Das Auskunftsrecht nach Art. 15 DS-GVO ermöglicht betroffenen Personen zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen oder eine öffentliche Stelle über sie verarbeitet. Es umfasst insbesondere Informationen über die Verarbeitungszwecke, die Datenkategorien, die Empfänger und die Speicherdauer. Darüber hinaus besteht grundsätzlich ein Anspruch auf eine Kopie der verarbeiteten personenbezogenen Daten. Das Auskunftsrecht dient der Transparenz und ermöglicht es Betroffenen, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen.
Welche Informationen umfasst das Auskunftsrecht?
Nach Art. 15 Abs. 1 DS-GVO können betroffene Personen von einem Unternehmen oder einer öffentlichen Stelle eine Bestätigung darüber verlangen, ob personenbezogene Daten über sie verarbeitet werden.
Ist dies der Fall, besteht ein Anspruch auf Auskunft über die personenbezogenen Daten und insbesondere folgende Informationen:
- Verarbeitungszwecke: Zu welchen Zwecken die personenbezogenen Daten verarbeitet werden.
- Datenkategorien: Welche Kategorien personenbezogener Daten verarbeitet werden.
- Empfänger: Gegenüber welchen Empfängern oder Kategorien von Empfängern die Daten offengelegt wurden oder noch offengelegt werden.
- Speicherdauer: Wie lange die Daten gespeichert werden oder nach welchen Kriterien sich die Dauer bestimmt.
- Betroffenenrechte: Welche Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch bestehen.
- Datenherkunft: Woher die personenbezogenen Daten stammen, sofern sie nicht bei der betroffenen Person erhoben wurden.
- Automatisierte Entscheidungen: Ob eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DS-GVO stattfindet und welche gesetzlich vorgesehenen Informationen hierzu bereitzustellen sind.
Darüber hinaus müssen Verantwortliche über das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde informieren. Bei Übermittlungen in Drittländer oder an internationale Organisationen kann außerdem ein Anspruch auf Informationen über geeignete Garantien nach Art. 46 DS-GVO bestehen.
Wie können Betroffene ihr Auskunftsrecht geltend machen?
Betroffene Personen können ihren Auskunftsanspruch unmittelbar gegenüber dem Verantwortlichen geltend machen. Eine bestimmte Form schreibt die DS-GVO für den Antrag grundsätzlich nicht vor.
Ein Auskunftsersuchen kann daher beispielsweise per E-Mail, Brief oder über ein vom Unternehmen bereitgestelltes Kontaktformular gestellt werden.
Eine Begründung des Antrags ist grundsätzlich nicht erforderlich. Die betroffene Person muss insbesondere nicht darlegen, weshalb sie die Informationen benötigt.
Bestehen begründete Zweifel an der Identität der anfragenden Person, darf der Verantwortliche nach Art. 12 Abs. 6 DS-GVO zusätzliche Informationen zur Identitätsbestätigung anfordern. Dabei dürfen nur die hierfür erforderlichen Angaben verlangt werden.
Unternehmen müssen geeignete organisatorische Verfahren vorsehen, um Auskunftsersuchen zu erkennen, zu bearbeiten und fristgerecht zu beantworten.
Innerhalb welcher Frist müssen Unternehmen Auskunft erteilen?
Nach Art. 12 Abs. 3 DS-GVO müssen Verantwortliche betroffene Personen unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags über die ergriffenen Maßnahmen informieren.
Bei komplexen Anträgen oder einer hohen Anzahl von Anträgen kann diese Frist erforderlichenfalls um weitere zwei Monate verlängert werden.
Über eine solche Verlängerung und deren Gründe muss der Verantwortliche die betroffene Person innerhalb eines Monats nach Eingang des Antrags informieren.
Die Auskunft ist nach Art. 12 Abs. 5 DS-GVO grundsätzlich unentgeltlich.
Haben Betroffene Anspruch auf eine Kopie ihrer personenbezogenen Daten?
Nach Art. 15 Abs. 3 DS-GVO muss der Verantwortliche eine Kopie der personenbezogenen Daten zur Verfügung stellen, die Gegenstand der Verarbeitung sind.
Der Anspruch umfasst eine vollständige und verständliche Wiedergabe der betreffenden personenbezogenen Daten. Unter bestimmten Umständen kann hierfür auch die Herausgabe von Auszügen aus Dokumenten oder vollständigen Dokumenten erforderlich sein.
Ein allgemeiner Anspruch auf Herausgabe sämtlicher Dokumente besteht jedoch nicht unabhängig von deren personenbezogenem Inhalt.
Für weitere angeforderte Kopien kann der Verantwortliche nach Art. 15 Abs. 3 DS-GVO ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen.
Wird der Antrag elektronisch gestellt, sind die Informationen grundsätzlich in einem gängigen elektronischen Format bereitzustellen, sofern die betroffene Person nichts anderes angibt.
Nach Art. 15 Abs. 4 DS-GVO dürfen durch das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden.
Wann darf ein Unternehmen die Auskunft verweigern oder einschränken?
Das Auskunftsrecht gilt nicht uneingeschränkt. Gesetzliche Ausnahmen und Beschränkungen können einer vollständigen Auskunft entgegenstehen.
Dies betrifft beispielsweise den Schutz der Rechte und Freiheiten anderer Personen, einschließlich personenbezogener Daten Dritter und schutzwürdiger Geschäftsgeheimnisse.
Auch die Voraussetzungen des Art. 12 Abs. 5 DS-GVO für offenkundig unbegründete oder exzessive Anträge können eine Ablehnung rechtfertigen.
Weitere Beschränkungen können sich unter den jeweiligen gesetzlichen Voraussetzungen aus Art. 23 DS-GVO und ergänzenden nationalen Vorschriften ergeben.
Eine pauschale Verweigerung der Auskunft ist jedoch nicht zulässig. Der Verantwortliche muss prüfen, ob eine gesetzliche Beschränkung tatsächlich eingreift und ob zumindest eine teilweise Auskunft möglich ist.
Wird ein Auskunftsantrag nicht bearbeitet, muss der Verantwortliche die betroffene Person nach Art. 12 Abs. 4 DS-GVO grundsätzlich innerhalb eines Monats über die Gründe und die bestehenden Beschwerde- und Rechtsschutzmöglichkeiten informieren.
Praxisbeispiel: Auskunft über gespeicherte Kundendaten
Ein Kunde eines Onlinehändlers möchte erfahren, welche personenbezogenen Daten das Unternehmen über ihn gespeichert hat und an welche Dienstleister diese weitergegeben wurden.
Er richtet deshalb ein Auskunftsersuchen nach Art. 15 DS-GVO an den Onlinehändler.
Das Unternehmen muss prüfen, welche personenbezogenen Daten des Kunden verarbeitet werden. Dazu können beispielsweise Kontaktdaten, Bestellinformationen und gespeicherte Kommunikationsinhalte gehören.
Anschließend muss der Onlinehändler die gesetzlich vorgesehenen Informationen bereitstellen. Hierzu zählen insbesondere die Verarbeitungszwecke, die Empfänger der Daten und die vorgesehene Speicherdauer. Zudem muss er grundsätzlich eine Kopie der verarbeiteten personenbezogenen Daten zur Verfügung stellen.
legal data Einschätzung: Unternehmen sollten für die Bearbeitung von Auskunftsersuchen klare interne Zuständigkeiten und standardisierte Abläufe festlegen. Besonders wichtig sind die fristgerechte Bearbeitung, die vollständige Ermittlung der betroffenen personenbezogenen Daten und die Prüfung möglicher Rechte Dritter. Unvollständige oder verspätete Auskünfte können Beschwerden bei der Datenschutzaufsichtsbehörde und weitere rechtliche Folgen nach sich ziehen.
Rechtsgrundlagen
- Art. 12 DS-GVO
- Art. 15 DS-GVO
- Art. 23 DS-GVO
- Art. 77 DS-GVO
- ergänzend insbesondere §§ 27 Abs. 2, 29 Abs. 1 und 34 BDSG, soweit deren jeweilige Voraussetzungen erfüllt sind
Häufige Fragen zum Auskunftsrecht
Wer hat ein Auskunftsrecht nach der DS-GVO?
Jede betroffene Person hat nach Art. 15 DS-GVO das Recht, vom Verantwortlichen Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu verlangen. Dies gilt beispielsweise für Kunden, Beschäftigte und Bewerber.
Ist eine Auskunft nach Art. 15 DS-GVO kostenlos?
Ja. Die Auskunft und die erste Kopie der personenbezogenen Daten sind grundsätzlich unentgeltlich. Unter bestimmten gesetzlichen Voraussetzungen, beispielsweise bei offenkundig unbegründeten oder exzessiven Anträgen, kann ein angemessenes Entgelt verlangt werden.
Muss ein Auskunftsersuchen begründet werden?
Nein. Betroffene Personen müssen grundsätzlich nicht erklären, weshalb sie Auskunft über ihre personenbezogenen Daten verlangen. Das Auskunftsrecht besteht unabhängig von einem besonderen Interesse an den Informationen.
Was passiert, wenn ein Unternehmen nicht auf ein Auskunftsersuchen reagiert?
Reagiert ein Unternehmen nicht fristgerecht, kann sich die betroffene Person nach Art. 77 DS-GVO an die zuständige Datenschutzaufsichtsbehörde wenden. Darüber hinaus bestehen unter den gesetzlichen Voraussetzungen gerichtliche Rechtsschutzmöglichkeiten.
Können Unternehmen ein Auskunftsersuchen ablehnen?
Ja, wenn eine gesetzliche Ausnahme oder Beschränkung eingreift. Dies kann beispielsweise bei offenkundig unbegründeten oder exzessiven Anträgen der Fall sein. Eine Ablehnung muss sich auf die gesetzlichen Voraussetzungen stützen und darf nicht pauschal erfolgen.
Verwandte Begriffe.
Berichtigungsrecht / Korrekturrecht Das Berichtigungsrecht gibt jeder Person den Anspruch, unrichtige personenbezogene Daten unverzüglich berichtigen und unvollständige Daten vervollständigen zu lassen. Art. 16 DSGVO Recht auf Löschung / Löschung personenbezogener Daten Das Recht auf Löschung verpflichtet Verantwortliche, personenbezogene Daten unverzüglich zu löschen, wenn einer der gesetzlichen Löschgründe vorliegt. Art. 17 DSGVO Informationspflichten Informationspflichten verpflichten Verantwortliche, betroffene Personen über die Verarbeitung ihrer personenbezogenen Daten zu informieren. Die rechtlichen Anforderungen ergeben sich insbesondere aus Art. 12 bis 14 der Datenschutz-Grundverordnung (DS-GVO). Unternehmen müssen darlegen, welche personenbezogenen Daten sie zu welchen Zwecken verarbeiten, auf welcher Rechtsgrundlage dies geschieht und welche Rechte den betroffenen Personen zustehen. Umfang und Zeitpunkt der Information richten sich insbesondere danach, ob die Daten unmittelbar bei der betroffenen Person oder aus anderen Quellen erhoben werden. Art. 5 Abs. 1 lit. a DS-GVO 