Auskunft nach Art. 15 DSGVO: wie Ihr Unternehmen antwortet

Was müssen Sie auf eine Anfrage nach Art. 15 herausgeben?

Das Auskunftsrecht hat nach dem Europäischen Datenschutzausschuss (EDSA) drei Teile. Sie bestätigen, ob Sie Daten über die Person verarbeiten. Sie geben Zugang zu diesen Daten, in der Regel als Kopie, und informieren über die Verarbeitung (Art. 15 Abs. 1 und 3).

Zu diesen Informationen gehören Zwecke, Datenkategorien, Empfänger, Speicherdauer, die Rechte der Person, das Beschwerderecht, die Herkunft der Daten und automatisierte Entscheidungen (Art. 15 Abs. 1). Bei einer Übermittlung in ein Drittland nennen Sie auch die Garantien dafür (Art. 15 Abs. 2).

Einen Grund muss die Person nicht nennen, und Sie prüfen nicht, wozu sie die Auskunft will (EDSA). Die erste Kopie ist unentgeltlich, für weitere dürfen Sie ein angemessenes Entgelt nach Verwaltungskosten verlangen (Art. 15 Abs. 3).

Art. 15 Abs. 1 bis 3 DSGVO

Welche Frist gilt, und wie prüfen Sie, wer fragt?

Sie antworten unverzüglich, spätestens einen Monat nach Eingang (Art. 12 Abs. 3). Die Frist beginnt, wenn die Anfrage über einen Ihrer offiziellen Wege ankommt, auch wenn sie noch ungelesen ist. Der EDSA rechnet so: Eingang am 5. März, Antwort spätestens am 5. April.

Bei komplexen oder vielen Anträgen dürfen Sie um zwei Monate verlängern, wenn Sie das im ersten Monat mit Gründen mitteilen. Lehnen Sie ab, nennen Sie binnen eines Monats die Gründe und den Weg zur Aufsicht oder zum Gericht (Art. 12 Abs. 4).

Bei begründeten Zweifeln an der Identität dürfen Sie zusätzliche Angaben verlangen (Art. 12 Abs. 6). Fragen Sie sofort nach, ruht die Frist nach dem EDSA, bis die Angaben da sind. Eine Ausweiskopie hält er in der Regel für ungeeignet.

Art. 12 Abs. 3, 4 und 6 DSGVO

Wo suchen Sie, und was gehört in die Kopie?

Gemeint sind alle Daten über die Person, solange sie die Anfrage nicht eingrenzt. Der EDSA verlangt, alle Systeme zu durchsuchen, digital und auf Papier, mit Suchbegriffen wie Name und Kundennummer. Dazu zählen auch Mails, Protokolle und Daten, die Sie abgeleitet haben, etwa eine Bewertung.

Maßgeblich ist der Stand bei Eingang. Auch falsche Daten gehören in die Antwort; was Sie nach Ihren Löschregeln schon gelöscht haben, können Sie nicht mehr herausgeben. Codes und Kürzel erklären Sie.

Die Antwort kommt in dauerhafter Form, bei einer Anfrage per Mail in einem gängigen elektronischen Format (Art. 15 Abs. 3). Per Mail verschicken dürfen Sie sie nach dem EDSA, wenn die nötigen Schutzmaßnahmen stimmen.

Art. 15 Abs. 3 DSGVO

Wann dürfen Sie die Auskunft einschränken?

Die Kopie darf die Rechte und Freiheiten anderer nicht beeinträchtigen (Art. 15 Abs. 4). Nach dem EDSA schwärzen Sie dann einzelne Stellen, etwa den Namen eines Kollegen, und geben den Rest heraus.

Offenkundig unbegründete oder exzessive Anträge dürfen Sie ablehnen oder dafür ein Entgelt verlangen (Art. 12 Abs. 5). Der EDSA legt beides eng aus, und den Nachweis führen Sie.

Nationales Recht kann das Auskunftsrecht beschränken (Art. 23 DSGVO), in Deutschland § 34 BDSG, etwa für Daten, die Sie nur wegen gesetzlicher Aufbewahrungspflichten speichern. Dafür müssen weitere Bedingungen zusammenkommen. Die Gründe einer Verweigerung dokumentieren Sie (§ 34 Abs. 2 BDSG).

Art. 12 Abs. 5 · Art. 15 Abs. 4 · Art. 23 DSGVO · § 34 BDSG

Ein Beispiel: ein früherer Mitarbeiter fragt an

Die ausgedachte Berger Haustechnik GmbH hat 90 Beschäftigte und keine Rechtsabteilung. Am 5. März schreibt ihr ein Monteur, dem sie vor einer Woche gekündigt hat, an die Datenschutzadresse. Er will alle Daten über sich.

Die Personalleiterin bestätigt den Eingang und nennt die Frist bis 5. April, wie der EDSA es empfiehlt. Einen Ausweis verlangt sie nicht, denn die Mail kommt von der Adresse aus der Personalakte. Sie sucht im Lohnprogramm, in der Zeiterfassung, in der Personalakte und in den Postfächern.

In einer Beurteilung schwärzt sie den Namen eines Kollegen. Als Empfänger nennt sie konkret das Steuerbüro, das die Löhne abrechnet. Fehler wären hier, nach dem Grund zu fragen, weil eine Klage droht, oder die Beurteilung ganz zurückzuhalten.

Mit einem KI Assistenten

Ein KI Assistent wie Claude, ChatGPT oder Copilot kann die Antwort vorbereiten. Er stellt die Angaben aus Art. 15 Abs. 1 aus Ihrem Verzeichnis der Verarbeitungstätigkeiten und Ihrer Datenschutzerklärung zusammen, berechnet die Frist und markiert Stellen über Dritte. Beide Unterlagen nennt auch der EDSA als Grundlage, die Sie auf die Person zuschneiden.

Ob die Person ist, wer sie zu sein behauptet, was Sie schwärzen und ob eine Beschränkung greift, entscheidet Ihr Unternehmen als Verantwortlicher.

Die Daten einer Person an einen Assistenten zu geben, ist selbst eine Verarbeitung; prüfen Sie vorher, ob mit seinem Anbieter ein Vertrag zur Auftragsverarbeitung besteht (Art. 28 DSGVO). Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.