Auskunftsrecht Fristen und gesetzliche Anforderungen nach Art 15

Rechtlich gesehen beginnt die Frist mit dem Eingang der Anfrage beim Verantwortlichen. Dies ist ein kritischer Punkt, da der Eingang nicht den Zeitpunkt meint, zu dem der Datenschutzbeauftragte die E-Mail liest, sondern den Moment, in dem die Nachricht den Machtbereich des Unternehmens erreicht. Wenn ein Nutzer am Sonntagabend eine E-Mail an die allgemeine Info-Adresse schickt, gilt dieser Sonntag als Tag Null. Die Frist endet dann mit Ablauf des Tages im darauffolgenden Monat, der dieselbe Zahl trägt. Geht die Anfrage am 15. März ein, muss die Antwort spätestens am 15. April vorliegen. Fehlt ein entsprechender Tag im Folgemonat (z. B. Eingang am 31. August), endet die Frist am letzten Tag dieses Monats (30. September).

Besonders tückisch ist dies für Unternehmen mit dezentralen Strukturen. Wenn ein Kunde seine Anfrage mündlich in einer Filiale stellt oder per Brief an eine Zweigstelle schickt, tickt die Uhr bereits ab diesem Moment. Es ist daher eine zentrale Compliance-Aufgabe, alle Mitarbeiter mit Kundenkontakt darauf zu schulen, solche Anfragen unverzüglich an die Fachabteilung weiterzuleiten. Eine Verzögerung durch interne Postwege oder falsche Weiterleitungen wird von Aufsichtsbehörden nicht als Entschuldigung für eine Fristüberschreitung akzeptiert. Die Beweislast für den Zugangszeitpunkt liegt im Streitfall meist beim Unternehmen, weshalb eine automatisierte Eingangsdokumentation (Logging) für alle Kommunikationskanäle dringend empfohlen wird.

Eine Verlängerung der Frist um zwei weitere Monate (insgesamt also drei Monate) ist gemäß Art. 12 Abs. 3 DSGVO nur unter zwei strengen Voraussetzungen zulässig: erstens muss dies wegen der Komplexität und der Anzahl der Anträge erforderlich sein, und zweitens muss der Betroffene innerhalb des ersten Monats über die Verlängerung und die Gründe dafür informiert werden. Komplexität bedeutet dabei nicht bloßes Arbeitsaufkommen. Sie liegt vor, wenn Daten aus zahlreichen, technisch getrennten Systemen zusammengeführt werden müssen, wenn umfangreiche Schwärzungen zum Schutz Dritter notwendig sind oder wenn es sich um historisch gewachsene Datenbestände handelt, die manuell gesichtet werden müssen. Die schiere Menge an Anfragen kann ebenfalls ein Grund sein, wenn ein Unternehmen plötzlich von einer unvorhersehbaren Welle (z. B. nach einem Medienbericht) überrollt wird.

Wichtig ist, dass die Mitteilung über die Verlängerung selbst eine Fristwahrung darstellt. Wer erst nach fünf Wochen schreibt, dass es länger dauert, hat bereits eine Ordnungswidrigkeit begangen. Die Begründung muss zudem substanziell sein. Ein Standardsatz wie „Aufgrund interner Abläufe verzögert sich die Bearbeitung“ reicht nicht aus. Sie müssen dem Nutzer (und potenziell der Behörde) erklären können, warum sein spezifischer Fall komplex ist. Wenn Sie beispielsweise Videoaufzeichnungen auswerten müssen, auf denen viele Passanten zu sehen sind, ist dies eine nachvollziehbare Begründung für den Mehraufwand. Fehlt eine valide Begründung, bleibt es bei der Ein-Monats-Frist, und jede Verzögerung ist rechtlich angreifbar. In der Praxis nutzen viele Unternehmen die Verlängerung als Puffer, riskieren dabei aber bei schwacher Begründung ein Verfahren wegen vorsätzlicher Verzögerung.

Das Recht auf Auskunft steht nur der betroffenen Person selbst zu. Daher hat der Verantwortliche nicht nur das Recht, sondern die Pflicht, die Identität des Anfragenden sicherzustellen, um Datenpannen (Auskunft an Unbefugte) zu vermeiden. Wenn Sie berechtigte Zweifel an der Identität haben, dürfen Sie gemäß Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern. Solange der Nutzer diesen Nachweis nicht erbringt, ruht die Bearbeitungspflicht faktisch. Die Frist für die Auskunft wird dadurch gehemmt. Allerdings müssen Sie den Nutzer unverzüglich darauf hinweisen, dass Sie seine Identität prüfen müssen und welche Dokumente Sie dafür benötigen. Ein Schweigen Ihrerseits wird als Fristversäumnis gewertet.

Die Schwierigkeit liegt im Maßstab der Identitätsprüfung. Der Grundsatz der Datenminimierung besagt, dass Sie nicht mehr Daten für die Prüfung verlangen dürfen, als unbedingt nötig. Wenn ein Nutzer aus seinem passwortgeschützten Account heraus anfragt, ist seine Identität meist hinreichend geklärt. In diesem Fall zusätzlich eine Kopie des Personalausweises zu verlangen, wäre unverhältnismäßig und könnte als schikanöse Verzögerung ausgelegt werden. Ist die Identität jedoch unklar (z. B. Anfrage per Post ohne Kundenreferenz), ist die Ausweiskopie zulässig, wobei der Nutzer darauf hingewiesen werden muss, dass er nicht benötigte Daten (wie das Foto oder die Seriennummer) schwärzen darf. Verweigert der Nutzer jede Mitwirkung, können Sie die Auskunft nach Art. 12 Abs. 2 DSGVO ablehnen. Dies muss dem Nutzer unter Hinweis auf seine Beschwerdemöglichkeiten mitgeteilt werden.

Der Grundsatz lautet: Die Auskunft nach Art. 15 DSGVO ist unentgeltlich. Dies gilt für die erste Kopie der Daten und alle damit verbundenen Informationen. Unternehmen dürfen also keine „Bearbeitungspauschalen“ oder „Versandkosten“ in Rechnung stellen, da dies die Ausübung des Grundrechts behindern würde. Es gibt jedoch zwei Ausnahmen: Gemäß Art. 12 Abs. 5 DSGVO kann ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangt werden, wenn der Antrag offenkundig unbegründet oder exzessiv ist, insbesondere im Falle von häufiger Wiederholung. Zudem darf für jede weitere Kopie, die die betroffene Person beantragt, ein Entgelt verlangt werden (Art. 15 Abs. 3 DSGVO).

In der Praxis ist die Definition von „exzessiv“ extrem eng. Nur weil ein Nutzer einmal im Jahr fragt, ist das nicht exzessiv. Eine Gebühr wird meist erst dann rechtfertigbar, wenn derselbe Nutzer innerhalb weniger Wochen mehrfach dieselben Daten anfordert, ohne dass sich sein Datenbestand geändert hat. Die Beweislast für den missbräuchlichen Charakter liegt beim Unternehmen. Wenn Sie eine Gebühr erheben wollen, müssen Sie die Verwaltungskosten (Personalzeit, Material) nachvollziehbar kalkulieren können. Da die Drohung mit Kosten oft zu Beschwerden bei Aufsichtsbehörden führt, verzichten die meisten Unternehmen darauf und wählen stattdessen den Weg der Ablehnung wegen Rechtsmissbrauchs, was jedoch rechtlich ebenso riskant ist. Eine unberechtigte Gebührenforderung kann zudem als Verstoß gegen die Transparenzpflichten gewertet werden.

Ja, der Auskunftsanspruch erstreckt sich grundsätzlich auf alle personenbezogenen Daten, die zum Zeitpunkt der Anfrage verarbeitet werden. Das schließt Daten in Backup-Systemen, Archiven und sogar gelöschte Daten, die noch in Papierkörben oder Logfiles vorhanden sind, mit ein. Die einzige Einschränkung ist der „unverhältnismäßige Aufwand“ im Einzelfall, wobei dieser im Datenschutzrecht sehr restriktiv ausgelegt wird. Nur wenn die Daten in den Backups technisch so isoliert sind, dass eine Wiederherstellung einzelner Datensätze faktisch unmöglich oder mit extremen Kosten verbunden ist, kann eine Auskunft in diesem Bereich abgelehnt werden. Dies muss jedoch im Einzelfall technisch und wirtschaftlich begründet werden.

Für die Frist bedeutet das: Sie müssen den Aufwand für die Durchsuchung von Archiven in Ihre Monatsplanung einbeziehen. Wenn Sie wissen, dass ein Voll-Restore Ihrer Backups fünf Tage dauert, muss dieser Prozess sofort nach Eingang der Anfrage gestartet werden. Ein häufiger Fehler ist, nur die Live-Datenbanken abzufragen. Stellt der Nutzer später fest, dass alte Verträge oder E-Mails fehlen, gilt die Auskunft als unvollständig. In der Praxis behelfen sich Unternehmen oft mit dem Hinweis, dass Daten in Backups nur für Notfallszenarien vorgehalten werden und ein Zugriff für Auskunftszwecke die Integrität des Systems gefährden würde. Diese Argumentation wird von Behörden zunehmend kritisch gesehen, da die DSGVO „Privacy by Design“ fordert – Systeme müssen also so gebaut sein, dass sie Nutzerrechte unterstützen, nicht behindern.

Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Dies ist die wichtigste inhaltliche Ausnahme. Wenn in einem Dokument (z. B. einem Protokoll einer Teambesprechung) Daten von Dritten enthalten sind, müssen diese vor der Herausgabe geschwärzt werden. Auch Geschäftsgeheimnisse des Unternehmens oder geistiges Eigentum können einen Grund darstellen, bestimmte Teile der Datenkopie zurückzuhalten. Allerdings darf dies nicht dazu führen, dass dem Nutzer die Auskunft über seine eigenen Daten gänzlich verweigert wird. Es muss immer das mildeste Mittel gewählt werden – also Schwärzung statt Vorenthaltung des gesamten Dokuments.

Eine weitere Ausnahme sind die länderspezifischen Regelungen im BDSG (für Deutschland). Gemäß § 34 BDSG kann der Auskunftsanspruch eingeschränkt sein, wenn die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher Aufbewahrungsfristen nicht gelöscht werden dürfen, oder wenn die Auskunftserteilung den ordnungsgemäßen Ablauf einer behördlichen Aufgabe gefährden würde. Auch bei rein internen Daten, deren Offenlegung die Geschäftsstrategie massiv gefährden würde, besteht ein Abwägungsspielraum. Diese Ausnahmen entbinden Sie jedoch nicht von der Fristwahrung. Sie müssen innerhalb des Monats mitteilen, welche Daten Sie aus welchen Gründen zurückhalten. Eine pauschale Verweigerung unter Berufung auf „Geschäftsgeheimnisse“ wird von Gerichten meist kassiert, wenn das Unternehmen nicht detailliert darlegt, welcher konkrete Schaden durch die Auskunft entstünde.

Die Übermittlung der Auskunft ist selbst ein Verarbeitungsvorgang, der den Sicherheitsanforderungen des Art. 32 DSGVO genügen muss. Wenn ein Nutzer die Auskunft per E-Mail verlangt, bedeutet das nicht automatisch, dass Sie ihm eine unverschlüsselte Datei schicken dürfen. Enthält die Auskunft sensible Daten (Gesundheitsdaten, Finanzdaten, private Korrespondenz), ist eine Ende-zu-Ende-Verschlüsselung oder die Bereitstellung über ein sicheres Download-Portal mit Passwortschutz (Zwei-Faktor-Authentifizierung) zwingend erforderlich. Ein unverschlüsselter Versand stellt eine Datenpanne dar, die theoretisch meldepflichtig nach Art. 33 DSGVO sein kann. Die Wahl des Übermittlungsweges muss zudem den Wünschen des Nutzers Rechnung tragen, sofern dies technisch möglich ist.

Für die Frist ist der Zeitpunkt der Bereitstellung entscheidend. Wenn Sie dem Nutzer am letzten Tag der Frist einen Link schicken, dieser aber wegen technischer Probleme nicht funktioniert, haben Sie die Frist faktisch nicht gewahrt. Sorgen Sie daher für einen Puffer von 1-2 Tagen für die technische Zustellung. Bei postalischem Versand gilt der Tag der Postaufgabe als Fristwahrung, sofern die Zustellung innerhalb der üblichen Postlaufzeiten zu erwarten ist. Dennoch empfiehlt sich bei kritischen Fällen ein Einwurfeinschreiben, um den Beweis der rechtzeitigen Handlung führen zu können. Denken Sie auch daran, dass die Auskunft „in präziser, transparenter, verständlicher und leicht zugänglicher Form“ erfolgen muss. Ein Datenberg ohne Erläuterungen, was die einzelnen Felder bedeuten, erfüllt die Anforderungen des Art. 12 Abs. 1 DSGVO nicht vollständig.

Ja, und dies ist einer der am häufigsten unterschätzten Bereiche der DSGVO. Mitarbeiter sind betroffene Personen, und der Arbeitgeber ist der Verantwortliche. In Arbeitsrechtsstreitigkeiten wird Art. 15 DSGVO oft strategisch eingesetzt, um Informationen für Kündigungsschutzprozesse zu gewinnen oder den Arbeitgeber unter administrativen Druck zu setzen. Die Fristen sind hier exakt dieselben wie bei Kundenanfragen. Da die Datenmengen bei langjährigen Mitarbeitern (E-Mails, Leistungsbeurteilungen, Protokolle, Chatverläufe) enorm sein können, ist die Einhaltung der Monatsfrist hier besonders schwierig. Die Rechtsprechung (z. B. BAG) bestätigt jedoch den weitreichenden Anspruch auf Kopie aller E-Mails, in denen der Mitarbeiter namentlich erwähnt wird oder die er selbst verfasst hat.

Unternehmen versuchen oft, solche Anfragen mit dem Argument des Rechtsmissbrauchs abzuwehren, wenn diese offensichtlich nur dazu dienen, den Prozessgegner zu schikanieren. Das Bundesarbeitsgericht legt hier jedoch sehr hohe Hürden an. Solange der Mitarbeiter behauptet, die Daten zur Überprüfung der Rechtmäßigkeit der Verarbeitung zu benötigen, müssen Sie liefern. Eine Fristverlängerung ist hier wegen der oft notwendigen Sichtung tausender E-Mails auf Rechte Dritter (andere Mitarbeiter) häufig begründbar. Aber Achtung: Das Sammeln und Sichten der Mails muss sofort nach Eingang der Anfrage beginnen. Ein „Wir warten erst mal den nächsten Gerichtstermin ab“ ist ein sicherer Weg zu einem Bußgeld durch die Aufsichtsbehörde, die in Mitarbeiterfällen oft besonders sensibel reagiert.

Nein. Das Auskunftsrecht nach Art. 15 DSGVO ist ein zweckunabhängiges Recht. Der Nutzer muss nicht begründen, warum er die Auskunft verlangt. Er muss nicht nachweisen, dass er einen Schaden vermutet oder dass er seine Daten löschen lassen will. Er hat das Recht auf Auskunft einfach deshalb, weil es seine Daten sind. Jede Rückfrage des Unternehmens nach dem „Warum“ ist rechtlich irrelevant und darf die Bearbeitung nicht verzögern. Wer die Auskunft mit der Begründung verweigert, der Nutzer habe kein berechtigtes Interesse dargelegt, verstößt fundamental gegen die DSGVO.

Es gibt lediglich eine Nuance bei sehr großen Datenmengen: Gemäß Erwägungsgrund 63 DSGVO kann der Verantwortliche den Nutzer bitten zu präzisieren, auf welche Informationen oder welche Verarbeitungsvorgänge sich der Antrag bezieht, bevor die Auskunft erteilt wird. Dies ist jedoch keine Bedingung für die Auskunft, sondern eine Kooperationsbitte. Wenn der Nutzer auf die Präzisierung verzichtet und auf einer Gesamtauskunft beharrt, müssen Sie diese liefern. Die Zeit für die Rückfrage stoppt die Frist nicht automatisch. In der Praxis ist es klug, diese Rückfrage sofort (Tag 1-2) zu stellen, um den Umfang frühzeitig zu klären. Reagiert der Nutzer nicht, müssen Sie innerhalb der Monatsfrist nach bestem Wissen und Gewissen eine umfassende Auskunft erteilen.

Die Folgen einer Fristüberschreitung sind dreigeteilt: Aufsichtsrechtlich drohen Bußgelder nach Art. 83 Abs. 5 DSGVO, die theoretisch bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen können. In der Praxis werden bei Erstverstößen kleinerer Unternehmen meist vier- bis fünfstellige Summen verhängt, aber die Tendenz ist steigend. Zivilrechtlich kann der Nutzer auf Schadensersatz nach Art. 82 DSGVO klagen. Die aktuelle Rechtsprechung des EuGH und deutscher Gerichte erkennt zunehmend an, dass bereits der „Kontrollverlust“ über die Daten durch eine verweigerte oder verspätete Auskunft einen immateriellen Schaden darstellen kann, für den Entschädigungen zwischen 500 und 2.000 Euro üblich geworden sind.

Die dritte Ebene ist die prozessuale Folge. In einem Gerichtsverfahren kann eine verspätete Auskunft dazu führen, dass das Unternehmen die Prozesskosten tragen muss, selbst wenn es die Auskunft im Laufe des Verfahrens noch erteilt (Erledigung der Hauptsache). Zudem leidet das Image massiv, wenn Nutzer ihre negativen Erfahrungen in sozialen Medien oder auf Bewertungsportalen teilen. Eine „Auskunfts-Hinhaltetaktik“ spricht sich schnell herum und kann Kunden abschrecken, die Wert auf Datenschutz legen. Das Risiko-Nutzen-Verhältnis spricht also immer für eine strikte Fristeinhaltung, da die Kosten für die Verteidigung gegen eine Beschwerde fast immer höher sind als der Aufwand für eine rechtzeitige Bearbeitung.