Das Auskunftsrecht nach Art. 15 DSGVO gibt jeder Person den Anspruch zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen über sie verarbeitet. Die Auskunft umfasst unter anderem die Verarbeitungszwecke, Datenkategorien, Empfänger, Speicherdauer und die Herkunft der Daten sowie eine Kopie der Daten. Sie muss in der Regel innerhalb eines Monats kostenlos erteilt werden.
Was ist das Auskunftsrecht nach Art. 15 DSGVO?
Das Auskunftsrecht gibt jeder Person den Anspruch zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen oder eine Behörde über sie verarbeitet. Es ist in Artikel 15 der DSGVO geregelt und gehört zu den zentralen Betroffenenrechten. Wer eine Auskunft verlangt, kann so Transparenz über die Verarbeitung der eigenen Daten herstellen und weitere Rechte gezielt wahrnehmen.
Das Auskunftsrecht ist eng mit der DSGVO und dem Begriff der personenbezogenen Daten verbunden. Es steht neben anderen Rechten wie dem Recht auf Löschung und ist häufig der erste Schritt, um überhaupt zu erkennen, welche Daten gespeichert sind. Der amtliche Verordnungstext ist über EUR-Lex abrufbar.
Historisch knüpft das Auskunftsrecht an das Grundrecht auf informationelle Selbstbestimmung an, das in Deutschland bereits vor der DSGVO anerkannt war. Mit der europaweit einheitlichen Verordnung wurde es 2018 deutlich gestärkt und mit klaren Fristen sowie einem Anspruch auf eine Datenkopie versehen. Für Unternehmen bedeutet das: Das Recht ist kein bloßer Formalismus, sondern ein durchsetzbarer Anspruch, dessen Missachtung spürbare Folgen haben kann.
Welche Informationen umfasst die Auskunft?
Nach Art. 15 DSGVO hat die betroffene Person zunächst Anspruch auf die Bestätigung, ob Daten verarbeitet werden. Ist das der Fall, muss die Auskunft unter anderem die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer sowie die Herkunft der Daten nennen. Der englische Referenztext findet sich bei gdpr-info.eu.
Hinzu kommt der Hinweis auf weitere Betroffenenrechte – etwa Berichtigung, Löschung und Widerspruch – sowie auf das Beschwerderecht bei einer Aufsichtsbehörde. Werden Daten in ein Drittland übermittelt, ist auch darüber zu informieren. Besonders praxisrelevant ist der Anspruch auf eine Kopie der verarbeiteten Daten, wie ihn auch die Übersicht bei datenschutz-grundverordnung.eu beschreibt.
Werden Daten automatisiert ausgewertet, um Entscheidungen zu treffen – etwa bei Scoring oder Profilbildung –, muss die Auskunft auch darüber aussagekräftige Informationen enthalten, insbesondere zur Logik und den möglichen Folgen für die betroffene Person. Dieser Punkt gewinnt mit dem zunehmenden Einsatz automatisierter und KI-gestützter Systeme an Bedeutung. Wichtig ist zudem: Das Recht bezieht sich nur auf Daten der anfragenden Person selbst, nicht auf allgemeine Unternehmensunterlagen oder Daten Dritter.
Wie läuft ein Auskunftsersuchen ab?
Ein Auskunftsersuchen ist an keine bestimmte Form gebunden: Es kann schriftlich, per E-Mail oder mündlich gestellt werden. Das verantwortliche Unternehmen muss die Identität der anfragenden Person prüfen, um Daten nicht an Unbefugte herauszugeben, darf dabei aber nicht unverhältnismäßig viele Zusatzinformationen verlangen.
Wichtig ist, dass die anfragende Person ihr Anliegen nicht begründen muss. Das Recht besteht voraussetzungslos; niemand muss erklären, warum er Auskunft wünscht. Ebenso wenig darf ein Unternehmen die Auskunft davon abhängig machen, dass ein bestimmtes Formular genutzt wird – ein solches darf angeboten, aber nicht zwingend vorgeschrieben werden. Diese niedrigen Hürden sind gewollt, damit das Recht in der Praxis auch tatsächlich ausgeübt werden kann.
Die Auskunft ist grundsätzlich innerhalb eines Monats zu erteilen; bei komplexen oder zahlreichen Anfragen kann sich die Frist um zwei weitere Monate verlängern. Die erste Auskunft ist in der Regel kostenlos. Für Unternehmen empfiehlt es sich, Auskunftsprozesse fest zu verankern – etwa im Rahmen der technischen und organisatorischen Maßnahmen und des Verzeichnisses von Verarbeitungstätigkeiten, das die nötigen Informationen ohnehin bündelt.
In der Praxis ist die größte Hürde, die Daten überhaupt vollständig zusammenzutragen. Personenbezogene Daten liegen oft verteilt in CRM, Newsletter-Tool, Buchhaltung, Support-Postfach und bei Dienstleistern. Ein interner Ablauf, der festlegt, wer eine Anfrage entgegennimmt, welche Systeme zu durchsuchen sind und wer die Antwort freigibt, verhindert Fristverletzungen. Ist ein Datenschutzbeauftragter benannt, koordiniert dieser die Bearbeitung häufig und dient als Ansprechpartner für die betroffene Person.
Warum ist das Auskunftsrecht wichtig?
Das Auskunftsrecht ist das Fundament informationeller Selbstbestimmung: Nur wer weiß, welche Daten über ihn gespeichert sind, kann deren Richtigkeit prüfen und Löschung oder Berichtigung verlangen. Es schafft Transparenz und ein Gegengewicht zur oft undurchsichtigen Datenverarbeitung.
Gerade in einer Zeit, in der Daten in vielen Systemen gleichzeitig verarbeitet werden, ist dieses Wissen für Betroffene sonst kaum zu erlangen. Das Auskunftsrecht verschiebt die Beweislast zugunsten der Person: Nicht sie muss herausfinden, was gespeichert ist, sondern das Unternehmen muss es offenlegen. Damit wird abstrakter Datenschutz konkret und für jeden Einzelnen ausübbar.
Für Unternehmen ist die korrekte Bearbeitung mehr als Pflichterfüllung. Verspätete, unvollständige oder verweigerte Auskünfte sind ein häufiger Grund für Beschwerden und können ein Bußgeld nach der DSGVO nach sich ziehen. Ein sauberer Umgang mit Auskunftsersuchen ist damit auch ein Baustein rechtssicheren Marketings und Teil einer glaubwürdigen Datenschutzerklärung.
Nicht selten stehen Auskunftsersuchen im Zusammenhang mit Konflikten – etwa nach einer Kündigung, einer Beschwerde oder im Vorfeld rechtlicher Auseinandersetzungen. Betroffene nutzen das Recht dann, um Transparenz über die eigene Datenlage zu gewinnen. Für Unternehmen ist es in solchen Situationen besonders wichtig, sachlich, fristgerecht und vollständig zu antworten, statt abwehrend zu reagieren – auch weil Aufsichtsbehörden gerade auf verweigerte Auskünfte sensibel reagieren.
Typische Fehler und Grenzen
Ein verbreiteter Fehler ist, Auskunftsersuchen zu ignorieren oder als lästig abzutun. Ebenso problematisch ist eine unvollständige Auskunft, die etwa die Empfänger oder die Herkunft der Daten verschweigt. Auch überzogene Identitätsnachweise, die den Zugang faktisch erschweren, sind unzulässig.
Das Auskunftsrecht ist jedoch nicht grenzenlos. Es darf die Rechte und Freiheiten anderer nicht beeinträchtigen – etwa Geschäftsgeheimnisse oder personenbezogene Daten Dritter. Bei offenkundig unbegründeten oder exzessiven Anträgen kann der Verantwortliche ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern, muss dies aber begründen. Eine allgemeine Orientierung – ohne Rechtsberatung im Einzelfall – bietet das Portal datenschutz.org.
In der Praxis führt gerade die Abgrenzung zu Daten Dritter oft zu Unsicherheit. Enthält etwa ein E-Mail-Verlauf auch Informationen über andere Personen, müssen diese vor der Herausgabe geschwärzt oder anonymisiert werden. Ähnlich verhält es sich mit internen Vermerken, die zugleich Betriebsinterna enthalten. Der richtige Weg ist meist nicht die pauschale Verweigerung, sondern eine sorgfältige, teilweise geschwärzte Auskunft, die den Anspruch der betroffenen Person erfüllt, ohne die Rechte anderer zu verletzen.
Auskunftsrecht im Kontext der Betroffenenrechte
Das Auskunftsrecht ist Teil eines Bündels von Betroffenenrechten, zu denen auch Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gehören. Häufig ist die Auskunft der Ausgangspunkt: Erst mit Kenntnis der gespeicherten Daten lassen sich die übrigen Rechte sinnvoll ausüben.
Für die Praxis im Marketing ist der Zusammenhang mit der Einwilligung und der Auftragsverarbeitung wichtig: Wer Daten über Dienstleister verarbeitet, muss auch diese Empfänger benennen können. Ein durchdachtes Datenschutzkonzept, das Auskunftsersuchen von Anfang an mitdenkt, erspart im Ernstfall Aufwand und Risiko.
Eng verwandt ist der Umgang mit einer Datenpanne: Kommt es zu einem Sicherheitsvorfall, häufen sich oft Auskunftsersuchen betroffener Personen, die wissen wollen, ob ihre Daten betroffen sind. Wer seine Datenbestände ohnehin sauber dokumentiert und Auskunftsprozesse eingeübt hat, kann in solchen Momenten schnell und verlässlich reagieren. Das Auskunftsrecht ist damit nicht nur eine gesetzliche Pflicht, sondern auch ein Prüfstein für die Datenschutz-Reife eines Unternehmens – und ein Vertrauensfaktor gegenüber Kunden und Interessenten.