Art. 15 DSGVO fundiert und verständlich – inklusive aktueller EuGH-Urteile, Fristen und sofort nutzbarer Mustervorlagen für die Praxis.

Wer kann den Auskunftsanspruch geltend machen?

Auskunft kann jede betroffene Person verlangen, also jede identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten verarbeitet werden. Maßgeblich ist allein die Betroffenheit durch eine Datenverarbeitung.

Ein Verzicht auf das Auskunftsrecht oder dessen Einschränkung durch vertragliche Vereinbarung ist regelmäßig unwirksam, soweit dadurch der durch die DSGVO gewährleistete Mindeststandard unterschritten würde.

Voraussetzungen des Auskunftsanspruchs

Voraussetzung des Auskunftsanspruchs ist, dass ein Verantwortlicher personenbezogene Daten der betroffenen Person verarbeitet, also etwa erhebt, speichert, nutzt, übermittelt oder auf sonstige Weise verarbeitet.

Anspruchsgegner ist dabei der Verantwortliche im Sinne der DSGVO, also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet.

Der Anspruch besteht grundsätzlich unabhängig davon, ob die Verarbeitung „wesentlich“ oder „geringfügig“ erscheint. Einschränkungen kommen nur in Betracht, wenn hierfür eine gesetzliche Grundlage besteht.

In Betracht kommen insbesondere Fälle, in denen die Auskunft Rechte und Freiheiten Dritter beeinträchtigen würde oder besondere gesetzliche Geheimhaltungs- bzw. Schutzpflichten entgegenstehen.

Geltendmachung des Auskunftsanspruchs

Für das Auskunftsverlangen ist keine besondere Form vorgeschrieben. Es kann schriftlich, elektronisch und grundsätzlich auch mündlich gestellt werden. Aus praktischen Gründen empfiehlt sich jedoch die Textform, etwa per E-Mail oder Brief, um Inhalt und Zeitpunkt des Verlangens im Streitfall nachweisen zu können.

Der Auskunftsanspruch ist motivunabhängig. Die betroffene Person muss weder Gründe angeben noch sich rechtfertigen; ein (vermuteter) Zweck, etwa die Vorbereitung oder Führung eines Rechtsstreits, rechtfertigt für sich genommen keine Ablehnung. Grenzen bestehen nur nach Maßgabe der DSGVO, insbesondere bei offenkundig unbegründeten oder exzessiven Anträgen.

Der Verantwortliche muss die betroffene Person zuverlässig identifizieren können, damit Auskünfte nicht an Unberechtigte gelangen. Deshalb ist es üblich und regelmäßig auch sachgerecht, dass der Betroffene Angaben macht, die eine eindeutige Zuordnung ermöglichen, etwa Name und aktuelle Anschrift sowie – soweit vorhanden – eine Kunden- oder Vertragsnummer.

Es ist zulässig, das Auskunftsersuchen inhaltlich einzugrenzen, etwa auf bestimmte Vertragsverhältnisse, Kommunikationsdaten oder Bonitätsinformationen. Verpflichtend ist eine solche Eingrenzung jedoch nicht; das Auskunftsrecht besteht grundsätzlich umfassend für die beim Verantwortlichen verarbeiteten personenbezogenen Daten.

Inhalt, Form, Fristen und Kosten der Auskunft

Was die Auskunft enthalten muss

Der Anspruch nach Art. 15 DSGVO umfasst zunächst die Bestätigung, ob personenbezogene Daten verarbeitet werden. Wird dies bejaht, hat der Verantwortliche Auskunft über die verarbeiteten Daten und über wesentliche Rahmeninformationen zu erteilen.

Dazu gehören insbesondere:

• die Zwecke der Verarbeitung,
• die Kategorien personenbezogener Daten,
• die Empfänger oder Kategorien von Empfängern, gegenüber denen Daten offengelegt wurden oder werden,
• soweit möglich die geplante Speicherdauer bzw. die Kriterien für deren Festlegung,
• Hinweise auf die Rechte der betroffenen Person (insbesondere Berichtigung, Löschung, Einschränkung, Widerspruch) sowie das Beschwerderecht bei einer Datenschutzaufsichtsbehörde,
• falls die Daten nicht bei der betroffenen Person erhoben wurden: die Herkunft der Daten, soweit diese Information verfügbar ist.

Anspruch auf „Kopie“ (Art. 15 Abs. 3 DSGVO)

Ein zentraler Bestandteil des Auskunftsrechts ist darüber hinaus der Anspruch auf Erhalt einer „Kopie“ der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Die Kopie muss die personenbezogenen Daten vollständig und verständlich wiedergeben, damit die betroffene Person ihre Rechte effektiv ausüben kann.

Daraus folgt jedoch nicht, dass stets vollständige Dokumente herauszugeben wären. Erforderlich ist eine verständliche Reproduktion der personenbezogenen Daten; je nach Kontext kann dies durch strukturierte Datenauszüge, Listen oder Dokumentauszüge erfolgen.

Die Herausgabe ganzer Dokumente kann im Einzelfall nur dann geboten sein, wenn dies zur vollständigen und verständlichen Wiedergabe der personenbezogenen Daten erforderlich ist (EuGH, Urt. v. 04.05.2023, C-487/21).

Dabei ist zu beachten, dass die Auskunft nicht dazu führen darf, Rechte und Freiheiten anderer Personen zu beeinträchtigen; insoweit kann der Verantwortliche Inhalte erforderlichenfalls schwärzen oder die Auskunft in zulässiger Weise beschränken.

Automatisierte Entscheidungsfindung und Profiling

Soweit eine Verarbeitung auf einer automatisierten Entscheidungsfindung einschließlich Profiling beruht, sind zudem „aussagekräftige Informationen“ über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer solchen Verarbeitung mitzuteilen, soweit dies im konkreten Fall einschlägig ist.

Im Kontext von Bonitätsbewertungen und Scoring kann dies besondere praktische Bedeutung haben; je nach konkreter Ausgestaltung kann zudem eine Einordnung als automatisierte Entscheidung im Sinne von Art. 22 DSGVO berührt sein.

Fristen, Kosten und Durchsetzung

Die Auskunft ist grundsätzlich unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags zu erteilen; in begründeten Fällen kann diese Frist unter den Voraussetzungen der DSGVO verlängert werden. Die Auskunft ist grundsätzlich unentgeltlich. Nur bei offenkundig unbegründeten oder exzessiven Anträgen kann der Verantwortliche ein angemessenes Entgelt verlangen oder die Bearbeitung ablehnen.

Reagiert ein Unternehmen nicht, nicht fristgerecht oder erkennbar unvollständig, kann sich der Betroffene an die zuständige Datenschutzaufsichtsbehörde wenden und – je nach Fallgestaltung – seine Rechte auch gerichtlich durchsetzen. Verstöße gegen Auskunftspflichten können zudem aufsichtsbehördliche Maßnahmen und Bußgelder nach sich ziehen.

Was gilt, wenn das Unternehmen die Monatsfrist verstreichen lässt?

Erteilt der Verantwortliche innerhalb eines Monats keine Auskunft, sollte der Betroffene das nicht einfach hinnehmen.

In der Praxis bietet sich häufig ein zweistufiges Vorgehen an:

1.Erinnerung und kurze Nachfrist:

Zunächst kann schriftlich erinnert und eine kurze Nachfrist gesetzt werden (z. B. 7–14 Tage). Zugleich kann um Mitteilung gebeten werden, ob und aus welchen Gründen eine Fristverlängerung nach Art. 12 Abs. 3 DSGVO in Anspruch genommen wird. Eine Verlängerung ist nur zulässig, wenn dies wegen Komplexität oder Anzahl der Anträge erforderlich ist; darüber muss der Verantwortliche grundsätzlich innerhalb der Monatsfrist informieren und die Gründe nennen.

2. Beschwerde und/oder gerichtliche Durchsetzung:

Bleibt eine Reaktion aus oder ist sie offensichtlich unzureichend, kommt eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde (Art. 77 DSGVO) in Betracht. Der Anspruch kann außerdem gerichtlich durchgesetzt werden. Je nach Fallgestaltung kann daneben auch ein Schadensersatzanspruch nach Art. 82 DSGVO in Betracht kommen, wenn durch die Pflichtverletzung ein materieller oder immaterieller Schaden entstanden ist. Unabhängig davon kann eine verspätete oder unvollständige Auskunft aufsichtsrechtliche Maßnahmen und Bußgelder nach sich ziehen (Art. 83 DSGVO).