Auskunftsersuchen nach Artikel 15: Fristen, Umfang und die üblichen Fehler

Wenn ein Auskunftsersuchen eingeht, beginnt in den meisten Organisationen dasselbe Ritual: Der Eingang wird notiert, ein Datum vier Wochen später in den Kalender gesetzt, und die Fachabteilung exportiert, was das führende System über die Person hergibt — den Kundendatensatz, die Bestellhistorie, das Personalstammblatt. Die Antwort geht fristgerecht raus, und der Vorgang gilt als erledigt.

Erledigt ist er damit selten. Die Beschwerden, die bei den Aufsichtsbehörden landen, und die Verfahren, die vor Gericht gehen, drehen sich in der Regel nicht um überschrittene Fristen. Sie drehen sich darum, dass die Auskunft dort endete, wo die Datenbank endete — und dass Daten, die im Postfach der Sachbearbeitung, im Ticketsystem oder in einer Papierakte lagen, gar nicht erst gesucht wurden.

Die Monatsfrist ist die einfachste aller Pflichten

Art. 12 Abs. 3 DSGVO gibt den Takt vor: Der Verantwortliche stellt die Informationen über die auf den Antrag hin ergriffenen Maßnahmen „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ zur Verfügung. Das Wort „unverzüglich“ steht vor der Monatsfrist, nicht dahinter — wo die Daten bereits aufbereitet vorliegen, ist die volle Ausschöpfung des Monats begründungsbedürftig.

Die Verlängerung um zwei weitere Monate ist an zwei Bedingungen geknüpft, die in der Praxis regelmäßig übersehen werden. Sie setzt erstens voraus, dass sie „unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich“ ist. Zweitens muss die betroffene Person innerhalb der ersten Monatsfrist über die Verlängerung und über die Gründe der Verzögerung unterrichtet werden. Eine Verlängerung, die erst im dritten Monat mitgeteilt wird, ist keine — die Frist war dann schlicht abgelaufen. Wird gar nicht tätig geworden, verlangt Art. 12 Abs. 4 DSGVO spätestens nach einem Monat eine Mitteilung der Gründe samt Hinweis auf Beschwerde und Rechtsbehelf.

Der Umfang entscheidet über den Ausgang, nicht der Kalender

Der Bundesgerichtshof hat den Anspruch bereits 2021 weit ausgelegt. In einem Verfahren eines Versicherungsnehmers gegen seinen Versicherer entschied der VI. Zivilsenat, dass der Auskunftsanspruch weder auf „signifikante biografische Informationen“ noch auf extern zugängliche Daten beschränkt ist und dass auch interne Vermerke sowie die zwischen den Parteien gewechselte Korrespondenz erfasst sind (Urteil vom 15. Juni 2021, VI ZR 576/19). Dass die Korrespondenz der betroffenen Person bereits bekannt ist, schließt den Anspruch nicht aus.

Damit ist die Grenze verschoben, an der viele Auskunftsprozesse konstruiert sind. Wer nur das CRM, das ERP und das Personalsystem abfragt, deckt den Teil der Verarbeitung ab, der strukturiert abgelegt ist. Der unstrukturierte Teil — Postfächer, geteilte Laufwerke, Ticket- und Chatverläufe, Notizen in Vertriebswerkzeugen — enthält in vielen Organisationen den größeren Anteil an personenbezogenen Daten und wird gar nicht erst durchsucht. Ausgenommen bleiben nach dem BGH lediglich rechtliche Analysen und Beurteilungen der Rechtslage: Sie können auf personenbezogenen Daten beruhen, sind aber selbst keine.

Suchkriterien statt Systemgrenzen

Die maßgebliche Auslegungshilfe für die Praxis sind die Leitlinien 01/2022 des Europäischen Datenschutzausschusses in der Fassung vom 28. März 2023. Sie beschreiben die Suche nicht als Abfrage einer Systemliste, sondern als Suche nach Merkmalen: Name, Kunden- oder Personalnummer, Benutzername, IP-Adresse, Berufsbezeichnung, Familienbeziehungen. Hängt die Struktur der Daten von anderen Faktoren ab als dem Namen, muss die Suche um diese Faktoren erweitert werden. Werden Auftragsverarbeiter eingesetzt, erstreckt sich die Suche auch auf die dort verarbeiteten Daten.

Die Leitlinien halten zugleich fest, dass die Erhebung bei mehreren beteiligten Abteilungen eine Bringschuld des Verantwortlichen ist: Verarbeitet er Daten in verschiedenen Abteilungen, muss er sie aus jeder Abteilung zusammentragen. Ein Self-Service-Portal darf den Umfang nicht begrenzen — was es nicht ausgibt, ist auf anderem Weg zu liefern. Genau an dieser Stelle setzt die koordinierte EU-weite Prüfaktion des Jahres 2024 an: Zu den sieben identifizierten Problemfeldern zählen fehlende dokumentierte interne Verfahren, uneinheitlich und zu weit ausgelegte Grenzen des Auskunftsrechts sowie formale Hürden bei der Antragstellung, etwa das pauschale Anfordern von Ausweisdokumenten.

Auskunft und Kopie sind ein Anspruch, nicht zwei

Der Europäische Gerichtshof hat den Begriff der „Kopie“ in Art. 15 Abs. 3 DSGVO am 4. Mai 2023 geklärt (C-487/21). Der Anspruch richtet sich auf eine originalgetreue und verständliche Reproduktion der verarbeiteten Daten, nicht auf das Dokument als solches; Abs. 3 legt lediglich die praktischen Modalitäten des Anspruchs aus Abs. 1 fest. Daraus folgt zweierlei: Eine Kopie muss nicht gesondert beantragt werden, und eine tabellarische Zusammenstellung genügt, solange sie ohne Kontext verständlich bleibt. Nur wenn die Reproduktion ganzer Dokumente oder Auszüge „unerlässlich“ ist, um die Rechtsausübung zu ermöglichen, schlägt der Anspruch in einen Dokumentenanspruch um.

Die deutschen Obergerichte haben diese Linie übernommen. Der Bundesgerichtshof hat am 5. März 2024 (VI ZR 330/21) entschieden, dass nicht jedes gespeicherte Schriftstück als Kopie geschuldet ist, und die Darlegungslast für die Erforderlichkeit einer Kontextualisierung der betroffenen Person zugewiesen. Das Bundesarbeitsgericht hat am 16. April 2026 (8 AZR 169/25) auf derselben Grundlage einen Anspruch auf die vollständige Kopie eines Compliance-Abschlussberichts verneint: Rechtliche Würdigungen und Mandantenhinweise muss eine betroffene Beschäftigte nicht kennen, um ihre eigenen darin enthaltenen Daten zu verstehen.

Ein belastbarer Ablauf in acht Schritten

1. Eingang erfassen, egal auf welchem Kanal Ein Antrag ist formfrei. Er kann über das Kontaktformular, die allgemeine Servicemailadresse oder mündlich gestellt werden; die Weiterleitung an die zuständige Stelle ist Sache der Organisation.
2. Frist ab Eingang notieren Maßgeblich ist der Eingang beim Verantwortlichen, nicht die Kenntnisnahme in der Fachabteilung. Der Verlängerungsentscheid gehört in die erste Monatshälfte, nicht in die vierte Woche.
3. Identität nur bei begründeten Zweifeln prüfen Art. 12 Abs. 6 DSGVO erlaubt zusätzliche Informationen nur bei begründeten Zweifeln. Das pauschale Anfordern von Ausweiskopien zählt zu den in der EU-Prüfaktion beanstandeten Hürden.
4. Suchkriterien festlegen Nicht nur Name und Kundennummer, sondern alle Identifikatoren, unter denen die Daten strukturiert sein können — Vorgangsnummer, Benutzerkonto, Telefonnummer, IP-Adresse.
5. Alle Ablagen abfragen, auch die unstrukturierten Fachsysteme, Postfächer und geteilte Laufwerke, Ticket- und Telefonieprotokolle, Papierakten sowie die Bestände der Auftragsverarbeiter.
6. Drittdaten und geschützte Inhalte trennen Unterlagen filtern und schwärzen, statt sie ungeprüft herauszugeben oder pauschal zurückzuhalten; Art. 15 Abs. 4 DSGVO und die Ausnahmen des § 34 BDSG greifen nur einzelfallbezogen.
7. Vollständig antworten, nicht nur die Kopie liefern Zur Auskunft gehören die Angaben nach Art. 15 Abs. 1 lit. a bis h — konkrete Empfänger, Speicherdauer oder deren Kriterien, Herkunft und, bei automatisierten Entscheidungen, aussagekräftige Informationen zur Logik.
8. Vorgang dokumentieren Suchkriterien, abgefragte Systeme, Schwärzungsgründe und Versanddatum festhalten. Im Beschwerdeverfahren ist die Aufsichtsbehörde die erste Adressatin dieser Dokumentation.

Der Fall, in dem gar nichts vorliegt: die Negativauskunft

Auch wenn keine Daten verarbeitet werden, ist eine Antwort geschuldet. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat dafür im Berichtsjahr 2025 ein Bußgeld im niedrigen sechsstelligen Bereich gegen ein Handelsunternehmen verhängt, das Anträge auf Auskunft, Löschung und Werbewiderspruch wiederholt nicht innerhalb eines Monats beantwortet hatte. Die Werbeadressen lagen nicht beim Unternehmen selbst, sondern bei beauftragten Dienstleistern — nach Auffassung der Aufsicht entbindet das Fehlen eigener Daten gerade nicht von der Antwortpflicht.

Die Begründung ist über den Einzelfall hinaus bedeutsam: Erst die Bestätigung, dass keine Daten vorliegen, versetzt die betroffene Person in die Lage, ihre Rechte gezielt bei der richtigen Stelle geltend zu machen. Die Negativauskunft stellt damit Transparenz über die Verarbeitungskette her. Dieselbe Behörde verzeichnete im selben Berichtsjahr, dass Auskünfte im Werbeumfeld „entweder gar nicht, verspätet oder unvollständig“ erteilt wurden und die Bearbeitung häufig bei nicht ausreichend qualifiziertem Kundendienstpersonal lag.

Wann ein Antrag exzessiv ist — und wer das beweisen muss

Art. 12 Abs. 5 DSGVO erlaubt bei offenkundig unbegründeten oder — insbesondere im Fall häufiger Wiederholung — exzessiven Anträgen entweder ein angemessenes Entgelt oder die Weigerung, tätig zu werden. Satz 3 verlagert die Beweislast eindeutig: „Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.“ In der Praxis ist das die entscheidende Hürde, denn dieser Nachweis gelingt selten.

Der EuGH hat den Missbrauchseinwand am 9. Januar 2025 präzisiert (C-416/23). Die Entscheidung betraf zwar Art. 57 Abs. 4 DSGVO und damit die Aufsichtsbehörden, ihre Maßstäbe sind wegen der parallelen Begriffsbildung aber übertragbar: Die bloße Anzahl der Anfragen — im Ausgangsfall 77 Beschwerden binnen rund 20 Monaten — macht sie nicht exzessiv; erforderlich ist der Nachweis einer Missbrauchsabsicht. Ebenso wenig darf die Motivation zurückgewiesen werden: Nach dem Urteil vom 26. Oktober 2023 (C-307/22) ist es unerheblich, ob die Auskunft datenschutzfremden Zwecken dient, etwa der Vorbereitung von Haftungsansprüchen.

Was Versäumnisse tatsächlich kosten

Die Sanktionsseite hat zwei Stränge, die auseinanderlaufen. Aufsichtsrechtlich sind Verstöße gegen Art. 15 DSGVO nach Art. 83 Abs. 5 lit. b DSGVO im oberen Bußgeldrahmen angesiedelt. Der Hamburger Bericht für 2025 nennt neben dem Handelsfall ein Bußgeld im mittleren sechsstelligen Bereich gegen ein Unternehmen der Finanzwirtschaft, das bei automatisiert abgelehnten Kreditkartenanträgen die Informationen zur involvierten Logik nach Art. 15 Abs. 1 lit. h DSGVO nur allgemein gehalten erteilt hatte.

Zivilrechtlich fällt die Bilanz für Verantwortliche günstiger aus, als die erstinstanzliche Rechtsprechung zeitweise vermuten ließ. In einem Verfahren, in dem ein Arbeitsgericht 10.000 Euro immateriellen Schadensersatz zugesprochen hatte, hob das Landesarbeitsgericht Düsseldorf dies auf (28. November 2023, 3 Sa 285/23); das Bundesarbeitsgericht bestätigte am 20. Februar 2025 (8 AZR 61/24), dass eine verspätete Auskunft für sich genommen keinen Kontrollverlust begründet, sondern nur einen Zeitverzug. Der Schaden muss objektivierbar dargelegt werden. Das entlastet allerdings nur den Zeitverzug — nicht die unvollständige Suche, die aufsichtsrechtlich der teurere Fehler bleibt.

Was das Auskunftsrecht nicht leistet

Art. 15 DSGVO ist kein Akteneinsichtsrecht. Er verschafft keinen Anspruch auf die Verfahrensakte, keinen auf interne Strategiepapiere und keinen auf die Rechtsauffassung der Gegenseite. Er verschafft auch keinen Zugang zu Daten Dritter: Nach Art. 15 Abs. 4 DSGVO darf das Recht auf Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen, was in der Praxis auf Schwärzungen hinausläuft, nicht auf pauschale Verweigerung. Ergänzend gelten die Ausnahmen der §§ 27 bis 34 BDSG, etwa für Berufsgeheimnisse und Geschäftsgeheimnisse.

Was er leistet, ist genau das, was Erwägungsgrund 63 beschreibt: der betroffenen Person die Verarbeitung bewusst zu machen und ihr die Prüfung von deren Rechtmäßigkeit zu ermöglichen. Ein Auskunftsprozess, der nur den Datenbankexport liefert, erfüllt diesen Zweck nicht — und lässt sich im Beschwerdeverfahren auch nicht als Versehen darstellen, wenn die Suchkriterien nie über Name und Kundennummer hinausgingen.

Häufige Fragen

Wie lange darf die Beantwortung eines Auskunftsersuchens dauern?

Nach Art. 12 Abs. 3 DSGVO ist unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags zu antworten. Eine Verlängerung um zwei weitere Monate ist möglich, wenn Komplexität oder Anzahl der Anträge das erfordern; sie muss der betroffenen Person jedoch zusammen mit den Gründen der Verzögerung innerhalb der ersten Monatsfrist mitgeteilt werden. Ohne diese rechtzeitige Mitteilung bleibt es bei einem Monat.

Müssen auch E-Mails aus Postfächern herausgegeben werden?

Die Suche ist auf sie zu erstrecken. Der Europäische Datenschutzausschuss verlangt in seinen Leitlinien 01/2022 eine Suche in allen IT- und Nicht-IT-Ablagesystemen, und der Bundesgerichtshof hat am 15. Juni 2021 (VI ZR 576/19) entschieden, dass auch Korrespondenz und interne Vermerke erfasst sind. Geschuldet sind allerdings die darin enthaltenen personenbezogenen Daten, nicht zwingend die vollständigen Nachrichten als Dokument.

Muss geantwortet werden, wenn gar keine Daten vorliegen?

Ja. Auch in diesem Fall ist innerhalb der Monatsfrist eine sogenannte Negativauskunft zu erteilen, also die Bestätigung, dass keine personenbezogenen Daten der antragstellenden Person verarbeitet werden. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat das Unterlassen einer solchen Auskunft 2025 mit einem Bußgeld im niedrigen sechsstelligen Bereich geahndet.

Darf ein Auskunftsersuchen abgelehnt werden, weil es nur eine Klage vorbereiten soll?

Nein. Der Europäische Gerichtshof hat am 26. Oktober 2023 (C-307/22) entschieden, dass die Beweggründe der betroffenen Person unerheblich sind; auch datenschutzfremde Motive wie die Vorbereitung von Haftungsansprüchen rechtfertigen keine Ablehnung. Eine Weigerung nach Art. 12 Abs. 5 DSGVO setzt einen offenkundig unbegründeten oder exzessiven Antrag voraus, und den Nachweis dafür trägt der Verantwortliche.

Besteht ein Anspruch auf die Kopie ganzer Dokumente?

Grundsätzlich nicht. Nach dem EuGH-Urteil vom 4. Mai 2023 (C-487/21) richtet sich der Anspruch auf eine originalgetreue Reproduktion der verarbeiteten Daten; ganze Dokumente oder Auszüge sind nur herauszugeben, wenn dies unerlässlich ist, um die Rechtsausübung zu ermöglichen. Das Bundesarbeitsgericht hat auf dieser Grundlage am 16. April 2026 (8 AZR 169/25) den Anspruch auf einen vollständigen Compliance-Bericht verneint.