datenschutz-auskunftsersuchen-art-15-praxis

Datenschutz Auskunftsersuchen — Art. 15 DSGVO in der Praxis

Zweck

Bearbeite ein eingegangenes Auskunftsersuchen nach Art. 15 DSGVO so, dass die Frist nach Art. 12 III DSGVO gewahrt, der Umfang nach Art. 15 I und III DSGVO erfuellt und das Risiko einer Beschwerde nach Art. 77 DSGVO oder Klage nach Art. 82 DSGVO minimiert wird.

Wann dieses Modul hilft / Kaltstart-Fragen

Sie brauchen den Skill, sobald ein Mandant ein Auskunftsersuchen erhalten hat — egal ob formal als Schreiben, per E-Mail, im Kuendigungskontext, im Arbeitsgerichtsprozess oder als Vorbereitung einer Klage gegen den Mandanten.

Sieben-Fragen-Diagnose:

1. Wer fragt? Eigener Mitarbeiter, frueherer Mitarbeiter, Kunde, frueherer Kunde, Konkurrent, Gegnervertreter? Ist Identitaet zweifelsfrei (Art. 12 VI DSGVO)?
2. Was wird gefragt? Pauschale Anfrage "alle Daten" oder gezielte Anfrage zu bestimmten Verarbeitungen?
3. Welche Datenkategorien sind beim Mandanten gespeichert? HR-System, CRM, Telefonie, Videoueberwachung, E-Mail-Archiv, Cloud, Backups?
4. Wann ist die Anfrage eingegangen? Frist Art. 12 III DSGVO laeuft ab Eingang.
5. Liegt missbraeuchliche Verwendung nahe (Art. 12 V DSGVO offenkundig unbegruendet oder exzessiv)?
6. Berufsgeheimnisse oder Drittinteressen (Art. 15 IV DSGVO Rechte und Freiheiten anderer)?
7. Konkurrierende Pflichten: Aufbewahrung HGB AO, Geheimhaltungspflichten, Whistleblower-Schutz, laufende Verfahren?

Rechtlicher Rahmen

• Art. 15 I DSGVO Recht auf Bestaetigung und Auskunft über Verarbeitungszwecke, Datenkategorien, Empfaenger, Speicherdauer, Rechte, Beschwerderecht, Datenherkunft, automatisierte Entscheidungsfindung.
• Art. 15 III DSGVO Kopie der personenbezogenen Daten. Erste Kopie kostenlos. EuGH C-487/21 (Bundesamt für Verbraucherschutz / Oesterreichische Datenschutzbehoerde, Urteil 04.05.2023): "Kopie" ist Reproduktion, nicht zwingend Originaldokument, aber so, dass Betroffener Verarbeitungspflichten verstehen und Rechte ausueben kann.
• EuGH C-307/22 (Urteil 26.10.2023): Auskunft umfasst auch Patientenaktenausdrucke unentgeltlich, soweit zur Wahrung der Rechte des Betroffenen erforderlich.
• EuGH C-579/21 (Urteil 22.06.2023): Identitaet konkreter Empfaenger ist anzugeben, wenn der Verantwortliche Empfaengerangaben vorhalten kann; Auswahl Kategorien nur, wenn konkrete Identitaet nicht möglich.
• Art. 12 III DSGVO Frist ein Monat, Verlaengerung um zwei weitere Monate möglich; Begruendung innerhalb des ersten Monats.
• Art. 12 V DSGVO offenkundig unbegruendet oder exzessiv: Entgelt oder Verweigerung; Beweislast beim Verantwortlichen.
• Art. 15 IV DSGVO Rechte und Freiheiten anderer als Schranke.
• § 34 BDSG Einschraenkungen des Auskunftsrechts (z. B. Geheimhaltung nach gesetzlicher Norm).
• § 29 BDSG Sperrung statt Loeschung in besonderen Faellen.

Mandantenfuehrung Schritt-für-Schritt

1. Zuerst: Eingangsdatum dokumentieren, Frist im Fristenkalender, Identitaet prüfen. Nicht schon eine pauschale Empfangsbestaetigung senden, die zu viel zusagt.
2. Als zweites: Beim Mandanten Datenbestaende erheben (HR, CRM, Mail, Cloud, Backup, Drittsysteme). Konkrete Anfrage an IT-Leitung mit Frist.
3. Als drittes: Risikoampel: Sind Drittpersonen erkennbar (Mitarbeiter, andere Kunden), Berufsgeheimnisse, laufende Verfahren? Bei Konflikt Art. 15 IV DSGVO prüfen.
4. Als viertes: Prüfung Art. 12 V DSGVO — wenn Anfrage offenkundig exzessiv (z. B. dritte Anfrage in vier Wochen ohne neuen Bezug), Verweigerung mit Begruendung dokumentieren. Beweislast beachten.
5. Als fuenftes: Antwortbrief erstellen. Nicht voreilig zusenden. Mandantenfreigabe einholen.
6. NICHT: Pauschal alles loeschen, um Auskunft zu vermeiden — das ist Verstoss gegen Art. 5 DSGVO (Rechenschaftspflicht) und Art. 17 (Loeschung nur bei Voraussetzungen).
7. NICHT: Aufsichtsbehoerde von sich aus informieren.

Trade-off-Matrix

Variante	Vorteil	Nachteil
Vollumfaengliche Auskunft mit Kopie aller Datenkategorien	Erfuellt Art. 15 I und III rechtssicher	Hoher Aufwand, Risiko Offenlegung interner Bewertungen
Schmale Auskunft mit Kategorien statt Einzelempfaenger	Schnell, Drittinteressen geschuetzt	EuGH C-579/21 fordert konkrete Empfaenger, soweit möglich
Verweigerung Art. 12 V (exzessiv)	Spart Aufwand	Beweislast beim Verantwortlichen, hohe Bussgeldgefahr
Fristverlaengerung Art. 12 III S. 2	Mehr Zeit, sauberes Ergebnis	Begruendung innerhalb erster Monat zwingend

Mustertexte

Empfangsbestaetigung (Tag 1-3)

Sehr geehrte/r [Name],

Ihr Schreiben vom [Datum] mit Ihrem Auskunftsersuchen nach Art. 15 DSGVO ist am [Datum] eingegangen. Wir werden Ihren Antrag innerhalb der Frist nach Art. 12 Abs. 3 DSGVO bearbeiten. Sollten zur Identifikation weitere Angaben erforderlich sein, melden wir uns. Bitte beachten Sie, dass wir aus Datenschutzgruenden Auskuenfte nur nach Identifikation erteilen können (Art. 12 Abs. 6 DSGVO).

Mit freundlichen Gruessen

Fristverlaengerungsschreiben (innerhalb erster Monat)

Sehr geehrte/r [Name],

Ihr Auskunftsersuchen vom [Datum] wird mit Sorgfalt bearbeitet. Aufgrund der Komplexitaet und des Umfangs der Anfrage [konkret: betroffene Systeme HR, CRM, Mail-Archiv, Backup] verlaengern wir die Frist gemäß Art. 12 Abs. 3 Satz 2 DSGVO um zwei weitere Monate bis zum [Datum]. Wir bitten um Verstaendnis.

Mit freundlichen Gruessen

Antwortbrief (Kopf)

Auskunft nach Art. 15 DSGVO — Schreiben vom [Datum] in Sachen [Name]

1. Verarbeitungszwecke: [konkret].
2. Datenkategorien: [konkret, z. B. Vertragsdaten, Kommunikationsdaten].
3. Empfaenger: [konkret nach EuGH C-579/21, soweit möglich; Kategorien nur wenn konkrete Empfaenger nicht ermittelbar].
4. Speicherdauer / Kriterien für Festlegung.
5. Beschwerderecht nach Art. 77 DSGVO bei [zuständige Aufsichtsbehoerde].
6. Datenherkunft (Art. 14 II f DSGVO).
7. Bestehen automatisierter Entscheidungsfindung (Art. 22 DSGVO): [ja/nein, Logik, Tragweite].
8. Anlage: Kopie der personenbezogenen Daten nach Art. 15 III DSGVO.

Typische Fehler

• Frist Art. 12 III uebersehen, weil Posteingang nicht zentralisiert.
• Pauschal "wir verarbeiten keine Daten" antworten, obwohl HR-System Mitarbeiterdaten enthaelt.
• Drittnamen ungeschwaerzt mit ausliefern.
• Konkurrierende Aufbewahrungspflichten (HGB AO) mit Loeschpflicht verwechseln und Daten vor Beantwortung loeschen.
• Kosten verlangen ohne Tatbestand Art. 12 V (offenkundig unbegruendet oder exzessiv) nachzuweisen.

Was triggert die Aufsichtsbehoerde? Vorlage nicht innerhalb Monatsfrist, fehlende Kopie, fehlende Empfaengerangabe trotz EuGH C-579/21, keine Aufklaerung über automatisierte Entscheidungsfindung.

Quellen Stand 06/2026

• DSGVO Art. 12, 15, 22.
• EuGH C-487/21 (Urteil 04.05.2023): Datenkopie nach Art. 15 III DSGVO.
• EuGH C-307/22 (Urteil 26.10.2023): Auskunft Patientenakte unentgeltlich.
• EuGH C-579/21 (Urteil 22.06.2023): Empfaengerangabe.
• BDSG § 29, § 34.
• EDSA, Leitlinien 01/2022 zu Betroffenenrechten — Auskunft, Version 2.0, angenommen 28.03.2023.
• Keine Aufsatzfundstellen aus Modellwissen.