Das Auskunftsrecht nach Art. 15 DSGVO

Inhalt

1. Welchen Inhalt hat das Auskunftsrecht gemäß Art. 15 DSGVO?
2. Was folgt daraus für die Formulierung einer „Negativbestätigung“?
3. Was hat es mit dem „Recht auf Erhalt einer Kopie“ auf sich?
4. Worin besteht der Unterschied zwischen einem Anspruch auf Akteneinsicht und dem Auskunftsrecht nach Art. 15 DSGVO?
5. Wie ist im Kontext von Art. 15 DSGVO der Begriff der personenbezogenen Daten zu verstehen?
6. Welche Beschränkungen des Auskunftsrechts nach Art. 15 DSGVO sind möglich?
7. Was ist hinsichtlich der Kostenfreiheit bei der Erteilung von Auskünften zu beachten?
8. Welche Besonderheiten bestehen beim Auskunftsrecht gemäß Art. 15 DSGVO im Hinblick auf Daten in KI-Systemen?

Wilde / Ehmann / Niese / Knoblauch

Datenschutz in Bayern online

Bayerisches Datenschutzgesetz, Datenschutz-Grundverordnung - Kommentar und Handbuch für Datenschutzverantwortliche

Vierteljahrespreis‎ 69,00 €

Online-Produkt

Jetzt bestellen

1. Welchen Inhalt hat das Auskunftsrecht gemäß Art. 15 DSGVO?

Nach Auffassung des EuGH ergeben sich für betroffene Personen aus Art. 15 DSGVO zwei Rechte, die aufeinander aufbauen:

• Den Ausgangspunkt bildet das Recht auf eine Bestätigung, ob der Verantwortliche, also etwa eine Behörde (Art. 4 Nr. 7 DSGVO), überhaupt personenbezogene Daten der Person verarbeitet, die Auskunft begehrt (Absatz 1 Satz 1 Halbs. 1).

• Sollte dies der Fall sein, hat die betroffene Person einen Anspruch auf Auskunft über die Daten, die sich auf sie beziehen (Art. 15 Abs. 1 Satz 1 Halbs. 2 Variante 1 DSGVO). Damit einher geht ein Anspruch auf umfassende Hintergrundinformationen zu diesen Daten (Art. 15 Abs. 1 Halbs. 2 Variante 2 DSGVO), oft auch als „Metadaten“ bezeichnet. Hierzu gehört beispielsweise die Information über die Verarbeitungszwecke (Art. 15 Abs. 1 Halbs. 2 Buchst. a DSGVO).

Beste Antworten.

Newsletter Aktuelle Entwicklungen im Datenschutz

Seit 25. Mai 2018 gelten die Datenschutzgrundverordnung und das neue Bayerische Datenschutzgesetz. Wir versorgen Sie regelmäßig mit allen wichtigen Informationen, aktuellen Entwicklungen, Produkten und Dienstleistungen.

Jetzt gratis abonnieren

2. Was folgt daraus für die Formulierung einer „Negativbestätigung“?

Ein Auskunftsrecht, allerdings nur in der Form eines Rechts auf eine Negativbestätigung, besteht selbst dann, wenn der Verantwortliche bisher noch überhaupt keine Daten über die betroffene Person gespeichert hat. Sofern – was regelmäßig der Fall sein wird – der Verantwortliche eine solche Negativbestätigung speichert, liegt auch darin eine Verarbeitung personenbezogener Daten im Sinn von Art. 4 Nr. 2 DSGVO. Das führt konsequenterweise für die Zukunft zu einem inhaltlichen Anspruch auf Auskunft über diese Daten.

Die Negativbestätigung ist daher in diesem Fall einschränkend so zu formulieren, dass „mit Ausnahme der personenbezogenen Daten im Zusammenhang mit ihrem Auskunftsantrag“ keine Verarbeitung von Daten der betroffenen Person erfolgt. Stattdessen findet sich in der Praxis häufig eine einschränkungslose Aussage dahingehend, dass eine Verarbeitung personenbezogener Daten der betroffenen Person durch den Verantwortlichen nicht erfolge. Eine solche uneingeschränkte Formulierung ist nicht korrekt.

3. Was hat es mit dem „Recht auf Erhalt einer Kopie“ auf sich?

Art. 15 Abs. 3 Satz 1 DSGVO lautet: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“ Art. 15 Abs. 4 spricht in Bezug hierauf von einem „Recht auf Erhalt einer Kopie gemäß Absatz 3“. Dies hat zu unterschiedlichen Auffassungen darüber geführt, ob dieses „Recht auf Erhalt einer Kopie“ ein eigenständiges Recht darstellt, das neben dem Recht auf Auskunft über die Daten gemäß Art. 15 Abs. 1 Satz 1 Halbs. 2 Variante 1 DSGVO steht oder ob es sich dabei um eine bloße Ausprägung dieses Rechts auf Auskunft über die personenbezogenen Daten handelt.

Der EuGH ist der zweiten Auffassung gefolgt. Er geht davon aus, dass die Formulierung von Art. 15 Abs. 3 Satz 1 DSGVO, wonach die betroffene Person einen Anspruch auf eine Kopie „der personenbezogenen Daten“ hat, wörtlich zu nehmen ist. In einer Auskunft muss der Verantwortliche daher nur die personenbezogenen Daten als solche wiedergeben. Er ist jedoch nicht dazu verpflichtet, eine Kopie des ganzen Dokuments zur Verfügung zu stellen, in dem diese Daten enthalten sind (EuGH, Urt. v. 12.1.2023 – C-154/21, Rn. 29). Der Begriff „Kopie“ in Art. 15 Abs. 3 DSGVO bezieht sich nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält.

Eine Ausnahme hiervon gilt nur dann, wenn eine Reproduktion des gesamten Dokuments unerlässlich ist, um den Kontext zu verstehen, in dem die verarbeiteten personenbezogenen Daten stehen (Notwendigkeit einer „Kontextualisierung“ der personenbezogenen Daten, so die Formulierung von EuGH, Urt. v. 4.5.2023 – C-487/21, Rn. 41).

Diese Situation ist typischerweise dann gegeben, wenn eine betroffene Person in einem Formular bestimmte Felder ausgefüllt, in anderen Feldern dagegen keine Angaben gemacht hat. Ein solches Leerlassen von Feldern bleibt nicht ohne Konsequenzen bei der Verarbeitung der Daten, die in dem Formular enthalten sind. Vielmehr werden gerade aus der Tatsache, dass bestimmte Felder leer geblieben sind, Informationen generiert, die dann Gegenstand der Verarbeitung sind (EuGH, Urt. v. 12.1.2023 – C-154/21, Rn. 41/42). Deshalb ist in solchen Fällen eine Kopie im Sinne einer Reproduktion des gesamten Dokuments einschließlich der leeren Felder unerlässlich.

Die praktische Bedeutung dieses Verständnisses des Rechts auf Erhalt einer Kopie ist erheblich. Dies zeigt sich beispielsweise dann, wenn in umfangreichen Dokumenten, etwa in einem Begründungsschreiben für eine Prämienerhöhung in der privaten Krankenversicherung, zwar am Beginn des Anschreibens an die versicherte Person einige wenige personenbezogene Daten enthalten sind, wie etwa Name, Geburtsdatum und Anschrift, allen weiteren Ausführungen jedoch jeglicher individuelle Bezug zu dieser Person fehlt, weil diese meist sehr umfangreichen Ausführungen für alle versicherten Personen gleichermaßen zutreffen. Für solche Fälle hat der Bundesgerichtshof (BGH) in Umsetzung der geschilderten Rechtsprechung des EuGH einen Anspruch auf eine Kopie des vollständigen Begründungsschreiben verweigert (BGH, Urt. v. 6.2.2024 – VI ZR 15/23, Rn. 5-11).

4. Worin besteht der Unterschied zwischen einem Anspruch auf Akteneinsicht und dem Auskunftsrecht nach Art. 15 DSGVO?

Die DSGVO statuiert keine Ansprüche auf Akteneinsicht. Akteneinsichtsrechte können sich jedoch nach nationalem Recht ergeben (etwa gemäß Art. 29 BayVwVfG). Sie bestehen dann neben und unabhängig vom Recht auf Auskunft nach Art. 15 DSGVO. Beide Rechte verfolgen völlig unterschiedliche Zwecke:

• Das Auskunftsrecht nach Art. 15 DSGVO soll eine transparente Information der betroffenen Person über die Verarbeitung ihrer personenbezogenen Daten gewährleisten (EuGH, Urt. v. 9.1.2025 – C-416/23, Rn. 46 m. w. N.). Für diesen Zweck bedarf es lediglich der Kenntnis der personenbezogenen Daten, die verarbeitet werden.

• Akteneinsichtsrechte sollen dagegen den Ablauf des behördlichen Entscheidungsprozesses nachvollziehbar machen. Sie erfassen deshalb die vollständige Behördenakte, ohne dass es darauf ankäme, ob die darin enthaltenen Dokumente personenbezogen sind oder nicht. Deshalb erstreckt sich das Recht auf Akteneinsicht auch auf etwa in einer Akte befindliche Verwaltungsvorschriften, welche die aktenführende Stelle ihrer Entscheidung zugrunde gelegt hat, obwohl einer Verwaltungsvorschrift als solcher jeglicher Personenbezug fehlt.

• Da Akteneinsichtsrechte eine andere grundrechtliche Anknüpfung haben als Art. 15 DSGVO, sind sie übrigens auch keine datenschutzrechtlichen Vorschriften, die mit einer Beschwerde nach Art. 77 Abs. 1 DSGVO, Art. 20 Abs. 1 Satz 1 BayDSG durchgesetzt werden können.

5. Wie ist im Kontext von Art. 15 DSGVO der Begriff der personenbezogenen Daten zu verstehen?

Zu dieser Frage hat sich der EuGH wie folgt geäußert: „Hierbei ist hervorzuheben, dass die in Art. 15 Abs. 1 DSGVO verwendeten Begriffe in Art. 4 dieser Verordnung definiert werden.“ (EuGH, Urt. v. 22.6.2023 – C-579/21, Rn. 40). Damit hat der EuGH allen Versuchen eine Abfuhr erteilt, im Rahmen des Auskunftsanspruchs eine engere Auslegung des Begriffs der personenbezogenen Daten vorzunehmen als sonst im Anwendungsbereich der DSGVO.

Generell ist nach Auffassung des EuGH dem Begriff der personenbezogenen Daten „eine weite Bedeutung beizumessen“ (so EuGH, Urt. v. 7.3.2024 – C‑604/22, Rn. 36 und EuGH, Urt. v. 4.10.2024 – C-200/23, Rn. 130). Dies führt zu der Konsequenz, dass auch der Anwendungsbereich des Auskunftsrechts sehr umfassend ist. Erwägungsgrund 63 Satz 2 verdeutlicht dies wie folgt: „Dies schließt das Recht betroffener Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten.“ Das Auskunftsrecht bezieht sich also selbstverständlich auch auf besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Protokollierungsdaten können ebenfalls erfasst sein (vgl. EuGH, Urt. v. 22.6.2023 – C-579/21, Rn. 60 ff.).

6. Welche Beschränkungen des Auskunftsrechts nach Art. 15 DSGVO sind möglich?

Eine dem Auskunftsrecht selbst innewohnende Beschränkung kann sich daraus ergeben, dass personenbezogene Daten mehrere Personen betreffen. Dies kommt beispielsweise bei medizinischen Daten vor, wenn es um vererbliche Krankheiten geht. Doch finden sich strukturell vergleichbare Situationen auch im Verwaltungsalltag. Wenn zwei aneinander angrenzende Grundstücke jeweils im Eigentum einer Privatperson stehen, beziehen sich die Daten zu der bei Errichtung eines Bauwerks einzuhaltenden Abstandsfläche auf beide Grundstücke und damit auf beide Grundstückseigentümer.

Der Kontrast der beiden Beispiele zeigt, dass sich aus einem mehrfachen Personenbezug derselben Daten sehr unterschiedliche Konfliktsituationen ergeben können, was pauschale Lösungen solcher Konflikte ausschließt. In solchen Fällen sind die Rechte aller betroffener Personen jeweils nach den Verhältnissen des Einzelfalls miteinander in Einklang zu bringen. Art. 15 Abs. 4 DSGVO hebt das für das Recht auf Erhalt einer Kopie besonders hervor. Es handelt sich dabei jedoch um eine Fragestellung, die nicht nur in diesem spezifischen Zusammenhang von Bedeutung ist.

Art. 23 DSGVO ermöglicht es den Mitgliedstaaten, unter bestimmten Voraussetzungen Beschränkungen unter anderem des Auskunftsrechts gemäß Art. 15 DSGVO vorzusehen. Hiervon hat der bayerische Gesetzgeber in allgemeiner Form durch Art. 10 BayDSG Gebrauch gemacht. Die dort festgelegten Beschränkungen, etwa das Unterbleiben einer Auskunft für den Fall, dass sie die öffentliche Sicherheit und Ordnung gefährden würde (siehe Art. 10 Abs. 2 Nr. 2 BayDSG), gelten für alle öffentlichen Stellen, auf die das Bayerische Datenschutzgesetz anwendbar ist.

Hinzu kommen Beschränkungen des Auskunftsrechts in bereichsspezifischen Regelungen, die nur bestimmte öffentliche Stellen betreffen. Ein Beispiel hierfür bilden die Beschränkungen, die § 11 Bundesmeldegesetz (BMG) enthält. Sie sind in der Praxis von besonderer Bedeutung, weil aus den Melderegistern ständig zahlreiche Melderegisterauskünfte erteilt werden. Soweit dies in nicht automatisierter Form geschieht, hat die betroffene Person kein Recht auf Auskunft über die Kategorien der dabei übermittelten Daten und über die jeweiligen Empfänger der Daten (§ 11 Abs. 1 Nr. 1 BMG). Diese Regelung schließt also den Auskunftsanspruch der betroffenen Person aus Art. 15 Abs. 1 DSGVO nicht völlig aus, sondern sieht lediglich eine Ausnahme hinsichtlich bestimmter zusätzlicher Informationen vor, auf die ansonsten gemäß Art. 15 Abs. 1 Halbs. 2 Buchst. b und c DSGVO ein Anspruch bestünde.

Art. 23 DSGVO lässt dem nationalen Gesetzgeber deutlich geringere Spielräume als sein auf den ersten Blick recht weiter Wortlaut nahelegt. Der EuGH betont, dass eine Beschränkung von Betroffenenrechten durch den nationalen Gesetzgeber nur unter der Voraussetzung zulässig ist, „dass eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die bestimmte in der DSGVO aufgeführte Ziele, wie u.a. wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, sicherstellt.“ (so EuGH, Urt. v. 13.3.2025 – C-247/23, Rn. 42 zu einer Beschränkung des Rechts auf Berichtigung gemäß Art. 16 DSGVO im Bereich des Personenstandsrechts nach einer Änderung des Geschlechtseintrags in einem Personenstandsregister eines anderen Mitgliedstaats). Auch die Anwendung solcher nationalen Beschränkungen im Einzelfall hat jeweils unter Berücksichtigung der Grundrechte und Grundfreiheiten der betroffenen Personen zu erfolgen.

7. Was ist hinsichtlich der Kostenfreiheit bei der Erteilung von Auskünften zu beachten?

Als Grundsatz gilt, dass Auskünfte gemäß Art. 15 DSGVO unentgeltlich zu erteilen sind. Dies legt Art. 12 Abs. 5 Satz 1 DSGVO so fest. Von diesem Grundsatz gibt es jedoch Ausnahmen:

• Generell gilt im Rahmen von Art. 15 DSGVO, dass bei Kopien gemäß Art. 15 Abs. 3 Satz 1 DSGVO nur die Erstkopie kostenlos ist, nicht dagegen weitere Exemplare von Kopien.

• Außerdem ermöglicht es Art. 12 Abs. 5 Satz 2 Buchst. a DSGVO, bei offenkundig unbegründeten oder – im Fall von häufiger Wiederholung – exzessiven Anträgen ein angemessenes Entgelt zu verlangen.

Die in Art. 12 Abs. 5 DSGVO vorgesehenen Ausnahmen von der Unentgeltlichkeit sind eng auszulegen. Dies hat der EuGH für die nahezu wortgleiche Regelung des Art. 57 Abs. 4 DSGVO entschieden (EuGH, Urt. v. 9.1.2025 – C-416/23, Rn. 33). Diese Regelung ermöglicht es den Aufsichtsbehörden, bei „offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anfragen“ eine angemessene Gebühr zu verlangen.

Die DSGVO gibt dem nationalen Gesetzgeber keine Möglichkeit, von diesen Regelungen abzuweichen. Insbesondere dürfen entgegenstehende Vorschriften im jeweiligen nationalen Kostenrecht nicht neben der DSGVO angewandt werden. Dies wird in der Praxis insbesondere dann oft übersehen, wenn eine betroffene Person nicht Auskunft über alle vorhandenen Daten verlangt, sondern lediglich eine Teilauskunft über einzelne bestimmte Daten.

So kommt es häufig vor, dass betroffene Personen bei einer Meldebehörde Auskunft darüber verlangen, welche Steueridentifikationsnummer über sie gespeichert ist. Die Speicherung der Steueridentifikationsnummer eines Einwohners im Melderegister ist gesetzlich vorgesehen (§ 3 Abs. 1 Nr. 8 BMG). Art. 15 Abs. 1 DSGVO ermöglicht es der betroffenen Person, gezielt Auskunft über dieses Datum zu verlangen, anstatt eine vollständige Auskunft über alle Daten zu fordern, die über sie im Melderegister gespeichert sind. Sofern die betroffene Person nicht ausdrücklich eine Bescheinigung der Steueridentifikationsnummer beantragt, sondern lediglich deren Mitteilung, ist ihr Ersuchen nicht als Antrag auf Ausstellung einer (gebührenpflichtigen) erweiterten Meldebescheinigung gemäß § 18 Abs. 2 BMG auszulegen, sondern als Auskunftsantrag gemäß Art. 15 DSGVO. Damit ist ihr die im Melderegister gespeicherte Steueridentifikationsnummer unentgeltlich mitzuteilen. Meldebehörden, die sich anders verhalten, provozieren damit in der Praxis immer wieder deutlich weitergehende Anträge auf Auskunft über sämtliche im Melderegister gespeicherte Daten.

8. Welche Besonderheiten bestehen beim Auskunftsrecht gemäß Art. 15 DSGVO im Hinblick auf Daten in KI-Systemen?

Die KI-Verordnung (Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024) legt für ihr Verhältnis zur DSGVO folgendes fest: „Diese Verordnung berührt nicht die Verordnung (EU) 2016/679“ (also die DSGVO). Erwägungsgrund 10 Satz 4 zur KI-Verordnung unterstreicht dies. Damit gilt der Auskunftsanspruch gemäß Art. 15 DSGVO auch in Bezug auf personenbezogene Daten, die in KI-Systemen (zum Begriff siehe Art. 3 Nr. 1 KI-Verordnung) verarbeitet werden. Über diesen Ausgangspunkt besteht Einigkeit.

Die Schwierigkeiten beginnen bei der praktischen Umsetzung des Auskunftsrechts in diesem spezifischen Kontext. Eine Besonderheit von KI-Systemen besteht darin, dass der genaue Ablauf der Verarbeitung der Daten – anders als von traditionellen IT-Anwendungen gewohnt – nicht im Vorhinein festliegt. Vielmehr verfügt ein KI-System insoweit bildlich gesprochen über gewisse, je nach System unterschiedlich ausgeprägte Spielräume des Vorgehens. Dies ist mit dem datenschutzrechtlichen Grundsatz unvereinbar, dass die Verarbeitung personenbezogener Daten nur für (vorher) „festgelegte“ und „eindeutige“ Zwecke erfolgen darf (siehe Art. 5 Abs. 1 Buchst. b Halbs. 1 DSGVO) und führt zu Problemen, wenn es darum geht, gemäß Art. 15 Abs. 1 Satz 1 Halbs. 2 Buchst. a DSGVO Auskunft über die „Verarbeitungszwecke“ zu erteilen.

Insgesamt befindet sich die Diskussion zur Erfüllung von Auskunftsansprüchen im Hinblick auf KI-Systeme und erst recht im Hinblick auf KI-Modelle noch ganz am Anfang. Auch die Datenschutzaufsichtsbehörden beschränken sich insoweit im Augenblick noch auf eher allgemeine Aussagen. So betont das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) als Ausgangspunkt: „Auch bei KI gilt, dass ein Antrag nach Art. 15 DS-GVO innerhalb von 4 Wochen beantwortet werden muss – auch dann, wenn keine personenbezogenen Daten beauskunftet werden können/müssen.“ Im Hinblick auf KI-Modelle führt es dann jedoch eher allgemein aus: „Hier stellen sich zunächst eine Reihe grundlegender technischer und rechtlicher Fragen“ und versucht im Folgenden, diese Aussage etwas näher zu spezifizieren (siehe BayLDA, Themenseite „KI und Datenschutz“, abrufbar unter https://www.lda.bayern.de/de/ki.html, Teilbereich „Einzelfragen zu KI und Datenschutz“, Rubrik „Betroffenenrechte“).

Angesichts der stürmischen Entwicklung im Bereich der Künstliche Intelligenz kann nur empfohlen werden, hierzu die weiteren Äußerungen der Datenschutzaufsichtsbehörden zu verfolgen. Eine endgültige Beantwortung der meisten Fragen, die sich hier stellen, ist im Augenblick noch nicht möglich.

Dr. Eugen Ehmann,
Mitautor von Datenschutz in Bayern