Die Antwort kommt nach fünf Wochen und besteht aus einer Tabelle: Name, Anschrift, Kundennummer, ein paar Bestellungen. Kein Wort dazu, wozu die Daten verarbeitet werden, an wen sie gegangen sind, wie lange sie gespeichert bleiben. Dazu der Hinweis, alles Weitere könnten Sie jederzeit in Ihrem Kundenkonto einsehen.
Diese Antwort erfüllt den Anspruch nicht. Der Grund liegt in einem Missverständnis über die Norm selbst: Artikel 15 Abs. 1 DSGVO schuldet drei Dinge nebeneinander, nicht eines davon.
Die dreiteilige Struktur, die alles erklärt
Erstens die Bestätigung. Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten überhaupt verarbeitet werden. Das ist eine eigenständige Stufe, und sie gilt auch dann, wenn die Antwort Nein lautet.
Zweitens die Auskunft über die Daten selbst, flankiert vom Anspruch auf eine Kopie nach Absatz 3.
Drittens acht Informationen nach den Buchstaben a bis h: die Verarbeitungszwecke, die Kategorien der verarbeiteten Daten, die Empfänger, die geplante Speicherdauer oder die Kriterien für ihre Festlegung, das Bestehen Ihrer Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch, Ihr Beschwerderecht bei einer Aufsichtsbehörde, alle verfügbaren Informationen über die Herkunft der Daten, wenn sie nicht bei Ihnen erhoben wurden, und das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling nach Artikel 22 Abs. 1 und 4 samt aussagekräftiger Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen dieser Verarbeitung für Sie.
Hinzu tritt nach Absatz 2 die Unterrichtung über die geeigneten Garantien nach Artikel 46, wenn Ihre Daten in ein Drittland oder an eine internationale Organisation übermittelt werden.
Die Zahlen, auf die es ankommt
| Frist | Bedeutung | Fundstelle |
|---|---|---|
| 1 Monat | Frist für die Auskunft, gerechnet ab Eingang Ihres Antrags. Die Auskunft ist unverzüglich zu erteilen, in jedem Fall aber binnen dieser Frist. | Art. 12 Abs. 3 DSGVO |
| 2 Monate | Mögliche Verlängerung bei Komplexität oder hoher Antragszahl. Sie muss Ihnen innerhalb des ersten Monats unter Angabe der Gründe mitgeteilt werden. | Art. 12 Abs. 3 DSGVO |
| 1 Monat | Frist, innerhalb derer Sie über eine Ablehnung, deren Gründe und Ihre Rechtsbehelfe zu unterrichten sind. | Art. 12 Abs. 4 DSGVO |
| 8 Informationen | Pflichtangaben nach Artikel 15 Abs. 1 Buchst. a bis h, die neben Bestätigung und Daten geschuldet sind. | Art. 15 Abs. 1 DSGVO |
| erste Kopie | Unentgeltlich, unabhängig davon, wozu Sie sie verwenden wollen. | Art. 12 Abs. 5, Art. 15 Abs. 3 DSGVO; EuGH, 26. Oktober 2023, C-307/22 |
| Nachweislast | Für den offenkundig unbegründeten oder exzessiven Charakter eines Antrags trägt der Verantwortliche den Nachweis. | Art. 12 Abs. 5 Unterabs. 2 DSGVO |
| Nebeneinander | Beschwerde bei der Aufsichtsbehörde und Klage stehen parallel und unabhängig nebeneinander. Sie müssen sich nicht entscheiden. | Art. 77, 78, 79 DSGVO; EuGH, 12. Januar 2023, C-132/21 |
| Gerichtsstand | Sie können am eigenen gewöhnlichen Aufenthaltsort klagen, außer wenn sich die Klage gegen eine hoheitlich handelnde Behörde eines Mitgliedstaats richtet. Den amtlichen Wortlaut konnten wir nur über eine nichtamtliche Wiedergabe belegen. | Art. 79 Abs. 2 DSGVO |
Die Verfahrensnorm, die man mitlesen muss
Artikel 15 regelt das Ob und das Was. Artikel 12 regelt das Wie, das Wann und die Kosten. Wer nur Artikel 15 zitiert, verschenkt die Hälfte des Anspruchs.
Absatz 1 verlangt eine präzise, transparente, verständliche und leicht zugängliche Form in klarer und einfacher Sprache. Absatz 2 verpflichtet den Verantwortlichen, Ihnen die Ausübung Ihrer Rechte zu erleichtern. Das ist eine Handlungspflicht, keine bloße Unterlassungspflicht. Weigern darf er sich im Rahmen dieses Absatzes nur, wenn er glaubhaft macht, dass er Sie nicht identifizieren kann; die davon zu trennende Weigerung bei offenkundig unbegründeten oder exzessiven Anträgen regelt Absatz 5.
Absatz 3 enthält die Monatsfrist und die Verlängerungsmöglichkeit. Entscheidend ist die Mitteilungspflicht: Die Verlängerung muss Ihnen innerhalb eines Monats nach Antragseingang unter Angabe der Gründe mitgeteilt werden. Eine stillschweigende Verlängerung sieht die Verordnung nicht vor.
Absatz 4 macht auch die Ablehnung fristgebunden: Wird der Verantwortliche nicht tätig, muss er Sie ohne Verzögerung, spätestens binnen eines Monats, über die Gründe unterrichten und auf Beschwerde und gerichtlichen Rechtsbehelf hinweisen.
Absatz 5 ordnet die Unentgeltlichkeit an und lässt bei offenkundig unbegründeten oder exzessiven Anträgen ein angemessenes Entgelt oder die Weigerung zu. Unterabsatz 2 dieser Vorschrift ist eine ausdrückliche gesetzliche Beweislastregel: Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. Sie müssen nichts darlegen.
Absatz 6 erlaubt die Nachforderung zusätzlicher Informationen bei begründeten Zweifeln an Ihrer Identität. Drei Merkmale müssen kumulativ vorliegen: begründete Zweifel, Erforderlichkeit, Bezug zur Identitätsbestätigung. Eine pauschale Ausweisanforderung an jeden Antragsteller erfüllt keines davon.
Empfänger sind namentlich zu benennen
Über Jahre hat sich in Deutschland eine Standardantwort etabliert: Man gebe Daten weiter an Dienstleister in den Bereichen IT-Betrieb, Versand und Zahlungsabwicklung sowie an Konzerngesellschaften. Diese Antwort erfüllt den Anspruch nicht mehr.
Der Gerichtshof der Europäischen Union hat am 12. Januar 2023 in der Rechtssache C-154/21 entschieden, dass der Verantwortliche Ihnen die Identität der Empfänger mitteilen muss. Auf Empfängerkategorien darf er sich nur in zwei Konstellationen zurückziehen: wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn er nachweist, dass Ihr Antrag offenkundig unbegründet oder exzessiv im Sinne des Artikels 12 Abs. 5 ist.
Das Wahlrecht liegt damit bei Ihnen, nicht beim Unternehmen. Und weil Artikel 12 Abs. 5 Unterabs. 2 die Nachweislast dem Verantwortlichen auferlegt, muss er die Unmöglichkeit oder die Exzessivität positiv darlegen. Verlangen Sie diese Darlegung ausdrücklich, statt die Kategorienantwort hinzunehmen.
Was eine Kopie ist, und wo die Grenze verläuft
Nach dem Urteil vom 4. Mai 2023 in der Rechtssache C-487/21 bedeutet das Recht auf eine Kopie, dass Ihnen eine originalgetreue und verständliche Reproduktion aller Ihrer Daten ausgefolgt wird. Es setzt das Recht voraus, Kopien von Auszügen aus Dokumenten oder ganzen Dokumenten oder von Auszügen aus Datenbanken zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, damit Sie Ihre Rechte wirksam ausüben können, wobei die Rechte und Freiheiten anderer zu berücksichtigen sind.
Diese Entscheidung wird von beiden Seiten überdehnt. Es gibt keinen generellen Anspruch auf die Akte. Es gibt aber auch keine Befugnis, sich auf eine dekontextualisierte Tabelle zurückzuziehen, wenn diese Tabelle die Verarbeitung nicht verständlich macht. Der Maßstab ist nicht das Dateiformat, sondern die Verständlichkeit.
Auch die Reichweite der Schranke zugunsten Dritter ist begrenzt. Artikel 15 Abs. 4 betrifft seinem Wortlaut nach allein das Recht auf Erhalt einer Kopie nach Absatz 3, nicht das Auskunftsrecht des Absatzes 1 insgesamt. Wer Ihnen unter Berufung auf die Rechte anderer die gesamte Auskunft verweigert, überdehnt diese Grenze.
Praktisch heißt das: Begründen Sie das Merkmal der Unerlässlichkeit konkret. Etwa damit, dass sich ohne den Kontext des Dokuments nicht beurteilen lässt, ob die Daten richtig sind oder ob die Verarbeitung rechtmäßig war. Eine zweite Grenze setzt dasselbe Urteil zugunsten der Unternehmen: Der Begriff Informationen in Artikel 15 Abs. 3 Satz 3 bezieht sich nur auf die personenbezogenen Daten, nicht auf die acht Informationen des Absatzes 1. Nach einer Fachbesprechung des Urteils des Bundesgerichtshofs vom 15. Juni 2021, VI ZR 576/19, erfasst Artikel 15 auch interne Vermerke und Korrespondenz mit Dritten; der Volltext lag uns nicht vor.
Sie müssen nichts begründen
In Deutschland wurde jahrelang vertreten, ein Auskunftsanspruch sei rechtsmissbräuchlich, wenn er nicht datenschutzrechtlichen Zwecken diene, sondern der Vorbereitung von Schadensersatzansprüchen oder der Beschaffung von Prozessstoff. Diese Position ist im Grundsatz erledigt.
Der Gerichtshof hat am 26. Oktober 2023 in der Rechtssache C-307/22 entschieden, dass die Pflicht zur unentgeltlichen ersten Kopie auch dann gilt, wenn der Antrag mit einem anderen Zweck als den datenschutzrechtlichen Transparenzzwecken begründet wird. Der Fall betraf einen Patienten, der von seiner Zahnärztin eine Kopie der Patientenakte verlangte, um Behandlungsfehleransprüche zu prüfen. Der Gerichtshof hat zugleich entschieden, dass Artikel 23 Abs. 1 Buchst. i DSGVO keine nationale Regelung erlaubt, die Ihnen zum Schutz wirtschaftlicher Interessen des Verantwortlichen die Kosten der ersten Kopie auferlegt.
Tragend ist die Erwägung, die Ausübung des Rechts dürfe nicht von Bedingungen abhängig gemacht werden, die der Unionsgesetzgeber nicht ausdrücklich festgelegt hat. Eine Motivforschung durch das Unternehmen ist damit unzulässig.
Die Gegenbewegung von 2026, und wo genau sie verläuft
Am 19. März 2026 hat der Gerichtshof in der Rechtssache C-526/24 eine Entscheidung getroffen, die in der Beratungspraxis noch nicht durchgängig verarbeitet ist. Der Sachverhalt: Eine Person meldete sich für einen Newsletter an, stellte dreizehn Tage später einen Auskunftsantrag und forderte anschließend Schadensersatz.
Nach dem Tenor kann auch ein erster Antrag als exzessiv angesehen werden, wenn der Verantwortliche in Ansehung aller relevanten Fallumstände nachweist, dass der Antrag trotz formaler Einhaltung der Bedingungen nicht gestellt wurde, um sich der Verarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, sondern in missbräuchlicher Absicht, etwa zur künstlichen Schaffung der Voraussetzungen für die Erlangung eines Vorteils. Dass die betroffene Person nach öffentlich zugänglichen Informationen mehrere Anträge gegen verschiedene Verantwortliche gestellt hat, jeweils gefolgt von Schadensersatzforderungen, kann dabei berücksichtigt werden.
Die beiden Urteile widersprechen sich nicht. Sie trennen zwei Ebenen: das Motiv und den Missbrauch. Wer Auskunft verlangt, um einen Schadensersatzanspruch vorzubereiten, handelt legitim; das Motiv ist gleichgültig. Wer Auskunft verlangt, ohne überhaupt Kenntnis von der Verarbeitung erlangen zu wollen, sondern allein, um den formalen Anknüpfungspunkt für eine Forderung zu konstruieren, handelt missbräuchlich.
Motiv und Missbrauch: die entscheidende Unterscheidung
Unschädlich
- Sie wollen prüfen, ob ein Schadensersatzanspruch besteht.
- Sie geben keine Begründung an. Eine Begründungspflicht besteht nicht.
- Sie verfolgen einen anderen als einen datenschutzrechtlichen Zweck.
- Sie stellen einen weiteren Antrag, weil sich die Verarbeitung geändert hat. Der Europäische Datenschutzausschuss hält solche Wiederholungsanträge für zulässig; das ist Verwaltungspraxis, nicht Rechtsprechung.
- Allein die Zahl Ihrer Anträge belegt noch keine Missbrauchsabsicht. Für Anfragen an die Aufsichtsbehörde hat der Gerichtshof das am 9. Januar 2025 in der Rechtssache C-416/23 entschieden.
Riskant
- Sie wollen gar nichts erfahren, sondern nur den Anknüpfungspunkt für eine Forderung schaffen.
- Ein erkennbares Serienmuster aus vielen Anträgen gegen viele Unternehmen, jeweils gefolgt von Schadensersatzforderungen.
- Ihr Antragsmuster ist aus öffentlich zugänglichen Quellen erkennbar und kann gegen Sie verwendet werden.
- Sie reagieren auf die erteilte Auskunft nicht und machen keine Folgerechte geltend.
- Der Verantwortliche kann die missbräuchliche Absicht eindeutig nachweisen. Dann trägt die hohe Schwelle Sie nicht mehr.
Für die Praxis folgt daraus eine einfache Empfehlung: Stellen Sie Ihren Antrag ernsthaft und machen Sie das dokumentierbar. Konkrete Nachfragen, eine erkennbare Reaktion auf die erteilte Auskunft, die anschließende Geltendmachung der Folgerechte. Wer so vorgeht, ist gegen den Missbrauchseinwand belastbar aufgestellt.
Und die Gegenseite trägt ein asymmetrisches Risiko: Wer die Exzessivität pauschal behauptet und damit scheitert, hat zugleich die Monatsfrist verletzt.
Auskunfteien, Score und automatisierte Entscheidungen
Zwei Entscheidungen greifen hier ineinander, und sie sollten immer zusammen zitiert werden.
Am 7. Dezember 2023 in der Rechtssache C-634/21 hat der Gerichtshof entschieden, dass eine automatisierte Entscheidung im Einzelfall im Sinne des Artikels 22 Abs. 1 vorliegt, wenn eine Wirtschaftsauskunftei automatisiert einen Wahrscheinlichkeitswert über Ihre Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen erstellt, sofern von diesem Wert maßgeblich abhängt, ob ein Dritter, dem er übermittelt wird, ein Vertragsverhältnis mit Ihnen begründet, durchführt oder beendet.
Das ist für Artikel 15 entscheidend, weil dessen Buchstabe h tatbestandlich an Artikel 22 anknüpft. Solange die Auskunfteien vertraten, die Scoreberechnung sei keine Entscheidung, weil die Entscheidung die Bank treffe, entfiel nach ihrer Lesart auch die Pflicht zur Auskunft über die Logik. Dieses Argument hat keine tatbestandliche Grundlage mehr. Zu beachten bleibt das Merkmal der maßgeblichen Abhängigkeit; das ist eine Tatfrage, die im Einzelfall darzulegen ist.
Am 27. Februar 2025 in der Rechtssache C-203/22 hat der Gerichtshof geklärt, was dann geschuldet ist: Sie können verlangen, dass Ihnen anhand der maßgeblichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form die Verfahren und Grundsätze erläutert werden, die konkret bei der automatisierten Verarbeitung Ihrer Daten angewandt wurden. Erkennbar werden muss, welche Ihrer personenbezogenen Daten auf welche Art verwendet wurden.
Nicht geschuldet sind Quellcode und Gewichtungsformel. Geschuldet ist Nachvollziehbarkeit. Die verbreitete Praxis, den Scorewert mitzuteilen und daneben eine allgemeine Liste möglicher Merkmale zu stellen, genügt dem nicht.
Wenn die Auskunft aus einer Tabelle besteht
Sie stellen am 3. März einen Auskunftsantrag per E-Mail an die bei einem Onlinehändler hinterlegte Adresse, unter Angabe Ihrer Kundennummer, und verlangen ausdrücklich die Auskunft nach Artikel 15 Abs. 1 bis 3 einschließlich der konkreten Empfänger. Am 11. April, also nach Ablauf der Monatsfrist, kommt eine CSV-Datei mit Feldnamen wie cust_seg, lt_val und opt_flag. Dazu der Satz, weitere Empfänger seien Dienstleister in den Bereichen IT, Logistik und Zahlungsabwicklung. Eine Mitteilung über eine Fristverlängerung haben Sie nie erhalten.
Vier Rügen sind belastbar. Erstens die Frist: Ohne Verlängerungsmitteilung innerhalb eines Monats war die Frist nicht verlängert, sondern am 3. April abgelaufen. Zweitens die Empfänger: Nach C-154/21 ist die Identität mitzuteilen; wer auf Kategorien ausweicht, muss Unmöglichkeit oder Exzessivität nachweisen. Drittens die Form: Nach Artikel 12 Abs. 1 ist eine verständliche Darstellung geschuldet, und nach C-487/21 muss die Kopie eine originalgetreue und verständliche Reproduktion sein. Kryptische Feldbezeichnungen ohne Legende erfüllen das nicht. Viertens die Vollständigkeit: Es fehlen sämtliche acht Informationen nach Artikel 15 Abs. 1 Buchst. a bis h, also gerade der Teil des Anspruchs, der neben den Daten selbst geschuldet ist. Verlangen Sie zugleich die Unterrichtung nach Absatz 2, sofern Ihre Daten in ein Drittland übermittelt werden. Setzen Sie eine kurze Nachfrist, behalten Sie sich Beschwerde und Schadensersatz ausdrücklich vor und dokumentieren Sie den Zugang Ihres ersten Antrags.
Die Grenzen des deutschen Rechts
§ 34 BDSG nimmt das Auskunftsrecht in bestimmten Fällen zurück, etwa bei Daten, die nur wegen gesetzlicher Aufbewahrungsvorschriften gespeichert sind oder ausschließlich der Datensicherung dienen, wenn die Auskunft einen unverhältnismäßigen Aufwand erfordern würde. Absatz 2 verlangt ausdrücklich, dass die Gründe der Auskunftsverweigerung dokumentiert werden.
Diese Einschränkungen stützen sich auf die Öffnungsklausel des Artikels 23 DSGVO. Der verlangt, dass die Beschränkung notwendig und verhältnismäßig ist, einem der dort abschließend genannten Schutzzwecke dient und spezifische Regelungen zu Zwecken, Datenkategorien, Umfang und Garantien gegen Missbrauch enthält. Ob § 34 BDSG dem in vollem Umfang genügt, hat der Gerichtshof nicht entschieden. Die aus C-307/22 und C-203/22 ableitbare Linie lautet: Nationale Beschränkungen müssen tatbestandlich eng, zweckgebunden und einzelfallbezogen sein; pauschale Bereichsausnahmen ohne Abwägungsmechanismus sind unionsrechtswidrig.
Schärfer wirkt § 29 Abs. 1 Satz 2 BDSG: Das Auskunftsrecht besteht nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach geheim gehalten werden müssen, insbesondere wegen überwiegender berechtigter Interessen eines Dritten. Das betrifft nicht nur Berufsgeheimnisträger im engeren Sinne. Nach einer Fachbesprechung hat das Oberlandesgericht Brandenburg am 11. September 2025 entschieden, dass das anwaltliche Berufsgeheimnis den Anspruch begrenzt und für § 29 Abs. 1 Satz 2 BDSG kein Abwägungserfordernis bestehe. Diese Aussage steht in einem erkennbaren Spannungsverhältnis zur Linie des Gerichtshofs in C-203/22 und C-579/21, die eine einzelfallbezogene Abwägung verlangt und eine vollständige Auskunftsverweigerung ausschließt. Wer gegen einen Berufsgeheimnisträger vorgeht, sollte diesen Widerspruch offensiv ansprechen.
Sechs Abwehrmuster und was Sie ihnen entgegensetzen
Die Standardantworten und die passende Erwiderung
Erstens, Auskunft nur in Empfängerkategorien. Verlangen Sie die namentliche Benennung unter Hinweis auf C-154/21 und weisen Sie darauf hin, dass die Nachweislast für Unmöglichkeit oder Exzessivität nach Artikel 12 Abs. 5 Unterabs. 2 beim Unternehmen liegt.
Zweitens, Verweis auf das Kundenkonto. Ein Portal ist ein Angebot, keine Erfüllung. Es enthält weder die acht Informationen nach Absatz 1 noch die Unterrichtung nach Absatz 2 noch regelmäßig alle Daten. Verlangen Sie Auskunft und Kopie in Textform.
Drittens, ungeschwärzte Ausweiskopie als Bedingung. Artikel 12 Abs. 6 verlangt begründete Zweifel, Erforderlichkeit und Identitätsbezug; Erwägungsgrund 64 verpflichtet zuerst zur Ausschöpfung der eigenen Mittel. Bieten Sie hilfsweise eine auf Name, Anschrift, Geburtsdatum und Gültigkeitsdauer beschränkte, im Übrigen geschwärzte Kopie an. Und halten Sie fest, dass die Frist nach Artikel 12 Abs. 3 ab Eingang Ihres Antrags läuft und die Verordnung keine Hemmung durch eine Identitätsnachforderung vorsieht; wer eine solche Hemmung behauptet, sollte sie begründen.
Viertens, Berufung auf Geschäftsgeheimnisse. Nach C-203/22 ist das kein Verweigerungsgrund. Der Verantwortliche muss die Informationen der Aufsichtsbehörde oder dem Gericht vorlegen, damit dort abgewogen wird. Fordern Sie hilfsweise die Angabe, welche konkreten Punkte er für geheimhaltungsbedürftig hält.
Fünftens, Fristüberschreitung ohne Verlängerungsmitteilung. Halten Sie fest, dass die Frist damit nicht verlängert, sondern verletzt ist, setzen Sie eine Nachfrist und behalten Sie sich Beschwerde nach Artikel 77 und Ansprüche nach Artikel 82 ausdrücklich vor.
Sechstens, Rohdatenexport ohne Erläuterung. Artikel 12 Abs. 1 verlangt eine verständliche Form, C-487/21 eine originalgetreue und verständliche Reproduktion. Verlangen Sie die Nachlieferung der acht Informationen und eine Erläuterung der Feldbedeutungen.
Was die Aufsichtsbehörden sagen
Leitlinien und Behördenveröffentlichungen sind Verwaltungspraxis, nicht geltendes Recht. Sie binden weder Gerichte noch Unternehmen unmittelbar. Ihr Wert liegt darin, dass sie abbilden, wie die Aufsicht voraussichtlich verfährt.
Der Europäische Datenschutzausschuss hält in seinen Leitlinien 01/2022 fest, der Verantwortliche dürfe nicht beurteilen, welchen Zweck die betroffene Person verfolgt; Selbstbedienungsportale seien zulässig, ersetzten aber die vollständige Kopie nicht; die Identitätsprüfung müsse in einem angemessenen Verhältnis stehen; und die Begriffe der offenkundigen Unbegründetheit und der Exzessivität seien eng auszulegen.
Die deutschen Aufsichtsbehörden liegen bei der Identitätsprüfung nicht deckungsgleich. Der Bayerische Landesbeauftragte hält Ausweiskopien für regelmäßig nicht erforderlich und verlangt zuerst die Ausschöpfung der eigenen Mittel sowie eine Dokumentation der Zweifel. Der Landesbeauftragte in Baden-Württemberg lässt sie zu, begrenzt sie aber auf Name, Anschrift, Geburtsdatum und Gültigkeitsdauer und betont die strenge Zweckbindung. Der Landesbeauftragte in Niedersachsen stellt die Schwärzungspflicht in den Vordergrund. Maßgeblich bleibt in jedem Fall Artikel 12 Abs. 6 mit seinen drei kumulativen Merkmalen. Eine pauschale Ausweisanforderung ist nach keiner dieser Positionen zulässig.
Zur Größenordnung: Das Bayerische Landesamt für Datenschutzaufsicht verzeichnet für 2025 9.746 Beschwerden und Kontrollanregungen, ein Anstieg von 61 Prozent gegenüber dem Vorjahr und ein Höchststand seit Geltung der Verordnung. Der Bericht hält fest, dass Beschwerden zum Auskunftsrecht in nahezu allen Fachbereichen zu den Spitzenreitern der Verstöße zählen. Eine exakte Zahl speziell für Artikel-15-Beschwerden weist er nicht aus, und das gilt auch für die übrigen von uns geprüften Behördenberichte.
Durchsetzung
Nach Artikel 77 Abs. 1 haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde, wahlweise im Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Nach Artikel 79 Abs. 1 haben Sie das Recht auf einen wirksamen gerichtlichen Rechtsbehelf. Nach der Entscheidung vom 12. Januar 2023 in der Rechtssache C-132/21 stehen diese Rechtsbehelfe parallel und unabhängig nebeneinander. Sie müssen sich nicht entscheiden.
Praktisch bedeutsam ist der Gerichtsstand: Sie können am eigenen gewöhnlichen Aufenthaltsort klagen, es sei denn, der Beklagte ist eine hoheitlich handelnde Behörde eines Mitgliedstaats. Das verschiebt Kostenlast und Prozessökonomie spürbar zu Ihren Gunsten und gegen international aufgestellte Unternehmen. Den amtlichen Wortlaut des Artikels 79 Abs. 2 konnten wir allerdings nur über eine nichtamtliche Wiedergabe belegen; vor einer Klageerhebung ist er zu verifizieren.
Zum Schadensersatz: Nach der Entscheidung vom 4. Mai 2023 in der Rechtssache C-300/21 genügt der bloße Verstoß gegen die Verordnung nicht; erforderlich sind Verstoß, Schaden und Kausalzusammenhang. Zugleich steht Artikel 82 Abs. 1 einer nationalen Praxis entgegen, die den Ersatz eines immateriellen Schadens von einem Erheblichkeitsgrad abhängig macht. Und nach C-526/24 kann die Verletzung des Auskunftsrechts selbst einen Anspruch begründen; Kontrollverlust und Ungewissheit über die Verarbeitung sind ersatzfähige immaterielle Schäden, sofern der Schaden tatsächlich nachgewiesen wird und Ihr eigenes Verhalten nicht die entscheidende Ursache war.
So gehen Sie vor
- Stellen Sie den Antrag in Textform, mit Datum und Zugangsnachweis, und nehmen Sie ausdrücklich auf Artikel 15 Abs. 1 bis 3 Bezug. Verlangen Sie ausdrücklich die Bestätigung, die Daten, die Kopie, die acht Informationen nach Buchst. a bis h und die namentliche Benennung der Empfänger.
- Begründen Sie nichts. Eine Begründungspflicht besteht nicht, und eine ausführliche Motivdarstellung liefert nur Angriffsfläche.
- Nutzen Sie den Kommunikationsweg, den das Unternehmen ohnehin kennt, etwa Ihre hinterlegte E-Mail-Adresse und Ihre Kundennummer. Das nimmt der Ausweisforderung die Grundlage.
- Notieren Sie den Fristablauf: ein Monat ab Zugang. Eine Verlängerung gilt nur, wenn sie Ihnen innerhalb dieses Monats begründet mitgeteilt wurde.
- Prüfen Sie die Antwort in drei Schritten: Ist die Bestätigung enthalten? Sind alle acht Informationen enthalten? Ist die Kopie vollständig und verständlich?
- Rügen Sie fehlende Punkte einzeln und konkret, unter Nennung der jeweiligen Fundstelle. Setzen Sie eine kurze Nachfrist und behalten Sie sich Beschwerde nach Artikel 77 und Ansprüche nach Artikel 82 vor.
- Geht es um einen Score, richten Sie den Antrag ausdrücklich auf die Verfahren und Grundsätze nach Artikel 15 Abs. 1 Buchst. h und auf die Angabe, welche Ihrer Daten auf welche Art verwendet wurden.
- Bleibt es streitig, wählen Sie die Beschwerde bei der Aufsichtsbehörde, die Klage oder beides. Beides ist nebeneinander zulässig.
- Dokumentieren Sie Ihre Ernsthaftigkeit: konkrete Nachfragen, Reaktion auf die erteilte Auskunft, Geltendmachung der Folgerechte. Das ist der beste Schutz gegen den Missbrauchseinwand.
Was diese Darstellung nicht leisten kann
Grenzen dieser Darstellung
Dieser Ratgeber stellt die Rechtslage allgemein dar und ersetzt keine Beratung im Einzelfall. Die Wortlaute des Bundesdatenschutzgesetzes und des Artikels 79 Abs. 2 DSGVO stammen aus nichtamtlichen Volltextdiensten, weil die amtlichen Datenbanken des Bundes für automatisierte Abrufe gesperrt waren; maßgeblich bleibt das Bundesgesetzblatt. Eine Entscheidung des Gerichtshofs speziell zur unionsrechtlichen Zulässigkeit des § 34 BDSG konnten wir nicht nachweisen; unsere Einordnung leitet sich aus C-307/22 und C-203/22 ab. Die genannte Entscheidung des Oberlandesgerichts Brandenburg und das Urteil des Bundesgerichtshofs vom 15. Juni 2021 sind nur über Fachbesprechungen belegt, nicht am Volltext. Zu den Beschwerdezahlen speziell zum Auskunftsrecht weist keine der von uns geprüften deutschen Aufsichtsbehörden eine isolierte Zahl aus; wer eine Prozentangabe zitiert findet, sollte sie prüfen. Die Einzelheiten des Digital-Omnibus-Vorschlags zu Artikel 12 beruhen auf einer Sekundärquelle, weil der operative Normtext über die amtliche Datenbank nicht vollständig abrufbar war.