DSGVO-Auskunftsanspruch: Was Sie liefern müssen – und was nicht

Warum Auskunftsersuchen fast nie nur um Daten gehen

In der Praxis ist das Auskunftsverlangen häufig ein taktisches Mittel: Wer im Kündigungsschutzverfahren oder in Vergleichsverhandlungen steht, erzeugt damit Druck und sucht nach verwertbaren Informationen. Das ändert nichts an Ihrer Pflicht zu antworten – und zwar innerhalb eines Monats ab Eingang. Verlängern können Sie um bis zu zwei weitere Monate, wenn die Anfrage komplex oder sehr umfangreich ist. Das setzt aber voraus, dass Sie den Absender noch innerhalb des ersten Monats über die Verlängerung und deren Gründe informieren. Wer diese Zwischenmeldung vergisst, ist schlicht zu spät.

Eine Entwarnung gibt es beim Thema Geld: Das Bundesarbeitsgericht hat 2024 klargestellt, dass eine verspätete oder unvollständige Auskunft nicht automatisch einen immateriellen Schaden begründet. Wer Schadensersatz will, muss konkret darlegen, welcher Nachteil ihm entstanden ist. Das Kostenrisiko liegt damit weniger im Schadensersatz als in Prozessaufwand, Beschwerden bei der Aufsichtsbehörde und gebundener Arbeitszeit.

Was eine vollständige Auskunft enthalten muss

Hier liegt der praktisch wichtigste Punkt. Das Verwaltungsgericht Berlin hat im August 2026 entschieden, dass ein pauschaler Verweis auf die allgemeine Datenschutzerklärung nicht genügt. Die Auskunft muss sich konkret auf die anfragende Person beziehen: Welche Daten werden zu ihr verarbeitet, zu welchem Zweck, wie lange, woher stammen sie, an wen werden sie weitergegeben?

Zweiter Punkt aus derselben Entscheidung: Der Anspruch beschränkt sich nicht auf Stammdaten wie Name, Anschrift oder Vertragsdaten. Auch interne Vermerke, Bearbeitungsnotizen und interne Kommunikation können personenbezogene Daten enthalten und sind dann auskunftspflichtig. Einen Anspruch auf die komplette Akte gibt es dadurch nicht – wohl aber auf entsprechende Auszüge.

Besonders fehleranfällig ist die Angabe der Empfänger. Nach der Rechtsprechung des Europäischen Gerichtshofs reicht die Nennung von Kategorien wie „IT-Dienstleister" oder „Konzerngesellschaften" nicht aus, wenn Ihnen die konkreten Empfänger bekannt sind. Dann müssen Sie sie benennen.

Exzessive Anfragen: antworten müssen Sie trotzdem

Manche Betroffene stellen im Quartalstakt neue Anträge. Die DSGVO erlaubt es, bei offenkundig unbegründeten oder exzessiven Anfragen ein angemessenes Entgelt zu verlangen oder die Bearbeitung abzulehnen. Das Verwaltungsgericht Osnabrück hat im August 2026 aber deutlich gemacht: Auch ein exzessiver Antrag ist grundsätzlich zu bescheiden. Sie dürfen ihn also nicht einfach liegen lassen.

Für die Praxis heißt das: Wenn Sie ablehnen wollen, antworten Sie fristgerecht, begründen Sie die Ablehnung und weisen Sie auf Beschwerde- und Klagemöglichkeiten hin. Den Nachweis, dass eine Anfrage exzessiv ist, müssen Sie führen – Schweigen ist die schlechteste aller Varianten.

In welchem Format müssen Sie liefern?

Hier gibt es gute Nachrichten. Das Oberlandesgericht Stuttgart hat im Juli 2026 entschieden, dass aus dem Auskunftsrecht grundsätzlich kein Anspruch auf ein maschinenlesbares Format folgt. In dem Fall verlangte ein Spieler von einem Glücksspielanbieter seine Zahlungs- und Spielhistorie zusätzlich als auswertbare Datei – der Anbieter hatte bereits PDF-Dateien geschickt. Das Gericht hielt das für ausreichend: Die Auskunft soll die Informationen verständlich und zugänglich machen, nicht die Weiterverarbeitung ermöglichen.

Abzugrenzen ist das vom Recht auf Datenübertragbarkeit. Dort verlangt die DSGVO ausdrücklich ein strukturiertes, gängiges und maschinenlesbares Format – dieses Recht greift aber nur unter engeren Voraussetzungen. Kommt die Anfrage elektronisch, sollten Sie auch elektronisch antworten.

Was Sie jetzt konkret tun sollten

Ein Auskunftsersuchen ist kein juristisches Einzelproblem, sondern ein Organisationsthema. Drei Schritte lohnen sich:

• Klaren Ablauf festlegen: Wer nimmt Anfragen entgegen, wer prüft die Identität, wer überwacht die Monatsfrist? Die Frist läuft ab Eingang im Unternehmen – nicht ab dem Tag, an dem die Anfrage intern beim Richtigen ankommt.
• Datenlandkarte erstellen: Wo liegen Daten zu einem Mitarbeiter oder Kunden tatsächlich? Personalsystem, CRM, Postfächer, Ticketsystem, Zeiterfassung, Chatverläufe. Ohne diese Übersicht wird jede Auskunft lückenhaft.
• Vorlagen vorbereiten – und anpassen: Ein Textgerüst spart Zeit, muss aber für jeden Einzelfall mit konkreten Angaben gefüllt werden. Prüfen Sie vor dem Versand, ob Daten Dritter oder Geschäftsgeheimnisse zu schwärzen sind.

Wir unterstützen Unternehmen dabei, Auskunftsersuchen rechtssicher und ohne unnötigen Aufwand zu beantworten – von der Prozessvorlage bis zur Formulierung im laufenden Konflikt. Wenn bei Ihnen gerade ein Antrag liegt und die Frist läuft, sprechen Sie uns kurzfristig an.