Auskunftsersuchen Art. 15 DSGVO: Was Arbeitgeber jetzt tun müssen
Zwei Wochen nach der Kündigung liegt ein Auskunftsersuchen Art. 15 DSGVO im Postfach: „Hiermit verlange ich eine Kopie sämtlicher zu meiner Person gespeicherter Daten.“ Was wie eine Formalie aussieht, ist in der Praxis meist ein strategischer Zug im Kündigungsschutz- oder Abfindungsverfahren. Und es ist der Moment, in dem Ihre gesamte Datenverarbeitung im Personalbereich auf den Prüfstand kommt.
Das Wichtigste in Kürze
- Frist: ein Monat ab Eingang – verlängerbar um zwei Monate, aber nur mit rechtzeitiger, begründeter Mitteilung.
- Nicht ignorieren, nicht überstürzt alles herausschicken. Beides ist gleich riskant.
- Der Anspruch ist weit, aber nicht grenzenlos – Rechte Dritter, Geschäftsgeheimnisse und Verhältnismäßigkeit setzen Grenzen.
- Nach dem Grund fragen dürfen Sie – verlangen können Sie ihn nicht. Das Motiv ist für den Anspruch grundsätzlich unerheblich.
- Dokumentieren Sie den gesamten Vorgang – Fristberechnung, Recherche, Schwärzungsgründe, Versand.
- Rechtlich prüfen lassen, bevor die Auskunft rausgeht: Sie ist Beweismittel im Parallelverfahren.
Warum das Auskunftsersuchen fast nie allein kommt
In der Beratungspraxis lassen sich vier Motive unterscheiden – und jedes verlangt eine andere Reaktion:
- Ausforschung im Kündigungsschutzprozess. Der Anspruch wird genutzt, um an interne Vermerke, Leistungsbewertungen oder E-Mails der Vorgesetzten zu gelangen, die im arbeitsgerichtlichen Verfahren sonst nicht zugänglich wären.
- Druckaufbau in der Abfindungsverhandlung. Der Aufwand der Beantwortung ist das eigentliche Argument: Wer weiß, wie teuer eine saubere Auskunft ist, kalkuliert das in die Vergleichssumme ein.
- Vorbereitung eines Schadensersatzanspruchs nach Art. 82 DSGVO – häufig kombiniert mit der Beschwerde bei der Aufsichtsbehörde.
- Echtes Informationsinteresse, etwa bei Verdacht auf heimliche Überwachung, Videoaufzeichnung oder Leistungsprofile.
Für die Rechtspflicht spielt das Motiv keine Rolle – für Ihre Strategie sehr wohl. Wer erkennt, dass parallel ein Arbeitsgerichtsverfahren läuft, formuliert die Auskunft anders als bei einer reinen Routineanfrage.
Was Art. 15 DSGVO tatsächlich verlangt
Der Anspruch besteht aus zwei Teilen, die in der Praxis oft vermischt werden:
- Die Auskunft selbst (Art. 15 Abs. 1): Bestätigung der Verarbeitung sowie Angaben zu Zwecken, Datenkategorien, Empfängern, Speicherdauer, Betroffenenrechten, Beschwerderecht, Datenherkunft und automatisierter Entscheidungsfindung.
- Die Kopie der Daten (Art. 15 Abs. 3): eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind.
Der zweite Punkt ist der Streitpunkt. Nach der Rechtsprechung des EuGH meint „Kopie“ eine originalgetreue Reproduktion der Daten; vollständige Kopien von Dokumenten oder Datenbankauszügen sind dann geschuldet, wenn sie erforderlich sind, damit die betroffene Person ihre Rechte wirksam ausüben und den Kontext der Daten verstehen kann. Das ist keine Pauschalpflicht zur Herausgabe der halben Personalakte – aber auch keine Freikarte für eine dürre Tabelle.
| Regelmäßig erfasst | Regelmäßig nicht oder nur eingeschränkt |
|---|---|
| Stammdaten, Vertrags- und Abrechnungsdaten, Zeiterfassung, Urlaubs- und Krankheitsdaten, Zielvereinbarungen und Beurteilungen, Abmahnungen, Bewerbungsunterlagen, betriebliche Kommunikation mit Personenbezug, Zugangs- und Protokolldaten, Videoaufzeichnungen | Daten anderer Beschäftigter, Geschäftsgeheimnisse, interne rechtliche Bewertungen und Verteidigungsstrategien, Angaben, die Rückschlüsse auf Hinweisgeber zulassen, Informationen ohne Personenbezug |
Praxishinweis: Nicht jede E-Mail, in der ein Name auftaucht, ist herauszugeben. Entscheidend ist, ob es sich um personenbezogene Daten über die anfragende Person handelt oder ob sie nur als Absender oder Empfänger vorkommt. Diese Abgrenzung sollte begründet und dokumentiert werden – sie ist der häufigste Angriffspunkt der Gegenseite.
Die Frist: ein Monat – und wie Sie sie verlängern
ab Eingang des Ersuchens (Art. 12 Abs. 3 DSGVO). Bei besonderer Komplexität oder einer hohen Zahl von Anträgen ist eine Verlängerung um zwei weitere Monate möglich – Sie müssen die betroffene Person darüber aber innerhalb des ersten Monats unter Angabe der Gründe informieren.
Drei Punkte, an denen es in der Praxis scheitert:
- Die Frist läuft ab Eingang im Unternehmen, nicht ab Kenntnis der Geschäftsführung oder der Rechtsabteilung. Ein Ersuchen an das allgemeine Info-Postfach genügt.
- Rückfragen halten die Frist nicht an. Eine Bitte um Konkretisierung ist zulässig und oft sinnvoll, verschafft aber keine zusätzliche Zeit.
- Die Verlängerung muss begründet werden. Ein formloser Hinweis „wir brauchen länger“ ohne Grund erfüllt die Anforderung nicht.
Grenzen des Anspruchs – was Sie nicht herausgeben müssen
- Rechte und Freiheiten anderer Personen (Art. 15 Abs. 4 DSGVO): Daten von Kollegen, Kunden oder Hinweisgebern werden geschwärzt. Wichtig ist die Einzelfallabwägung – pauschale Schwärzung ganzer Dokumente wird von Gerichten regelmäßig beanstandet.
- Geschäftsgeheimnisse und Rechte des Verantwortlichen, soweit sie durch die Auskunft offengelegt würden.
- Offenkundig unbegründete oder exzessive Anträge (Art. 12 Abs. 5 DSGVO), etwa bei mehrfacher identischer Wiederholung in kurzer Zeit. Die Nachweislast liegt allerdings bei Ihnen, und die Hürde ist hoch.
- Einschränkungen nach nationalem Recht, insbesondere die Ausnahmen des § 34 BDSG.
- Unverhältnismäßiger Aufwand bei der Durchsuchung von Sicherungskopien – eine Abwägung, die zu treffen und zu dokumentieren ist, keine automatische Ausnahme.
Was nicht trägt: Der Einwand, das Ersuchen diene nur der Vorbereitung des Arbeitsgerichtsprozesses. Der EuGH hat klargestellt, dass die betroffene Person ihr Verlangen nicht begründen muss und die Motive für den Anspruch grundsätzlich unerheblich sind. Wer allein damit argumentiert, verliert Zeit und Glaubwürdigkeit.
Der Praxisplan: acht Schritte bis zur sauberen Auskunft
- Eingang dokumentieren. Datum, Uhrzeit, Eingangsweg, Wortlaut. Damit steht die Frist.
- Identität prüfen. Bei begründeten Zweifeln dürfen Sie zusätzliche Informationen anfordern – aber nicht routinemäßig eine Ausweiskopie verlangen.
- Umfang klären. Bei sehr breiter Anfrage: höflich um Präzisierung bitten, gleichzeitig die eigene Recherche starten.
- Datenlandkarte abarbeiten: HR-System, Personalakte (auch Papier), Lohnbuchhaltung, Zeiterfassung, E-Mail und Kalender, Ticketsysteme, CRM, Chat-Tools, Zutritts- und Videosysteme, Backups, externe Dienstleister.
- Zusammenstellen und schwärzen. Jede Schwärzung mit Grund versehen – dokumentenweise, nicht pauschal.
- Auskunftsschreiben strukturieren: zuerst die Pflichtangaben nach Art. 15 Abs. 1, dann die Datenkopie mit Verzeichnis der Anlagen.
- Rechtliche Prüfung vor Versand. Insbesondere bei laufendem Arbeitsgerichtsverfahren.
- Nachweisbar versenden und den gesamten Vorgang in einer Aktennotiz sichern.
Frist läuft? Lassen Sie die Auskunft prüfen, bevor sie rausgeht.
Ich prüfe Umfang, Grenzen und Formulierung – und sorge dafür, dass die Auskunft nicht zur Vorlage für den nächsten Anspruch wird.
Was bei Fehlern droht
- Schadensersatz nach Art. 82 DSGVO. Ein bloßer Verstoß genügt nach der Rechtsprechung des EuGH nicht, ein Schaden ist darzulegen. In der Instanzrechtsprechung werden bei verspäteter oder unvollständiger Auskunft dennoch regelmäßig Beträge zugesprochen – meist drei-, teils vierstellig, in Kombination mit weiteren Verstößen auch mehr.
- Beschwerde bei der Aufsichtsbehörde – und damit ein Prüfverfahren mit eigenem Fragenkatalog, das sich schnell vom Einzelfall auf Ihre gesamte HR-Datenverarbeitung ausweitet.
- Bußgeld nach Art. 83 Abs. 5 DSGVO, das bei Verstößen gegen Betroffenenrechte den höheren Rahmen eröffnet.
- Prozessuale Nachteile: Was Sie herausgeben, liegt am nächsten Verhandlungstag auf dem Richtertisch. Was Sie zu Unrecht zurückhalten, wird eingeklagt – mit Kostenfolge.
Die sieben teuersten Fehler
- Die Anfrage im Postfach liegen lassen, weil sie „keine offizielle Klage“ ist.
- Aus Reflex alles herausschicken – inklusive interner Bewertungen, Daten Dritter und Vermerke, die niemand sehen sollte.
- Pauschal schwärzen, ohne die Gründe je Dokument festzuhalten.
- Die Verlängerung nicht oder zu spät ankündigen.
- Nur das HR-System abfragen und Postfächer, Chats, Zeiterfassung und Backups vergessen – die Lücke fällt spätestens im Prozess auf.
- Die Auskunft ohne Blick auf das Parallelverfahren formulieren.
- Den Vorgang nicht dokumentieren. Später lässt sich dann weder Fristwahrung noch Sorgfalt beweisen.
Warum sich anwaltliche Begleitung hier fast immer rechnet
- Zwei Verfahren, eine Linie. Auskunft und Kündigungsschutzprozess müssen zusammen gedacht werden – sonst liefert die eine Seite Munition für die andere.
- Umfangsbestimmung mit Begründung. Der Unterschied zwischen „wir geben alles“ und „wir geben das Geschuldete, nachvollziehbar begründet“ ist bares Geld und deutlich weniger Risiko.
- Vertraulichkeit der Aufarbeitung. Was im Mandat geprüft wird, ist besser geschützt als ein interner Bericht, der später selbst Gegenstand der Auskunft werden kann.
- Abwehr des Nachgangs. Auf die Auskunft folgt oft die Schadensersatzforderung. Wer sauber geantwortet hat, steht dann deutlich besser da.
- Prozess statt Einzelfall. Nach dem ersten Ersuchen kommt meist ein zweites – wir richten den Ablauf so ein, dass der nächste Fall Routine ist.
Vorbeugen: So wird das nächste Ersuchen zur Routine
- Datenlandkarte für den Personalbereich erstellen: Welche Systeme enthalten Beschäftigtendaten, wer hat Zugriff, wie lange wird gespeichert?
- Löschkonzept umsetzen. Was gelöscht ist, muss nicht herausgegeben werden – und die konsequente Löschung ist zugleich Pflicht.
- Interner Ablaufplan mit Verantwortlichkeiten, Fristenkalender und Musterschreiben.
- Führungskräfte schulen – insbesondere zu dem, was in E-Mails und Vermerken über Beschäftigte geschrieben wird. Vieles, was Auskunftsersuchen teuer macht, entsteht Jahre vorher in einem unbedachten Satz.
- Verträge mit Dienstleistern prüfen: Ihr Payroll- oder Ticketanbieter muss Sie bei der Beantwortung unterstützen – geregelt wird das im Auftragsverarbeitungsvertrag.
Auskunftsersuchen erhalten? Ich unterstütze Sie.
Von der Fristenkontrolle über die Umfangsbestimmung bis zur fertigen Auskunft – abgestimmt auf ein eventuell laufendes Arbeitsgerichtsverfahren.
So läuft es ab:
- Sie senden mir das Ersuchen und eine kurze Übersicht der betroffenen Systeme.
- Wir klären Frist, Umfang, Grenzen und den Umgang mit Parallelverfahren.
- Auf Wunsch erstelle ich das Auskunftsschreiben und übernehme die Korrespondenz.
Rechtsanwalt Brian Scheuch · Bürgerstr. 12B, 31275 Lehrte ·
kontakt@ra-scheuch.de
Bundesweite Beratung von Unternehmen im Beschäftigtendatenschutz.
Häufige Fragen
Wie lange haben wir Zeit, ein Auskunftsersuchen zu beantworten?
Grundsätzlich einen Monat ab Eingang. Bei Komplexität oder hoher Zahl von Anträgen ist eine Verlängerung um zwei Monate möglich – die betroffene Person muss darüber aber innerhalb des ersten Monats unter Angabe der Gründe informiert werden (Art. 12 Abs. 3 DSGVO).
Müssen wir alle E-Mails herausgeben, in denen der Name vorkommt?
Nicht automatisch. Geschuldet sind die personenbezogenen Daten und eine Kopie davon. Vollständige Dokumentenkopien sind nach der EuGH-Rechtsprechung nur dann erforderlich, wenn die betroffene Person ihre Rechte sonst nicht wirksam ausüben kann. Die Abgrenzung sollte begründet dokumentiert werden.
Dürfen wir nach dem Grund des Ersuchens fragen?
Fragen ja, verlangen nein. Nach der Rechtsprechung des EuGH muss das Verlangen nicht begründet werden, die Motive sind für den Anspruch grundsätzlich unerheblich. Eine Rückfrage zur Präzisierung des Umfangs ist bei sehr umfangreichen Verarbeitungen gleichwohl zulässig.
Was ist mit Daten anderer Personen in denselben Dokumenten?
Das Auskunftsrecht darf die Rechte anderer nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Daten Dritter, Geschäftsgeheimnisse und geschützte interne Informationen werden geschwärzt – mit nachvollziehbarer Begründung je Dokument, nicht pauschal.
Was kostet uns eine fehlerhafte oder verspätete Auskunft?
Möglich sind Beschwerde und Prüfverfahren bei der Aufsichtsbehörde, ein Bußgeld sowie Schadensersatz nach Art. 82 DSGVO. Ein bloßer Verstoß genügt nach EuGH-Rechtsprechung nicht, ein Schaden ist darzulegen – in der Instanzrechtsprechung werden dennoch regelmäßig Beträge zugesprochen.
Können wir ein Ersuchen als rechtsmissbräuchlich zurückweisen?
Nur in engen Grenzen. Offenkundig unbegründete oder exzessive Anträge können nach Art. 12 Abs. 5 DSGVO zurückgewiesen werden; die Nachweislast liegt bei Ihnen. Der taktische Einsatz im Kündigungsschutzverfahren genügt für sich genommen nicht.
Müssen wir auch Backups durchsuchen?
Der Anspruch erfasst die verarbeiteten Daten unabhängig vom Speicherort. Bei Sicherungskopien ist abzuwägen, was mit verhältnismäßigem Aufwand auffindbar ist. Entscheidend ist, dass Sie die Abwägung treffen und dokumentieren, statt das Thema stillschweigend zu übergehen.
Wie beweisen wir, dass wir fristgerecht und vollständig geantwortet haben?
Über nachweisbare Zustellung und eine Aktennotiz mit Eingangsdatum, Fristberechnung, durchsuchten Systemen, Schwärzungsgründen und Versanddatum. Diese Dokumentation ist im späteren Verfahren häufig wertvoller als die Auskunft selbst.
Dieser Beitrag gibt den Rechtsstand zum Zeitpunkt der Veröffentlichung wieder und stellt eine allgemeine Information dar, keine Rechtsberatung im Einzelfall. Für eine verbindliche Einschätzung Ihres Falls nehmen Sie bitte Kontakt auf.