Datenschutz

Auskunftsersuchen nach Art. 15 DSGVO

Was Sie herausgeben müssen, was Sie trotz Löschantrag aufbewahren müssen und woran die Bearbeitung in der Praxis scheitert.

Autor

Dr. Kilian Schmidt

Datum

5.2.2025

Aktualisiert am

3.9.2026

Das Wichtigste in Kürze

Ein Auskunftsersuchen nach Art. 15 DSGVO ist innerhalb eines Monats nach Eingang zu beantworten. Eine Verlängerung um zwei weitere Monate ist zulässig, muss aber innerhalb des ersten Monats mit Begründung mitgeteilt werden (Art. 12 Abs. 3).
Die Auskunft umfasst eine Kopie der verarbeiteten Daten, nicht nur eine Liste von Datenkategorien. Der EuGH hat „Kopie“ 2023 als originalgetreue und verständliche Reproduktion definiert; ganze Dokumente sind herauszugeben, soweit das für die wirksame Ausübung der Rechte unerlässlich ist (C-487/21, 4.5.2023).
Sie müssen die konkreten Empfänger benennen, nicht nur deren Kategorien, sofern die Nennung möglich ist (C-154/21, 12.1.2023).
Seit dem 19. März 2026 kann auch ein erstmaliges Auskunftsersuchen exzessiv im Sinne von Art. 12 Abs. 5 sein, wenn der Verantwortliche eine missbräuchliche Absicht nachweist, etwa das künstliche Herbeiführen der Voraussetzungen für einen Vorteil aus der Verordnung. Dasselbe Urteil bestätigt zugleich, dass Art. 82 einen Schadenersatzanspruch für Verstöße gegen das Auskunftsrecht eröffnet (C-526/24).
Verstöße gegen die Betroffenenrechte fallen unter die höhere Bußgeldstufe des Art. 83 Abs. 5: bis 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes. Die LDI NRW verhängte im September 2025 über 35.000 Euro gegen eine Personalvermittlung, die Auskunfts- und Löschersuchen ignorierte.

Was ist ein Auskunftsersuchen nach Art. 15 DSGVO?

Ein Auskunftsersuchen ist der Antrag einer betroffenen Person, zu erfahren, ob und wie ein Unternehmen ihre personenbezogenen Daten verarbeitet. Art. 15 DSGVO gibt ihr dafür zwei Ansprüche in einem: die Bestätigung nebst acht Pflichtangaben in Abs. 1 und eine Kopie der Daten selbst in Abs. 3. Im Sprachgebrauch heißt derselbe Vorgang Auskunftsanfrage, Auskunftsersuchen, Betroffenenanfrage oder, aus dem Englischen, DSAR für data subject access request. Rechtlich meint das alles dasselbe.

Das Auskunftsersuchen ist eines der Betroffenenrechte aus den Art. 15 bis 22 und in der Praxis das mit Abstand häufigste. Den Überblick über die übrigen Rechte und die weiteren Pflichten der Verordnung gibt unser Leitfaden zur DSGVO.

Die acht Pflichtangaben aus Abs. 1 werden regelmäßig unvollständig geliefert. Sie umfassen die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger, die geplante Speicherdauer oder die Kriterien für ihre Festlegung, den Hinweis auf die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch, das Beschwerderecht bei der Aufsichtsbehörde, die Herkunft der Daten, wenn sie nicht bei der Person erhoben wurden, sowie das Bestehen einer automatisierten Entscheidungsfindung. Fehlt eine davon, ist die Auskunft unvollständig. Kommt eine Übermittlung in ein Drittland hinzu, tritt nach Art. 15 Abs. 2 die Unterrichtung über die geeigneten Garantien nach Art. 46 dazu.

Ein Missverständnis vorweg: Die betroffene Person muss ihr Ersuchen nicht begründen und kein Formular benutzen. Sie muss auch nicht das Wort „Auskunftsersuchen“ verwenden. „Ich möchte wissen, was Sie über mich gespeichert haben“ in einer normalen Support-Mail löst dieselben Pflichten und dieselbe Frist aus wie ein anwaltliches Schreiben. Genau deshalb gehen Ersuchen so häufig unbemerkt in Postfächern unter, deren Empfänger nie geschult wurden.

Welche Fristen gelten, und wann dürfen Sie verlängern?

Die Grundfrist beträgt einen Monat ab Eingang des Ersuchens, nicht ab Identitätsprüfung und nicht ab dem Zeitpunkt, an dem die zuständige Abteilung davon erfährt. Art. 12 Abs. 3 formuliert zusätzlich „unverzüglich“, der Monat ist also die Obergrenze, nicht das Ziel.

Ereignis	Frist	Rechtsgrundlage
Antwort auf das Auskunftsersuchen	unverzüglich, spätestens ein Monat nach Eingang	Art. 12 Abs. 3 S. 1
Mitteilung einer Fristverlängerung, mit Gründen	innerhalb des ersten Monats	Art. 12 Abs. 3 S. 3
Maximale Verlängerung bei Komplexität oder hoher Anzahl	zwei weitere Monate, insgesamt also drei	Art. 12 Abs. 3 S. 2
Mitteilung, wenn Sie nicht tätig werden, mit Hinweis auf Beschwerde und Rechtsbehelf	innerhalb eines Monats	Art. 12 Abs. 4
Nachfrage bei begründeten Zweifeln an der Identität	keine eigene Frist, hemmt die Monatsfrist nicht automatisch	Art. 12 Abs. 6

Die häufigste Fehlannahme betrifft die Verlängerung. Sie ist kein stiller Puffer, den man zieht, wenn der Monat abgelaufen ist. Wer am 35. Tag merkt, dass die Recherche länger dauert, hat die Verlängerung bereits verloren und ist schlicht in Verzug. Die Mitteilung muss innerhalb des ersten Monats raus; sie muss die Gründe nennen, und "hoher Aufwand" ohne weitere Erläuterung trägt sie nicht.

Die zweite Fehlannahme betrifft die Identitätsprüfung. Bei begründeten Zweifeln dürfen Sie nach Art. 12 Abs. 6 zusätzliche Informationen anfordern, und das sollten Sie auch, denn Daten an die falsche Person herauszugeben ist selbst ein meldepflichtiger Vorfall. Nur setzt diese Rückfrage die Monatsfrist nicht automatisch neu in Gang. Fragen Sie deshalb am Tag des Eingangs, nicht in Woche drei. Und verlangen Sie nur, was Sie zur Identifizierung wirklich brauchen: Der Ausweis in voller Auflösung mit Nummer und Zugangsdaten ist bei einem eingeloggten Kundenkonto unverhältnismäßig.

Wie weit reicht die Auskunft? Die Entscheidungen, die den Umfang bestimmen

Der Umfang von Art. 15 ist nicht mehr Auslegungssache. Der Europäische Gerichtshof hat ihn zwischen 2023 und 2026 in sechs Verfahren geklärt, und mehrere Entscheidungen widersprechen dem, was in vielen internen Prozessbeschreibungen noch steht.

Verfahren	Datum	Was entschieden wurde
C-154/21, Österreichische Post	12.1.2023	Die konkreten Empfänger sind zu benennen, nicht nur deren Kategorien. Nur wenn die Identifizierung unmöglich oder das Ersuchen offenkundig unbegründet oder exzessiv ist, genügen Kategorien.
C-487/21, CRIF	4.5.2023	"Kopie" bedeutet eine originalgetreue und verständliche Reproduktion der Daten. Auszüge aus Dokumenten oder ganze Dokumente sind herauszugeben, soweit die Kopie unerlässlich ist, damit die betroffene Person ihre Rechte wirksam ausüben kann.
C-579/21, Pankki S	22.6.2023	Protokolldaten über Abfragen, also Zeitpunkte und Zwecke, sind erfasst. Die Identität der abfragenden Beschäftigten grundsätzlich nicht, da sie unter der Aufsicht des Verantwortlichen handeln und keine Empfänger sind. Etwas anderes gilt, wenn diese Angabe unerlässlich ist, damit die betroffene Person ihre Rechte wirksam ausüben kann, und die Rechte der Beschäftigten berücksichtigt werden.
C-307/22, FT gegen DW	26.10.2023	Die erste Kopie ist unentgeltlich, unabhängig vom Motiv der anfragenden Person. Mitgliedstaaten dürfen die Kosten nicht auf die betroffene Person abwälzen, um wirtschaftliche Interessen des Verantwortlichen zu schützen.
C-203/22, Dun & Bradstreet Austria	27.2.2025	Die "aussagekräftigen Informationen über die involvierte Logik" nach Art. 15 Abs. 1 lit. h müssen konkret und für die betroffene Person nachvollziehbar sein. Ein Geschäftsgeheimnis rechtfertigt keine pauschale Verweigerung; die Offenlegung erfolgt dann gegenüber Behörde oder Gericht, die abwägen.
C-526/24, Brillen Rottler	19.3.2026	Auch ein erstmaliges Ersuchen kann exzessiv sein, wenn der Verantwortliche nachweist, dass es nicht der Kenntnisnahme und Überprüfung der Verarbeitung dient, sondern der Konstruktion eines Schadenersatzanspruchs.

Zwei praktische Folgen daraus. Erstens: Eine Antwort, die nur Datenkategorien auflistet, erfüllt Art. 15 nicht, seit CRIF eindeutig nicht mehr. Wer eine Tabelle mit "Stammdaten, Vertragsdaten, Kommunikationsdaten" verschickt, hat die Anfrage formal beantwortet und inhaltlich nicht erfüllt. Zweitens: Die Empfängerliste ist der Punkt, an dem die meisten Unternehmen scheitern, weil sie voraussetzt, dass Sie überhaupt wissen, an welche Dienstleister die Daten dieser einen Person geflossen sind. Ohne aktuelles Verzeichnis von Verarbeitungstätigkeiten ist diese Frage nicht beantwortbar; wie sich personenbezogene Daten über die tatsächlich genutzten Systeme hinweg auffinden lassen, beschreiben wir unter Data Discovery in der DSGVO-Compliance.

In Deutschland kommt der BGH hinzu. Mit Urteil vom 15. Juni 2021 (VI ZR 576/19) hat er den Umfang weit gezogen: Interne Vermerke, Bewertungen und Korrespondenz über die betroffene Person sind erfasst. Nicht erfasst sind die rechtlichen Analysen und Schlussfolgerungen des Verantwortlichen selbst.

Der Bearbeitungsprozess in sechs Schritten

Ein belastbarer Prozess braucht sechs Schritte, und die Reihenfolge ist nicht beliebig. Wer mit der Datensuche beginnt, bevor die Identität geklärt ist, produziert im Zweifel eine Datenschutzverletzung.

Schritt	Was zu tun ist	Zeitbedarf, illustrativ
1. Erfassen und protokollieren	Eingang mit Datum festhalten, Fristbeginn setzen, zentral zuweisen	Tag 1
2. Identität prüfen	Nur bei begründeten Zweifeln, mit dem mildesten geeigneten Mittel	Tag 1 bis 3
3. Umfang klären	Bei pauschalen Ersuchen höflich nachfragen, worum es konkret geht	Tag 2 bis 5
4. Daten zusammentragen	Alle Systeme und Auftragsverarbeiter, nicht nur CRM und Ticketsystem	Tag 3 bis 15
5. Rechte Dritter schützen	Daten anderer Personen schwärzen, Art. 15 Abs. 4	Tag 10 bis 25
6. Antworten und dokumentieren	Kopie, acht Pflichtangaben, Hinweis auf Beschwerderecht, Ablage des Vorgangs	bis Tag 30

Die Zeitangaben sind ein plausibler Verlauf, keine erhobenen Durchlaufzeiten.

Schritt 5 ist der Aufwandstreiber, den kaum jemand einplant. Ein Senior Privacy Expert bei Kertos, beschreibt den Fall, der ihm in der Praxis regelmäßig begegnet:

"Es kann sein, dass man Fälle hat, am Beispiel der ehemaligen Mitarbeiterin, die das Unternehmen verlassen hat und dann sämtliche personenbezogenen Daten verlangt, die im Rahmen eines Beschäftigungsverhältnisses von beispielsweise über zehn Jahren verarbeitet wurden. Dann kann es interessant werden, wenn man beim E-Mail-Dienstleister beginnt und sich die Frage stellen muss: Muss ich jetzt alle E-Mails, die diese Person jemals versendet oder empfangen hat, bereitstellen? Teil dieser E-Mails können auch personenbezogene Daten anderer Personen sein. Das wird der Regelfall sein. Das beginnt schon dabei, wenn die in CC waren, aber auch, wenn über andere Personen in der E-Mail kommuniziert wird. Man hat auch Geheimhaltungspflichten gegenüber diesen anderen Personen und müsste daher die entsprechenden Passagen schwärzen."

Das ist Handarbeit und in solchen Fällen der aufwendigste Teil des ganzen Vorgangs.

Deshalb ist Schritt 3 mehr wert, als er aussieht. Sie dürfen nachfragen, worum es der Person geht. Verlangt sie tatsächlich ihre Kaufhistorie und nicht acht Jahre Postfach, ist der Vorgang um Größenordnungen kleiner. Die Nachfrage ist keine Verzögerungstaktik, sondern gute Praxis, solange sie am Anfang steht und nicht am 28. Tag.

Auskunft und Löschung: was Aufbewahrungspflichten daran ändern

Ein Auskunftsersuchen kommt selten allein. In der Praxis folgt ihm häufig ein Löschersuchen nach Art. 17, und beides wird im Posteingang oft gar nicht als förmlicher Antrag erkannt. Wie die einzelnen Betroffenenrechte nach der DSGVO zusammenhängen und welche Fristen jeweils gelten, führt unser Leitfaden zusammen. Ein Senior Privacy Expert bei Kertos dazu:

"Oft wird die Auskunftsanfrage in Kombination mit einer Löschanfrage gestellt, die danach folgt. Darum ist es wichtig: Was ist jetzt wirklich konkret verlangt? Viele Unternehmen verstehen gar nicht, dass sie es hier mit einer Auskunftsanfrage nach der DSGVO zu tun haben, sondern es landet dann schnell einmal im Papierkorb, und dann hat man ein Problem."

An der zweiten Hälfte dieser Kombination scheitern Unternehmen aus einem Grund, der mit Datenschutz zunächst nichts zu tun hat. Dieselben E-Mails, die Sie für die Auskunft zusammentragen, dürfen Sie anschließend häufig nicht löschen:

"Bei E-Mails muss man sich die Frage stellen: Unterliegt das Aufbewahrungspflichten? Die ergeben sich in Deutschland insbesondere aus der Abgabenordnung oder dem Handelsgesetzbuch. Bei E-Mails handelt es sich oft um Kundenkommunikation, daher wären die rechtlich potenziell als Geschäftsbriefe einzuordnen. Die müssen ohnehin schon sechs Jahre aufbewahrt werden. Das heißt, man dürfte sie gar nicht löschen."

Die Fristen im Überblick, soweit sie für E-Mail-Bestände typischerweise greifen:

Unterlage	Frist	Rechtsgrundlage
Empfangene und abgesandte Handels- und Geschäftsbriefe, dazu zählt regelmäßig Kundenkorrespondenz per E-Mail	6 Jahre	§ 257 Abs. 1 Nr. 2 und 3, Abs. 4 HGB; § 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO
Buchungsbelege, etwa eine per E-Mail versandte Rechnung	8 Jahre	§ 257 Abs. 1 Nr. 4, Abs. 4 HGB; § 147 Abs. 1 Nr. 4, Abs. 3 AO
Handelsbücher, Inventare, Jahresabschlüsse	10 Jahre	§ 257 Abs. 1 Nr. 1, Abs. 4 HGB; § 147 Abs. 1 Nr. 1, Abs. 3 AO

Die Frist für Buchungsbelege wurde durch das Vierte Bürokratieentlastungsgesetz mit Wirkung zum 1. Januar 2025 von zehn auf acht Jahre verkürzt. Die sechs Jahre für Geschäftsbriefe sind unverändert geblieben.

Rechtlich löst Art. 17 Abs. 3 lit. b den Konflikt: Die Löschpflicht entfällt, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Praktisch heißt das nicht "Antrag abgelehnt", sondern: Sie löschen, was Sie löschen dürfen, und schränken den Rest auf den Aufbewahrungszweck ein. Der betroffenen Person müssen Sie beides erklären, und zwar mit Angabe der Norm, aus der die Aufbewahrungspflicht folgt.

Auf die Auskunft selbst wirkt sich das nicht aus. Aufbewahrungspflichten sperren die Löschung, nicht die Herausgabe; Daten, die Sie sechs Jahre vorhalten müssen, sind sechs Jahre lang auch auskunftspflichtig.

Wann Sie ein Auskunftsersuchen ablehnen oder bepreisen dürfen

Art. 12 Abs. 5 erlaubt zwei Reaktionen bei offenkundig unbegründeten oder exzessiven Ersuchen, insbesondere bei häufiger Wiederholung: ein angemessenes Entgelt zu verlangen oder das Tätigwerden zu verweigern. Der Nachweis, dass diese Voraussetzung vorliegt, liegt ausdrücklich beim Verantwortlichen.

Hier liegt die praktisch wichtigste Neuerung der letzten Jahre. Nach dem Urteil des EuGH vom 26. Oktober 2023 (C-307/22) galt weithin, dass das Motiv der anfragenden Person unerheblich ist. Am 19. März 2026 hat der Gerichtshof in der Rechtssache C-526/24 (Brillen Rottler) präzisiert: Auch ein Erstantrag kann exzessiv sein, wenn das Unternehmen belegt, dass er nicht dem Zweck des Art. 15 dient, also der Kenntnisnahme und Überprüfung der Verarbeitung, sondern der Vorbereitung eines Schadenersatzanspruchs nach Art. 82. Serienanfragen an unterschiedliche Verantwortliche, denen jeweils Zahlungsaufforderungen folgen, können als Indiz dienen.

Lesen Sie das trotzdem nicht als Freibrief. Die Beweislast bleibt vollständig bei Ihnen; das Motiv allein genügt nicht und die Schwelle ist hoch. Der praktisch wirksamere Umgang mit einem Ersuchen, das nach Eskalation aussieht, bleibt der unspektakuläre: fristgerecht, vollständig und höflich antworten. Wo die Antwort fristgerecht und vollständig ist, fehlt der zweite Pflichtverstoß, auf den solche Verfahren häufig aufbauen.

Unser Privacy-Experte formuliert das als Haltung, nicht als Technik:

"Mein Credo ist: Wie man in den Wald hineinruft, so kommt es auch zurück. Man sollte transparent und höflich mit der Person umgehen. Wenn man nicht versucht herunterzuspielen, sondern noch einmal nachfragt, worum es genau geht, kann man potenziell eskalierende Anträge auch wieder deeskalieren."

Was eine falsche Antwort kostet

Auskunftsersuchen sind kein Verwaltungsvorgang am Rand. Sie fallen unter Art. 83 Abs. 5 lit. b und damit in die höhere Bußgeldstufe von bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Praktisch relevanter als der Rahmen ist die Durchsetzung. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen verhängte am 12. September 2025 ein Bußgeld von über 35.000 Euro gegen eine Düsseldorfer Personalvermittlung, die Auskunftsersuchen nach Art. 15 und Löschersuchen nach Art. 17 unbeantwortet ließ, Betroffenen die Löschung bestätigte und sie anschließend weiter anschrieb, und die zudem nicht mit der Behörde kooperierte.

Die zweite Kostenlinie ist der Schadenersatz nach Art. 82, und hier hat der BGH die Lage in zwei Entscheidungen sortiert. Am 18. November 2024 (VI ZR 10/24) hat er entschieden, dass bereits der bloße Kontrollverlust über personenbezogene Daten ein ersatzfähiger immaterieller Schaden ist, ohne Erheblichkeitsschwelle, und für den reinen Kontrollverlust eine Größenordnung von rund 100 Euro angedeutet. Ob dagegen eine verspätete oder unvollständige Auskunft für sich genommen einen Anspruch begründet, ist derzeit nicht entschieden. Der BGH hat diese Frage am 6. Mai 2025 dem Europäischen Gerichtshof vorgelegt (VI ZR 53/23), wo sie als C-416/25 anhängig ist. Bis zu dieser Entscheidung sollten Sie nicht darauf bauen, dass eine versäumte Frist folgenlos bleibt.

Zur Größenordnung des Aufkommens: Eine EY-Befragung von über 500 Fachleuten aus Finanzdienstleistungsunternehmen, veröffentlicht im März 2023, ergab, dass 60 Prozent der Datenschutz- und Compliance-Verantwortlichen 2022 einen Anstieg der Auskunftsersuchen beobachteten und 46 Prozent sie weiterhin manuell bearbeiteten. Die Zahlen beschreiben eine Branche und ein Erhebungsjahr, sind also kein aktueller Gesamtmarkt, zeigen aber die Richtung.

Eine Richtlinie ersetzt diesen Prozess nicht, auch keine generierte.

"Man kann sich vorstellen, dass das in der Praxis oft einen deutlichen Mehraufwand bedeutet. Diesem gesamten Betroffenenrechtsprozess wird nicht durch das Aufsetzen einer Richtlinie mit KI entsprochen, sondern man muss sich wirklich konkret hinsetzen und sich die Frage stellen: Was muss ich jetzt wirklich tun? Dabei muss man auch die aktuelle Rechtsprechung beachten."

Senior Privacy Expert bei Kertos

Wie Kertos Auskunftsersuchen bearbeitet

Der Engpass bei Auskunftsersuchen ist selten die rechtliche Bewertung, sondern Schritt 4: herauszufinden, wo die Daten dieser einen Person überhaupt liegen. Kertos bildet den Vorgang als durchgängigen Prozess ab, von der Erfassung mit automatischem Fristbeginn über die Identitätsprüfung bis zur systemübergreifenden Sammlung aus den angebundenen Systemen. Nach Kertos-eigenen Zahlen sind darüber bereits mehr als 500.000 Betroffenenanfragen bearbeitet worden. Wie das im Detail aussieht, zeigt die Seite zu Betroffenenanfragen.

Kunden heben vor allem hervor, wie weit der Vorgang ohne manuelles Zutun läuft:

"Die DSGVO-Funktionen von Kertos, insbesondere die Workflows für Betroffenenanfragen (Data Subject Requests), fügen sich nahtlos in unsere Abläufe ein und haben nahezu alle unsere Compliance-Prozesse automatisiert. Aufgaben, die früher Tage gedauert haben, sind heute in Minuten erledigt, oft ganz ohne manuelles Zutun unseres Compliance-Teams."

Ferdinand S., Chief of Staff, G2-Review, August 2025, aus dem Englischen übersetzt

Die Empfängerliste, an der Art. 15 Abs. 1 lit. c hängt, kommt dabei aus derselben Datenbasis wie das Verzeichnis von Verarbeitungstätigkeiten. Das ist der Grund, aus dem sich die beiden Pflichten schlecht trennen lassen: Ein Verzeichnis, das nur einmal jährlich gepflegt wird, liefert Ihnen im Ernstfall eine Empfängerliste von vorletztem Jahr. Wie Verzeichnis, TOM und Auftragsverarbeitungsverträge zusammenlaufen, steht auf der Seite zum Datenschutzmanagementsystem.

Wo intern niemand die fachliche Bewertung übernehmen kann, stellt Kertos einen externen Datenschutzbeauftragten, der die Grenzfälle entscheidet: was geschwärzt wird, wann ein Ersuchen tatsächlich exzessiv ist und wie eine Ablehnung begründet werden muss, damit sie hält.

Wenn Sie sehen möchten, wie lange ein Auskunftsersuchen in Ihrem Setup tatsächlich dauert, buchen Sie ein Gespräch.

Häufig gestellte Fragen

Wie lange habe ich Zeit, ein Auskunftsersuchen zu beantworten?

Einen Monat ab Eingang des Ersuchens. Bei besonders komplexen Anfragen oder einer hohen Zahl gleichzeitiger Anfragen dürfen Sie um zwei weitere Monate verlängern, müssen das der betroffenen Person aber innerhalb des ersten Monats unter Angabe der Gründe mitteilen. Versäumen Sie diese Mitteilung, ist die Verlängerung nicht wirksam und Sie sind in Verzug.

Muss ich eine Kopie der Daten herausgeben oder reicht eine Auflistung?

Sie müssen eine Kopie herausgeben. Der EuGH hat am 4. Mai 2023 (C-487/21) entschieden, dass "Kopie" eine originalgetreue und verständliche Reproduktion der Daten bedeutet, die auch Auszüge aus Dokumenten oder ganze Dokumente umfassen kann, soweit das für die wirksame Ausübung der Rechte unerlässlich ist. Eine reine Auflistung von Datenkategorien erfüllt Art. 15 Abs. 3 nicht.

Was kostet eine Auskunft die betroffene Person?

Die erste Kopie ist unentgeltlich, und zwar unabhängig davon, warum die Person sie verlangt (C-307/22, 26.10.2023). Für weitere Kopien derselben Daten dürfen Sie nach Art. 15 Abs. 3 ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangen. Ein Entgelt für die erste Auskunft ist unzulässig.

Darf ich ein Auskunftsersuchen ablehnen?

Nur bei offenkundig unbegründeten oder exzessiven Ersuchen nach Art. 12 Abs. 5, und die Beweislast dafür liegt bei Ihnen. Seit dem Urteil vom 19. März 2026 (C-526/24) kann auch ein Erstantrag exzessiv sein, wenn Sie nachweisen, dass er der Vorbereitung eines Schadenersatzanspruchs dient und nicht der Überprüfung der Verarbeitung. Die Hürde ist hoch, und ein bloßer Verdacht genügt nicht.

Muss ich die Empfänger der Daten namentlich nennen?

Ja, sofern die Identifizierung möglich ist. Der EuGH hat am 12. Januar 2023 (C-154/21) entschieden, dass die betroffene Person Anspruch auf die konkrete Identität der Empfänger hat. Nur wenn diese sich nicht ermitteln lassen oder das Ersuchen offenkundig unbegründet oder exzessiv ist, dürfen Sie sich auf Empfängerkategorien beschränken.

Muss ich die Daten löschen, wenn nach der Auskunft ein Löschersuchen folgt?

Nicht in jedem Fall. Nach Art. 17 Abs. 3 lit. b entfällt die Löschpflicht, soweit Sie zur Aufbewahrung gesetzlich verpflichtet sind. Bei E-Mails greift das häufig: Kundenkorrespondenz ist regelmäßig als Geschäftsbrief einzuordnen und damit sechs Jahre aufzubewahren (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO), eine per E-Mail versandte Rechnung als Buchungsbeleg acht Jahre. Löschen Sie in diesen Fällen, was Sie löschen dürfen, schränken Sie den Rest auf den Aufbewahrungszweck ein und nennen Sie der betroffenen Person die Norm, aus der die Pflicht folgt. Auf die Auskunft nach Art. 15 wirkt sich die Aufbewahrungspflicht nicht aus.

‍

Der Founder-Guide zur NIS2: Bereite dein Unternehmen jetzt vor

Schütze dein Startup: Entdecke, wie sich NIS2 auf dein Unternehmen auswirken kann und was du jetzt beachten musst. Lies jetzt das kostenlose Whitepaper!

Dr. Kilian Schmidt

CEO & Co-Founder von Kertos

Kilian hatte schon früh einen starken Fokus auf rechtliche Abläufe und begann seine Karriere bei Home24 als Senior Legal Counsel und Datenschutzbeauftragter für die Home24-Gruppe. Nach einem Abstecher zu Freshfields Bruckhaus Deringer wechselte er zu TIER Mobility, wo er als General Counsel die Rechts- und Public Policy-Abteilungen des Unternehmens von einer auf 65 Städte und von 50 auf 800 Mitarbeiter vergrößerte. Angetrieben durch den Mangel an Technologie im Rechtsbereich und bestätigt durch seine beratende Tätigkeit bei Gorillas Technologies beschloss er, Kertos zu gründen, um die nächste Generation von Compliance – made in Europe – zu entwickeln.

Über Kertos

Kertos ist das moderne Rückgrat der Datenschutz- und Compliance-Aktivitäten von skalierenden Unternehmen. Wir befähigen unsere Kunden, integrale Datenschutz- und Informationssicherheitsprozesse nach DSGVO, ISO 27001, TISAX®, SOC2 und vielen weiteren Standards durch Automatisierung schnell und günstig zu implementieren.