.svg)
Das Wichtigste in Kürze
- Ein Auskunftsersuchen nach Art. 15 DSGVO ist innerhalb eines Monats nach Eingang zu beantworten. Eine Verlängerung um zwei weitere Monate ist zulässig, muss aber innerhalb des ersten Monats mit Begründung mitgeteilt werden (Art. 12 Abs. 3).
- Die Auskunft umfasst eine Kopie der verarbeiteten Daten, nicht nur eine Liste von Datenkategorien. Der EuGH hat "Kopie" 2023 als originalgetreue und verständliche Reproduktion definiert; ganze Dokumente sind herauszugeben, soweit das für die wirksame Ausübung der Rechte unerlässlich ist (C-487/21, 4.5.2023).
- Sie müssen die konkreten Empfänger benennen, nicht nur deren Kategorien, sofern die Nennung möglich ist (C-154/21, 12.1.2023).
- Seit dem 19. März 2026 kann auch ein erstmaliges Auskunftsersuchen exzessiv im Sinne von Art. 12 Abs. 5 sein, wenn der Verantwortliche eine missbräuchliche Absicht nachweist, etwa das künstliche Herbeiführen der Voraussetzungen für einen Vorteil aus der Verordnung. Dasselbe Urteil bestätigt zugleich, dass Art. 82 einen Schadenersatzanspruch für Verstöße gegen das Auskunftsrecht eröffnet (C-526/24).
- Verstöße gegen die Betroffenenrechte fallen unter die höhere Bußgeldstufe des Art. 83 Abs. 5: bis 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes. Die LDI NRW verhängte im September 2025 über 35.000 Euro gegen eine Personalvermittlung, die Auskunfts- und Löschersuchen ignorierte.
Was ist ein Auskunftsersuchen nach Art. 15 DSGVO?
Ein Auskunftsersuchen ist der Antrag einer betroffenen Person, zu erfahren, ob und wie ein Unternehmen ihre personenbezogenen Daten verarbeitet. Art. 15 DSGVO gibt ihr dafür zwei Ansprüche in einem: die Bestätigung nebst acht Pflichtangaben in Abs. 1 und eine Kopie der Daten selbst in Abs. 3. Im Sprachgebrauch heißt derselbe Vorgang Auskunftsanfrage, Auskunftsersuchen, Betroffenenanfrage oder, aus dem Englischen, DSAR für data subject access request. Rechtlich meint das alles dasselbe.
Das Auskunftsersuchen ist eines der Betroffenenrechte aus den Art. 15 bis 22 und in der Praxis das mit Abstand häufigste. Den Überblick über die übrigen Rechte und die weiteren Pflichten der Verordnung gibt unser Leitfaden zur DSGVO.
Die acht Pflichtangaben aus Abs. 1 werden regelmäßig unvollständig geliefert. Sie umfassen die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger, die geplante Speicherdauer oder die Kriterien für ihre Festlegung, den Hinweis auf die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch, das Beschwerderecht bei der Aufsichtsbehörde, die Herkunft der Daten, wenn sie nicht bei der Person erhoben wurden, sowie das Bestehen einer automatisierten Entscheidungsfindung. Fehlt eine davon, ist die Auskunft unvollständig. Kommt eine Übermittlung in ein Drittland hinzu, tritt nach Art. 15 Abs. 2 die Unterrichtung über die geeigneten Garantien nach Art. 46 dazu.
Ein Missverständnis vorweg: Die betroffene Person muss ihr Ersuchen nicht begründen und kein Formular benutzen. Sie muss auch nicht das Wort "Auskunftsersuchen" verwenden. "Ich möchte wissen, was Sie über mich gespeichert haben" in einer normalen Support-Mail löst dieselben Pflichten und dieselbe Frist aus wie ein anwaltliches Schreiben. Genau deshalb gehen Ersuchen so häufig unbemerkt in Postfächern unter, deren Empfänger nie geschult wurden.
Welche Fristen gelten, und wann dürfen Sie verlängern?
Die Grundfrist beträgt einen Monat ab Eingang des Ersuchens, nicht ab Identitätsprüfung und nicht ab dem Zeitpunkt, an dem die zuständige Abteilung davon erfährt. Art. 12 Abs. 3 formuliert zusätzlich "unverzüglich", der Monat ist also die Obergrenze, nicht das Ziel.
Die häufigste Fehlannahme betrifft die Verlängerung. Sie ist kein stiller Puffer, den man zieht, wenn der Monat abgelaufen ist. Wer am 35. Tag merkt, dass die Recherche länger dauert, hat die Verlängerung bereits verloren und ist schlicht in Verzug. Die Mitteilung muss innerhalb des ersten Monats raus; sie muss die Gründe nennen, und "hoher Aufwand" ohne weitere Erläuterung trägt sie nicht.
Die zweite Fehlannahme betrifft die Identitätsprüfung. Bei begründeten Zweifeln dürfen Sie nach Art. 12 Abs. 6 zusätzliche Informationen anfordern, und das sollten Sie auch, denn Daten an die falsche Person herauszugeben ist selbst ein meldepflichtiger Vorfall. Nur setzt diese Rückfrage die Monatsfrist nicht automatisch neu in Gang. Fragen Sie deshalb am Tag des Eingangs, nicht in Woche drei. Und verlangen Sie nur, was Sie zur Identifizierung wirklich brauchen: Der Ausweis in voller Auflösung mit Nummer und Zugangsdaten ist bei einem eingeloggten Kundenkonto unverhältnismäßig.
Wie weit reicht die Auskunft? Die Entscheidungen, die den Umfang bestimmen
Der Umfang von Art. 15 ist nicht mehr Auslegungssache. Der Europäische Gerichtshof hat ihn zwischen 2023 und 2026 in sechs Verfahren geklärt, und mehrere Entscheidungen widersprechen dem, was in vielen internen Prozessbeschreibungen noch steht.
Zwei praktische Folgen daraus. Erstens: Eine Antwort, die nur Datenkategorien auflistet, erfüllt Art. 15 nicht, seit CRIF eindeutig nicht mehr. Wer eine Tabelle mit "Stammdaten, Vertragsdaten, Kommunikationsdaten" verschickt, hat die Anfrage formal beantwortet und inhaltlich nicht erfüllt. Zweitens: Die Empfängerliste ist der Punkt, an dem die meisten Unternehmen scheitern, weil sie voraussetzt, dass Sie überhaupt wissen, an welche Dienstleister die Daten dieser einen Person geflossen sind. Ohne aktuelles Verzeichnis von Verarbeitungstätigkeiten ist diese Frage nicht beantwortbar; wie sich personenbezogene Daten über die tatsächlich genutzten Systeme hinweg auffinden lassen, beschreiben wir unter Data Discovery in der DSGVO-Compliance.
In Deutschland kommt der BGH hinzu. Mit Urteil vom 15. Juni 2021 (VI ZR 576/19) hat er den Umfang weit gezogen: Interne Vermerke, Bewertungen und Korrespondenz über die betroffene Person sind erfasst. Nicht erfasst sind die rechtlichen Analysen und Schlussfolgerungen des Verantwortlichen selbst.
Der Bearbeitungsprozess in sechs Schritten
Ein belastbarer Prozess braucht sechs Schritte, und die Reihenfolge ist nicht beliebig. Wer mit der Datensuche beginnt, bevor die Identität geklärt ist, produziert im Zweifel eine Datenschutzverletzung.
Die Zeitangaben sind ein plausibler Verlauf, keine erhobenen Durchlaufzeiten.
Schritt 5 ist der Aufwandstreiber, den kaum jemand einplant. Ein konstruiertes, aber typisches Beispiel: Eine ehemalige Mitarbeiterin eines SaaS-Unternehmens mit rund 200 Beschäftigten verlangt acht Jahre nach ihrem Austritt sämtliche zu ihrer Person verarbeiteten Daten. Personalakte und Lohnbuchhaltung sind schnell zusammen. Der Rest liegt in einem Postfachbestand von mehreren tausend E-Mails, in denen zwangsläufig Daten Dritter stehen, von Personen in Kopie bis zu Kollegen, über die dort gesprochen wird. Diesen Kollegen gegenüber bestehen eigene Pflichten; die entsprechenden Passagen sind also zu schwärzen. Das ist Handarbeit und in solchen Fällen der aufwendigste Teil des ganzen Vorgangs.
Deshalb ist Schritt 3 mehr wert, als er aussieht. Sie dürfen nachfragen, worum es der Person geht. Verlangt sie tatsächlich ihre Kaufhistorie und nicht acht Jahre Postfach, ist der Vorgang um Größenordnungen kleiner. Die Nachfrage ist keine Verzögerungstaktik, sondern gute Praxis, solange sie am Anfang steht und nicht am 28. Tag.
Wann Sie ein Auskunftsersuchen ablehnen oder bepreisen dürfen
Art. 12 Abs. 5 erlaubt zwei Reaktionen bei offenkundig unbegründeten oder exzessiven Ersuchen, insbesondere bei häufiger Wiederholung: ein angemessenes Entgelt zu verlangen oder das Tätigwerden zu verweigern. Der Nachweis, dass diese Voraussetzung vorliegt, liegt ausdrücklich beim Verantwortlichen.
Hier liegt die praktisch wichtigste Neuerung der letzten Jahre. Nach dem Urteil des EuGH vom 26. Oktober 2023 (C-307/22) galt weithin, dass das Motiv der anfragenden Person unerheblich ist. Am 19. März 2026 hat der Gerichtshof in der Rechtssache C-526/24 (Brillen Rottler) präzisiert: Auch ein Erstantrag kann exzessiv sein, wenn das Unternehmen belegt, dass er nicht dem Zweck des Art. 15 dient, also der Kenntnisnahme und Überprüfung der Verarbeitung, sondern der Vorbereitung eines Schadenersatzanspruchs nach Art. 82. Serienanfragen an unterschiedliche Verantwortliche, denen jeweils Zahlungsaufforderungen folgen, können als Indiz dienen.
Lesen Sie das trotzdem nicht als Freibrief. Die Beweislast bleibt vollständig bei Ihnen; das Motiv allein genügt nicht und die Schwelle ist hoch. Der praktisch wirksamere Umgang mit einem Ersuchen, das nach Eskalation aussieht, bleibt der unspektakuläre: fristgerecht, vollständig und höflich antworten. Wo die Antwort fristgerecht und vollständig ist, fehlt der zweite Pflichtverstoß, auf den solche Verfahren häufig aufbauen.
Was eine falsche Antwort kostet
Auskunftsersuchen sind kein Verwaltungsvorgang am Rand. Sie fallen unter Art. 83 Abs. 5 lit. b und damit in die höhere Bußgeldstufe von bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Praktisch relevanter als der Rahmen ist die Durchsetzung. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen verhängte am 12. September 2025 ein Bußgeld von über 35.000 Euro gegen eine Düsseldorfer Personalvermittlung, die Auskunftsersuchen nach Art. 15 und Löschersuchen nach Art. 17 unbeantwortet ließ, Betroffenen die Löschung bestätigte und sie anschließend weiter anschrieb, und die zudem nicht mit der Behörde kooperierte.
Die zweite Kostenlinie ist der Schadenersatz nach Art. 82, und hier hat der BGH die Lage in zwei Entscheidungen sortiert. Am 18. November 2024 (VI ZR 10/24) hat er entschieden, dass bereits der bloße Kontrollverlust über personenbezogene Daten ein ersatzfähiger immaterieller Schaden ist, ohne Erheblichkeitsschwelle, und für den reinen Kontrollverlust eine Größenordnung von rund 100 Euro angedeutet. Ob dagegen eine verspätete oder unvollständige Auskunft für sich genommen einen Anspruch begründet, ist derzeit nicht entschieden. Der BGH hat diese Frage am 6. Mai 2025 dem Europäischen Gerichtshof vorgelegt (VI ZR 53/23), wo sie als C-416/25 anhängig ist. Bis zu dieser Entscheidung sollten Sie nicht darauf bauen, dass eine versäumte Frist folgenlos bleibt.
Zur Größenordnung des Aufkommens: Eine EY-Befragung von über 500 Fachleuten aus Finanzdienstleistungsunternehmen, veröffentlicht im März 2023, ergab, dass 60 Prozent der Datenschutz- und Compliance-Verantwortlichen 2022 einen Anstieg der Auskunftsersuchen beobachteten und 46 Prozent sie weiterhin manuell bearbeiteten. Die Zahlen beschreiben eine Branche und ein Erhebungsjahr, sind also kein aktueller Gesamtmarkt, zeigen aber die Richtung.
Wie Kertos Auskunftsersuchen bearbeitet
Der Engpass bei Auskunftsersuchen ist selten die rechtliche Bewertung, sondern Schritt 4: herauszufinden, wo die Daten dieser einen Person überhaupt liegen. Kertos bildet den Vorgang als durchgängigen Prozess ab, von der Erfassung mit automatischem Fristbeginn über die Identitätsprüfung bis zur systemübergreifenden Sammlung aus den angebundenen Systemen. Nach Kertos-eigenen Zahlen sind darüber bereits mehr als 500.000 Betroffenenanfragen bearbeitet worden. Wie das im Detail aussieht, zeigt die Seite zu Betroffenenanfragen.
Die Empfängerliste, an der Art. 15 Abs. 1 lit. c hängt, kommt dabei aus derselben Datenbasis wie das Verzeichnis von Verarbeitungstätigkeiten. Das ist der Grund, aus dem sich die beiden Pflichten schlecht trennen lassen: Ein Verzeichnis, das nur einmal jährlich gepflegt wird, liefert Ihnen im Ernstfall eine Empfängerliste von vorletztem Jahr. Wie Verzeichnis, TOM und Auftragsverarbeitungsverträge zusammenlaufen, steht auf der Seite zum Datenschutzmanagementsystem.
Wo intern niemand die fachliche Bewertung übernehmen kann, stellt Kertos einen externen Datenschutzbeauftragten, der die Grenzfälle entscheidet: was geschwärzt wird, wann ein Ersuchen tatsächlich exzessiv ist und wie eine Ablehnung begründet werden muss, damit sie hält.
Wenn Sie sehen möchten, wie lange ein Auskunftsersuchen in Ihrem Setup tatsächlich dauert, buchen Sie ein Gespräch.
Häufig gestellte Fragen
Wie lange habe ich Zeit, ein Auskunftsersuchen zu beantworten?
Einen Monat ab Eingang des Ersuchens. Bei besonders komplexen Anfragen oder einer hohen Zahl gleichzeitiger Anfragen dürfen Sie um zwei weitere Monate verlängern, müssen das der betroffenen Person aber innerhalb des ersten Monats unter Angabe der Gründe mitteilen. Versäumen Sie diese Mitteilung, ist die Verlängerung nicht wirksam und Sie sind in Verzug.
Muss ich eine Kopie der Daten herausgeben oder reicht eine Auflistung?
Sie müssen eine Kopie herausgeben. Der EuGH hat am 4. Mai 2023 (C-487/21) entschieden, dass "Kopie" eine originalgetreue und verständliche Reproduktion der Daten bedeutet, die auch Auszüge aus Dokumenten oder ganze Dokumente umfassen kann, soweit das für die wirksame Ausübung der Rechte unerlässlich ist. Eine reine Auflistung von Datenkategorien erfüllt Art. 15 Abs. 3 nicht.
Was kostet eine Auskunft die betroffene Person?
Die erste Kopie ist unentgeltlich, und zwar unabhängig davon, warum die Person sie verlangt (C-307/22, 26.10.2023). Für weitere Kopien derselben Daten dürfen Sie nach Art. 15 Abs. 3 ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangen. Ein Entgelt für die erste Auskunft ist unzulässig.
Darf ich ein Auskunftsersuchen ablehnen?
Nur bei offenkundig unbegründeten oder exzessiven Ersuchen nach Art. 12 Abs. 5, und die Beweislast dafür liegt bei Ihnen. Seit dem Urteil vom 19. März 2026 (C-526/24) kann auch ein Erstantrag exzessiv sein, wenn Sie nachweisen, dass er der Vorbereitung eines Schadenersatzanspruchs dient und nicht der Überprüfung der Verarbeitung. Die Hürde ist hoch, und ein bloßer Verdacht genügt nicht.
Muss ich die Empfänger der Daten namentlich nennen?
Ja, sofern die Identifizierung möglich ist. Der EuGH hat am 12. Januar 2023 (C-154/21) entschieden, dass die betroffene Person Anspruch auf die konkrete Identität der Empfänger hat. Nur wenn diese sich nicht ermitteln lassen oder das Ersuchen offenkundig unbegründet oder exzessiv ist, dürfen Sie sich auf Empfängerkategorien beschränken.
