DSGVO Auskunftsrecht: Was Art. 15 DSGVO ein Unternehmen offenlegen lässt

Art. 15 DSGVO gibt einer Person das Recht zu erfahren, welche personenbezogenen Daten eine Organisation über sie verarbeitet, warum sie diese Daten verarbeitet und wer sie sonst noch gesehen hat. Auf Deutsch heißt das Auskunftsrecht, und es ist das Tor zu den übrigen Betroffenenrechten. Eine Berichtigung, eine Löschung oder ein Widerspruch lassen sich kaum formulieren, bevor überhaupt sichtbar ist, was tatsächlich existiert.

Die Anfrage zu stellen ist bewusst einfach gehalten. Es gibt keine Form, die einzuhalten ist, es muss kein Grund genannt werden, und die Antwort ist kostenlos. Der schwierigere Teil besteht darin zu wissen, wie eine vollständige Antwort aussieht, denn ein Verantwortlicher, der eine dünne Zusammenfassung zurücksendet und darauf hofft, dass die Sache damit erledigt ist, ist eher die Regel als die Ausnahme.

Diese Seite stellt dar, was ein Auskunftsersuchen erfasst, welche Frist die DSGVO setzt und in welchen engen Fällen sie sich verlängert, die Grenzen, die unter Art. 15 Abs. 4 DSGVO und unter deutschem nationalem Recht tatsächlich gelten, sowie was geschieht, wenn ein Verantwortlicher schlicht nicht antwortet. Außerdem wird die Frist an einem Kalenderbeispiel durchgespielt, denn ein in Monaten gezählter Zeitraum lässt sich leichter sehen als beschreiben.

Informationen zuletzt geprüft am 20. Juli 2026. Diese Seite enthält allgemeine rechtliche Informationen und stellt keine Rechtsberatung im Einzelfall dar.

Was ein Auskunftsersuchen tatsächlich erfasst

Das Recht wirkt auf zwei Ebenen. Die erste Ebene ist die Bestätigung: ob überhaupt personenbezogene Daten über die Person verarbeitet werden. Ein Verantwortlicher, der nichts vorhält, muss das trotzdem sagen, und eine negative Antwort ist eine gültige Antwort.

Die zweite Ebene greift, wenn Daten tatsächlich existieren. In diesem Fall gewährt Art. 15 Abs. 1 DSGVO Zugang zu den Daten zusammen mit einer Liste von Informationen über die Verarbeitung:

• die Zwecke der Verarbeitung
• die Kategorien der betroffenen personenbezogenen Daten
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind oder noch offengelegt werden
• die geplante Speicherdauer oder, falls diese nicht angegeben werden kann, die Kriterien für ihre Festlegung
• das Bestehen der Rechte auf Berichtigung, Löschung und Einschränkung der Verarbeitung sowie des Widerspruchsrechts
• das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen
• verfügbare Informationen über die Herkunft der Daten, wenn diese nicht bei der Person erhoben wurden
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling, mit aussagekräftigen Informationen über die involvierte Logik sowie die Tragweite

Art. 15 Abs. 2 DSGVO fügt hinzu, dass die Person bei einer Datenübermittlung in ein Drittland über die dafür herangezogenen Garantien informiert werden kann.

Die praktische Bedeutung dieser Liste liegt darin, dass sie keine Zusammenfassung eines Kundendatensatzes ist. Personenbezogene Daten sind ein weiter Begriff, und interne Vermerke, Ticketverläufe, Anrufaufzeichnungen, Protokolldaten und die Freitextfelder, in denen Mitarbeitende einen Kunden beschreiben, können allesamt darunterfallen. Eine Antwort, die nur Name, Anschrift und Bestellhistorie wiedergibt, hat eine engere Frage beantwortet als die tatsächlich gestellte.

Die Kopie nach Art. 15 Abs. 3 DSGVO

Art. 15 Abs. 3 DSGVO ist eine eigenständige Pflicht neben der Informationsliste. Sie verlangt vom Verantwortlichen, eine Kopie der personenbezogenen Daten zur Verfügung zu stellen, die Gegenstand der Verarbeitung sind.

Eine Kopie ist nicht dasselbe wie eine Beschreibung. Ein Verantwortlicher, der schreibt, er verarbeite Kontaktdaten, Bestelldaten und Zahlungsdaten zur Vertragserfüllung, hat Kategorien beschrieben, das ist die Pflicht aus Abs. 1, ohne die Daten selbst herauszugeben, das ist die Pflicht aus Abs. 3. Beide werden in den erhaltenen Antworten häufig vermischt, und diesen Unterschied zu erkennen ist das Nützlichste, was eine anfragende Person mit einer Antwort tun kann.

Wird das Ersuchen elektronisch gestellt, werden die Informationen normalerweise in einem gängigen elektronischen Format bereitgestellt, sofern die Person nichts anderes verlangt.

Die Monatsfrist, und der einzige Weg, wie sie sich verlängert

Art. 15 DSGVO regelt, was herauszugeben ist. Art. 12 Abs. 3 DSGVO regelt, wann. Der Verantwortliche muss unverzüglich antworten, in jedem Fall aber innerhalb eines Monats nach Eingang des Ersuchens.

Diese Frist kann um zwei weitere Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anfragen erforderlich ist. Die Verlängerung erfolgt nicht automatisch und nicht stillschweigend. Der Verantwortliche muss die Person innerhalb eines Monats nach Eingang des Ersuchens über die Verlängerung und die Gründe für die Verzögerung informieren.

Die äußerste Grenze liegt damit bei drei Monaten, aber nur, wenn der Verantwortliche die Verlängerung innerhalb des ersten Monats aktiv beansprucht und begründet hat. Ein Verantwortlicher, der sechs Wochen schweigt und dann ankündigt, sich drei Monate Zeit zu nehmen, hat den in der Vorschrift beschriebenen Mechanismus nicht eingehalten.

Ein durchgerechnetes Beispiel

Ein konkretes Beispiel. Ein Kunde schreibt am Montag, den 2. März 2026, eine E-Mail an einen Berliner Onlinehändler und bittet um Auskunft nach Art. 15 DSGVO.

Die Monatsfrist läuft ab dem Eingang, sodass die Antwort am 2. April 2026 fällig wird. Hält der Händler das Ersuchen für komplex, etwa weil sich die Daten über ein Shopsystem, einen Support-Desk und eine Marketingplattform verteilen, kann er verlängern. Dafür muss er dem Kunden bis zum 2. April 2026 schreiben, dass er verlängert, und warum. Die Antwort wird dann am 2. Juni 2026 fällig.

Verstreicht der 2. April 2026 ohne Antwort und ohne Verlängerungsmitteilung, ist die Antwort ab diesem Zeitpunkt verspätet. Es muss nichts weiter geschehen, damit die Frist als versäumt gilt, und der Beschwerdeweg zur zuständigen Aufsichtsbehörde steht ab diesem Zeitpunkt offen.

Ein Vorbehalt zur Rechenweise. Die genaue Art, wie eine in Monaten ausgedrückte Frist berechnet wird, kann das Enddatum je nach angewandten Berechnungsregeln um einen Tag verschieben, sodass eine Antwort, die am 3. statt am 2. April eintrifft, in der Regel keinen echten Streitpunkt darstellt. Eine Antwort, die im September eintrifft oder überhaupt nicht, ist es dagegen eindeutig.

Keine Form, kein Grund und keine Gebühr

Die DSGVO schreibt keine Form für das Ersuchen vor. Eine E-Mail, ein Brief oder eine Nachricht über einen Support-Kanal funktionieren alle, und ein Verantwortlicher kann sein eigenes Webformular nicht zum einzig zulässigen Weg machen. Es lohnt sich, einen Kanal zu nutzen, der das Datum nachweisbar festhält, denn das Datum ist es, das die Frist in Gang setzt.

Es muss kein Grund genannt werden. Das Recht hängt nicht von einem Streit, einem Verdacht oder einem Zweck ab, und ein Verantwortlicher, der fragt, warum die Person die Daten haben möchte, stellt eine Frage, die die Verordnung nicht zur Voraussetzung macht.

Art. 12 Abs. 5 DSGVO macht die Antwort kostenlos. Eine Gebühr oder eine Ablehnung des Tätigwerdens wird nur möglich, wenn ein Ersuchen offensichtlich unbegründet oder exzessiv ist, insbesondere wegen seines wiederholten Charakters, und der Verantwortliche trägt die Beweislast dafür. Exzessiv ist in diesem Sinne eine hohe Schwelle. Ein Ersuchen, das aufwendig zu beantworten ist oder das viele Daten erfasst, weil das Unternehmen viele Daten vorhält, ist für sich genommen kein exzessives Ersuchen.

Identitätsprüfungen, und wo sie zur Verzögerung werden

Ein Verantwortlicher, der personenbezogene Daten der falschen Person aushändigt, hat eine Datenschutzverletzung begangen statt ein Ersuchen erfüllt, sodass eine Identitätsprüfung berechtigt ist, wo echte Zweifel an der anfragenden Person bestehen. Soweit ist das unstrittig.

Was eine Identitätsprüfung nicht bewirkt, ist ein Zurücksetzen der Frist. Die Monatsfrist läuft ab dem Ersuchen, und ein Verantwortlicher, der fünf Wochen lang nacheinander weitere Nachweise von einer Person verlangt, die von der bereits im Konto hinterlegten E-Mail-Adresse schreibt, nutzt einen an sich legitimen Schritt für einen anderen Zweck.

Ob ein Verantwortlicher eine Kopie des Personalausweises verlangen darf, ist in der deutschen Praxis tatsächlich umstritten. Der Grundsatz der Datenminimierung nach Art. 5 DSGVO ist dabei üblicherweise das Argument der Gegenseite, und der übliche Kompromiss besteht darin, für die Identitätsprüfung nicht erforderliche Angaben zu schwärzen. Wir konnten keine verbindliche Vorschrift feststellen, die die Frage in die eine oder andere Richtung abschließend klärt, sie wird hier daher als ungeklärt und nicht als entschieden dargestellt.

Die Grenzen, die tatsächlich bestehen

Das Auskunftsrecht hat echte Grenzen, und sie sind enger als das, was Verantwortliche üblicherweise behaupten.

Art. 15 Abs. 4 DSGVO bestimmt, dass das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf. In der Praxis ist das ein Argument für Schwärzung, nicht für Schweigen. Enthält ein Dokument Daten über die anfragende Person und über eine dritte Person, bleibt der Rest offenlegungsfähig, wenn das Material der dritten Person entfernt wird.

§ 29 Abs. 1 Satz 2 BDSG ist die in Deutschland üblicherweise herangezogene Vorschrift zu Geschäftsgeheimnissen. Sie bestimmt, dass das Auskunftsrecht nach Art. 15 der Verordnung (EU) 2016/679 nicht besteht, soweit die Auskunft Informationen offenbaren würde, die nach einer Rechtsvorschrift oder ihrem Wesen nach geheim gehalten werden müssen, insbesondere wegen überwiegender berechtigter Interessen eines Dritten. Der Wortlaut betrifft die Information, die offenbart würde, nicht das Ersuchen als Ganzes.

§ 34 Abs. 1 BDSG fügt zwei weitere deutsche Ausnahmen hinzu. Das Recht besteht nicht, wenn die Person nach § 33 BDSG nicht unterrichtet werden muss, und es besteht auch nicht, wenn die Daten nur deshalb gespeichert sind, weil gesetzliche oder satzungsmäßige Aufbewahrungsvorschriften eine Löschung verhindern, oder sie ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen, sofern die Erteilung der Auskunft einen unverhältnismäßigen Aufwand erfordern würde und eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist. Diese Voraussetzungen müssen alle zusammen erfüllt sein, weshalb die Vorschrift deutlich weniger abdeckt, als ihr oft zugeschrieben wird.

§ 34 Abs. 2 BDSG schränkt die Ablehnung selbst dann ein. Die Gründe für eine Ablehnung müssen dokumentiert werden, und die Ablehnung muss der Person gegenüber begründet werden, es sei denn, die Mitteilung der tatsächlichen und rechtlichen Gründe würde den mit der Ablehnung verfolgten Zweck vereiteln. Eine einzeilige Antwort, die pauschal ein Geschäftsgeheimnis behauptet, ohne Gründe zu nennen, entspricht nicht dem in der Vorschrift beschriebenen Muster.

Wie ein Ersuchen in der Praxis meist aussieht

Ersuchen, die funktionieren, sind meist kurz. Sie identifizieren die Person so, dass das Unternehmen den Datensatz finden kann, etwa durch Angabe der Kunden- oder Kontonummer, die das Unternehmen selbst verwendet. Sie erklären ausdrücklich, dass es sich um ein Auskunftsersuchen nach Art. 15 DSGVO handelt. Sie fragen sowohl nach den Informationen aus Art. 15 Abs. 1 DSGVO als auch nach der Kopie aus Art. 15 Abs. 3 DSGVO, weil das die beiden Hälften sind, die in schwachen Antworten getrennt werden. Sie enthalten ein Datum und werden über einen Kanal gesendet, der dieses Datum nachweisbar festhält.

Nichts an dieser Beschreibung ist von der Verordnung vorgeschrieben. Das Recht hängt nicht von den verwendeten Worten ab, und ein Ersuchen, das nichts davon enthält, bleibt trotzdem ein Ersuchen. Diese Darstellung beschreibt die übliche Praxis, sie ist keine Vorlage und keine Empfehlung, was eine bestimmte Person in ihrer eigenen Situation verlangen oder fordern sollte.

Wenn nichts zurückkommt

Art. 77 DSGVO gibt jeder Person das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. In Deutschland lautet die praktische Frage, bei welcher, und die Antwort richtet sich nach der Art der Stelle, über die Beschwerde geführt wird, nicht nach einer gemeinsamen Zuständigkeit der Behörden.

§ 40 Abs. 1 BDSG weist die Aufsicht über nichtöffentliche Stellen, also im Grunde die gesamte Privatwirtschaft, den nach dem Recht der einzelnen Länder bestimmten Behörden zu. § 9 Abs. 1 BDSG gibt der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, dem BfDI, die Aufsicht über öffentliche Stellen des Bundes sowie über Unternehmen, die Daten für die geschäftsmäßige Erbringung von Telekommunikationsdiensten verarbeiten, neben seiner Rolle für Postdienste.

Für eine Bank, einen Einzelhändler, einen Versicherer, einen Vermieter, einen Arbeitgeber oder eine Plattform ist damit die Datenschutzbehörde des Landes zuständig, in dem der jeweilige Verantwortliche niedergelassen ist, nicht der BfDI. Hat ein Verantwortlicher mehrere deutsche Niederlassungen, wendet § 40 Abs. 2 BDSG den Begriff der Hauptniederlassung aus Art. 4 Nr. 16 DSGVO an, um zu bestimmen, welche Behörde federführend ist. Eine Beschwerde kostet nichts und erfordert keinen Anwalt.

Der aufsichtsrechtliche Weg und der Klageweg sind getrennt. Art. 79 DSGVO erhält den gerichtlichen Rechtsbehelf aufrecht, und Art. 82 DSGVO sieht Schadensersatz für erlittenen Schaden vor. Deutsche Gerichte sind sich erheblich uneinig darüber, ob und in welcher Höhe immaterieller Schaden aus einer verspäteten oder unvollständigen Auskunft folgt, sodass dieser Teil des Bildes ungeklärt ist und kein Betrag als typisch gelesen werden sollte.

Was ein Verstoß den Verantwortlichen kosten kann

Art. 83 DSGVO hat zwei Bußgeldstufen, und der Unterschied ist wichtig, weil sie regelmäßig zu einer einzigen Schlagzeilenzahl zusammengefasst werden.

Ein Verstoß gegen die Betroffenenrechte in Art. 12 bis Art. 22 DSGVO, wozu das Auskunftsrecht gehört, fällt in die höhere Stufe nach Art. 83 Abs. 5 DSGVO: bis zu zwanzig Millionen Euro oder bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Die niedrigere Stufe in Art. 83 Abs. 4 DSGVO, die Pflichten von Verantwortlichen und Auftragsverarbeitern wie Art. 28 DSGVO betrifft, reicht bis zu zehn Millionen Euro oder zwei Prozent auf derselben alternativen Grundlage.

§ 43 BDSG ist eine gesonderte und deutlich engere deutsche Vorschrift, die häufig fälschlich in diese Diskussion eingebracht wird. Sie sanktioniert ausschließlich die fehlerhafte Behandlung eines Auskunftsverlangens nach § 30 Abs. 1 BDSG und die unterbliebene Information eines Verbrauchers nach § 30 Abs. 2 Satz 1 BDSG, beides Vorschriften zu Auskunfteien und Verbraucherkrediten. Sie ist bei fünfzigtausend Euro gedeckelt, und § 43 Abs. 3 BDSG bestimmt, dass gegen Behörden und sonstige öffentliche Stellen keine Bußgelder verhängt werden. Sie ist nicht die allgemeine Sanktion für die Missachtung eines Auskunftsersuchens.

Auskunftsersuchen gegenüber einem Arbeitgeber

Der Beschäftigungskontext verdient eine gesonderte Betrachtung, denn die gesetzliche Grundlage dort ist instabil. § 26 BDSG zur Verarbeitung von Beschäftigtendaten bleibt in Kraft, doch der EuGH entschied am 30. März 2023 in der Rechtssache C-34/21, dass eine nationale Generalklausel dieser Art keine spezifischere Vorschrift im Sinne des Art. 88 Abs. 1 DSGVO ist. Das Beschäftigtendatengesetz, das sie ersetzen sollte, wurde nicht erlassen, und es sollte nicht als unmittelbar bevorstehend dargestellt werden.

Das Ergebnis für ein Auskunftsersuchen ist trotzdem vergleichsweise stabil. Eine Beschäftigte oder ein Beschäftigter, die oder der den Arbeitgeber fragt, was er speichert, fragt unmittelbar nach Art. 15 DSGVO, und dieselbe Monatsfrist, dieselbe Kopiepflicht und dieselben Grenzen gelten. Das Material, das ein Arbeitgeber vorhält, einschließlich Überwachungsaufzeichnungen, wird weiter unter Überwachung am Arbeitsplatz behandelt.

Wenn die antwortende Organisation nicht diejenige ist, die die Daten tatsächlich speichert, kommt es auf die dahinterliegende vertragliche Ebene an, die Gegenstand des Auftragsverarbeitungsvertrags ist. Für die weiteren deutschen Datenschutzthemen siehe die Datenschutzübersicht, und für deutsches Recht insgesamt siehe Deutschland.