Auskunftsanfragen nach Art. 15 DSGVO

Das Recht auf Kopie

Neben den Pflichtinformationen hat der Betroffene Anspruch auf eine vollständige Kopie seiner Daten in einem gängigen elektronischen Format (Art. 15 Abs. 3 DSGVO). Eine bloße Zusammenfassung reicht nicht aus, wenn der Kontext zur Prüfung der Rechtmäßigkeit erforderlich ist – dann müssen Originaldokumente, beispielsweise E-Mails, beigefügt werden. Die erste Kopie ist stets kostenlos.

Die Negativauskunft

Verarbeiten Sie keine Daten der anfragenden Person, müssen Sie dennoch antworten – mit einer förmlichen Negativauskunft. Bloßes Schweigen ist rechtswidrig. Der LDI NRW empfiehlt, diese Auskunft mindestens drei Jahre aufzubewahren, um sich gegen spätere Vorwürfe abzusichern.

Wann Sie die Auskunft einschränken oder verweigern dürfen

Das Auskunftsrecht ist nicht grenzenlos. In bestimmten Konstellationen dürfen – und müssen – Sie Informationen zurückhalten oder den Antrag ganz ablehnen.

Schutz der Rechte Dritter

Personenbezogene Daten Dritter, die in den angeforderten Unterlagen enthalten sind – etwa Namen in E-Mail-Verläufen –, sind grundsätzlich zu schwärzen. Gleiches gilt für Informationen, die Berufsgeheimnissen unterliegen oder Geschäftsgeheimnisse gefährden würden. Die Schwärzung muss sorgfältig dokumentiert werden.

Exzessive und rechtsmissbräuchliche Anträge

Mit dem EuGH-Urteil vom 19. März 2026 (Az.: C-526/24) steht Unternehmen erstmals eine belastbare Grundlage zur Abwehr missbräuchlicher Anfragen zur Verfügung. Das Gericht hat klargestellt: Bereits ein erstmaliges Auskunftsersuchen kann rechtsmissbräuchlich sein, wenn es allein darauf abzielt, künstlich Schadensersatzforderungen zu generieren.

Für eine rechtssichere Ablehnung benötigen Sie einen zweistufigen Nachweis:

• Objektive Umstände: Gewerbsmäßig kopierte Anträge ohne individuellen Bezug, ungewöhnlich schnelle Anfragen nach Erstanmeldung, Beifügung vorformulierter Vergleichsangebote
• Subjektive Absicht: Nachweisbare Absicht, den Auskunftsanspruch als Druckmittel zur Generierung von Zahlungen einzusetzen

Wichtig: Die Beweislast liegt gemäß Art. 12 Abs. 5 DSGVO beim Unternehmen. Jede Ablehnung muss detailliert protokolliert werden. Eine unberechtigte Verweigerung kehrt das Haftungsrisiko um.

Bußgelder und Schadensersatz: Die aktuelle Risikolage

Die Sanktionspraxis der Aufsichtsbehörden hat im Zeitraum 2025/2026 eine neue Intensität erreicht. Gleichzeitig hat der EuGH die Hürden für Schadensersatzansprüche differenziert.

Aktuelle Bußgeldfälle

• Vodafone (2025): 45 Mio. EUR Gesamtbußgeld, davon 30 Mio. EUR allein wegen unzureichender Authentifizierung bei Auskunftsanfragen. Ein klares Signal: Die Identitätsprüfung ist kein Nebenschauplatz.
• Finanzunternehmen Hamburg: 492.000 EUR wegen Nicht-Reaktion auf Betroffenenanfragen nach Kreditablehnungen. Schon die einfache Nicht-Beantwortung ist sanktionsfähig.

Schadensersatz nach Art. 82 DSGVO

Der EuGH hat klargestellt, dass eine Verletzung des Auskunftsrechts für sich genommen einen immateriellen Schaden begründen kann – etwa durch Kontrollverlust oder Ungewissheit über die Verwendung der eigenen Daten. Eine Bagatellgrenze existiert nicht mehr. Allerdings muss der Betroffene einen konkreten, nachweisbaren Schaden belegen und die Kausalität zum Verstoß darlegen. Ein bloßer Verstoß gegen Art. 15 DSGVO reicht allein nicht aus.

Ihre Checkliste: Auskunftsanfragen in fünf Schritten

Nutzen Sie die folgende Checkliste als Arbeitshilfe für jede eingehende Auskunftsanfrage:

1. Eingang dokumentieren und Frist notieren (Kalendereintrag!)
2. Identitätsprüfung durchführen – Methode dokumentieren
3. Verzeichnis der Verarbeitungstätigkeiten (VVT) als Datenbasis nutzen; ggf. Auftragsverarbeiter zur Zulieferung innerhalb von 48 Stunden auffordern
4. Auskunft zusammenstellen: Pflichtinformationen nach Art. 15 Abs. 1, ggf. Datenkopie; Rechte Dritter schwärzen
5. Versand über gesicherten Kanal; Zustellung und Inhalt dokumentieren; kooperative Abschlussformel verwenden

Fazit: Vom Pflichtprogramm zum Compliance-Vorteil

Auskunftsanfragen nach Art. 15 DSGVO sind kein lästiges Beiwerk – sie sind ein Gradmesser für die Datenschutz-Reife Ihres Unternehmens. Wer den Prozess beherrscht, entzieht Schadensersatzforderungen die Grundlage, vermeidet Bußgelder und demonstriert gegenüber Kunden und Geschäftspartnern gelebte Compliance.

Die drei wichtigsten Hebel:

• Aktuelles VVT als Fundament: Ohne ein gepflegtes Verzeichnis der Verarbeitungstätigkeiten ist keine fristgerechte Auskunft möglich.
• Saubere Identitätsprüfung: Die Gatekeeper-Funktion schützt vor den teuersten Fehlern.
• Dokumentation als Rückversicherung: Jeder Prozessschritt muss nachvollziehbar sein – für die Aufsichtsbehörde ebenso wie für den Ernstfall vor Gericht.

Als externer Datenschutzbeauftragter begleiten wir Unternehmen bei der Einrichtung und Optimierung ihrer Betroffenenrechte-Prozesse. Von der Erstbewertung über die Implementierung standardisierter Workflows bis zur laufenden Betreuung eingehender Anfragen – wir stellen sicher, dass Ihr Unternehmen jederzeit auskunftsfähig ist.