Das Auskunftsrecht betroffener Personen gemäß Art. 15 Datenschutzgrundverordnung (DS-GVO) stellt Kommunen in der Praxis vor teilweise große Herausforderungen. Die nachfolgenden Hinweise sollen insbesondere kleineren Städten und Gemeinden die Erfüllung dieses komplexen Anspruches erleichtern. Sie ergänzen die Handreichung „Datenschutz in Kommunen“, welche die grundlegenden Anforderungen des Datenschutzes erläutert.
I. Personenbezogene Daten, Informationen & Kopien
Betroffene Personen – sowohl Bürgerinnen und Bürger als auch Beschäftigte der Kommune – haben gemäß Art. 15 Abs. 1 DS-GVO das Recht, von der Kommune eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, haben sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen (ansonsten muss eine Negativauskunft erfolgen, also mitgeteilt werden, dass keine personenbezogenen Daten verarbeitet werden):
- die Verarbeitungszwecke (siehe Art. 5 Abs. 1 Buchst. b DS-GVO);
- die Kategorien der verarbeiteten personenbezogenen Daten (etwa Kontaktdaten, Bankdaten oder Gesundheitsdaten);
- die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern (außerhalb des Europäischen Wirtschaftsraums) oder bei internationalen Organisationen (nach dem EuGH, Urteil vom 12.01.2023 – Rs. C-154/21, besteht grundsätzlich die Verpflichtung zur Mitteilung der Identität der Empfänger – nicht nur der Kategorien);
- die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (siehe Art. 5 Abs. 1 Buchst. e, Art. 17 DS-GVO);
- das Bestehen eines Rechts auf Berichtigung (siehe Art. 16 DS-GVO) oder Löschung (siehe Art. 17 DS-GVO) der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung (siehe Art. 18 DS-GVO) durch den Verantwortlichen oder eines Widerspruchsrechts (siehe Art. 21 DS-GVO) gegen diese Verarbeitung;
- das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (siehe Art. 77 DS-GVO);
- wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
- das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und Abs. 4 DS-GVO und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person;
- wenn personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt werden, die geeigneten Garantien gemäß Art. 46 DS-GVO im Zusammenhang mit der Übermittlung.
Mit dem Auskunftsrecht soll sich die betroffene Person gemäß Erwägungsgrund 63 Satz 1 DS-GVO der Verarbeitung bewusst sein und deren Rechtmäßigkeit überprüfen können.
Die Datenauskunft ist grundsätzlich vollständig zu erteilen. Sofern eine große Menge von Informationen über die betroffene Person verarbeitet wird (insbesondere bei langjährigen Beschäftigten oder Einwohnerinnen und Einwohnern der betreffenden Kommune), kann zunächst eine allgemein gehaltene Auskunft erteilt werden. Diese muss jedenfalls die soeben genannten grundlegenden Informationen gemäß Art. 15 Abs. 1 DS-GVO enthalten. Sodann kann die betroffene Person ihr Auskunftsrecht entsprechend des Erwägungsgrunds 63 Satz 7 DS-GVO konkretisieren. Dabei empfiehlt es sich, die Erfüllung des Auskunftsrechts im Dialog mit der betroffenen Person vorzunehmen. Wenn die betroffene Person lediglich bestimmte einzelne Dokumente beansprucht, sollten diese grundsätzlich (ggf. mit Unkenntlichmachungen, siehe dazu II.) herausgegeben werden. In besonderen Einzelfällen (bei nicht hinreichender Konkretisierung) kann dagegen ggf. auch eine erneute bzw. mehrfache Konkretisierung verlangt werden.
Auch die Herausgabe von Kopien einzelner Dokumente, Unterlagen etc. (etwa Schreiben, E-Mails oder Aktenvermerke) kann nach Art. 15 Abs. 3 DS-GVO geschuldet sein (siehe EuGH, Urteil vom 04.05.2023 – Rs. C-487/21; EuGH, Urteil vom 26.10.2023 – Rs. C-307/22). Der Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, bedeutet, dass die betroffene Person eine originalgetreue und verständliche Reproduktion aller dieser Daten erhält. Sie kann eine Kopie von Auszügen aus Dokumenten oder von ganzen Dokumenten oder von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die DS-GVO verliehenen Rechte zu ermöglichen. Es ist grundsätzlich zulässig, auch legitime datenschutzfremde Zwecke zu verfolgen (das heißt, nicht nur – entsprechend Erwägungsgrund 63 Satz 1 DS-GVO – um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können).
II. Ausnahmegründe
Das Recht auf Erhalt einer Kopie darf aber gemäß Art. 15 Abs. 4 DS-GVO, Erwägungsgrund 63 Satz 5 und Satz 6 DS-GVO die Rechte und Freiheiten anderer Personen (auch des Verantwortlichen selbst, etwa Geschäftsgeheimnisse, Rechte des geistigen Eigentums oder Hinweisgeberschutz) nicht beeinträchtigen, wobei der betroffenen Person nicht jegliche Auskunft verweigert werden darf. Kopien sind daher ggf. entsprechend zu schwärzen. Zulässig sind jedoch nur Schwärzungen, soweit eine Beeinträchtigung von Drittinteressen vorliegt. Die betroffene Person muss in der Regel über die Gründe der Schwärzungen informiert werden. Ansonsten wäre ihr eine Prüfung von deren Rechtmäßigkeit nicht möglich.
Weitere – restriktiv handhabbare – Ausnahmegründe sind in Art. 12 Abs. 5 DS-GVO normiert. Danach kann sich die Kommune bei offenkundig unbegründeten oder (insbesondere bei häufiger Wiederholung) exzessiven Anträgen weigern, aufgrund des Antrages tätig zu werden. Dafür ist diese nachweispflichtig. Ein Antrag ist jedoch nicht bereits exzessiv, wenn dieser viel Aufwand oder hohe Kosten verursacht.
Gemäß § 26 Abs. 2 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) besteht das Recht auf Auskunft der betroffenen Person nach Art. 15 DS-GVO nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen (etwa die Korrespondenz mit Rechtsanwälten). Des Weiteren enthält § 33 HDSIG Ausnahmetatbestände; etwa, wenn die personenbezogenen Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen, oder ausschließlich Zwecken der Datensicherung, der Datenschutzkontrolle oder der Sicherstellung des ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage dienen.
III. Weitere Maßgaben
Der Antrag ist an keine bestimmte Form (schriftlich, elektronisch oder mündlich) gebunden. Er ist grundsätzlich auf dem Kommunikationskanal zu erfüllen, auf dem er gestellt worden ist (siehe zu der elektronischen Antragstellung Art. 12 Abs. 3 Satz 4, Art. 15 Abs. 3 Satz 3 DS-GVO sowie Erwägungsgrund 63 Satz 4 DS-GVO). Dies gilt jedoch nur, sofern die Identität des Antragsstellers bzw. dessen (alleinige) Verfügungsgewalt über erhaltene Nachrichten sichergestellt ist. Eine Auskunft per E-Mail ist etwa nicht zu erteilen, wenn nicht verifiziert ist, dass die E-Mail-Adresse zu der Antragstellerin bzw. dem Antragsteller gehört. Die Auskunft kann an eine Vertreterin oder einen Vertreter der betroffenen Person erfolgen, sofern diese/r dafür (etwa mittels Vollmacht, welche die Wahrnehmung von Betroffenenrechten umfasst) legitimiert ist.
Der Antrag ist gemäß Art. 12 Abs. 3 DS-GVO grundsätzlich „unverzüglich“ (also ohne schuldhaftes Zögern), spätestens innerhalb eines Monats nach dessen Eingang, zu erfüllen. Diese Höchstfrist darf nicht routinemäßig, sondern lediglich in schwierigeren Konstellationen ausgeschöpft werden. Die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Dann ist die betroffene Person innerhalb eines Monats nach Eingang des Antrages, zusammen mit den Gründen für die Verzögerung, zu unterrichten.
Wenn die Kommune auf den Antrag der betroffenen Person hin nicht tätig wird, unterrichtet sie gemäß Art. 12 Abs. 4 DS-GVO die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrages über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
Wie häufig das Auskunftsrecht geltend gemacht werden kann, hängt von den Umständen des Einzelfalles ab. Dieses sollte entsprechend des Erwägungsgrunds 63 Satz 1 DS-GVO in angemessenen Abständen wahrgenommen werden können. Eine Beschränkung der Geltendmachung auf eine Auskunft pro Jahr ist in aller Regel unzulässig. Insbesondere im Falle sich ändernder Datenbestände kann das Auskunftsrecht auch kurzfristig erneut geltend gemacht werden.
Die Auskunft wird gemäß Art. 12 Abs. 5 DS-GVO grundsätzlich unentgeltlich zur Verfügung gestellt. Bei „begründeten Zweifeln“ an der Identität des Antragstellers können nach Art. 12 Abs. 6 DS-GVO zusätzliche Informationen, die zu der Bestätigung der Identität der betroffenen Person erforderlich sind, angefordert werden (etwa eine Vorgangsnummer, eine Anschrift oder die Kopie des Personalausweises mitsamt einem Hinweis auf die Möglichkeit von Schwärzungen nicht erforderlicher Angaben wie Personalausweisnummer, Augenfarbe und Größe). Eine voraussetzungslose Anforderung weiterer Informationen ist jedoch nicht zulässig.
Neben dem Auskunftsrecht nach Art. 15 DS-GVO bestehen das Recht auf Akteneinsicht nach § 29 Hessisches Verwaltungsverfahrensgesetz (HVwVfG) sowie – soweit dessen Anwendung durch Satzung entsprechend § 81 Abs. 1 Nr. 7 HDSIG gegenüber öffentlichen Stellen der Gemeinden und Landkreise ausdrücklich bestimmt wird – der Anspruch auf Informationszugang gemäß § 80 HDSIG. Diese Rechte können unabhängig von dem Auskunftsrecht nach Art. 15 DS-GVO geltend gemacht werden und unterliegen eigenständigen Voraussetzungen.
Der Prozess für die Erteilung von Auskunftsersuchen ist vorab organisatorisch – unter Einbindung der/des behördlichen Datenschutzbeauftragten – festzulegen und regelmäßig zu evaluieren.
Weiterführende Hinweise können den Leitlinien 01/2020 des Europäischen Datenschutzausschusses zu den Rechten der betroffenen Person - AuskunftsrechtÖffnet sich in einem neuen Fenster entnommen werden.
Stand: 29.10.2025