Auskunft nach Artikel 15 DSGVO gestellt – und dann Funkstille
Artikel 12 Absatz 3 DSGVO nennt einen Monat, Artikel 15 den Umfang. Was ein Unternehmen herausgeben muss und was bei Schweigen gilt.
Aufwand:
ca. 30 Min.
Voraussetzung:
E-Mail oder Brief mit Nachweis, Kalender für die Fristberechnung, Rechtsberatung für die Bewertung des Einzelfalls
Gilt für:
Europäische Union, Verordnung (EU) 2016/679 in der am 10.08.2026 abrufbaren Fassung
Das Symptom
Du hast eine Mail geschrieben, in der du wissen wolltest, welche Daten ein
Unternehmen über dich gespeichert hat. Zurück kam: nichts. Oder eine
Empfangsbestätigung, die freundlich bleibt und nichts zusagt. Oder eine
Auskunft, die aus deiner Anschrift und deiner Kundennummer besteht – also aus
genau den Angaben, die du selbst eingetippt hast. Auf Nachfrage heißt es, das
werde „geprüft“, man melde sich. Sechs Wochen später ist der Stand unverändert.
Die „Layer 8“-Wahrheit
Dieses Verfahren hat einen Zeitplan, und er steht nicht im Ermessen des
Unternehmens. Artikel 12 Absatz 3 Satz 1 DSGVO gibt dem Verantwortlichen genau
eine Frist: Er stellt die Informationen über die ergriffenen Maßnahmen
„unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des
Antrags“ zur Verfügung. Ja, Satz 2 kennt eine Verlängerung um zwei weitere
Monate bei Komplexität oder Anzahl der Anträge. Aber Satz 3 hängt eine Bedingung
daran, die den Unterschied macht: Über die Verlängerung ist innerhalb des
ersten Monats zu unterrichten, „zusammen mit den Gründen für die Verzögerung“.
Wer schweigt und sich später auf drei Monate beruft, hat die Voraussetzung dafür
selbst versäumt. Und Artikel 12 Absatz 4 schließt die letzte Lücke: Selbst die
Ablehnung ist eine Antwort mit Frist – spätestens innerhalb eines Monats, mit
Gründen und mit dem Hinweis auf Beschwerde und gerichtlichen Rechtsbehelf.
Schweigen ist im Text schlicht nicht vorgesehen.
Beim Umfang wird es interessant, weil dort die meisten Antworten stecken
bleiben. Artikel 15 Absatz 1 ist zweistufig: erst die Bestätigung, ob überhaupt
verarbeitet wird, dann die Auskunft über die Daten und acht namentlich
aufgezählte Informationen – Zwecke, Kategorien, Empfänger, Speicherdauer,
Betroffenenrechte, Beschwerderecht, Herkunft, automatisierte Entscheidungsfindung.
Buchstabe c und Buchstabe g sind die, die regelmäßig fehlen: an wen die Daten
gegangen sind und woher sie stammen, wenn sie nicht bei dir erhoben wurden. Und
dann kommt Absatz 3 Satz 1, ein einziger, sehr kurzer Satz: „Der Verantwortliche
stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung
sind, zur Verfügung.“ Eine Antwort, die nur Kategorien aufzählt, erfüllt Absatz 1
teilweise und Absatz 3 gar nicht.
Der Rest sind die üblichen Reflexe, und für jeden steht im Text, wann er trägt.
Geld verlangen: nach Artikel 12 Absatz 5 Satz 1 sind die Maßnahmen unentgeltlich;
ein Entgelt kommt nur bei offenkundig unbegründeten oder exzessiven Anträgen in
Betracht – und den Nachweis dafür muss der Verantwortliche erbringen, nicht du.
Ausweis verlangen: Artikel 12 Absatz 6 setzt „begründete Zweifel an der
Identität“ voraus, nicht bloß Vorsicht. Auf Dritte verweisen: Artikel 15 Absatz 4
ist eine echte Schranke, aber sie rechtfertigt eine Kürzung, keine
Komplettverweigerung. Papierstapel statt Datei: Bei einem elektronisch gestellten
Antrag ist nach Artikel 15 Absatz 3 Satz 3 ein gängiges elektronisches Format
geschuldet.
Was passiert, wenn trotzdem nichts kommt? Artikel 77 Absatz 1 gibt dir das Recht
auf Beschwerde bei einer Aufsichtsbehörde, Artikel 82 Absatz 1 einen Anspruch auf
Schadenersatz bei materiellem oder immateriellem Schaden, und Artikel 83 Absatz 5
Buchstabe b ordnet Verstöße gegen die Betroffenenrechte der Artikel 12 bis 22
dem oberen Bußgeldrahmen zu – bis zu 20 000 000 EUR oder 4 Prozent des weltweiten
Jahresumsatzes, je nachdem, was höher ist. Das ist eine Obergrenze im
Verordnungstext und keine Ansage, was in einem Einzelfall herauskommt; wer daraus
eine Drohung baut, überzieht. Der nüchterne Punkt ist ein anderer: Fast alles an
diesem Verfahren hängt daran, dass du den Eingang deines Antrags belegen kannst.
Ein Anruf hat keinen Eingang. Eine Mail hat einen. Mehr Aufwand ist es nicht.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Den Antrag so stellen, dass der Fristbeginn belegbar ist
Die Monatsfrist läuft ab Eingang des Antrags. Wer telefoniert, hat keinen Eingang, den er später zeigen kann. E-Mail oder Brief, ein klarer Betreff, die Nennung der Vorschrift und die ausdrückliche Bitte um die Kopie nach Artikel 15 Absatz 3 – mehr braucht es nicht. Ein Grund muss nicht angegeben werden; Artikel 15 verlangt keinen.
Betreff: Auskunftsersuchen nach Artikel 15 DSGVO
Kundennummer / Kennung: <soweit vorhanden>
hiermit beantrage ich Auskunft nach Artikel 15 Absatz 1 DSGVO
einschließlich der dort unter a bis h genannten Informationen sowie
eine Kopie der verarbeiteten personenbezogenen Daten nach Artikel 15
Absatz 3 Satz 1 DSGVO.
Der Antrag wird elektronisch gestellt; ich bitte um Bereitstellung in
einem gängigen elektronischen Format (Artikel 15 Absatz 3 Satz 3 DSGVO).
2.
Das elektronische Format ausdrücklich mit beantragen
Artikel 15 Absatz 3 Satz 3 DSGVO: Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt. Das ist der Unterschied zwischen einer auswertbaren Datei und 180 eingescannten Seiten. Wer den Antrag per E-Mail stellt, hat diesen Anspruch bereits – es schadet aber nichts, ihn zu benennen, weil es die Diskussion vorwegnimmt.
3.
Zwei Termine in den Kalender eintragen, nicht einen
Termin eins: ein Monat nach Eingang. Bis dahin muss entweder die Auskunft da sein (Artikel 12 Absatz 3 Satz 1), eine begründete Mitteilung über die Verlängerung (Satz 3) oder eine begründete Mitteilung, dass nicht tätig geworden wird (Artikel 12 Absatz 4). Termin zwei: drei Monate nach Eingang – das ist die äußerste Grenze, wenn im ersten Monat eine wirksame Verlängerungsmitteilung kam. Kam sie nicht, existiert Termin zwei nicht.
4.
Die erhaltene Antwort gegen die Liste in Artikel 15 abgleichen
Die häufigste unvollständige Antwort ist keine Verweigerung, sondern eine Teilauskunft: Stammdaten ja, Empfänger nein, Herkunft nein, Speicherdauer nein. Geh Buchstabe für Buchstabe durch – a Zwecke, b Kategorien, c Empfänger, d Speicherdauer oder deren Kriterien, e Rechte auf Berichtigung, Löschung, Einschränkung, Widerspruch, f Beschwerderecht, g Herkunft, h automatisierte Entscheidungsfindung – und dann noch einmal Absatz 3 Satz 1 für die Kopie selbst. Was fehlt, wird konkret und einzeln nachgefordert, nicht pauschal.
5.
Die Grenzen des Anspruchs mitlesen
Artikel 15 Absatz 4 DSGVO stellt klar, dass das Recht auf Erhalt einer Kopie „die Rechte und Freiheiten anderer Personen nicht beeinträchtigen“ darf. Eine E-Mail, in der eine dritte Person vorkommt, muss also nicht zwingend vollständig herausgegeben werden. Das ist eine echte Schranke im Text – und zugleich die am häufigsten missbrauchte Begründung, um eine Auskunft pauschal zu kürzen. Wo sie gezogen wird, gehört sie begründet, nicht behauptet.
6.
Bei Schweigen an die Aufsichtsbehörde, nicht an den Support
Artikel 77 Absatz 1 DSGVO gibt jeder betroffenen Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs – insbesondere in dem Mitgliedstaat des Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für die Beschwerde brauchst du drei Dinge: den Nachweis des Antrags mit Datum, den Nachweis, dass die Monatsfrist verstrichen ist, und die Angabe, was fehlt. Genau deshalb war Schritt eins schriftlich.
7.
Für die andere Seite: den Vorgang als Prozess behandeln, nicht als Störung
Wer solche Anträge erhält, sollte sie nicht im allgemeinen Postfach versanden lassen. Aus dem Text ergeben sich vier feste Punkte: Eingangsdatum festhalten, innerhalb eines Monats antworten oder die Verlängerung begründet mitteilen, die acht Informationen aus Artikel 15 Absatz 1 vollständig abarbeiten und die Kopie nach Absatz 3 beilegen. Das ist keine Rechtsberatung, sondern die Reihenfolge, die in der Verordnung steht – die Bewertung des Einzelfalls gehört in die Hände einer Rechtsberatung oder eines Datenschutzbeauftragten.
Häufige Fragen (FAQ)
?Wie lange darf ein Unternehmen sich Zeit lassen?
Artikel 12 Absatz 3 Satz 1 DSGVO ist eindeutig: Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag ergriffenen Maßnahmen „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ zur Verfügung. Satz 2 erlaubt eine Verlängerung um weitere zwei Monate, „wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist“. Entscheidend ist Satz 3, den fast alle überlesen: Der Verantwortliche unterrichtet die betroffene Person „innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung“. Die Verlängerung ist also kein stiller Puffer. Wer im ersten Monat gar nichts sagt, kann sich nachher nicht auf die zwei Zusatzmonate zurückziehen – die Mitteilung darüber war selbst fristgebunden.
?Was genau muss herausgegeben werden – eine Liste oder die Daten selbst?
Beides. Artikel 15 Absatz 1 gibt zunächst das Recht auf Bestätigung, ob überhaupt Daten verarbeitet werden, und wenn ja, auf Auskunft über diese Daten und auf acht ausdrücklich aufgezählte Informationen: die Verarbeitungszwecke (a), die Kategorien der Daten (b), die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern (c), die geplante Speicherdauer oder die Kriterien für ihre Festlegung (d), das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch (e), das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (f), alle verfügbaren Informationen über die Herkunft der Daten, wenn sie nicht bei der betroffenen Person erhoben wurden (g), und das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling samt aussagekräftigen Informationen über die involvierte Logik, Tragweite und angestrebte Auswirkungen (h). Zusätzlich verlangt Artikel 15 Absatz 3 Satz 1 die Sache selbst: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“ Eine Antwort, die nur die Kategorien nennt, hat Absatz 3 nicht erfüllt.
?Darf ein Unternehmen dafür Geld verlangen?
Im Regelfall nicht. Artikel 12 Absatz 5 Satz 1 stellt fest, dass alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 „unentgeltlich zur Verfügung gestellt“ werden. Satz 2 erlaubt zwei Reaktionen nur „bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen“: entweder ein angemessenes Entgelt auf Basis der Verwaltungskosten oder die Weigerung, tätig zu werden. Und der Satz danach dreht die Beweislast um: „Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.“ Eine eigene Entgeltregel gibt es nur für Mehrfachkopien – Artikel 15 Absatz 3 Satz 2 erlaubt für alle weiteren Kopien ein angemessenes Entgelt auf Grundlage der Verwaltungskosten. Die erste Kopie ist davon nicht erfasst.
?Das Unternehmen verlangt einen Ausweis. Ist das zulässig?
Es kommt darauf an, und der Text unterscheidet sorgfältig. Artikel 12 Absatz 6 erlaubt zusätzliche Informationen zur Bestätigung der Identität, wenn der Verantwortliche „begründete Zweifel an der Identität der natürlichen Person“ hat, die den Antrag stellt. Begründete Zweifel sind der Auslöser, nicht die Routine: Wer aus dem seit Jahren genutzten Kundenkonto heraus anfragt, liefert die Zuordnung bereits mit. Umgekehrt darf sich der Verantwortliche nach Artikel 12 Absatz 2 Satz 2 in den Fällen des Artikels 11 Absatz 2 nur dann weigern, tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. Ein pauschal angeforderter Ausweisscan ohne konkreten Zweifel ist im Text so nicht angelegt – ob er im Einzelfall zulässig ist, entscheidet keine Webseite, sondern die zuständige Aufsichtsbehörde oder ein Gericht.
?Und wenn gar nichts kommt?
Dann greift Artikel 12 Absatz 4, und der ist präziser, als er meist gelesen wird: Wird der Verantwortliche auf den Antrag hin nicht tätig, unterrichtet er die betroffene Person „ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen“. Selbst das Nein ist also eine begründete, fristgebundene Antwort – Schweigen ist keine der im Text vorgesehenen Varianten. Artikel 77 Absatz 1 gibt jeder betroffenen Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere im Mitgliedstaat des Aufenthaltsorts, des Arbeitsplatzes oder des mutmaßlichen Verstoßes. Artikel 82 Absatz 1 gewährt Schadenersatz bei materiellem oder immateriellem Schaden. Und Artikel 83 Absatz 5 Buchstabe b ordnet Verstöße gegen „die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22“ dem oberen Bußgeldrahmen zu: bis zu 20 000 000 EUR oder bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Das ist die gesetzliche Obergrenze, keine Vorhersage für einen konkreten Fall.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Datenübertragbarkeit gilt nur bei Einwilligung oder Vertrag, nur automatisiert und nur für selbst bereitgestellte Daten. Das ist weniger als Artikel 15.