Eine E-Mail trifft ein: Ein ausgeschiedener Mitarbeiter, ein unzufriedener Kunde oder ein Wettbewerber verlangt Auskunft nach Art. 15 DSGVO — „alle Daten, die Sie über mich gespeichert haben, samt Kopie". Was harmlos klingt, ist zweierlei zugleich: eine Pflicht mit einer harten Frist von grundsätzlich einem Monat, und ein taktisches Instrument, mit dem sich der Absender Munition für einen Arbeitsgerichts-, Wettbewerbs- oder Schadenersatzprozess beschaffen kann. Wer zu spät antwortet, riskiert Beschwerde, Schadenersatz und Bußgeld. Wer vorschnell alles herausgibt, verletzt womöglich die Rechte Dritter oder legt eigene Interna offen. Dieser Beitrag zeigt Ihnen, was Sie liefern müssen, wo die Grenzen liegen — und wie Sie ein Auskunftsverlangen fristgerecht und richtig bescheiden.
Nach der Kündigung verlangt der ehemalige Mitarbeiter Auskunft über „alle Daten" — E-Mails, Bewertungen, Notizen aus dem Personalgespräch. Das geschieht selten aus Datenschutzinteresse: Häufig geht es darum, im Arbeitsgerichtsprozess an interne Bewertungen und Korrespondenz zu kommen. Sie müssen fristgerecht antworten — aber genau prüfen, was personenbezogene Daten sind und wo Rechte Dritter oder Geschäftsgeheimnisse eine Grenze ziehen.
Ein Kunde, mit dem es Ärger gab — eine Reklamation, eine offene Forderung, ein gekündigter Vertrag — fordert plötzlich vollständige Auskunft samt Kopie. Auch hier läuft die Monatsfrist ab Eingang. Wer sie versäumt oder nur unvollständig antwortet, liefert dem Gegenüber einen zusätzlichen Angriffspunkt: eine Beschwerde bei der Aufsicht und einen möglichen Schadenersatzanspruch.
Ein Auskunftsverlangen kann auch dazu dienen, an Informationen zu gelangen, die man sonst nicht bekäme — über einen Wettbewerbsstreit, ein Vertragsende, eine Auseinandersetzung. Ein datenschutzfremdes Motiv nimmt dem Anspruch nicht automatisch die Grundlage, verschiebt aber den Blick auf die Grenzen: Was ist wirklich personenbezogene Datum des Antragstellers — und was sind fremde Daten oder schützenswerte Interna, die nicht mit herauszugeben sind?
Der Anspruch hat zwei Stufen. Zuerst kann die betroffene Person eine Bestätigung darüber verlangen, ob überhaupt sie betreffende personenbezogene Daten verarbeitet werden. Ist das der Fall, hat sie ein Recht auf Auskunft über diese Daten und auf eine Reihe von Zusatzinformationen (Art. 15 Abs. 1 DSGVO). Diese Zusatzinformationen sind im Gesetz abschließend aufgezählt, und Ihre Antwort sollte sie der Reihe nach abarbeiten: die Verarbeitungszwecke (lit. a), die Kategorien der verarbeiteten Daten (lit. b), die Empfänger oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder werden, insbesondere in Drittländern (lit. c), die geplante Speicherdauer oder, wenn das nicht möglich ist, die Kriterien für ihre Festlegung (lit. d).
Hinzu kommen der Hinweis auf die Rechte des Betroffenen — Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch (lit. e) —, das Beschwerderecht bei der Aufsichtsbehörde (lit. f), alle verfügbaren Informationen über die Herkunft der Daten, wenn diese nicht beim Betroffenen selbst erhoben wurden (lit. g), sowie das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling nebst aussagekräftigen Informationen über die involvierte Logik und die Tragweite (lit. h). Werden Daten in ein Drittland übermittelt, ist über die geeigneten Garantien zu unterrichten (Art. 15 Abs. 2 DSGVO). Diese Struktur ist zugleich Ihre Checkliste: Eine Auskunft, die einzelne Punkte auslässt, ist unvollständig — und eine unvollständige Auskunft kann wie eine ausgebliebene behandelt werden.
Der praktisch heikelste Teil ist die Kopie. Der Verantwortliche stellt eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind (Art. 15 Abs. 3 Satz 1 DSGVO). Für alle weiteren Kopien, die die betroffene Person beantragt, dürfen Sie ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen (Satz 2). Stellt sie den Antrag elektronisch, sind die Informationen in einem gängigen elektronischen Format bereitzustellen, sofern sie nichts anderes angibt (Satz 3). Die Kopie meint dabei die tatsächlich verarbeiteten Daten des Antragstellers — nicht zwangsläufig die Herausgabe kompletter Dokumente oder ganzer Akten, sondern die in ihnen enthaltenen personenbezogenen Daten des Betroffenen.
Hier liegt die zweite große Falle: zu viel herausgeben. Denn das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Eine E-Mail-Korrespondenz enthält oft auch Daten Dritter — anderer Mitarbeiter, Kunden, Geschäftspartner. Interne Unterlagen können Geschäftsgeheimnisse oder Bewertungen anderer Personen enthalten. Wer den Wunsch nach vollständiger Auskunft reflexartig mit der Herausgabe des gesamten Postfachs oder ganzer Aktenordner beantwortet, verletzt womöglich die Rechte dieser Dritten und offenbart eigene Interna. Die richtige Antwort ist deshalb eine Aufbereitung: die personenbezogenen Daten des Antragstellers herausfiltern, fremde Daten schwärzen oder auslassen, Geschäftsgeheimnisse schützen — und diese Abwägung nachvollziehbar dokumentieren.
Praxis Behandeln Sie „zu viel" und „zu wenig" als zwei gleich große Risiken. Zu wenig herauszugeben führt zu Beschwerde und Schadenersatzverlangen wegen unvollständiger Auskunft; zu viel herauszugeben verletzt die Rechte Dritter und liefert dem Antragsteller Material, das ihm nicht zusteht — gerade im Arbeits- oder Wettbewerbsstreit. Zwischen beiden Fehlern liegt die sorgfältige Sichtung: Welche Daten sind personenbezogene Daten dieses Antragstellers, und was gehört jemand anderem?
Die zentrale Frist steht nicht in Art. 15, sondern in Art. 12: Der Verantwortliche stellt der betroffenen Person die Informationen über die auf ihren Antrag ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung (Art. 12 Abs. 3 Satz 1 DSGVO). „Unverzüglich" heißt ohne schuldhaftes Zögern — der Monat ist die äußere Grenze, nicht Ihr Zeitbudget. Die Uhr startet mit dem Eingang des Antrags, nicht erst, wenn Sie ihn intern zugeordnet oder aufbereitet haben.
Es gibt ein Ventil: Die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist (Art. 12 Abs. 3 Satz 2 DSGVO). Diese Verlängerung tritt aber nicht von selbst ein: Sie müssen die betroffene Person innerhalb des ersten Monats über die Verlängerung und über die Gründe für die Verzögerung unterrichten (Satz 3). Wer den Monat verstreichen lässt und erst danach „nachschiebt", hat die Verlängerung nicht wirksam in Anspruch genommen. Werden Sie auf den Antrag hin nicht tätig, müssen Sie den Betroffenen ebenfalls spätestens binnen eines Monats über die Gründe und über die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde oder eines gerichtlichen Rechtsbehelfs unterrichten (Art. 12 Abs. 4 DSGVO). Schweigen ist also in keiner Konstellation zulässig.
Zwei Modalitäten sind noch wichtig. Erstens die Identitätsprüfung: Haben Sie begründete Zweifel an der Identität der antragstellenden Person, dürfen Sie zusätzliche Informationen zur Identitätsbestätigung anfordern (Art. 12 Abs. 6 DSGVO). Das ist Ihr Schutz davor, sensible Daten an einen Unbefugten herauszugeben — es darf aber nicht zur Verzögerungstaktik missbraucht werden. Zweitens die Form: Die Auskunft ist in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache zu erteilen, schriftlich oder elektronisch (Art. 12 Abs. 1 DSGVO).
Praxis Notieren Sie den Eingangstag jedes Auskunftsverlangens sofort und tragen Sie die Monatsfrist ein — samt einer Vorfrist deutlich davor. Die teuerste Falle ist, die Monatsfrist unbemerkt verstreichen zu lassen, weil man erst prüft, ob man „überhaupt antworten muss". Und wenn Sie mehr Zeit brauchen: Die Verlängerung um zwei Monate müssen Sie aktiv und innerhalb des ersten Monats mitteilen — sonst verpufft sie.
Der Grundsatz ist klar: Die Auskunft wird unentgeltlich zur Verfügung gestellt (Art. 12 Abs. 5 Satz 1 DSGVO). Sie dürfen also für die erste Auskunft und die erste Kopie kein Geld verlangen. Eine Ausnahme gibt es nur in einem eng gezogenen Fall: Bei offenkundig unbegründeten oder — insbesondere im Fall häufiger Wiederholung — exzessiven Anträgen dürfen Sie entweder ein angemessenes Entgelt verlangen oder sich weigern, aufgrund des Antrags tätig zu werden (Art. 12 Abs. 5 Satz 2 DSGVO). Das ist die Handhabe gegen die Auskunfts-Flut oder das querulatorische Dauerverlangen.
Der entscheidende Satz steht am Ende der Vorschrift: Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen (Art. 12 Abs. 5 letzter Satz DSGVO). Die Beweislast liegt also bei Ihnen. Das macht die Ablehnung riskant: Wer den Antrag zu Unrecht als „exzessiv" zurückweist, hat nicht bloß nicht geantwortet, sondern eine Pflicht verletzt — mit allen Folgen von Beschwerde bis Bußgeld. Ein datenschutzfremdes Motiv des Antragstellers — etwa reine Ausforschung im Arbeits- oder Wettbewerbsstreit — lässt den Anspruch nach der Rechtsprechung nicht ohne Weiteres entfallen; „offenkundig unbegründet" oder „exzessiv" ist eng zu verstehen. Die Reichweite dieser Missbrauchsgrenze ist in der Rechtsprechung von EuGH und BGH in Bewegung und im Einzelfall zu prüfen — verlassen Sie sich nicht auf ein pauschales „das ist doch nur Ausforschung".
Der Auskunftsanspruch ist rechtlich ein Datenschutzinstrument — praktisch wird er oft als Vorbereitung eines anderen Streits eingesetzt. Der gekündigte Mitarbeiter, der vor dem Arbeitsgericht klagen will, sucht über Art. 15 DSGVO Zugang zu internen Bewertungen, E-Mails und Notizen. Der Kunde im Forderungsstreit will sehen, was intern über ihn vermerkt wurde. Was Sie herausgeben, kann Ihnen im Folgeprozess entgegengehalten werden. Daraus folgt keine Rechtfertigung, die Auskunft zu verweigern oder zu verschleppen — beides ist gefährlicher. Daraus folgt vielmehr das Gebot der Sorgfalt: richtig und vollständig, was die personenbezogenen Daten des Antragstellers angeht, aber begrenzt, wo es um Daten Dritter, Geschäftsgeheimnisse und interne Willensbildung geht.
Praktisch heißt das: Trennen Sie sauber zwischen dem, was personenbezogene Datum des Antragstellers ist (das gehört in die Auskunft), und dem, was fremde Daten oder schützenswerte Interna sind (das bleibt außen vor oder wird geschwärzt, Art. 15 Abs. 4 DSGVO). Diese Trennlinie ist juristische Feinarbeit — und genau der Punkt, an dem eine vorschnelle „Alles-oder-nichts"-Reaktion teuer wird. Wer alles herausgibt, verschenkt Positionen und verletzt Rechte Dritter; wer nichts oder zu wenig herausgibt, produziert einen eigenständigen Datenschutzverstoß.
Die Auskunftspflicht ist nicht folgenlos ausgestaltet. Antworten Sie nicht, zu spät oder falsch, stehen dem Betroffenen mehrere Wege offen. Zunächst die Beschwerde bei der Aufsichtsbehörde, auf die Sie ihn bei Untätigkeit sogar selbst hinweisen müssen (Art. 12 Abs. 4 DSGVO). Hinzu kommt der Schadenersatz: Wem durch einen Verstoß gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Ersatz gegen den Verantwortlichen (Art. 82 Abs. 1 DSGVO); der Verantwortliche wird nur frei, wenn er nachweist, in keinerlei Hinsicht verantwortlich zu sein (Art. 82 Abs. 3 DSGVO). Gerade die verspätete oder unvollständige Auskunft ist zu einem eigenen Feld von Schadenersatzforderungen geworden.
Dazu tritt das Aufsichtsrisiko. Der Auskunftsanspruch gehört zu den Betroffenenrechten der Art. 12 bis 22 DSGVO — und Verstöße gegen diese Rechte fallen in den höheren Bußgeldrahmen: bis zu 20 Millionen Euro oder, im Fall eines Unternehmens, bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Das ist derselbe scharfe Rahmen, der für Verstöße gegen die Grundsätze der Verarbeitung gilt — ein Zeichen dafür, welches Gewicht die Verordnung den Betroffenenrechten beimisst. Die praktische Konsequenz ist einfach: Ein Auskunftsverlangen ist kein Formkram, sondern ein bußgeld- und haftungsbewehrter Vorgang, den man ernst und fristgerecht behandeln muss.
Notieren Sie sofort den Eingangstag — ab ihm läuft die Monatsfrist des Art. 12 Abs. 3 DSGVO. Tragen Sie zusätzlich eine deutliche Vorfrist ein. Dieser eine Zeitstempel entscheidet später über fristgerecht oder verspätet, und er lässt sich nicht rückwirkend rekonstruieren.
Bei begründeten Zweifeln dürfen Sie zusätzliche Angaben zur Identitätsbestätigung anfordern (Art. 12 Abs. 6 DSGVO). Das schützt Sie vor Herausgabe an Unbefugte — nutzen Sie es sachgerecht, nicht als Verzögerung, denn die Frist läuft weiter.
Ermitteln Sie systematisch, welche personenbezogenen Daten des Antragstellers in welchen Systemen liegen — CRM, E-Mail, Personalakte, Backups, Dienstleister. Nur wer den Überblick hat, kann vollständig und zugleich begrenzt antworten. Ein gepflegtes Verarbeitungsverzeichnis ist hier Gold wert.
Filtern Sie die personenbezogenen Daten des Antragstellers heraus und schwärzen oder entfernen Sie fremde Daten sowie schützenswerte Interna (Art. 15 Abs. 4 DSGVO). Dokumentieren Sie diese Abwägung — sie ist der Beleg dafür, dass Sie weder zu viel noch zu wenig herausgegeben haben.
Ist der Fall komplex, verlängern Sie um bis zu zwei Monate — aber teilen Sie das dem Betroffenen mit Gründen innerhalb des ersten Monats mit (Art. 12 Abs. 3 DSGVO). Eine nicht mitgeteilte Verlängerung ist wirkungslos.
Gerade wenn hinter dem Verlangen ein Streit steht — Kündigung, Wettbewerb, Forderung —, entscheidet die erste Weichenstellung über Frist, Umfang und Haftung. Lassen Sie Umfang und Grenzen prüfen, solange die Frist noch offen ist, nicht erst nach der Beschwerde bei der Aufsicht.
Zwei sehr unterschiedliche Risiken sind auseinanderzuhalten. Das eine ist das Aufsichts- und Haftungsrisiko: Eine nicht, verspätet oder falsch erteilte Auskunft kann eine Beschwerde bei der Aufsichtsbehörde, einen Schadenersatzanspruch des Betroffenen (Art. 82 DSGVO) und ein Bußgeld im höheren Rahmen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 Abs. 5 DSGVO). Das andere ist das prozesstaktische Risiko, im Arbeits- oder Wettbewerbsstreit durch eine unbedachte Auskunft die eigene Position zu schwächen. Beide Risiken lassen sich durch eine sorgfältige, fristgerechte Bearbeitung deutlich dämpfen.
Feste Paketpreise nennen wir bewusst nicht: Ob es um die eilige Begleitung eines akuten Verlangens innerhalb der laufenden Monatsfrist geht, um die Abwehr eines offenkundig missbräuchlichen Dauerantrags oder um die saubere Aufbereitung einer umfangreichen Personalakte mit Rechten Dritter, macht für Aufwand und Dringlichkeit den ganzen Unterschied. Sie erfahren die Größenordnung, sobald wir wissen, worum es geht — und in aller Regel ist die richtige, fristgerechte Auskunft deutlich günstiger als die Reparatur einer verschleppten oder verfehlten.
Unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags (Art. 12 Abs. 3 DSGVO). Bei komplexen oder zahlreichen Anträgen dürfen Sie um weitere zwei Monate verlängern — das müssen Sie dem Betroffenen aber mit Gründen innerhalb des ersten Monats mitteilen, sonst ist die Verlängerung nicht wirksam. „Unverzüglich" bedeutet ohne schuldhaftes Zögern; der Monat ist die äußere Grenze.
Sie müssen eine Kopie der verarbeiteten personenbezogenen Daten des Antragstellers zur Verfügung stellen (Art. 15 Abs. 3 DSGVO), bei elektronischem Antrag in einem gängigen elektronischen Format. Das bedeutet aber nicht die pauschale Herausgabe ganzer Postfächer oder Aktenordner: Das Recht auf Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Fremde Daten und schützenswerte Interna sind zu schwärzen oder auszunehmen.
Nur unter engen Voraussetzungen. Verweigern oder ein Entgelt verlangen dürfen Sie bei offenkundig unbegründeten oder — insbesondere bei häufiger Wiederholung — exzessiven Anträgen (Art. 12 Abs. 5 DSGVO), und den Nachweis dafür tragen Sie. Ein datenschutzfremdes Motiv allein lässt den Anspruch nach der Rechtsprechung nicht ohne Weiteres entfallen. Eine zu Unrecht abgelehnte Auskunft ist ein eigenständiger Verstoß — im Zweifel lieber fristgerecht und sorgfältig antworten.
Grundsätzlich nichts: Die Auskunft und die erste Kopie sind unentgeltlich (Art. 12 Abs. 5, Art. 15 Abs. 3 DSGVO). Ein angemessenes Entgelt nach Verwaltungskosten dürfen Sie nur für weitere Kopien verlangen oder bei offenkundig unbegründeten oder exzessiven Anträgen. Für die reguläre Erstauskunft dürfen Sie kein Geld fordern.
Die Frist läuft wie bei jedem anderen Antrag, und Sie müssen fristgerecht und vollständig über seine personenbezogenen Daten auskunft geben. Zugleich ist besondere Sorgfalt geboten, weil die Auskunft im Arbeitsgerichtsprozess verwendet werden kann: Trennen Sie sauber die personenbezogenen Daten des Antragstellers von Daten Dritter und schützenswerten Interna (Art. 15 Abs. 4 DSGVO). Weder verschleppen noch pauschal alles herausgeben — beides schadet Ihnen.
Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48. Gerade wenn ein Auskunftsverlangen frisch ist und die Monatsfrist läuft, zählt jeder Tag — schildern Sie den Fall lieber früh, bevor die Frist eng wird.
„Beim Auskunftsanspruch entscheidet nicht, ob man antwortet, sondern ob man es fristgerecht und mit der richtigen Grenze tut — vollständig, was die Daten des Antragstellers angeht, und begrenzt, wo Rechte Dritter und Geschäftsgeheimnisse beginnen", sagt Rechtsanwalt Sebastian Müller.
Schildern Sie kurz, worum es geht — Sie erhalten eine erste Einschätzung. Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48.
Anliegen kurz schildern