DSGVO Artikel 15: Auskunftsrecht 2026

In einem Satz. DSGVO Artikel 15 gibt jeder betroffenen Person das Recht auf umfassende Auskunft über die Verarbeitung ihrer personenbezogenen Daten — Pflichtinformationen über Zwecke, Datenkategorien, Empfänger, Speicherdauer, Betroffenenrechte und eine vollständige Kopie aller Daten (Abs. 3) — Frist 1 Monat (Art. 12 Abs. 3), kostenlos beim ersten Antrag.

Wichtige Punkte

• Auskunftsanspruch umfassend nach Art. 15 Abs. 1 + Kopie Abs. 3.
• Antwortfrist 1 Monat (Art. 12 Abs. 3), max. +2 Monate.
• Erste Auskunft kostenlos.
• BGH-Rechtsprechung: weite Auslegung “Kopie”.
• Verstöße: Bußgeld + Schadensersatz nach Art. 82.

1. Anspruchsumfang

2. Kopie der Daten (Abs. 3)

• Vollständige Kopie aller verarbeiteten Daten.
• Strukturiert, gängig, maschinenlesbar.
• Bei elektronischer Anfrage in elektronischer Form.
• Erste Kopie kostenlos, weitere mit Verwaltungsgebühr (BGH zulässig).

3. Fristen

• Standardfrist: 1 Monat ab Antrag (Art. 12 Abs. 3).
• Verlängerung um 2 Monate möglich (komplexe oder zahlreiche Anträge).
• Information über Verlängerung Pflicht.
• Antwort spätestens 3 Monate.

4. Form des Antrags

• Schriftlich, elektronisch, mündlich möglich.
• Keine Formvorschrift, kein Begründungszwang.
• Identitätsprüfung erlaubt (bei Zweifeln, ohne Hürden).
• Antragsregistratur sinnvoll.

5. BGH-Rechtsprechung

• BGH VI ZR 576/19 (2021): “Daten” weit auszulegen, umfasst auch Korrespondenz mit Auskunftsperson.
• EuGH C-487/21 (2023): “Kopie” = vollständige Reproduktion, nicht nur Zusammenfassung.
• BGH VI ZR 1377/20 (2022): Auskunftsrecht zu Versicherungsdaten umfasst Anwaltskorrespondenz.

6. Ausschluss/Einschränkung

Art. 15 Abs. 4: Rechte/Freiheiten anderer Personen berücksichtigen. Praxis: Schwärzung von Dritten in Dokumenten. BDSG § 34 zusätzliche Einschränkungen für öffentliche Stellen.

7. Sanktionsrisiken

• Bußgeld bis 20 Mio. € / 4% (Art. 83 Abs. 5).
• Schadensersatz nach Art. 82 — auch immateriell.
• BGH/EuGH-Rechtsprechung erlaubt Immaterialschaden bei verspäteter Auskunft.

8. Typische Verstöße

• Antwort nach > 1 Monat ohne Verlängerungsmitteilung.
• Unvollständige Datenkopie.
• Verschleierte Empfänger.
• Keine Information über Drittlandstransfer.
• Pauschale Verweise statt konkrete Information.

9. Praxisprozess

1. Eingang: Antrag registrieren mit Datum.
2. Identitätsprüfung: bei Zweifeln nachfragen.
3. Datensammlung: alle Systeme abfragen (CRM, ERP, Marketing, Newsletter, Logs).
4. Schwärzung Dritter: bei Bedarf.
5. Antwort: schriftlich mit Kopie.
6. Dokumentation: Antrag, Antwort, Fristen.

10. Massenanträge

Beobachtung 2024/25: Anstieg organisierter Auskunftsanträge (z.B. NOYB, Privatpersonen mit Forderung Schadensersatz). Aufsichtsbehörden sehen das nicht als rechtsmissbräuchlich an — Anspruch besteht.

11. Tool-Unterstützung

11. Vollständiger Artikeltext (Auszug)

Der vollständige Wortlaut des Artikels ist im Amtsblatt der EU veröffentlicht (Verordnung (EU) 2016/679, ABl. L 119/1 vom 4.5.2016). Die hier behandelte Norm ist Teil des Schutzkanons und wird durch die nationale Umsetzung im BDSG (Bundesdatenschutzgesetz, Neufassung 2018, geändert 2019, 2021, 2024) ergänzt. Begleitende Erwägungsgründe (Recitals) liefern Auslegungshilfen, sind aber nicht unmittelbar verbindlich.

12. Relevante Erwägungsgründe (Recitals)

Erwägungsgründe konkretisieren die Anwendung. Besonders einschlägig für diesen Artikel:

• Recital 39: Grundsatz der Transparenz und faire Verarbeitung.
• Recital 50: Vereinbare Weiterverarbeitung — kompatible Zwecke.
• Recital 75: Risiken für Rechte und Freiheiten.
• Recital 76: Bewertung der Eintrittswahrscheinlichkeit.
• Recital 83: Sicherheit der Verarbeitung (Stand der Technik).
• Recital 85: Datenpannenrisiken und Meldepflicht.

13. Enforcement-Fälle 2020-2024

Bußgelder werden nach EDSA-Leitlinie 4/2022 berechnet (Schwere, Vorsatz, Vorgeschichte, Konzernumsatz). Maximum: 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.

14. EuGH-Rechtsprechung

Wesentliche Urteile mit Relevanz:

• C-311/18 Schrems II (16.7.2020): Privacy-Shield ungültig, SCC nur mit zusätzlichen Schutzmaßnahmen.
• C-184/20 Vyriausioji (1.8.2022): Verarbeitung sensibler Daten nur restriktiv.
• C-300/21 Österreichische Post (4.5.2023): Schadensersatz nach Art. 82 setzt konkreten Schaden voraus, keine Bagatellgrenze.
• C-340/21 Natsionalna agentsia (14.12.2023): Beweislast für TOM beim Verantwortlichen.
• C-687/21 MediaMarktSaturn (25.1.2024): Mitarbeiterfehler entlasten nicht.
• C-26/22 SCHUFA-Scoring (7.12.2023): Score-Wert ist automatisierte Einzelentscheidung nach Art. 22.

Die EuGH-Linie ist betroffenenfreundlich und wird von deutschen Aufsichten konsequent umgesetzt.

15. EDPB- und BfDI-Leitlinien

Verbindliche Auslegungshilfen:

• EDPB Guidelines 4/2022: Bußgeldberechnung.
• EDPB Guidelines 5/2020: Einwilligung.
• EDPB Guidelines 8/2020: Targeting Social Media Users.
• BfDI-Tätigkeitsbericht 2024 (Bundestag-Drucksache).
• DSK-Beschlüsse der Konferenz der unabhängigen Datenschutzaufsichtsbehörden.
• Orientierungshilfen einzelner Länderbehörden (BayLDA, LDI NRW, LfDI BW).

Für die DPO-Praxis sind DSK-Beschlüsse meist die schnellste Quelle für deutsche Auslegung, ergänzt durch BfDI-FAQs.

16. Zusammenspiel mit BDSG

Das BDSG (Bundesdatenschutzgesetz, Neufassung 2018) regelt:

• § 26 BDSG: Beschäftigtendatenschutz (eigenständige Norm, hohe Bedeutung).
• § 38 BDSG: DSB-Pflicht ab 20 Beschäftigten (über DSGVO hinaus).
• § 22 BDSG: Verarbeitung besonderer Kategorien (Konkretisierung Art. 9).
• § 27 BDSG: Forschungsdatenschutz.
• § 32 ff. BDSG: Informationspflichten und Betroffenenrechte.
• § 41 ff. BDSG: Bußgeldvorschriften und Strafvorschriften (§ 42 BDSG).

Strafnorm § 42 BDSG ist scharf: bis 3 Jahre Freiheitsstrafe bei vorsätzlicher unrechtmäßiger Verarbeitung — relevant für Innentäter.

17. Implementierungs-Checkliste

Fazit

Auskunftsrecht ist der wichtigste Praxistest jeder DSGVO-Compliance. Wer kein effizientes Auskunftsverfahren hat, bekommt Probleme — bei Aufsicht und bei BGH-Schadensersatz. Ein standardisiertes Prozess-Muster zur Bearbeitung von Auskunftsersuchen senkt das Fristrisiko. Tool-Unterstützung ist hier wirtschaftlich klar überlegen.

FAQ

Wie lange habe ich Zeit für die Auskunft?

1 Monat ab Antrag, Verlängerung um 2 Monate möglich (mit Information).

Muss ich kostenlos antworten?

Erste Auskunft kostenlos. Weitere Kopien dürfen mit angemessener Verwaltungsgebühr berechnet werden (BGH).

Was umfasst “Kopie der Daten”?

EuGH (2023): vollständige Reproduktion aller verarbeiteten Daten, nicht nur Zusammenfassung. Korrespondenz und Notizen eingeschlossen.

Was bei Massenanträgen?

Anspruch besteht trotzdem. Verlängerung um 2 Monate möglich. Bei klarem Rechtsmissbrauch Ablehnung mit Begründung.

Welche Sanktionen drohen?

Bußgeld bis 20 Mio. € / 4% des Konzernumsatzes plus Schadensersatz nach Art. 82 — auch immateriell (BGH).

Wer überwacht die Einhaltung dieses Artikels in Deutschland?

Welche Bußgelder drohen bei Verstößen?

Nach Art. 83 Abs. 5 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes — je nachdem, welcher Betrag höher ist. EDSA Guidelines 4/2022 konkretisieren die Berechnung: Ausgangsbetrag nach Schwere, Multiplikator nach Konzerngröße, Auf- oder Abschläge nach Vorsatz, Mitwirkung und Vorgeschichte. In Deutschland sind bislang Sanktionen bis 35,3 Mio. € (H&M Hamburg, 2020) verhängt worden.

Wie verhält sich die Norm zum BDSG?

BDSG (Bundesdatenschutzgesetz 2018) ergänzt die DSGVO dort, wo Öffnungsklauseln dies erlauben. Wichtig: § 26 BDSG (Beschäftigtendatenschutz), § 38 BDSG (DSB-Pflicht ab 20 Personen), § 22 BDSG (besondere Kategorien). § 42 BDSG enthält Straftatbestände mit Freiheitsstrafe bis 3 Jahren — relevant bei Innentätern oder vorsätzlichem Datenmissbrauch.

Welche EuGH-Urteile sollte ich kennen?

Schrems II (C-311/18), Österreichische Post (C-300/21, Schadensersatz), SCHUFA-Scoring (C-26/22, automatisierte Einzelentscheidung). Die deutsche Aufsichts- und Gerichtspraxis folgt der EuGH-Linie konsequent. BGH und OLG-Rechtsprechung konkretisiert dazu die nationale Umsetzung — insbesondere zum immateriellen Schadensersatz nach Art. 82.

Wie sieht ein typischer Compliance-Workflow aus?