Was ist das Auskunftsrecht?
Das Auskunftsrecht ist eines der Betroffenenrechte der DSGVO. Jede Person darf von einem Unternehmen wissen, ob es Daten über sie verarbeitet. Die Datenschutzkonferenz spricht von einem abgestuften Recht: erst die Bestätigung, dann die Daten selbst und Zusatzinfos.
Der Antrag ist formlos. Eine Mail, ein Brief oder ein Satz im Chat reichen. Eine Begründung braucht die Person nicht, und sie darf die Auskunft auch nutzen, um einen Streit vorzubereiten. Das hat der EuGH 2023 klargestellt (C-307/22).
Was in die Auskunft gehört
- Die Daten selbst als Kopie: eine originalgetreue und verständliche Wiedergabe, nicht nur eine Beschreibung.
- Zweck und Kategorien: wofür und welche Arten von Daten.
- Empfänger: möglichst konkret benannt, nicht nur „Dienstleister“.
- Speicherdauer: wie lange, oder nach welchen Kriterien.
- Herkunft: woher die Daten stammen, wenn nicht von der Person.
- Rechte: Berichtigung, Löschung, Widerspruch, Beschwerde bei der Aufsicht.
- Automatisierte Entscheidungen: ob es welche gibt und wie das Verfahren verständlich funktioniert.
Hast du gar keine Daten zu der Person, schuldest du trotzdem eine Antwort: die Negativauskunft. Und der BGH legt den Begriff Daten weit aus. Auch Mails der Person selbst und interne Telefonnotizen zählen dazu.
Frist, Kosten und Identität
Die Antwort muss unverzüglich, spätestens innerhalb eines Monats kommen (Art. 12 Abs. 3 DSGVO). Bei komplexen Fällen geht es um zwei weitere Monate länger. Das musst du der Person aber im ersten Monat mitteilen, mit Gründen.
Die Frist läuft ab Eingang über einen offiziellen Kanal, egal ob es jemand bemerkt hat. Der EDSA rechnet so: Eingang am 5. März, Frist bis 5. April. Die erste Kopie ist kostenlos.
Was die Praxis zeigt
Case A · EU-Prüfung
Koordinierte Prüfung der Aufsichtsbehörden 2024
1.185
befragte Unternehmen
74 %
mit höchstens 10 Anfragen 2023
Anfragen kommen selten, also fehlt oft ein Ablauf
Die Behörden vermuten, dass viele Anfragen gar nicht als solche erkannt werden.
Case B · Bußgeld
Bank in Kroatien verweigert die Kopie
146.667 €
Bußgeld
20 Mio. €
Rahmen oder 4 % Umsatz
Verstoß gegen Art. 15 Abs. 3
Der Fall steht im Bericht des EDSA zur koordinierten Prüfung. Der Rahmen folgt aus Art. 83 Abs. 5 DSGVO.
Und der Missbrauch? Der EuGH entschied im März 2026 (C-526/24), dass schon ein erster Antrag missbräuchlich sein kann. Etwa wenn jemand einen Newsletter nur abonniert, um mit der Auskunft Schadensersatz zu fordern. Das Unternehmen muss die Absicht aber nachweisen. Ein Freifahrtschein ist das nicht.
Häufige Fehler
Fehler 1 · Nach dem Grund fragen
„Wofür brauchen Sie das?“ darfst du fragen, aber die Antwort darf keine Bedingung sein. Auch wer einen Streit vorbereitet, hat Anspruch auf Auskunft.
Fehler 2 · Nur Kategorien liefern
„Wir speichern Name und Adresse“ reicht nicht. Die Person bekommt die Daten selbst, und Empfänger nennst du konkret, wenn du sie kennst (EuGH C-154/21).
Fehler 3 · Anfrage im Postfach übersehen
Die Anfrage kommt über das Kontaktformular oder als Antwort auf den Newsletter, und niemand fühlt sich zuständig. Die Frist läuft trotzdem.
Fehler 4 · Nur im CRM suchen
Laut EDSA-Bericht suchen viele zu eng, oft nur in den gängigen Datenbanken. Newsletter-Tool, Ticketsystem, Buchhaltung und Mails gehören dazu.
So bist du vorbereitet
- Ablauf festlegen: Wer nimmt an, wer sucht, wer antwortet, und wo steht die Frist?
- Datenquellen auflisten: Dein Verzeichnis von Verarbeitungstätigkeiten zeigt dir, wo du suchen musst.
- Bordmittel nutzen: WordPress exportiert unter Werkzeuge → Personenbezogene Daten exportieren die Daten aus WordPress und teilnehmenden Plugins als ZIP. Dazu kommen Exporte aus CRM und Newsletter-Tool.
- Vorlage bereithalten: eine Antwort mit allen Pflichtangaben, die du nur noch füllst.
Häufige Fragen
Wie lange habe ich Zeit, eine DSGVO-Auskunft zu beantworten?
Unverzüglich, spätestens innerhalb eines Monats nach Eingang. Bei komplexen Fällen oder vielen Anträgen kannst du um zwei Monate verlängern, musst das aber im ersten Monat begründet mitteilen.
Darf ich eine Ausweiskopie verlangen?
Nur wenn du wirklich begründete Zweifel an der Identität hast und mildere Mittel nicht reichen. Meist genügt ein Bestätigungslink an die Mailadresse, die du schon kennst.
Muss ich ganze Dokumente herausgeben?
Nicht automatisch. Geschuldet ist eine Kopie der Daten. Auszüge oder ganze Dokumente brauchst du nur, wenn die Person ihre Rechte sonst nicht verstehen oder ausüben kann (EuGH C-487/21).
Darf ich für die Auskunft Geld verlangen?
Die erste Kopie ist kostenlos. Für weitere Kopien oder bei offenkundig unbegründeten oder exzessiven Anträgen darfst du ein angemessenes Entgelt verlangen. Das musst du im Zweifel begründen können.
Was droht, wenn ich die Frist verpasse?
Eine Beschwerde bei der Aufsicht, im schlimmsten Fall ein Bußgeld. Dazu können Schadensersatzforderungen kommen. Die Person muss dafür aber einen tatsächlichen Schaden nachweisen.
Quellen
- EUR-Lex: Datenschutz-Grundverordnung
- Datenschutzkonferenz: Kurzpapier Nr. 6 zum Auskunftsrecht
- EDSA: Leitlinien 01/2022 zum Auskunftsrecht
- EDSA: Bericht zur koordinierten Prüfung des Auskunftsrechts
- EuGH, Urteil C-307/22
- EuGH, Urteil C-487/21
- EuGH, Urteil C-154/21
- EuGH: Pressemitteilung zu C-526/24
- WordPress-Doku: Personenbezogene Daten exportieren
