Auskunftsbegehren nach Art. 15 DSGVO: Identität, Frist und Datenkopie

Ein Auskunftsbegehren nach Art. 15 DSGVO wirkt auf den ersten Blick wie eine einfache Bitte um gespeicherte Daten. In Unternehmen beginnt die eigentliche Prüfung aber schon mit der Frage, wer den Antrag stellt, welche Verarbeitungsvorgänge betroffen sind und ob die Identität ausreichend geklärt ist. Danach laufen Fristen, Suchaufwand und die Vorbereitung der Datenkopie zusammen.

Dieser Beitrag beschreibt den Ablauf aus Sicht eines Unternehmens, das eine Anfrage erhält. Im Mittelpunkt stehen der erste Eingang, die Identitätsprüfung, die Monatsfrist, eine mögliche Verlängerung und die verständliche Antwort. Ein zivilrechtlicher Rechnungslegungsanspruch oder ein allgemeines Akteneinsichtsbegehren ist davon zu unterscheiden.

Art. 15 DSGVO gibt der betroffenen Person das Recht, vom Verantwortlichen eine Bestätigung über die Verarbeitung personenbezogener Daten und gegebenenfalls Auskunft über diese Daten zu verlangen. Dazu gehören unter anderem die Verarbeitungszwecke, Kategorien personenbezogener Daten, Empfänger oder Empfängerkategorien, die geplante Speicherdauer beziehungsweise die Kriterien dafür und Informationen zu den Rechten der betroffenen Person. Auch die Herkunft der Daten und das Bestehen einer automatisierten Entscheidungsfindung können relevant sein.

Die erste Kopie der personenbezogenen Daten ist grundsätzlich unentgeltlich bereitzustellen. Weitere Kopien dürfen bei offenkundig unbegründeten oder exzessiven Anträgen angemessen bepreist werden oder der Verantwortliche kann die weitere Bearbeitung ablehnen. Diese Ausnahme ist eng zu prüfen und sollte nicht bloß deshalb angenommen werden, weil die Suche aufwendig ist.

Die Datenkopie ist nicht dasselbe wie eine ungeordnete Sammlung aller Dateien. Sie muss die personenbezogenen Daten zugänglich und verständlich wiedergeben. Ergänzende Erläuterungen zu Quellen, Empfängern und Aufbewahrung helfen, die Auskunft nachvollziehbar zu machen.

Ein Unternehmen darf nicht an eine beliebige Person Daten herausgeben. Gerade bei Kundenkonten, Beschäftigtendaten oder Gesundheitsinformationen muss die Zuordnung stimmen. Maßgeblich ist, welche Informationen bereits vorliegen und welches Risiko eine Verwechslung auslösen würde. Eine zusätzliche Identitätsprüfung sollte darauf abgestimmt sein und nicht zu einer pauschalen Sammlung weiterer Dokumente führen.

Praktisch kann die Rückfrage an einen bereits verifizierten Kommunikationskanal oder an bekannte Vertragsdaten anknüpfen. Wird ein Ausweisdokument benötigt, sollten nicht erforderliche Angaben möglichst geschwärzt werden. Das Unternehmen sollte die Anfrage, die Rückfrage, den Zeitpunkt und die abschließende Zuordnung intern nachvollziehbar festhalten.

Bleibt die Identität trotz angemessener Schritte unklar, ist die Antwort nicht mit einer pauschalen Ablehnung erledigt. Erklären Sie, welche Zuordnung noch fehlt und welche begrenzte Information dafür benötigt wird. Die Kommunikation soll der betroffenen Person ermöglichen, ihr Recht wirksam auszuüben.

Nach Art. 12 Abs. 3 DSGVO ist ein Auskunftsbegehren grundsätzlich unverzüglich, jedenfalls innerhalb eines Monats nach Eingang zu beantworten. Bei komplexen oder zahlreichen Anträgen kann die Frist um bis zu zwei weitere Monate verlängert werden. Die betroffene Person muss darüber innerhalb eines Monats nach Eingang informiert werden. In dieser Mitteilung sollten die Gründe für die Verlängerung konkret und verständlich genannt werden.

Der Fristbeginn gehört zu den wichtigsten Dokumentationspunkten. Notieren Sie, wann die Anfrage eingelangt ist, wann die Identität ausreichend geklärt war und welche Kommunikation danach erfolgt ist. Die interne Organisation darf nicht dazu führen, dass ein Antrag erst Wochen später als solcher erkannt wird.

Für die Antwort reicht es nicht, kurz vor Fristablauf einzelne Systeme abzufragen. Legen Sie früh fest, wer die Suche koordiniert, welche Fachbereiche beitragen und wer die Datenkopie vor dem Versand auf Vollständigkeit und Rechte Dritter kontrolliert. Bei komplexen Sachverhalten ist eine nachvollziehbare Zwischenkommunikation besser als Schweigen.

Die Suche sollte an den tatsächlichen Verarbeitungsvorgängen ansetzen. Je nach Unternehmen können CRM, Kundenportal, E-Mail-System, Bewerbungsverwaltung, Ticketsystem, Lohnverrechnung, Videoverwaltung oder Papierakten betroffen sein. Suchen Sie nicht nur nach dem Namen, sondern berücksichtigen Sie Kontaktdaten, Kundennummern, Benutzerkennungen und frühere Schreibweisen.

Trennen Sie die personenbezogenen Daten von bloßen Organisationsunterlagen. Gleichzeitig dürfen Informationen nicht vorschnell entfernt werden, nur weil sie in einer internen Datei stehen. Entscheidend ist, ob sie sich auf die anfragende Person beziehen. Die Antwort sollte die Daten in einer Form liefern, die der Empfänger ohne Spezialwissen verstehen kann.

Vor dem Versand sind Rechte und Freiheiten anderer Personen zu schützen. Das kann Schwärzungen oder eine getrennte Darstellung einzelner Inhalte erfordern. Geschäftsgeheimnisse, gesetzliche Verschwiegenheitspflichten und laufende Verfahren können zusätzliche Prüfungen auslösen. Eine pauschale Schwärzung ganzer Dokumente ersetzt diese Einzelfallprüfung nicht.

Der Eingang wird nicht erfasst: Eine Anfrage aus dem Kundenservice, aus dem Postfach einer Führungskraft oder über ein Kontaktformular wird nicht als Betroffenenbegehren erkannt. Legen Sie klare interne Zuständigkeiten und eine zentrale Fristerfassung fest.

Die Identitätsprüfung ist zu streng oder zu locker: Eine ungezielte Ausweiskopie kann unnötige Daten erzeugen, eine unkritische Herausgabe kann dagegen die falsche Person erreichen. Die Prüfung muss zum Risiko und zu den bereits bekannten Daten passen.

Nur ein System wird durchsucht: Eine Antwort aus dem CRM kann unvollständig sein, wenn E-Mails, Support, Archiv oder Personalverwaltung nicht einbezogen werden. Die Suchbereiche sollten begründet und dokumentiert werden.

Die Datenkopie wird mit einer Aktenkopie verwechselt: Art. 15 DSGVO verlangt eine Auskunft über personenbezogene Daten und die gesetzlich vorgesehenen Zusatzinformationen. Nicht jede interne Notiz ist unverändert zu übermitteln, aber jede betroffene Information muss in der Antwort berücksichtigt werden.

Die Monatsfrist wird ohne Begründung verlängert: Eine Verlängerung braucht eine rechtzeitige Mitteilung und einen nachvollziehbaren Grund. Ein bloßer Hinweis auf hohe Auslastung genügt nicht als sorgfältige Bearbeitung.

Ein Antrag nach Art. 15 DSGVO kann mit anderen Anliegen verbunden sein. Die betroffene Person kann etwa zusätzlich die Berichtigung unrichtiger Daten, die Löschung oder eine Einschränkung der Verarbeitung verlangen. Diese Rechte haben eigene Voraussetzungen und sollten in der Bearbeitung getrennt erfasst werden. Einen Einstieg in die weiteren Betroffenenrechte bietet die Schwerpunktseite zu Betroffenenrechten und Auskunft.

Nicht jeder Wunsch nach Unterlagen ist ein Auskunftsbegehren nach Art. 15 DSGVO. Rechnungslegung, gesellschaftsrechtliche Informationsrechte, arbeitsrechtliche Aktenfragen oder die Herausgabe eines vollständigen Vertrags folgen teilweise anderen Regeln. Die konkrete Bezeichnung des Antrags ist weniger entscheidend als sein Inhalt. Der erkennbare datenschutzrechtliche Teil darf nicht übersehen werden.

Wenn mehrere Unternehmen beteiligt sind, müssen Verantwortlicher, Auftragsverarbeiter und gegebenenfalls gemeinsam Verantwortliche sauber unterschieden werden. Für die erste Rollenorientierung steht der Rollen-Check zur Verfügung. Die vertragliche und tatsächliche Zusammenarbeit bleibt trotzdem im Einzelfall zu prüfen.

Eine gute Antwort erklärt zunächst, ob personenbezogene Daten verarbeitet werden. Danach folgen die Datenkopie und die Angaben zu Zwecken, Kategorien, Empfängern, Speicherdauer, Herkunft und den weiteren Rechten, soweit sie im konkreten Fall einschlägig sind. Die Darstellung sollte klar zwischen den Daten selbst und ergänzenden Informationen unterscheiden.

Kontrollieren Sie vor dem Versand den Empfänger, die Dateianhänge, die Schwärzungen und den Übertragungsweg. Bei besonders sensiblen Daten ist ein sicherer Kanal entscheidend. Prüfen Sie außerdem, ob eine weitere Anfrage, ein Berichtigungsverlangen oder ein Löschungsbegehren mitbearbeitet werden muss.

Für die interne Bearbeitung können Sie die Checkliste zum Auskunftsbegehren verwenden. Sie ersetzt keine rechtliche Einzelfallprüfung, hilft aber dabei, Eingang, Identität, Suche, Frist, Antwort und Dokumentation in der richtigen Reihenfolge festzuhalten.

Muss ein Auskunftsbegehren eine bestimmte Form haben? Nein. Es kann grundsätzlich auf verschiedenen Kommunikationswegen gestellt werden. Entscheidend ist, dass erkennbar ein Recht nach Art. 15 DSGVO ausgeübt werden soll. Unternehmen sollten den Antrag daher nicht wegen einer fehlenden Überschrift übersehen.

Beginnt die Monatsfrist erst nach Vorlage einer Ausweiskopie? Nicht automatisch. Maßgeblich sind Eingang und die Umstände der Identitätsprüfung. Zusätzliche Informationen dürfen nur verlangt werden, soweit sie für die Identifizierung erforderlich sind. Die konkrete Fristberechnung sollte dokumentiert werden.

Muss das Unternehmen sämtliche E-Mails herausgeben? Die Antwort hängt davon ab, welche personenbezogenen Daten in den E-Mails enthalten sind und welche Rechte anderer Personen betroffen sind. Eine ungeprüfte Komplettübermittlung ist ebenso wenig richtig wie das pauschale Weglassen sämtlicher E-Mail-Kommunikation.

Bei einem Auskunftsbegehren kommt es auf die tatsächlichen Verarbeitungsvorgänge, die vorhandenen Systeme und die Kommunikation mit der anfragenden Person an. Wir prüfen, welche Rolle Ihr Unternehmen einnimmt, wie der Fristlauf zu dokumentieren ist und welche Form der Datenkopie zum Sachverhalt passt. Kontaktieren Sie uns mit dem Antrag, den bisherigen Antworten und den relevanten internen Unterlagen, damit die nächsten Schritte gezielt festgelegt werden können.