Wer wissen will, was ein Unternehmen, ein Arbeitgeber oder eine Versicherung über ihn gespeichert hat, muss nicht spekulieren. Die Datenschutz-Grundverordnung gewährt einen umfassenden, kostenlosen Auskunftsanspruch — mit klaren Fristen.
Was Art. 15 DSGVO gewährt
Nach Art. 15 DSGVO kann jede betroffene Person vom Verantwortlichen Auskunft darüber verlangen, ob und welche personenbezogenen Daten verarbeitet werden. Der Anspruch umfasst insbesondere:
- die Verarbeitungszwecke,
- die Kategorien der verarbeiteten Daten,
- die Empfänger oder Kategorien von Empfängern,
- die geplante Speicherdauer,
- die Herkunft der Daten,
- das Bestehen von Rechten auf Berichtigung, Löschung und Beschwerde.
Zusätzlich besteht nach Art. 15 Abs. 3 DSGVO ein Anspruch auf eine Kopie der verarbeiteten Daten.
Tipp der Redaktion
Stellen Sie den Antrag schriftlich und nachweisbar und setzen Sie eine konkrete Frist (z. B. einen Monat). Verlangen Sie ausdrücklich auch die Datenkopie nach Art. 15 Abs. 3 — sie wird in der Praxis oft „vergessen".
Form und Identitätsnachweis
Der Antrag ist an keine bestimmte Form gebunden; aus Beweisgründen empfiehlt sich Textform (E-Mail, Brief). Bei begründeten Zweifeln an Ihrer Identität darf der Verantwortliche zusätzliche Informationen zur Bestätigung verlangen (Art. 12 Abs. 6 DSGVO) — pauschale Kopien des Ausweises darf er aber nicht unbegrenzt fordern.
Frist — ein Monat
Der Verantwortliche muss unverzüglich, spätestens innerhalb eines Monats reagieren (Art. 12 Abs. 3 DSGVO). Diese Frist kann bei komplexen Anfragen um zwei weitere Monate verlängert werden, worüber er informieren muss. Die Auskunft ist grundsätzlich kostenlos; nur bei offenkundig unbegründeten oder exzessiven Anträgen darf ein angemessenes Entgelt verlangt werden (Art. 12 Abs. 5 DSGVO).
Grenzen des Anspruchs
Der Auskunftsanspruch findet seine Grenze, wo Rechte und Freiheiten anderer Personen beeinträchtigt würden (Art. 15 Abs. 4 DSGVO), etwa bei Geschäftsgeheimnissen oder Daten Dritter. Eine vollständige Verweigerung rechtfertigt das aber nur selten — meist sind betroffene Stellen zu schwärzen.
Was tun, wenn die Auskunft verweigert wird?
Reagiert der Verantwortliche nicht oder unvollständig, haben Sie zwei Wege:
- Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO),
- gerichtliche Durchsetzung des Anspruchs.
Bei einem Verstoß kommt zudem ein Schadensersatzanspruch nach Art. 82 DSGVO in Betracht — auch für immaterielle Schäden.
Rechtsprechung, Literatur & Kommentierung
- Art. 15 Abs. 3 DSGVO: Der Anspruch auf eine Datenkopie ist nach der Rechtsprechung des EuGH weit zu verstehen und umfasst eine originalgetreue Reproduktion der Daten.
- Begriff „Kopie": Der EuGH hat klargestellt, dass die Kopie so umfassend sein muss, dass die betroffene Person ihre Rechte wirksam ausüben kann.
- Art. 82 DSGVO: Auch ein immaterieller Schaden ist ersatzfähig; ein bloßer Verstoß allein genügt nach der Rechtsprechung aber nicht — es bedarf eines konkreten Schadens.
- Literatur: Kühling/Buchner, DS-GVO/BDSG; Paal/Pauly, DS-GVO; Gola/Heckmann, DS-GVO.