Ein Auskunftsersuchen nach Art. 15 DSGVO verlangt zwei zusammengehörende Ergebnisse: eine verständliche Erklärung der Verarbeitung und eine Kopie der personenbezogenen Daten. Für die Bearbeitung braucht es einen verantwortlichen Ansprechpartner, eine nachvollziehbare Suche, eine Prüfung möglicher Einschränkungen und einen sicheren Versand. Eine allgemeine Datenschutzerklärung oder die bloße Aufzählung verwendeter Programme ersetzt diese Antwort nicht.
Dieser Ablauf mit zwei anpassbaren Antwortmustern richtet sich an deutsche Verantwortliche. Er setzt den materiellen Umfang des Auskunftsrechts in Arbeitsschritte um. Die Einzelansprüche erläutert der Leitfaden zu Art. 15 DSGVO. Rechtsstand ist der 28. September 2026; die Muster müssen mit den tatsächlich gefundenen Daten und den Umständen des Antrags ausgefüllt werden.
Eingang erkennen und Zuständigkeit festlegen
Ein Antrag muss weder ein bestimmtes Formular verwenden noch ausdrücklich „Art. 15“ nennen. Entscheidend ist, ob die Person erkennbar erfahren möchte, ob und welche personenbezogenen Daten über sie verarbeitet werden. Eine Nachricht an den Kundenservice kann deshalb ein Auskunftsersuchen enthalten, obwohl sie zugleich eine Rechnung beanstandet. Schulen Sie Empfang, Personalabteilung und Support darin, solche Anliegen zügig an die zuständige Stelle weiterzugeben.
Erfassen Sie Eingang, verwendeten Kanal, Wortlaut, betroffene Person und Bearbeiter. Speichern Sie die ursprüngliche Nachricht, damit eine spätere Zusammenfassung den Umfang nicht versehentlich verengt. Bei einem erkennbar auf einen bestimmten Zeitraum begrenzten Antrag wird diese Grenze dokumentiert. Fehlt eine Begrenzung, darf die Organisation nicht eigenmächtig nur den aktuell sichtbaren Kundenstammsatz liefern.
Prüfen Sie anschließend die datenschutzrechtliche Rolle. Ein Konzernunternehmen ist nicht allein wegen seiner rechtlichen Selbstständigkeit für jede Verarbeitung selbst verantwortlich. Maßgeblich sind die tatsächlichen Entscheidungen über Zwecke und Mittel. Bei gemeinsamer Verantwortlichkeit kann die Person ihre Rechte nach Art. 26 Abs. 3 gegenüber jedem gemeinsam Verantwortlichen geltend machen; die interne Aufgabenverteilung darf ihr nicht entgegengehalten werden.
Ein Auftragsverarbeiter unterstützt den Verantwortlichen nach Art. 28 Abs. 3 Buchstabe e im vereinbarten Rahmen. Er braucht einen klaren Melde- und Unterstützungsweg, sollte aber nicht eigenmächtig fremde Kundendaten herausgeben. Der gewöhnliche Vertrag kann dafür das AVV-Muster konkretisieren; Art. 28 erlaubt auch einen anderen bindenden unions- oder mitgliedstaatlichen Rechtsakt, jeweils schriftlich einschließlich elektronischer Form. Für eine tatsächlich unzuständige Gesellschaft gibt es keinen pauschalen konzernweiten Fristbeginn: Rollen, Zugang und zulässige Weiterleitung sind im Einzelfall zu klären.
Die Monatsfrist richtig berechnen
Nach Art. 12 Abs. 3 ist ohne unangemessene Verzögerung und jedenfalls innerhalb eines Monats nach Eingang zu reagieren. Die Monatsfrist ist keine allgemeine Bearbeitungszeit, die stets ausgeschöpft werden darf. Wenn die vollständige Antwort früher möglich ist, sollte sie früher erfolgen. Interne Weiterleitung, Urlaub oder verspätetes Öffnen des zuständigen Postfachs verschieben den Eingang nicht einfach auf einen bequemeren Termin.
Ein Monat bedeutet auch nicht stets 30 Tage. Die EDSA-Leitlinien 01/2022, Version 2.1, erklären die Berechnung anhand der europäischen Fristenregeln: Auf Eingang am 5. März folgt grundsätzlich der 5. April; bei Eingang am 31. August endet der Folgemonat bereits am 30. September. Fällt das Ende auf einen Feiertag oder ein Wochenende, greifen die dort erläuterten Regeln zum nächsten Arbeitstag. Tragen Sie das konkret berechnete Datum ein, statt eine starre 30-Tage-Automatik zu verwenden.
Bei notwendiger Verlängerung wegen Komplexität und Anzahl der Anträge sind bis zu zwei weitere Monate möglich. Informieren Sie innerhalb des ersten Monats über Verlängerung und konkrete Gründe. Ein hoher eigener Organisationsaufwand allein rechtfertigt keine routinemäßige Verlängerung. Wiederkehrende Verzögerungen sprechen vielmehr dafür, Suchwege und Zuständigkeiten zu verbessern.
Begründete Identitätszweifel können eine notwendige Rückfrage auslösen. Der EDSA beschreibt eine mögliche Hemmung, bis die erforderlichen Informationen vorliegen, wenn der Verantwortliche unverzüglich nachfragt. Auch eine Präzisierungsfrage bei großen Datenmengen setzt die Voraussetzungen des Erwägungsgrundes 63 voraus. Nicht jede Rückfrage stoppt die Frist; dokumentieren Sie Anlass, notwendige Information und tatsächlichen Zeitraum. Bearbeiten Sie parallel, was bereits zuverlässig möglich ist.
Identität bestätigen, ohne neue Datenberge anzulegen
Zusätzliche Identitätsnachweise nach Art. 12 Abs. 6 setzen begründete Zweifel voraus. Ein Antrag aus einem angemessen abgesicherten bestehenden Kundenkonto kann andere Nachweise erfordern als eine Nachricht von einer bislang unbekannten Adresse mit der Aufforderung, Gesundheitsunterlagen an einen neuen Empfänger zu senden. Die bloße Existenz des Antrags ist kein Grund für eine routinemäßige Ausweiskopie.
Nutzen Sie vorhandene sichere Authentisierungsmöglichkeiten und verlangen Sie nur Informationen, die für die Klärung erforderlich sind. Eine Kundennummer kann bei einer einfachen Zuordnungsfrage helfen, beweist aber nicht in jedem Fall die Identität. Fragen Sie nicht nach sensiblen Zusatzdaten, die mit der bestehenden Beziehung nichts zu tun haben. Bei Vertretung ist außerdem zu prüfen, ob eine ausreichende Vollmacht oder gesetzliche Vertretungsbefugnis besteht.
Dokumentieren Sie das Ergebnis der Prüfung möglichst sparsam. Häufig genügt der Nachweis, welcher zulässige Prüfweg wann erfolgreich war. Eine zur Prüfung erhaltene Dokumentkopie muss nicht automatisch genauso lange aufbewahrt werden wie die gesamte Auskunftsakte. Legen Sie ihre weitere Behandlung getrennt fest und begrenzen Sie den Zugang.
Die Suche aus dem Verzeichnis in die Systeme übersetzen
Das Verarbeitungsverzeichnis liefert einen Ausgangspunkt für Zwecke, Datenkategorien und Dienstleister. Es ist jedoch kein personenbezogenes Suchergebnis. Aus dem Eintrag „Kundenbetreuung“ müssen konkrete Aufträge an CRM-Verantwortliche, Support, Buchhaltung und gegebenenfalls externe Betreiber werden. Auch strukturierte Archive, personenbezogene Vermerke und einschlägige Kommunikationsbestände sind nach den tatsächlichen Verarbeitungen zu prüfen.
Erstellen Sie dafür eine Suchübersicht mit System, zuständiger Person, verwendeten Identifikatoren, Zeitraum und Rückmeldung. Ein Namenswechsel oder mehrere Kundenkonten kann dazu führen, dass die Suche unter einem einzigen Namen unvollständig bleibt. Umgekehrt erzeugen häufige Namen Fehlzuordnungen. Suchergebnisse werden daher vor der Zusammenführung auf Bezug zur antragstellenden Person geprüft.
Ein negativer Treffer ist ebenfalls ein Ergebnis, das nachvollziehbar sein muss. Die Antwort „keine Daten“ ist erst belastbar, wenn die einschlägigen Stellen tatsächlich geprüft haben. Liefert ein Dienstleister nur ein leeres Standardformular, muss der Verantwortliche klären, ob überhaupt im richtigen Mandanten und mit den richtigen Suchmerkmalen recherchiert wurde.
Kurzlebige Daten erfordern besondere Aufmerksamkeit. Eine fällige Routinebereinigung darf nicht dazu benutzt werden, den bereits eingegangenen Antrag ins Leere laufen zu lassen. Sichern Sie die für die Bearbeitung notwendigen Ergebnisse rechtzeitig und stimmen Sie diesen begrenzten Vorgang mit dem Löschkonzept ab. Daraus folgt keine unbegrenzte Aufbewahrung aller Systeme oder ein generelles Abschalten jeder Löschregel.
Auskunft und Datenkopie getrennt prüfen
Die Erläuterung muss die Informationen aus Art. 15 Abs. 1 und gegebenenfalls Abs. 2 abdecken: Zwecke, Datenkategorien, Empfänger, Speicherdauer oder deren Kriterien, einschlägige Rechte und Beschwerdemöglichkeit, verfügbare Herkunftsinformationen bei nicht unmittelbar erhobenen Daten sowie relevante automatisierte Entscheidungen. Bei Drittlandübermittlungen gehört die Information über geeignete Garantien nach Art. 46 dazu. Allgemeine Standardtexte müssen auf die konkret betroffene Verarbeitung passen.
Für die Empfänger gilt die Entscheidung C-154/21 vom 12. Januar 2023: Grundsätzlich sind die tatsächlichen Empfänger zu benennen. Kategorien reichen insbesondere dann, wenn die Empfänger nicht identifiziert werden können oder der Verantwortliche einen offenkundig unbegründeten beziehungsweise exzessiven Antrag nachweist. Ersetzen Sie bekannte Unternehmen daher nicht ohne Prüfung durch die Sammelbezeichnung „Dienstleister“.
Die Kopie muss die verarbeiteten personenbezogenen Daten vollständig und verständlich wiedergeben. Nach C-487/21 vom 4. Mai 2023 können dafür Dokumentauszüge, ganze Dokumente oder Datenbankauszüge erforderlich sein. Ein automatischer Anspruch auf jedes interne Dokument als solches folgt daraus nicht; entscheidend ist, was zur verständlichen und wirksamen Auskunft über die personenbezogenen Daten notwendig ist.
Erklären Sie Abkürzungen und interne Statuscodes. Ein Export mit der Kennzeichnung „K7“ sagt der Person wenig, wenn diese für eine negative Bonitätsbewertung steht. Erläuterungen dürfen den Originalinhalt verständlich machen, ihn aber nicht durch eine beschönigende Zusammenfassung ersetzen. Bei elektronischen Anträgen ist grundsätzlich ein gängiges elektronisches Format vorgesehen, sofern nichts anderes gewünscht wird.
Rechte Dritter und gesetzliche Einschränkungen abwägen
Enthält ein Dokument zugleich Angaben über andere Personen, wird es nicht allein deshalb vollständig ausgenommen. Prüfen Sie nach Art. 15 Abs. 4, welche Rechte und Freiheiten konkret beeinträchtigt würden und welche Schutzmaßnahmen helfen. Eine gezielte Schwärzung, ein erforderlicher Auszug oder eine andere verständliche Darstellung kann den Konflikt lösen. Pauschales Schwärzen jedes fremden Namens kann wiederum Kontext beseitigen, der für die Auskunft notwendig ist.
Auch Geschäftsgeheimnisse sind kein universeller Ausschluss. Begründen Sie die konkrete Einschränkung und prüfen Sie, welche Information trotzdem zugänglich bleibt. Führen Sie intern eine Liste der zurückgehaltenen Passagen, ihrer Rechtsgrundlage und der geprüften Alternativen. Die nach außen gegebene Begründung darf ihrerseits keine geschützten Informationen offenlegen, muss aber die Entscheidung so weit wie rechtlich möglich verständlich machen.
§ 34 BDSG enthält eng gefasste Einschränkungen. Bei ausschließlich wegen Aufbewahrungspflichten gespeicherten Daten oder ausschließlich der Datensicherung beziehungsweise Datenschutzkontrolle dienenden Beständen reicht das Etikett „Archiv“ nicht. Für die einschlägige Ausnahme müssen zusätzlich unverhältnismäßiger Aufwand und der Ausschluss anderer Verarbeitungszwecke durch geeignete Maßnahmen vorliegen. Die Ablehnungsgründe sind zu dokumentieren; die gesetzlichen Informationsregeln bleiben zu beachten.
Art. 12 Abs. 5 erlaubt bei nachweislich offenkundig unbegründeten oder exzessiven Anträgen ein angemessenes Entgelt oder eine Verweigerung. Wiederholungen können relevant sein, begründen aber keinen automatischen Ausschluss. Eine erste Kopie ist grundsätzlich kostenlos; für weitere Kopien sieht Art. 15 Abs. 3 eine gesonderte, an Verwaltungskosten ausgerichtete Regel vor. Der EuGH bestätigte in C-307/22 vom 26. Oktober 2023, dass ein Patient die erste Kopie seiner Patientenakte nicht wegen eines haftungsrechtlichen Zwecks bezahlen muss.
Wird einem Antrag ganz oder teilweise nicht entsprochen, genügt Schweigen nicht. Art. 12 Abs. 4 verlangt ohne Verzögerung, spätestens innerhalb eines Monats nach Eingang, die Gründe sowie Hinweise auf Beschwerde und gerichtlichen Rechtsbehelf. Halten Sie eine solche Entscheidung getrennt von einer bloßen Verlängerungsmitteilung.
Beispiel: Ein Kunde hatte zwei Konten
Ein fiktiver Onlinehändler erhält eine Anfrage aus dem aktuellen Kundenkonto. Der Kunde hatte nach einem Umzug eine neue E-Mail-Adresse verwendet und zuvor unter einer anderen Adresse bestellt. Das erste Suchergebnis zeigt nur die neueren Bestellungen. Eine Rückfrage der Fachabteilung ergibt jedoch, dass beide Konten derselben Person zugeordnet werden können. Die Bearbeitung darf dann nicht mit dem technisch einfachsten Export enden.
Die zuständige Stelle ergänzt die Suche anhand vorhandener zuverlässiger Identifikatoren und dokumentiert, welche Bestände zusammengehören. Gleichzeitig prüft sie mögliche Verwechslungen: Unter derselben Lieferadresse können andere Haushaltsmitglieder bestellt haben. Deren Konten werden nicht allein wegen der gemeinsamen Anschrift in die Datenkopie aufgenommen. Diese Unterscheidung verhindert sowohl eine unvollständige Auskunft als auch eine Offenlegung fremder Daten.
Im älteren Supportverlauf findet sich eine Nachricht über eine Beschwerde gegen einen Lieferdienst. Der personenbezogene Inhalt gehört in die Prüfung, auch wenn er nicht als strukturiertes Datenfeld gespeichert ist. Die Bearbeiterin bewertet, welcher Kontext zum Verständnis nötig ist und welche Rechte anderer Personen konkret berührt werden. Das Ergebnis kann ein verständlicher Auszug mit gezielten Schutzmaßnahmen sein; ein pauschaler Ausschluss sämtlicher Kommunikation wäre nicht ausreichend begründet.
Vor dem Versand werden beide Datenpakete eindeutig bezeichnet und die Erläuterungen zu Zwecken, Empfängern und Speicherdauer zugeordnet. Die Person soll erkennen können, welche Informationen aus welchem Konto stammen, ohne die internen Systemnamen entschlüsseln zu müssen. Der Vorgang zeigt zugleich eine dauerhafte Verbesserung auf: Bei künftigen Anträgen kann die Suchanweisung früh prüfen, ob mehrere bekannte Konten bestehen. Dafür ist keine neue umfassende Sammlung privater Identitätsmerkmale erforderlich.
Antwort-Muster 1: Eingangsbestätigung
Diese Vorlage setzt keinen zusätzlichen Identitätsnachweis voraus. Eine notwendige Rückfrage wird gesondert und mit konkretem Anlass formuliert. Die Bestätigung ersetzt die eigentliche Auskunft nicht.
Betreff: Ihr Auskunftsersuchen vom [Datum]
Guten Tag [Name],
Ihr Auskunftsersuchen ist am [Datum] bei [Verantwortlicher]
eingegangen. Wir bearbeiten es unter [Vorgangsnummer].
Sie erhalten unsere Antwort ohne unangemessene Verzögerung,
grundsätzlich spätestens bis zum [berechnetes Datum]. Falls eine
Verlängerung nach Art. 12 Abs. 3 DSGVO erforderlich wird,
informieren wir Sie innerhalb der Monatsfrist über deren Gründe.
Für Rückfragen erreichen Sie uns unter [Kontakt].
Mit freundlichen Grüßen
[zuständige Stelle]
Antwort-Muster 2: Auskunft mit Anlagen
Das zweite Muster ist ein Gerüst. Entfernen Sie unzutreffende Auswahlmöglichkeiten und ergänzen Sie die tatsächlichen Ergebnisse. Eine Antwort ohne Datenkopie oder mit ungefüllten Platzhaltern wird durch die Überschrift „vollständig“ nicht vollständig.
Betreff: Auskunft nach Art. 15 DSGVO – [Vorgangsnummer]
Guten Tag [Name],
[Wir verarbeiten personenbezogene Daten zu Ihrer Person.
Alternativ nach erfolgter Prüfung: Wir verarbeiten keine
personenbezogenen Daten zu Ihrer Person.]
Für die festgestellten Verarbeitungen teilen wir mit:
- Zwecke und zugehörige Datenkategorien: [konkret]
- Empfänger: [tatsächliche Empfänger; zulässige Abweichung begründen]
- Speicherdauer oder Kriterien: [je Verarbeitung]
- Verfügbare Herkunftsinformationen, soweit nicht bei Ihnen erhoben:
[konkret]
- Automatisierte Entscheidungen im Sinne von Art. 22 Abs. 1 und 4:
[falls vorhanden: aussagekräftige Informationen über Logik,
Tragweite und angestrebte Auswirkungen]
- Drittlandübermittlungen und geeignete Garantien nach Art. 46:
[soweit einschlägig]
Sie haben nach den jeweiligen gesetzlichen Voraussetzungen Rechte
auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie
das Recht, sich bei einer Aufsichtsbehörde zu beschweren.
[Zuständige Aufsichtsbehörde und erreichbarer Kontakt]
Die Kopie Ihrer personenbezogenen Daten erhalten Sie als
[Anlagen mit verständlicher Zuordnung / sicherer Abruf].
[Einschränkungen und Gründe, soweit einschlägig; Informationen
zu Beschwerde und gerichtlichem Rechtsbehelf nach Art. 12 Abs. 4.]
Mit freundlichen Grüßen
[Verantwortlicher / zuständige Stelle]
Sicher zustellen und den Vorgang abschließen
Lassen Sie die fertige Antwort anhand des ursprünglichen Antrags prüfen. Stimmen die Identität, der erfasste Zeitraum, die Zahl der Anlagen und der tatsächliche Inhalt überein? Enthält eine exportierte Tabelle versteckte Register oder zusätzliche Personen? Öffnen sich geschwärzte Dokumente tatsächlich ohne die verdeckten Inhalte? Diese Kontrolle ist besonders wichtig, wenn mehrere Abteilungen unterschiedliche Dateiformate liefern.
Wählen Sie einen dem Risiko angemessenen Übertragungsweg. Bei einem geschützten Abruf müssen Zugang und Berechtigung funktionieren; ein Passwort im selben offen versandten Nachrichtentext schützt ein sensibles Paket nur begrenzt. Legen Sie verständlich dar, wie die Person die Dateien erhält, und ermöglichen Sie Hilfe bei Zugangsproblemen. Ein technisch erfolgreich versandter Link ist kein brauchbarer Abschluss, wenn er beim Empfänger dauerhaft nicht funktioniert.
Eine Fehlzustellung kann eine Verletzung des Schutzes personenbezogener Daten sein. Dann ist die Risikoprüfung nach Art. 33 erforderlich: Meldung ohne unangemessene Verzögerung und, wenn möglich, binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Personen. Eine verspätete Meldung ist zu begründen. Jede solche Verletzung wird dokumentiert; die Information der Person bei voraussichtlich hohem Risiko nach Art. 34 ist eine eigene Entscheidung. Das Datenpannen-Muster unterstützt den gesonderten Vorgang.
Bewahren Sie anschließend den erforderlichen Nachweis der Bearbeitung auf: Eingang, Suchaufträge, begründete Entscheidungen, Antwortversion und Zustellung. Die Akte braucht eine eigene Frist nach dem Grundsatz der Speicherbegrenzung, statt unbegrenzt eine zweite vollständige Sammlung aller Kundendaten zu bilden. Bei vielen Vorgängen kann Software für Betroffenenanfragen Zuständigkeiten und Fristen abbilden; entscheidend bleiben vollständige Suchwege und überprüfte Entscheidungen.
FAQ
Reicht ein Link auf das Kundenkonto?
Nur wenn dadurch die geschuldete Auskunft tatsächlich vollständig, verständlich und zugänglich bereitgestellt wird. Ein Konto zeigt oft weder interne Vermerke noch frühere Empfänger oder Herkunftsinformationen. Prüfen Sie die fehlenden Teile und ergänzen Sie sie gezielt.
Muss die Person ihren Antrag begründen?
Für die Ausübung des Auskunftsrechts ist grundsätzlich keine Begründung erforderlich. Ein bestehender Streit ersetzt nicht den Nachweis einer gesetzlichen Ausnahme. Bearbeiten Sie die Datenfrage deshalb unabhängig davon, ob daneben eine Forderung oder arbeitsrechtliche Auseinandersetzung besteht.
Darf ich immer die Ausweiskopie verlangen?
Nein. Zusätzliche Informationen setzen begründete Identitätszweifel voraus und müssen für deren Klärung erforderlich sein. Wählen Sie einen geeigneten, möglichst sparsamen Prüfweg und begründen Sie eine tatsächlich notwendige Rückfrage.
Was tun, wenn ein System keine Auskunftsfunktion hat?
Organisieren Sie eine geeignete Suche und verständliche Ausgabe über die verfügbaren Mittel. Eine fehlende Schaltfläche hebt Art. 15 nicht auf. Erfassen Sie die technische Lücke und verbessern Sie den Prozess für zukünftige Anträge, ohne die aktuelle Antwort von einem unbestimmten Softwareprojekt abhängig zu machen.