DSGVO-Auskunft nach Art. 15 durchsetzen

Der Auskunftsanspruch ist das schärfste Instrument der DSGVO – und das am häufigsten unterschätzte. Er kostet nichts, braucht keine Begründung und legt offen, was ein Unternehmen tatsächlich über Sie gespeichert hat.

Was Sie verlangen können

Art. 15 DSGVO gibt Ihnen zwei Dinge: Auskunft über die Verarbeitung und eine Kopie der Daten.

Die Auskunft muss umfassen:

• welche Kategorien personenbezogener Daten verarbeitet werden
• die Zwecke der Verarbeitung
• die Empfänger oder Kategorien von Empfängern, an die offengelegt wurde
• die geplante Speicherdauer oder die Kriterien für ihre Festlegung
• die Herkunft der Daten, wenn sie nicht bei Ihnen erhoben wurden
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling, mit Angaben zur Logik
• Ihre Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch
• das Beschwerderecht bei der Aufsichtsbehörde

Der Bundesgerichtshof hat den Umfang weit ausgelegt: Erfasst sind auch interne Vermerke, Gesprächsnotizen und Korrespondenz, soweit sie personenbezogene Daten über Sie enthalten. Die verbreitete Antwort „Wir speichern nur Ihre Vertragsdaten" genügt regelmäßig nicht.

Grenzen setzen die Rechte Dritter: Daten anderer Personen sind zu schwärzen, Geschäftsgeheimnisse müssen nicht offengelegt werden.

So stellen Sie den Antrag

Formfrei – E-Mail genügt. Empfehlenswert ist trotzdem ein nachweisbarer Weg.

Ein tragfähiger Text:

Betreff: Auskunftsersuchen nach Art. 15 DSGVO

Sehr geehrte Damen und Herren,

hiermit beantrage ich Auskunft über sämtliche
personenbezogenen Daten, die Sie zu meiner Person
verarbeiten, sowie eine Kopie dieser Daten
gemäß Art. 15 Abs. 3 DSGVO.

Die Auskunft soll insbesondere umfassen:
Verarbeitungszwecke, Datenkategorien, Empfänger,
Speicherdauer, Datenherkunft, das Bestehen
automatisierter Entscheidungsfindung sowie
interne Vermerke und Korrespondenz, soweit sie
Daten zu meiner Person enthalten.

Ich weise auf die Frist von einem Monat nach
Art. 12 Abs. 3 DSGVO hin.

Zur Identifikation: [Name, Anschrift, Geburtsdatum,
Kunden- oder Vertragsnummer]

Mit freundlichen Grüßen

Der Hinweis auf die Frist ist wichtig: Er dokumentiert, dass Sie die Rechtslage kennen, und setzt den Verantwortlichen unter Zugzwang.

Die Frist: ein Monat

Der Verantwortliche muss unverzüglich, spätestens innerhalb eines Monats antworten (Art. 12 Abs. 3 DSGVO).

Eine Verlängerung um bis zu zwei weitere Monate ist möglich – aber nur bei Komplexität oder hoher Anzahl von Anträgen, und Sie müssen innerhalb des ersten Monats darüber unterrichtet werden, samt Gründen. Eine kommentarlose Fristüberschreitung ist ein Verstoß.

Zur Identitätsprüfung darf der Verantwortliche zusätzliche Informationen anfordern, wenn begründete Zweifel bestehen. Die Vorlage eines Ausweises darf allerdings nicht pauschal verlangt werden.

Wenn nicht geantwortet wird

Erinnerung mit Fristsetzung. Zwei Wochen, unter Hinweis auf die Beschwerde bei der Aufsichtsbehörde.

Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO). Kostenlos, formlos, zuständig ist die Behörde Ihres Wohnorts, Ihres Arbeitsplatzes oder des Verstoßes. Für Hessen ist das der Hessische Beauftragte für Datenschutz und Informationsfreiheit. Die Behörde prüft und kann Anordnungen erlassen und Bußgelder verhängen.

Klage auf Auskunft vor dem Zivilgericht. Der Streitwert wird meist im unteren vierstelligen Bereich angesetzt, was das Kostenrisiko überschaubar hält.

Schadensersatz: realistisch einordnen

Art. 82 DSGVO gibt einen Anspruch auf Ersatz materiellen und immateriellen Schadens. Um diesen Anspruch ist eine ganze Klageindustrie entstanden – die Erwartungen sind aber oft überzogen.

Der Europäische Gerichtshof hat entschieden:

• Ein bloßer Verstoß genügt nicht. Es muss ein konkreter Schaden dargelegt werden.
• Eine Erheblichkeitsschwelle gibt es allerdings nicht – auch geringe Schäden sind ersatzfähig.
• Der Verlust der Kontrolle über die eigenen Daten oder die begründete Befürchtung des Missbrauchs kann einen immateriellen Schaden darstellen.
• Der Schadensersatz hat Ausgleichsfunktion, keine Straffunktion. Abschreckung ist kein Bemessungskriterium.

Deutsche Gerichte sprechen für verspätete oder unvollständige Auskünfte typischerweise Beträge im unteren dreistelligen Bereich zu – manche weisen die Klagen auch vollständig ab. Wer mit vierstelligen Forderungen rechnet, wird meist enttäuscht.

Der praktische Wert des Auskunftsanspruchs liegt deshalb weniger im Schadensersatz als in der Information: Er zeigt, was gespeichert ist, und ist Vorstufe für Löschung, Berichtigung und Widerspruch.

Die weiteren Betroffenenrechte

Der Auskunftsanspruch ist selten Selbstzweck. Auf ihn bauen auf:

Beim Widerspruch gegen Direktwerbung ist die Lage besonders klar: Er wirkt sofort, braucht keine Begründung und die Daten dürfen dafür nicht mehr verarbeitet werden.

Für Unternehmen: die andere Seite

Wer selbst Anträge erhält, sollte vorbereitet sein:

• Verarbeitungsverzeichnis aktuell halten – ohne das ist eine vollständige Auskunft nicht möglich
• Prozess festlegen, wer Anträge entgegennimmt und bearbeitet
• Fristenkalender ab Eingang
• Identität prüfen, aber verhältnismäßig
• Vollständig antworten – Teilauskünfte sind der häufigste Anlass für Beschwerden

Abmahnung, Impressumspflicht und Widerrufsrecht im Überblick: IT-Recht. Welche Angaben eine Website führen muss, zeigt der Beitrag Impressumspflicht.