Ein DSGVO-Auskunftsersuchen landet oft unerwartet im Postfach: als knappe E-Mail eines Kunden, als Schreiben einer Anwaltskanzlei oder als Antrag eines ehemaligen Mitarbeiters mitten in einem Kündigungsstreit. Ab diesem Moment läuft eine Frist, und die Antwort muss vollständig, verständlich und rechtzeitig sein.
Viele Unternehmen unterschätzen den Aufwand. Personenbezogene Daten liegen verteilt in CRM, E-Mail-Postfächern, HR-Software, Ticketsystemen und Backups. Wer erst nach Eingang des Antrags überlegt, wo überall gesucht werden muss, gerät schnell unter Zeitdruck.
Dieser Ratgeber erklärt dir, welche Fristen gelten, was in die Auskunft gehört, wann du einen Antrag ablehnen darfst und wie du einen Prozess aufbaust, der Anfragen routiniert abarbeitet. Er ersetzt keine Rechtsberatung im Einzelfall.
Inhaltsverzeichnis
Was ist ein DSGVO-Auskunftsersuchen?
Ein DSGVO-Auskunftsersuchen ist der Antrag einer Person nach Art. 15 DSGVO, zu erfahren, ob ein Unternehmen personenbezogene Daten über sie verarbeitet. Ist das der Fall, hat sie Anspruch auf eine Kopie dieser Daten und auf Informationen etwa zu Zwecken, Empfängern, Speicherdauer und Herkunft. Der Antrag ist formfrei und muss nicht begründet werden.
Im Englischen ist häufig von einem Data Subject Access Request, kurz DSAR, die Rede. Gemeint ist dasselbe. Das Recht steht allen betroffenen Personen zu: Kunden, Interessenten, Bewerbern, Beschäftigten, ehemaligen Mitarbeitenden und Geschäftspartnern.
Formfrei bedeutet: Ein DSGVO-Auskunftsersuchen kann per E-Mail, Brief, Kontaktformular, Telefon oder auch über soziale Netzwerke eingehen. Es muss das Wort „Auskunft“ nicht enthalten. Schule deshalb alle Stellen, an denen Anfragen ankommen können, insbesondere Kundenservice, Vertrieb und Personalabteilung.
DSGVO-Auskunftsersuchen: Die Frist im Detail
Die Frist ergibt sich aus Art. 12 Abs. 3 DSGVO. Du musst die Informationen unverzüglich bereitstellen, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Die Frist beginnt also mit dem Zugang, nicht erst, wenn die zuständige Person den Antrag sieht.
- Regelfrist: unverzüglich, spätestens ein Monat nach Eingang.
- Verlängerung: um weitere zwei Monate, wenn dies wegen der Komplexität oder der Anzahl von Anträgen erforderlich ist.
- Pflicht bei Verlängerung: Du musst die Person innerhalb des ersten Monats über die Verlängerung und die Gründe informieren.
- Bei Identitätszweifeln: Du darfst nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern, wenn begründete Zweifel bestehen.
Die Verlängerung ist eine Ausnahme, keine Routine. Ein hohes Arbeitsaufkommen in deinem Team allein reicht als Begründung in der Regel nicht. Dokumentiere deshalb sorgfältig, warum ein konkretes DSGVO-Auskunftsersuchen besonders aufwendig ist.
Beispielrechnung: Geht ein Antrag am 15. eines Monats ein, endet die Regelfrist mit Ablauf des 15. des Folgemonats. Fällt das Fristende auf ein Wochenende oder einen Feiertag, verschiebt es sich nach den allgemeinen Fristregeln auf den nächsten Werktag. Plane dennoch Puffer ein, statt die Frist auszureizen.
Ein häufig unterschätzter Punkt ist die Identitätsprüfung. Sie soll verhindern, dass Daten an Unbefugte gelangen. Sie darf aber nicht zur Hürde werden. Verlange nur so viele Informationen, wie für eine sichere Zuordnung nötig sind. Eine Ausweiskopie ist nicht in jedem Fall angemessen, etwa wenn die Anfrage von der bei dir hinterlegten E-Mail-Adresse kommt.
Was die Auskunft enthalten muss
Art. 15 DSGVO legt den Inhalt fest. Neben der Bestätigung, ob Daten verarbeitet werden, gehören in die Antwort:
- die Verarbeitungszwecke
- die Kategorien personenbezogener Daten
- die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern
- die geplante Speicherdauer oder die Kriterien dafür
- Hinweise auf die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
- das Beschwerderecht bei einer Aufsichtsbehörde
- die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden
- gegebenenfalls Informationen zu automatisierten Entscheidungen einschließlich Profiling
- bei Übermittlungen in Drittländer die geeigneten Garantien
Hinzu kommt die Datenkopie nach Art. 15 Abs. 3 DSGVO. Die erste Kopie ist kostenlos. Für weitere Kopien darfst du ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen. Stellt die Person den Antrag elektronisch, stellst du die Informationen in einem gängigen elektronischen Format bereit, sofern sie nichts anderes wünscht.
Auch die Form zählt. Art. 12 Abs. 1 DSGVO verlangt, dass du die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache übermittelst. Ein unkommentierter Export kryptischer Datenbankfelder erfüllt diesen Anspruch nicht. Erläutere Abkürzungen und interne Codes kurz, damit die Person ihre Daten tatsächlich nachvollziehen kann.
Was der EuGH unter einer Kopie versteht
Der Europäische Gerichtshof hat im Mai 2023 (Rechtssache C-487/21) klargestellt, dass eine Kopie eine originalgetreue und verständliche Reproduktion der Daten sein muss. Eine bloße Zusammenfassung genügt nicht. Wenn es für das Verständnis nötig ist, kann das auch Auszüge aus Dokumenten oder ganze Dokumente umfassen, etwa E-Mails oder Datenbankauszüge.
Im Oktober 2023 entschied der EuGH (C-307/22) zudem, dass die erste Kopie auch dann kostenlos ist, wenn die Person ihren Antrag aus datenschutzfremden Motiven stellt, etwa um Ansprüche vorzubereiten. Das Motiv spielt für die Pflicht zur Auskunft grundsätzlich keine Rolle.
DSGVO-Auskunftsersuchen bearbeiten: Ein Prozess in 7 Schritten
Ein klarer Ablauf spart Zeit und senkt das Risiko von Fehlern. Bewährt hat sich diese Reihenfolge:
- Eingang erfassen: Dokumentiere Datum, Kanal und Inhalt des Antrags und berechne sofort die Frist.
- Identität prüfen: Kläre, ob die Person eindeutig zugeordnet werden kann. Fordere nur bei begründeten Zweifeln zusätzliche Nachweise an.
- Umfang klären: Prüfe, ob sich der Antrag auf bestimmte Daten bezieht. Bei großen Datenmengen darfst du nachfragen, auf welche Informationen oder Verarbeitungen sich das Ersuchen konkret bezieht.
- Daten suchen: Durchsuche alle relevanten Systeme anhand einer vorbereiteten Liste, einschließlich Auftragsverarbeitern.
- Prüfen und schwärzen: Kontrolliere, ob Rechte Dritter, Geschäftsgeheimnisse oder gesetzliche Ausnahmen betroffen sind, und schwärze gezielt statt pauschal.
- Antwort zusammenstellen: Kombiniere Datenkopie und Pflichtinformationen in verständlicher Form.
- Versenden und dokumentieren: Übermittle die Auskunft sicher, etwa verschlüsselt, und archiviere den Vorgang.
Halte für jedes DSGVO-Auskunftsersuchen fest, wer welche Systeme durchsucht hat. Kommt es zum Streit, kannst du so belegen, dass du sorgfältig vorgegangen bist.
Wo personenbezogene Daten typischerweise liegen
Die größte praktische Herausforderung ist die vollständige Suche. Ein aktuelles Verzeichnis von Verarbeitungstätigkeiten ist dafür die wichtigste Grundlage. Typische Fundorte sind:
- CRM- und ERP-Systeme, Buchhaltung und Rechnungswesen
- E-Mail-Postfächer, Chat- und Kollaborationstools
- Personalakten, Bewerbermanagement und Zeiterfassung
- Ticketsysteme, Telefonanlagen und Gesprächsnotizen
- Marketing-Tools, Newsletter-Systeme und Web-Analyse
- Dateiablagen, Cloud-Speicher und Backups
Zunehmend kommen KI-Anwendungen hinzu. Wer Kundendaten in KI-Tools verarbeitet, muss auch dort auskunftsfähig sein. Wie du solche Tools datenschutzkonform einsetzt, zeigt unsere Checkliste zu KI-Tools und Datenschutz. Besonders sensibel ist der Bereich Personal: Wer Bewerbungen mit KI vorsortiert, sollte nachvollziehbar erklären können, welche Daten wie verarbeitet wurden. Mehr dazu liest du in unserem Beitrag zu KI im Recruiting.
Vorbereitung: So wird dein Unternehmen auskunftsfähig
Die beste Zeit für die Vorbereitung ist, bevor das nächste DSGVO-Auskunftsersuchen eingeht. Mit überschaubarem Aufwand schaffst du Strukturen, die jede einzelne Anfrage deutlich beschleunigen:
- Zuständigkeit festlegen: Benenne eine Stelle, die Anfragen koordiniert, und eine Vertretung.
- Suchliste pflegen: Leite aus dem Verarbeitungsverzeichnis eine Liste aller Systeme samt Ansprechpersonen ab.
- Vorlagen erstellen: Bereite Eingangsbestätigung, Rückfrage zur Identität, Fristverlängerung und Antwortschreiben vor.
- Auftragsverarbeiter einbinden: Nach Art. 28 DSGVO müssen Dienstleister dich bei Betroffenenanfragen unterstützen. Kläre, wie schnell sie Daten liefern.
- Fristen überwachen: Nutze ein Ticketsystem oder einen Fristenkalender mit Erinnerungen.
- Beschäftigte schulen: Alle, die Kundenkontakt haben, sollten ein Auskunftsersuchen erkennen und sofort weiterleiten.
Ein Probelauf lohnt sich. Lass intern ein fiktives DSGVO-Auskunftsersuchen bearbeiten und miss, wie lange die Suche über alle Systeme dauert. Die Ergebnisse zeigen dir, wo Daten schwer auffindbar sind und wo du nachbessern musst.
Sonderfall Beschäftigte
Anfragen von aktuellen oder ehemaligen Mitarbeitenden sind besonders aufwendig. Sie können sich auf Personalakte, Leistungsbeurteilungen, Zeiterfassung, Zugangsprotokolle und E-Mail-Verkehr erstrecken. In E-Mails stecken zudem fast immer Daten anderer Personen, die du prüfen und gegebenenfalls schwärzen musst.
Plane für solche Fälle frühzeitig Ressourcen ein und stimme dich mit Personalabteilung und Datenschutzbeauftragten ab. Bitte die Person bei sehr umfangreichen Datenbeständen um eine Präzisierung, etwa auf einen Zeitraum oder bestimmte Vorgänge. Eine Pflicht zur Präzisierung hat sie allerdings nicht.
Wann du ein DSGVO-Auskunftsersuchen einschränken oder ablehnen darfst
Das Auskunftsrecht ist weitreichend, aber nicht grenzenlos. Es gibt mehrere Konstellationen, in denen du die Auskunft einschränken oder verweigern darfst. Die Beweislast liegt dabei stets bei dir.
Rechte Dritter
Nach Art. 15 Abs. 4 DSGVO darf die Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Daten von Kollegen, Kunden oder Geschäftsgeheimnisse kannst du schwärzen. Eine vollständige Verweigerung ist aber nur ausnahmsweise gerechtfertigt.
Offenkundig unbegründete oder exzessive Anträge
Art. 12 Abs. 5 DSGVO erlaubt bei offenkundig unbegründeten oder exzessiven Anträgen, ein angemessenes Entgelt zu verlangen oder die Bearbeitung abzulehnen. Häufige Wiederholungen sind ein typisches Beispiel. Im März 2026 hat der EuGH (C-526/24) entschieden, dass sogar ein erster Antrag missbräuchlich sein kann, wenn objektive Umstände und eine Missbrauchsabsicht vorliegen. Der Verantwortliche muss das jedoch nachweisen, und die Hürden sind hoch.
Ausnahmen nach dem BDSG
Das Bundesdatenschutzgesetz enthält in § 34 weitere Einschränkungen. Dazu gehören etwa Daten, die nur wegen gesetzlicher Aufbewahrungspflichten gespeichert sind oder ausschließlich der Datensicherung dienen, wenn die Auskunft einen unverhältnismäßigen Aufwand erfordern würde und eine Verwendung zu anderen Zwecken technisch und organisatorisch ausgeschlossen ist. Welche Belege du wie lange aufbewahren musst, erklärt unser Beitrag zur Aufbewahrungsfrist für Buchungsbelege. Die Ablehnungsgründe musst du dokumentieren und der Person in der Regel mitteilen.
Risiken: Bußgeld und Schadensersatz
Verstöße gegen die Betroffenenrechte gehören zu den schwereren Datenschutzverstößen. Art. 83 Abs. 5 DSGVO sieht dafür Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. In der Praxis orientieren sich Aufsichtsbehörden an den Umständen des Einzelfalls.
Hinzu kommt der Anspruch auf Schadensersatz nach Art. 82 DSGVO. Nach dem bereits genannten EuGH-Urteil aus dem März 2026 kann auch eine Verletzung des Auskunftsrechts selbst einen Anspruch begründen. Verspätete oder unvollständige Antworten sind deshalb kein reines Formalproblem. Gerade im Arbeitsrecht wird das DSGVO-Auskunftsersuchen häufig als Hebel in Auseinandersetzungen genutzt.
Ausblick: Was sich durch den Digital Omnibus ändern könnte
Die EU-Kommission hat im November 2025 mit dem sogenannten Digital Omnibus Änderungen an der DSGVO vorgeschlagen. Diskutiert wird unter anderem, wie Unternehmen mit Anträgen umgehen dürfen, die das Auskunftsrecht für datenschutzfremde Zwecke nutzen. Stand Oktober 2026 ist das Gesetzgebungsverfahren nicht abgeschlossen, Änderungen sind möglich.
Bis dahin gilt die aktuelle Rechtslage. Orientierung bieten die Leitlinien 01/2022 des Europäischen Datenschutzausschusses (EDPB) zum Auskunftsrecht und der Verordnungstext der DSGVO auf EUR-Lex. Verfolge die Entwicklung, bevor du interne Prozesse grundlegend umstellst.
Fazit: DSGVO-Auskunftsersuchen mit System beantworten
Ein DSGVO-Auskunftsersuchen ist kein Ausnahmefall, sondern gehört zum Alltag jedes Unternehmens, das personenbezogene Daten verarbeitet. Die Monatsfrist ist knapp, die Anforderungen an Vollständigkeit und Verständlichkeit sind hoch, und Fehler können teuer werden.
Mit einem festen Prozess, einem aktuellen Verarbeitungsverzeichnis und klaren Zuständigkeiten wird jedes DSGVO-Auskunftsersuchen zur Routine. Schule alle Stellen, an denen Anfragen eingehen, dokumentiere jeden Schritt und ziehe bei Ablehnungen oder streitigen Fällen deine Datenschutzbeauftragten oder rechtliche Beratung hinzu.
Häufige Fragen zu DSGVO-Auskunftsersuchen
Was muss ich bei einem DSGVO-Auskunftsersuchen herausgeben?
Du bestätigst, ob du Daten der Person verarbeitest, und stellst eine Kopie dieser Daten bereit. Hinzu kommen Informationen zu Zwecken, Datenkategorien, Empfängern, Speicherdauer, Herkunft, Betroffenenrechten, Beschwerderecht und gegebenenfalls zu automatisierten Entscheidungen. Nach dem EuGH muss die Kopie eine originalgetreue und verständliche Reproduktion sein, eine bloße Zusammenfassung reicht nicht.
Wie lange habe ich Zeit, ein DSGVO-Auskunftsersuchen zu beantworten?
Nach Art. 12 Abs. 3 DSGVO musst du unverzüglich antworten, spätestens innerhalb eines Monats nach Eingang des Antrags. Bei komplexen Fällen oder vielen Anträgen ist eine Verlängerung um zwei weitere Monate möglich. Darüber musst du die Person aber innerhalb des ersten Monats informieren und die Gründe nennen. Die Frist beginnt mit dem Zugang beim Unternehmen.
Darf ich für die Auskunft Geld verlangen?
Die erste Kopie ist kostenlos, auch wenn die Person den Antrag aus anderen Motiven stellt, etwa zur Vorbereitung eines Rechtsstreits. Für weitere Kopien darfst du ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangen. Bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt Art. 12 Abs. 5 DSGVO ein Entgelt oder die Ablehnung, die Beweislast liegt aber bei dir.
Warum ist die Identitätsprüfung wichtig?
Gibst du Daten an die falsche Person heraus, begehst du selbst eine Datenschutzverletzung. Bei begründeten Zweifeln an der Identität darfst du deshalb zusätzliche Informationen anfordern. Die Prüfung muss aber verhältnismäßig bleiben. Kommt die Anfrage etwa von der bekannten E-Mail-Adresse, ist eine Ausweiskopie meist nicht nötig. Dokumentiere, wie du die Identität geprüft hast.
Wann kann ich ein DSGVO-Auskunftsersuchen ablehnen?
Eine vollständige Ablehnung ist nur in Ausnahmefällen zulässig, etwa bei offenkundig unbegründeten oder exzessiven Anträgen oder wenn Ausnahmen nach § 34 BDSG greifen. Laut EuGH kann sogar ein erster Antrag missbräuchlich sein, du musst das aber nachweisen. Häufiger ist eine Einschränkung, etwa durch Schwärzung von Daten Dritter. Ziehe in solchen Fällen rechtliche Beratung hinzu.
