Klotzkette Datenschutz Auskunftsersuchen — Art. 15 DSGVO in der Praxis
Zweck
Bearbeite ein eingegangenes Auskunftsersuchen nach Art. 15 DSGVO so, dass die Frist nach Art. 12 III DSGVO gewahrt, der Umfang nach Art. 15 I und III DSGVO erfuellt und das Risiko einer Beschwerde nach Art. 77 DSGVO oder Klage nach Art. 82 DSGVO minimiert wird.
Wann dieses Modul hilft / Kaltstart-Fragen
Sie brauchen den Skill, sobald ein Mandant ein Auskunftsersuchen erhalten hat — egal ob formal als Schreiben, per E-Mail, im Kuendigungskontext, im Arbeitsgerichtsprozess oder als Vorbereitung einer Klage gegen den Mandanten.
Sieben-Fragen-Diagnose:
- Wer fragt? Eigener Mitarbeiter, frueherer Mitarbeiter, Kunde, frueherer Kunde, Konkurrent, Gegnervertreter? Ist Identitaet zweifelsfrei (Art. 12 VI DSGVO)?
- Was wird gefragt? Pauschale Anfrage "alle Daten" oder gezielte Anfrage zu bestimmten Verarbeitungen?
- Welche Datenkategorien sind beim Mandanten gespeichert? HR-System, CRM, Telefonie, Videoueberwachung, E-Mail-Archiv, Cloud, Backups?
- Wann ist die Anfrage eingegangen? Frist Art. 12 III DSGVO laeuft ab Eingang.
- Liegt missbraeuchliche Verwendung nahe (Art. 12 V DSGVO offenkundig unbegruendet oder exzessiv)?
- Berufsgeheimnisse oder Drittinteressen (Art. 15 IV DSGVO Rechte und Freiheiten anderer)?
- Konkurrierende Pflichten: Aufbewahrung HGB AO, Geheimhaltungspflichten, Whistleblower-Schutz, laufende Verfahren?
Rechtlicher Rahmen
- Art. 15 I DSGVO Recht auf Bestaetigung und Auskunft über Verarbeitungszwecke, Datenkategorien, Empfaenger, Speicherdauer, Rechte, Beschwerderecht, Datenherkunft, automatisierte Entscheidungsfindung.
- Art. 15 III DSGVO Kopie der personenbezogenen Daten. Erste Kopie kostenlos. EuGH C-487/21 (Bundesamt für Verbraucherschutz / Oesterreichische Datenschutzbehoerde, Urteil 04.05.2023): "Kopie" ist Reproduktion, nicht zwingend Originaldokument, aber so, dass Betroffener Verarbeitungspflichten verstehen und Rechte ausueben kann.
- EuGH C-307/22 (Urteil 26.10.2023): Auskunft umfasst auch Patientenaktenausdrucke unentgeltlich, soweit zur Wahrung der Rechte des Betroffenen erforderlich.
- EuGH C-579/21 (Urteil 22.06.2023): Identitaet konkreter Empfaenger ist anzugeben, wenn der Verantwortliche Empfaengerangaben vorhalten kann; Auswahl Kategorien nur, wenn konkrete Identitaet nicht möglich.
- Art. 12 III DSGVO Frist ein Monat, Verlaengerung um zwei weitere Monate möglich; Begruendung innerhalb des ersten Monats.
- Art. 12 V DSGVO offenkundig unbegruendet oder exzessiv: Entgelt oder Verweigerung; Beweislast beim Verantwortlichen.
- Art. 15 IV DSGVO Rechte und Freiheiten anderer als Schranke.
- § 34 BDSG Einschraenkungen des Auskunftsrechts (z. B. Geheimhaltung nach gesetzlicher Norm).
- § 29 BDSG Sperrung statt Loeschung in besonderen Faellen.
Mandantenfuehrung Schritt-für-Schritt
- Zuerst: Eingangsdatum dokumentieren, Frist im Fristenkalender, Identitaet prüfen. Nicht schon eine pauschale Empfangsbestaetigung senden, die zu viel zusagt.
- Als zweites: Beim Mandanten Datenbestaende erheben (HR, CRM, Mail, Cloud, Backup, Drittsysteme). Konkrete Anfrage an IT-Leitung mit Frist.
- Als drittes: Risikoampel: Sind Drittpersonen erkennbar (Mitarbeiter, andere Kunden), Berufsgeheimnisse, laufende Verfahren? Bei Konflikt Art. 15 IV DSGVO prüfen.
- Als viertes: Prüfung Art. 12 V DSGVO — wenn Anfrage offenkundig exzessiv (z. B. dritte Anfrage in vier Wochen ohne neuen Bezug), Verweigerung mit Begruendung dokumentieren. Beweislast beachten.
- Als fuenftes: Antwortbrief erstellen. Nicht voreilig zusenden. Mandantenfreigabe einholen.
- NICHT: Pauschal alles loeschen, um Auskunft zu vermeiden — das ist Verstoss gegen Art. 5 DSGVO (Rechenschaftspflicht) und Art. 17 (Loeschung nur bei Voraussetzungen).
- NICHT: Aufsichtsbehoerde von sich aus informieren.
Trade-off-Matrix
| Variante | Vorteil | Nachteil |
|---|---|---|
| Vollumfaengliche Auskunft mit Kopie aller Datenkategorien | Erfuellt Art. 15 I und III rechtssicher | Hoher Aufwand, Risiko Offenlegung interner Bewertungen |
| Schmale Auskunft mit Kategorien statt Einzelempfaenger | Schnell, Drittinteressen geschuetzt | EuGH C-579/21 fordert konkrete Empfaenger, soweit möglich |
| Verweigerung Art. 12 V (exzessiv) | Spart Aufwand | Beweislast beim Verantwortlichen, hohe Bussgeldgefahr |
| Fristverlaengerung Art. 12 III S. 2 | Mehr Zeit, sauberes Ergebnis | Begruendung innerhalb erster Monat zwingend |
Mustertexte
Empfangsbestaetigung (Tag 1-3)
Sehr geehrte/r [Name],
Ihr Schreiben vom [Datum] mit Ihrem Auskunftsersuchen nach Art. 15 DSGVO ist am [Datum] eingegangen. Wir werden Ihren Antrag innerhalb der Frist nach Art. 12 Abs. 3 DSGVO bearbeiten. Sollten zur Identifikation weitere Angaben erforderlich sein, melden wir uns. Bitte beachten Sie, dass wir aus Datenschutzgruenden Auskuenfte nur nach Identifikation erteilen können (Art. 12 Abs. 6 DSGVO).
Mit freundlichen Gruessen
Fristverlaengerungsschreiben (innerhalb erster Monat)
Sehr geehrte/r [Name],
Ihr Auskunftsersuchen vom [Datum] wird mit Sorgfalt bearbeitet. Aufgrund der Komplexitaet und des Umfangs der Anfrage [konkret: betroffene Systeme HR, CRM, Mail-Archiv, Backup] verlaengern wir die Frist gemäß Art. 12 Abs. 3 Satz 2 DSGVO um zwei weitere Monate bis zum [Datum]. Wir bitten um Verstaendnis.
Mit freundlichen Gruessen
Antwortbrief (Kopf)
Auskunft nach Art. 15 DSGVO — Schreiben vom [Datum] in Sachen [Name]
- Verarbeitungszwecke: [konkret].
- Datenkategorien: [konkret, z. B. Vertragsdaten, Kommunikationsdaten].
- Empfaenger: [konkret nach EuGH C-579/21, soweit möglich; Kategorien nur wenn konkrete Empfaenger nicht ermittelbar].
- Speicherdauer / Kriterien für Festlegung.
- Beschwerderecht nach Art. 77 DSGVO bei [zuständige Aufsichtsbehoerde].
- Datenherkunft (Art. 14 II f DSGVO).
- Bestehen automatisierter Entscheidungsfindung (Art. 22 DSGVO): [ja/nein, Logik, Tragweite].
- Anlage: Kopie der personenbezogenen Daten nach Art. 15 III DSGVO.
Typische Fehler
- Frist Art. 12 III uebersehen, weil Posteingang nicht zentralisiert.
- Pauschal "wir verarbeiten keine Daten" antworten, obwohl HR-System Mitarbeiterdaten enthaelt.
- Drittnamen ungeschwaerzt mit ausliefern.
- Konkurrierende Aufbewahrungspflichten (HGB AO) mit Loeschpflicht verwechseln und Daten vor Beantwortung loeschen.
- Kosten verlangen ohne Tatbestand Art. 12 V (offenkundig unbegruendet oder exzessiv) nachzuweisen.
Was triggert die Aufsichtsbehoerde? Vorlage nicht innerhalb Monatsfrist, fehlende Kopie, fehlende Empfaengerangabe trotz EuGH C-579/21, keine Aufklaerung über automatisierte Entscheidungsfindung.
Quellen Stand 06/2026
- DSGVO Art. 12, 15, 22.
- EuGH C-487/21 (Urteil 04.05.2023): Datenkopie nach Art. 15 III DSGVO.
- EuGH C-307/22 (Urteil 26.10.2023): Auskunft Patientenakte unentgeltlich.
- EuGH C-579/21 (Urteil 22.06.2023): Empfaengerangabe.
- BDSG § 29, § 34.
- EDSA, Leitlinien 01/2022 zu Betroffenenrechten — Auskunft, Version 2.0, angenommen 28.03.2023.
- Keine Aufsatzfundstellen aus Modellwissen.