Auskunftsanspruch Art. 15 DSGVO: Anfragen richtig beantworten

Wer personenbezogene Daten verarbeitet, muss Auskunftsanfragen ernst nehmen. Art. 15 DSGVO gibt betroffenen Personen das Recht zu erfahren, ob und welche Daten verarbeitet werden, zu welchen Zwecken dies geschieht, wem Daten offengelegt wurden und wie lange sie gespeichert werden. Für Unternehmen, Vereine und Kommunen ist wichtig: Die Antwort muss vollständig, verständlich und fristgerecht erfolgen.

Art. 15 DSGVO Betroffenenrechte Für Unternehmen Für Kommunen BayLfD

Auskunftsanspruch Art. 15 DSGVO Betroffenenanfrage richtig beantworten

Kurzantwort

Art. 15 DSGVO gibt betroffenen Personen einen Anspruch auf Auskunft über die Verarbeitung ihrer personenbezogenen Daten. Verantwortliche müssen mitteilen, ob Daten verarbeitet werden, welche Daten betroffen sind und welche weiteren Informationen zur Verarbeitung relevant sind.

Die Antwort muss grundsätzlich innerhalb eines Monats erfolgen. Bei begründeten Identitätszweifeln darf eine Identitätsprüfung verlangt werden. Pauschale Ausweiskopien oder unnötige Hürden sind aber problematisch.

Art. 15 DSGVO ist kein allgemeines Akteneinsichtsrecht. Daten Dritter, Geschäftsgeheimnisse, öffentliche Interessen und besondere Fachgesetze können im Einzelfall Grenzen setzen.

Einordnung

Auskunftsanspruch nach Art. 15 DSGVO: Worum geht es?

Der Auskunftsanspruch ist eines der wichtigsten Betroffenenrechte der DSGVO. Er soll betroffenen Personen ermöglichen, die Verarbeitung ihrer eigenen personenbezogenen Daten zu verstehen und weitere Rechte wie Berichtigung, Löschung oder Einschränkung der Verarbeitung sinnvoll auszuüben.

Für Verantwortliche bedeutet das: Eine Auskunftsanfrage darf nicht als lästige Formalie behandelt werden. Sie muss geprüft, dokumentiert und fristgerecht beantwortet werden.

Typische Situationen sind Anfragen von Bürgerinnen und Bürgern an Kommunen, ehemalige Beschäftigte, Bewerberinnen und Bewerber, Kunden, Vereinsmitglieder oder Personen, die wissen möchten, welche Daten über sie gespeichert und weitergegeben wurden.

Die Herausforderung liegt meist nicht in der Frage, ob überhaupt geantwortet werden muss. Schwieriger ist der richtige Umfang: Welche Daten sind personenbezogen, welche Informationen müssen herausgegeben werden, was ist zu schwärzen und welche Stellen müssen intern eingebunden werden?

Anspruchsberechtigte

Wer kann Auskunft verlangen?

Auskunft verlangen kann die betroffene Person selbst. Betroffen ist, wessen personenbezogene Daten verarbeitet werden.

Das kann eine Bürgerin, ein Kunde, ein Beschäftigter, ein ehemaliger Mitarbeiter, ein Bewerber, ein Vereinsmitglied, ein Grundstückseigentümer, ein Gewerbetreibender oder eine andere natürliche Person sein.

Der Antrag muss nicht ausdrücklich „Art. 15 DSGVO“ nennen. Entscheidend ist, ob aus dem Inhalt erkennbar wird, dass die Person wissen möchte, welche personenbezogenen Daten über sie verarbeitet werden.

Keine Auskunft nach Art. 15 DSGVO ist dagegen eine allgemeine Frage nach Verwaltungsvorgängen, Akten, Unterlagen, Sachständen oder Daten Dritter. Solche Anliegen können andere Rechtsgrundlagen betreffen, sind aber nicht automatisch ein datenschutzrechtlicher Auskunftsanspruch.

Ablauf

Frist: Wie schnell muss geantwortet werden?

Nach Art. 12 DSGVO muss die Antwort grundsätzlich unverzüglich und spätestens innerhalb eines Monats nach Eingang des Antrags erfolgen.

Bei komplexen oder zahlreichen Anträgen kann die Frist um zwei weitere Monate verlängert werden. Die betroffene Person muss dann aber innerhalb des ersten Monats über die Verlängerung und die Gründe informiert werden.

Praktisch wichtig ist deshalb ein klarer interner Ablauf: Eingang erfassen, Zuständigkeit klären, Identität prüfen, betroffene Fachbereiche einbinden, Daten zusammentragen, Grenzen prüfen, Antwort erstellen und Versand dokumentieren.

Die Monatsfrist beginnt nicht erst, wenn intern alles sortiert ist. Deshalb sollten Auskunftsanfragen sofort erkannt und weitergeleitet werden.

Identitätsprüfung

Identität prüfen: Nicht zu wenig, nicht zu viel

Vor einer Auskunft muss sichergestellt sein, dass die Antwort an die richtige Person geht. Sonst kann gerade die Auskunft selbst zu einer Datenschutzverletzung werden.

Bei bekannten Kommunikationswegen kann eine einfache Prüfung reichen. Bei begründeten Zweifeln darf der Verantwortliche zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind.

Pauschale Ausweiskopien sind jedoch nicht der richtige Standard. Wenn eine Identitätsprüfung erforderlich ist, sollte sie verhältnismäßig erfolgen. Häufig genügt eine persönliche Vorsprache, ein Abgleich vorhandener Daten oder eine gezielte Rückfrage.

Wird ausnahmsweise eine Ausweiskopie benötigt, sollten nicht erforderliche Angaben geschwärzt werden dürfen. Die Kopie darf nicht länger gespeichert werden als für die Identitätsprüfung nötig.

Inhalt

Was muss die Auskunft enthalten?

Art. 15 DSGVO verlangt zunächst die Information, ob personenbezogene Daten der anfragenden Person verarbeitet werden.

Werden Daten verarbeitet, muss die Auskunft insbesondere Angaben enthalten zu den verarbeiteten personenbezogenen Daten, den Verarbeitungszwecken, den Kategorien personenbezogener Daten, den Empfängern oder Kategorien von Empfängern, der Speicherdauer oder den Kriterien für die Speicherdauer.

Außerdem sind Informationen zu den Betroffenenrechten, zum Beschwerderecht bei einer Aufsichtsbehörde, zur Herkunft der Daten, soweit sie nicht bei der betroffenen Person erhoben wurden, sowie gegebenenfalls zu automatisierten Entscheidungen einschließlich Profiling erforderlich.

Bei Übermittlungen in Drittländer oder an internationale Organisationen müssen zusätzlich die geeigneten Garantien nach Art. 46 DSGVO mitgeteilt werden.

Wenn keine personenbezogenen Daten zur anfragenden Person verarbeitet werden, ist eine sogenannte Negativauskunft zu erteilen.

Datenkopie

Was bedeutet „Kopie der personenbezogenen Daten“?

Art. 15 Abs. 3 DSGVO sieht vor, dass eine Kopie der personenbezogenen Daten zur Verfügung gestellt wird, die Gegenstand der Verarbeitung sind.

Das bedeutet nicht automatisch, dass vollständige Akten, komplette E-Mail-Postfächer, ganze Verwaltungsvorgänge oder sämtliche Dokumente ungeprüft herauszugeben sind.

Entscheidend ist, welche personenbezogenen Daten der anfragenden Person verarbeitet werden. Dokumente können personenbezogene Daten enthalten, sie sind aber nicht immer selbst vollständig herauszugeben.

In der Praxis muss deshalb geprüft werden, ob eine strukturierte Zusammenstellung genügt, ob Dokumentauszüge erforderlich sind oder ob Kopien bestimmter Unterlagen bereitgestellt werden müssen.

Daten Dritter und geschützte Informationen sind dabei zu berücksichtigen. Schwärzungen können erforderlich sein.

Empfänger

Müssen konkrete Empfänger benannt werden?

Art. 15 Abs. 1 lit. c DSGVO nennt Empfänger oder Kategorien von Empfängern, gegenüber denen personenbezogene Daten offengelegt wurden oder noch offengelegt werden.

Der Europäische Gerichtshof hat entschieden, dass betroffene Personen grundsätzlich die konkrete Identität der Empfänger verlangen können, soweit diese bekannt sind. Eine Beschränkung auf bloße Kategorien genügt dann regelmäßig nicht.

Das bedeutet aber nicht, dass jede beliebige Person genannt werden muss, die irgendwann mit einem Vorgang in Berührung gekommen ist. Entscheidend bleibt, welche personenbezogenen Daten der betroffenen Person gegenüber welchen Empfängern offengelegt wurden.

Gerade bei Kommunen ist sauber zu unterscheiden zwischen externen Empfängern, internen Zugriffen, gesetzlich vorgesehenen Übermittlungen, Akteneinsicht, Ratsarbeit, Fachverfahren und bloßer Bearbeitung innerhalb der verantwortlichen Stelle.

Grenzen

Grenzen des Auskunftsanspruchs und Schwärzungen

Der Auskunftsanspruch ist weit, aber nicht grenzenlos.

Grenzen können sich insbesondere aus Rechten und Freiheiten anderer Personen, Geschäftsgeheimnissen, öffentlichen Interessen, laufenden Verfahren, besonderen Verschwiegenheitspflichten oder fachgesetzlichen Regelungen ergeben.

Das bedeutet nicht, dass eine Auskunft vorschnell verweigert werden darf. Häufig ist eine teilweise Auskunft mit Schwärzungen oder einer abstrakteren Darstellung möglich.

Wichtig ist die saubere Begründung. Wer Daten zurückhält oder schwärzt, sollte nachvollziehbar dokumentieren, warum dies erforderlich war.

Art. 15 DSGVO ist außerdem kein Ersatz für Akteneinsicht, Informationsfreiheit, Presseauskunft oder verwaltungsverfahrensrechtliche Einsichtsrechte. Diese Ansprüche folgen anderen Regeln.

Öffentliche Stellen

Besonderheiten für Kommunen

Kommunen verarbeiten personenbezogene Daten in sehr unterschiedlichen Bereichen: Einwohnermeldeamt, Standesamt, Gewerbeamt, Bauamt, Kämmerei, Steueramt, Ordnungsamt, Personalamt, Kindertageseinrichtungen, Ratsarbeit, Bürgerbüro und Fachverfahren.

Eine Auskunftsanfrage muss deshalb oft mehrere Fachbereiche betreffen. Gerade deshalb braucht es intern eine klare Zuständigkeit und ein geordnetes Verfahren.

Kommunen müssen außerdem beachten, dass bestimmte Daten besonders schutzbedürftig sein können, etwa Sozialdaten, Meldedaten, Gesundheitsdaten, Personalaktendaten, Daten aus Ordnungswidrigkeitenverfahren oder vertrauliche Angaben Dritter.

Bei Bürgeranfragen ist besonders wichtig: Nicht jede Anfrage ist automatisch ein Art.-15-Antrag. Wer zum Beispiel wissen möchte, welche Privatperson eine Gewerbeanmeldung eingesehen hat, verlangt nicht zwingend eine allgemeine Auskunft über die eigenen personenbezogenen Daten. Hier muss der konkrete Antrag sauber eingeordnet werden.

Die Kommune sollte daher zunächst klären: Was wird genau verlangt? Geht es um eigene personenbezogene Daten, um Empfänger, um Akteneinsicht, um Informationszugang oder um eine Beschwerde?

Nichtöffentliche Stellen

Unternehmen, Vereine und Arbeitgeber

Auch Unternehmen und Vereine müssen Auskunftsanfragen nach Art. 15 DSGVO beantworten. Typische Fälle betreffen Kundenkonten, Bewerbungen, Beschäftigtendaten, Newsletter, Webshop-Bestellungen, Videoaufnahmen, Vereinsmitgliedschaften oder Beschwerden.

Bei Arbeitgebern können Auskunftsanfragen besonders umfangreich werden, weil Personalakten, E-Mail-Kommunikation, Zeiterfassung, Bewerbungsdaten, Krankmeldungen, Abmahnungen oder Leistungsdaten betroffen sein können.

Auch hier gilt: Der Anspruch bezieht sich auf personenbezogene Daten der betroffenen Person, nicht automatisch auf vollständige interne Unterlagen oder Daten anderer Personen.

Gerade kleinere Unternehmen sollten einen einfachen Ablauf festlegen, damit Anfragen nicht versehentlich liegen bleiben.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD hat zum Auskunftsrecht eine eigene Orientierungshilfe für den öffentlichen Sektor veröffentlicht. Diese richtet sich ausdrücklich an bayerische öffentliche Stellen und soll helfen, Auskunftsverlangen nach Art. 15 DSGVO zügig und gesetzmäßig zu bearbeiten.

Nach der BayLfD-Linie müssen öffentliche Stellen zunächst klären, ob ein Antrag tatsächlich als Auskunftsverlangen nach Art. 15 DSGVO zu verstehen ist. Nicht jede Anfrage zu einem Vorgang ist automatisch ein datenschutzrechtliches Auskunftsersuchen.

Der BayLfD weist außerdem darauf hin, dass öffentliche Stellen in der Regel mitteilen müssen, ob und welche Daten über eine Person gespeichert sind. Das Bayerische Datenschutzgesetz und besondere Fachgesetze können aber Ausnahmen oder Einschränkungen enthalten.

Zur Identifizierung stellt der BayLfD klar: Nachweise dürfen verlangt werden, wenn begründete Zweifel an der Identität bestehen. Eine bloß pauschale Behauptung von Zweifeln genügt nicht.

Aktuell betont der BayLfD außerdem, dass im Zusammenhang mit Art. 15 DSGVO andere Maßstäbe gelten als bei Informationsfreiheit, Presserecht, Akteneinsicht oder gerichtlicher Offenlegung. Schwärzungen und Abgrenzungen müssen daher im jeweiligen Einzelfall bewertet werden.

Für Kommunen bedeutet das: Auskunftsanfragen brauchen ein geordnetes Verfahren. Entscheidend sind richtige Einordnung, fristgerechte Bearbeitung, sichere Identitätsprüfung, saubere Abgrenzung zu Akteneinsicht und sorgfältige Prüfung von Daten Dritter.

Praxisfehler

Typische Fehler bei Auskunftsanfragen

Anfrage wird übersehen

Die Monatsfrist läuft, obwohl die Anfrage intern nicht als Art.-15-Antrag erkannt wurde.

Pauschale Ausweiskopie

Es wird immer eine Ausweiskopie verlangt, obwohl keine begründeten Identitätszweifel bestehen.

Zu enger Umfang

Es werden nur Stammdaten genannt, obwohl weitere personenbezogene Daten verarbeitet werden.

Zu weiter Umfang

Es werden ganze Akten oder E-Mail-Verläufe ungeprüft herausgegeben, obwohl Daten Dritter enthalten sind.

Empfänger fehlen

Übermittlungen an Dienstleister, Behörden oder andere Empfänger werden nicht sauber aufgeführt.

Keine Dokumentation

Es ist später nicht nachvollziehbar, was geprüft, geschwärzt, herausgegeben oder abgelehnt wurde.

Orientierung

Orientierungsfragen für die Bearbeitung

Die folgenden Fragen strukturieren die erste Bearbeitung eines Auskunftsersuchens. Der konkrete Umfang richtet sich nach Antrag, Datenbestand und möglichen Rechten Dritter.

Verlangt die Person wirklich Auskunft über eigene personenbezogene Daten?

Ist die Identität ausreichend geklärt oder bestehen begründete Zweifel?

Welche Fachbereiche, Systeme und Akten können betroffen sein?

Welche personenbezogenen Daten der anfragenden Person werden verarbeitet?

Welche Zwecke, Kategorien, Speicherfristen und Empfänger sind mitzuteilen?

Sind Daten Dritter, Geschäftsgeheimnisse oder besondere Schutzgründe betroffen?

Sind Schwärzungen oder Teilantworten erforderlich?

Muss die Frist verlängert werden und wurde dies rechtzeitig mitgeteilt?

Ist die Antwort verständlich, vollständig und dokumentiert?

Bewusst keine vollständige Checkliste: Der richtige Umfang einer Auskunft hängt von Antrag, Datenbestand, Fachbereich, Schutzrechten Dritter und möglichen gesetzlichen Einschränkungen ab.

Häufige Fragen

FAQ zum Auskunftsanspruch Art. 15 DSGVO

Muss eine Auskunftsanfrage ausdrücklich Art. 15 DSGVO nennen?

Nein. Entscheidend ist, ob aus dem Inhalt erkennbar wird, dass die betroffene Person Auskunft über die Verarbeitung ihrer personenbezogenen Daten verlangt.

Welche Frist gilt für die Antwort?

Die Antwort muss grundsätzlich unverzüglich und spätestens innerhalb eines Monats erfolgen. Bei komplexen oder zahlreichen Anfragen kann die Frist um zwei Monate verlängert werden, wenn die betroffene Person rechtzeitig informiert wird.

Darf immer eine Ausweiskopie verlangt werden?

Nein. Zusätzliche Nachweise dürfen verlangt werden, wenn begründete Zweifel an der Identität bestehen. Die Prüfung muss verhältnismäßig bleiben.

Müssen ganze Akten herausgegeben werden?

Nicht automatisch. Art. 15 DSGVO bezieht sich auf personenbezogene Daten der betroffenen Person. Ganze Akten, Dokumente oder E-Mail-Verläufe müssen nicht ungeprüft herausgegeben werden.

Müssen Empfänger konkret benannt werden?

Grundsätzlich können betroffene Personen die konkrete Identität der Empfänger verlangen, soweit diese bekannt sind. Im Einzelfall sind aber Schutzrechte Dritter und besondere Einschränkungen zu prüfen.

Was tun, wenn keine Daten gespeichert sind?

Dann sollte eine Negativauskunft erteilt werden. Die betroffene Person erhält also die Mitteilung, dass keine personenbezogenen Daten zu ihr verarbeitet werden.

Ergebnis

Fazit

Der Auskunftsanspruch nach Art. 15 DSGVO ist ein zentrales Betroffenenrecht und sollte in Unternehmen, Vereinen und Kommunen organisatorisch vorbereitet sein.

Wichtig sind eine schnelle Erkennung der Anfrage, sichere Identitätsprüfung, vollständige Recherche, verständliche Antwort, Prüfung von Grenzen und sorgfältige Dokumentation.

Für Kommunen ist zusätzlich entscheidend, Art. 15 DSGVO sauber von Akteneinsicht, Informationszugang, Presserecht und allgemeinen Bürgeranfragen abzugrenzen.