Auskunft nach Artikel 15: Was Ihr Tracking herausgeben muss

Was Artikel 15 tatsächlich verlangt

Artikel 15 ist zweigeteilt und wird im Alltag regelmäßig auf die zweite Hälfte verkürzt. Absatz 1 gibt der betroffenen Person zunächst eine Bestätigung darüber, ob überhaupt Daten verarbeitet werden, und dazu acht benannte Informationen. Erst Absatz 3 verpflichtet zusätzlich zur Kopie der Daten selbst (Amtsblatt der EU). Wer nur eine Tabelle verschickt, hat den kleineren Teil erledigt und den größeren übersehen: Zwecke, Kategorien, Empfänger, Speicherdauer und Herkunft sind eigenständige Auskunftsgegenstände, keine Fußnote zur Datei. Zur Kopie hat der Gerichtshof der Europäischen Union klargestellt, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten auszufolgen ist (Gerichtshof der Europäischen Union). Eine Rohtabelle mit Spaltennamen wie dt und ev_t ist originalgetreu, aber typischerweise nicht verständlich.

Für eine Website mit Reichweitenmessung heißt das konkret: Der Antrag betrifft nicht nur das Kundenkonto, sondern jede Stelle, an der ein Personenbezug entstehen kann. Der Europäische Datenschutzausschuss verlangt die Suche über sämtliche IT-Systeme und über Ablagen außerhalb der IT hinweg, und zwar anhand von Suchkriterien, die der Struktur der Daten entsprechen (Europäischer Datenschutzausschuss). Analytics, Formularauswertung, Sitzungsaufzeichnung, Serverprotokolle, Fehlerberichte, Newsletter-Zustellprotokolle: Jedes dieser Systeme ist ein eigener Fundort. Wer diese Landkarte erst zeichnet, wenn der Antrag schon liegt, verbraucht die Frist mit Suchen statt mit Antworten. Sie gehört in dieselbe Dokumentation wie das Verzeichnis der Verarbeitungstätigkeiten und die Datenschutz-Folgenabschätzung beim Web-Tracking.

• Zwecke: wofür verarbeitet wird - bei Reichweitenmessung typischerweise die Auswertung der Nutzung, nicht die Werbeansprache.
• Kategorien: welche Arten von Daten anfallen, etwa Seitenaufrufe, Verweildauer, Geräteklasse, Herkunftsland.
• Empfänger: an wen offengelegt wurde. Der Gerichtshof verlangt hier die Identität der Empfänger, nicht nur deren Kategorie (Gerichtshof der Europäischen Union).
• Speicherdauer: die geplante Dauer oder, wenn das nicht möglich ist, die Kriterien für ihre Festlegung - der Punkt, an dem ein dokumentiertes Löschkonzept die Antwort in einem Satz erledigt.
• Rechte: Berichtigung, Löschung, Einschränkung, Widerspruch und das Beschwerderecht bei einer Aufsichtsbehörde.
• Herkunft: alle verfügbaren Informationen über die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden (Amtsblatt der EU).
• Automatisierte Entscheidungen: ob es sie gibt und, wenn ja, aussagekräftige Informationen über die involvierte Logik.
• Drittlandübermittlung: die geeigneten Garantien nach Artikel 46, falls Daten ein Drittland erreichen (Amtsblatt der EU).

Die erste Weiche: Ist die Person in Ihren Daten auffindbar?

Artikel 11 regelt den Fall, dass die Zwecke der Verarbeitung eine Identifizierung nicht erfordern. Kann der Verantwortliche nachweisen, dass er die Person nicht identifizieren kann, finden die Artikel 15 bis 20 keine Anwendung - es sei denn, die Person stellt selbst zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen (Amtsblatt der EU). Das ist keine Hintertür, sondern eine Zuständigkeitsregel mit einer klaren Gegenrichtung: Sie dürfen keine Daten zusätzlich erheben, nur um künftig auskunftsfähig zu sein. Erwägungsgrund 64 sagt das ausdrücklich - ein Verantwortlicher sollte personenbezogene Daten nicht allein zu dem Zweck speichern, auf mögliche Auskunftsersuchen reagieren zu können (Amtsblatt der EU).

Der Europäische Datenschutzausschuss zieht die Grenze an einem Beispiel, das für Websites unmittelbar einschlägig ist. Wer Profile für verhaltensbasierte Werbung führt und die Person über die Kennung im Endgerät ansprechen kann, kann sie auch für die Auskunft zuordnen; dieser Fall fällt nach den Leitlinien nicht unter Artikel 11 (Europäischer Datenschutzausschuss). Kommt derselbe Antrag dagegen per E-Mail oder per Post, bleibt dem Verantwortlichen nach dieser Lesart nur, zusätzliche Informationen im Sinne von Artikel 12 Absatz 6 zu erfragen - und diese zusätzliche Information ist dann genau die im Endgerät gespeicherte Cookie-Kennung (Europäischer Datenschutzausschuss). Wer ohne Kennung im Endgerät misst, hat an dieser Weiche schlicht nichts zu übergeben. Er muss das allerdings begründen können, nicht behaupten.

Die zweite Weiche: Welche Quelle trägt die Daten?

Ist die Zuordnung möglich, entscheidet die Quelle über den Umfang. Ein Konto liefert Stammdaten, eine Formularauswertung liefert Feldverläufe, eine Reichweitenmessung liefert Ereignisse mit Zeitstempel, ein Serverprotokoll liefert Adressdaten und Anfragezeilen. Diese Quellen unterscheiden sich nicht nur im Inhalt, sondern auch im Personenbezug: Ein Serverprotokoll enthält die IP-Adresse als unmittelbaren Anknüpfungspunkt, eine cookielose Messung typischerweise nur einen abgeleiteten, regelmäßig wechselnden Wert. Wer beides in einen Topf wirft, gibt entweder zu viel heraus - und beeinträchtigt damit die Rechte und Freiheiten anderer Personen, was Artikel 15 Absatz 4 gerade ausschließt (Amtsblatt der EU) - oder zu wenig. Wie eine Website die Besucheradresse hinter Proxys überhaupt korrekt ermittelt, beschreibt der Beitrag zur echten Besucher-IP hinter Proxy und CDN.

Die Zeile zur cookielosen Messung ist der Kern des Aufwandsunterschieds. Wer ohne Kennung im Endgerät misst, führt kein wiedererkennbares Profil und kann deshalb, wenn die betroffene Person nichts beisteuert, an dieser Stelle keine personenbezogene Kopie erstellen. Das ist kein Vorteil im Sinne einer Ausnahme, sondern die Folge einer Gestaltungsentscheidung, die lange vor dem ersten Antrag getroffen wurde. Sie kostet Auswertungsschärfe bei wiederkehrenden Besuchern und spart dafür an jedem einzelnen Antrag Zeit. Wie sich Nutzung ohne Wiedererkennungskennung trotzdem aussagekräftig auswerten lässt, zeigt der Beitrag zur Aufmerksamkeit über Scrolltiefe statt Absprungrate.

Die Frist: ein Monat, im Ausnahmefall drei

Die Auskunft ist unverzüglich zu erteilen, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags; diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist (Amtsblatt der EU). Die Verlängerung ist kein stiller Vorgang: Die betroffene Person ist innerhalb des ersten Monats über die Fristverlängerung und über die Gründe für die Verzögerung zu unterrichten. Wer gar nicht tätig wird, schuldet spätestens nach einem Monat eine Mitteilung über die Gründe und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen (Amtsblatt der EU).

Was die Verlängerung nicht trägt, hat der Europäische Datenschutzausschuss deutlich formuliert: Der bloße Umstand, dass die Erfüllung des Antrags einen großen Aufwand erfordern würde, macht einen Antrag nicht komplex (Europäischer Datenschutzausschuss). Ebenso wenig wird ein Antrag allein dadurch exzessiv, dass seine Beantwortung sehr viel Zeit und Mühe kostet (Europäischer Datenschutzausschuss). Auch die Motive der Person sind kein Prüfpunkt - Betroffene sind nicht verpflichtet, Gründe zu nennen oder ihren Antrag zu rechtfertigen (Europäischer Datenschutzausschuss). Der Gerichtshof der Europäischen Union hat 2026 allerdings ergänzt, dass bereits ein erster Antrag als exzessiv angesehen werden kann, wenn der Verantwortliche in Ansehung aller Umstände eine missbräuchliche Absicht nachweist (Gerichtshof der Europäischen Union). Die Nachweislast bleibt dabei durchgehend beim Verantwortlichen (Amtsblatt der EU). Als tragfähiger Grund für mehr Zeit gilt dagegen eine vorübergehend außergewöhnlich hohe Zahl von Anträgen, etwa nach ungewöhnlich starker Aufmerksamkeit für das eigene Unternehmen (Europäischer Datenschutzausschuss).

Was die Aufsicht dazu erhoben hat

Die koordinierte Prüfung des Europäischen Datenschutzausschusses aus dem Jahr 2024 ist der bislang breiteste Datenpunkt zu diesem Recht. 30 Datenschutzbehörden leiteten abgestimmte Untersuchungen ein; 1185 Verantwortliche aus kleinen und mittleren Unternehmen, aus Großunternehmen und aus dem öffentlichen Bereich beantworteten die Fragebögen (Europäischer Datenschutzausschuss). Sieben Herausforderungen wurden benannt, und eine davon ist das Fehlen dokumentierter interner Verfahren für die Bearbeitung von Auskunftsanträgen (Europäischer Datenschutzausschuss). Zugleich bewerteten zwei Drittel der beteiligten Behörden den Erfüllungsgrad der antwortenden Verantwortlichen zwischen durchschnittlich und hoch (Europäischer Datenschutzausschuss). Wer also nur ein Postfach hat und keinen Ablauf, ist damit nicht die Ausnahme, sondern der beschriebene Regelfall.

Deutschland liefert die Zahl aus der Praxis dazu. Das Bayerische Landesamt für Datenschutzaufsicht verzeichnete für 2025 insgesamt 9746 Beschwerden und Kontrollanregungen, ein Anstieg um 61 Prozent gegenüber dem Vorjahr (Bayerisches Landesamt für Datenschutzaufsicht). Der Tätigkeitsbericht schildert außerdem einen Fall, in dem ein Verantwortlicher ein Auskunftsersuchen unbeantwortet ließ, einen bestandskräftigen Bescheid und mehrere Zwangsgeldandrohungen ignorierte und am Ende mit zwei Geldbußen in einer Gesamthöhe von 50.000 Euro belegt wurde (Bayerisches Landesamt für Datenschutzaufsicht). Der teure Teil war dabei nicht die Auskunft, sondern das Schweigen. Welche Verstöße in der Praxis sonst noch teuer werden, ordnet der Beitrag zu typischen DSGVO-Bußgeldern ein.

Der Ablauf: acht Schritte bis zur Antwort

Ein Ablauf ist kein Formular, sondern eine Reihenfolge mit Zuständigkeit und Datum. Die folgende Kette deckt den Regelfall ab und lässt an jeder Stelle offen, wo eine Entscheidung dokumentiert werden muss. Sie ersetzt keine juristische Prüfung im Einzelfall, aber sie verhindert den häufigsten Fehler: dass drei Wochen mit Suchen vergehen und der letzte Tag mit Formulieren.

1. Eingang festhalten. Datum und Kanal notieren, denn ab dem Eingang läuft der Monat (Amtsblatt der EU). Ein Antrag ist an keine Form gebunden und muss das Wort Auskunft nicht enthalten.
2. Person zuordnen. Prüfen, ob eine Zuordnung mit den vorhandenen Mitteln gelingt. Erst bei begründeten Zweifeln an der Identität dürfen zusätzliche Informationen angefordert werden (Amtsblatt der EU).
3. Umfang klären. Verarbeitet der Verantwortliche eine große Menge von Informationen, kann er verlangen, dass die Person präzisiert, worauf sich ihr Ersuchen bezieht (Amtsblatt der EU). Diese Bitte ist eine Erleichterung, kein Grund zum Warten.
4. Quellen abfragen. Jede Stelle einzeln: Konto, Formulare, Reichweitenmessung, Sitzungsaufzeichnung, Serverprotokolle, Newsletter - und die Systeme der Auftragsverarbeiter.
5. Rechte Dritter prüfen. Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Amtsblatt der EU). Das führt in der Regel zum Unkenntlichmachen einzelner Stellen, nicht zum Zurückhalten des Vorgangs.
6. Antwort bauen. Die Informationen aus Absatz 1 in verständlicher Sprache, die Kopie als lesbare Datei. Bei elektronisch gestelltem Antrag sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen (Amtsblatt der EU).
7. Zustellen und protokollieren. Versandweg, Datum und Umfang festhalten. Dieses Protokoll ist später der Nachweis, nicht die Erinnerung der Beteiligten.
8. Nacharbeit einplanen. Fragt die Person nach, ist das in der Regel die Fortsetzung des alten Vorgangs. Erst ein erneutes, gleichlautendes Ersuchen nach abgeschlossener Bearbeitung ist ein zweiter Antrag.

Die Kopie: originalgetreu und verständlich

Der Gerichtshof der Europäischen Union hat 2023 entschieden, dass das Recht auf eine Kopie bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Das Urteil geht weiter: Auszüge aus Dokumenten oder ganze Dokumente sind zu übergeben, wenn dies unerlässlich ist, damit die Person ihre Rechte wirksam ausüben kann - wobei die Rechte und Freiheiten anderer zu berücksichtigen sind (Gerichtshof der Europäischen Union). Für Messdaten heißt das vor allem eines: Spaltennamen und Schlüssel brauchen eine Übersetzung. Ein Wert wie dt gleich m ist originalgetreu, aber nicht verständlich; Geräteklasse mobil ist beides. Eine Legende neben der Tabelle erfüllt diese Anforderung typischerweise besser als eine Umbenennung der Rohdaten, weil sie den ausgelieferten Datensatz unangetastet lässt.

from datetime import date

# Quellen je Website. None heißt: nicht abgefragt - nicht "keine Treffer".
QUELLEN = ("konto", "formulare", "messung", "aufzeichnung", "protokoll", "newsletter")


def sammeln(kennung, von, bis, abfrage):
    """Liefert je Quelle das Tripel (treffer, gemessen, grund)."""
    ergebnis = {}
    for quelle in QUELLEN:
        try:
            treffer = abfrage(quelle, kennung, von, bis)
        except LookupError as fehler:
            ergebnis[quelle] = (None, False, str(fehler))
            continue
        ergebnis[quelle] = (treffer, True, "")
    return ergebnis


def frist(eingang, erweitert=False):
    """Regelfrist ein Monat, mit Unterrichtung bis zu drei Monate."""
    monate = 3 if erweitert else 1
    jahr = eingang.year + (eingang.month - 1 + monate) // 12
    monat = (eingang.month - 1 + monate) % 12 + 1
    return date(jahr, monat, min(eingang.day, 28))


def komplett(ergebnis):
    offen = [q for q, (_, gemessen, _) in ergebnis.items() if not gemessen]
    return not offen, offen


eingang = date(2026, 9, 21)
print("Regelfrist:", frist(eingang))
print("mit Unterrichtung:", frist(eingang, erweitert=True))

Zwei Details entscheiden über die Qualität der Antwort. Erstens: Ein nicht abgefragtes System ist nicht dasselbe wie ein System ohne Treffer. Wer eine fehlgeschlagene Abfrage als keine Daten verbucht, gibt eine Auskunft ab, die er nicht gemessen hat - und genau diese Aussage steht später im Beschwerdeverfahren zur Debatte. Zweitens: Die Auskunft wird unentgeltlich zur Verfügung gestellt (Amtsblatt der EU). Ein Entgelt kommt nur für weitere Kopien in Betracht, und dann als angemessenes Entgelt auf der Grundlage der Verwaltungskosten (Amtsblatt der EU). Wer die erste Auskunft in Rechnung stellt, macht aus einem Verwaltungsvorgang einen Beschwerdegrund.

Wo die Auskunft endet

Artikel 15 ist weit, aber nicht grenzenlos. Die Grenzen sind allerdings enger, als sie im Alltag gezogen werden, und sie sind jeweils an einen Nachweis gebunden, nicht an eine Einschätzung. Wer eine Grenze zieht, sollte im selben Vorgang notieren, worauf sie sich stützt.

1. Rechte anderer. Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Amtsblatt der EU). Das führt in der Regel zum Unkenntlichmachen einzelner Stellen.
2. Fehlende Identifizierbarkeit. Nur mit Nachweis und mit Unterrichtung der Person, sofern möglich (Amtsblatt der EU).
3. Offenkundig unbegründet oder exzessiv. Den Nachweis hat der Verantwortliche zu erbringen (Amtsblatt der EU); großer Aufwand allein genügt dafür nach den Leitlinien nicht (Europäischer Datenschutzausschuss).
4. Empfänger nicht bestimmbar. Ist es nicht möglich, die Empfänger zu identifizieren, dürfen deren Kategorien genannt werden (Gerichtshof der Europäischen Union).
5. Keine Vorratsspeicherung für Auskünfte. Daten dürfen nicht allein zu dem Zweck gespeichert werden, auf mögliche Auskunftsersuchen reagieren zu können (Amtsblatt der EU).

Ein Auskunftsantrag misst nicht Ihren guten Willen, sondern Ihre Datenlandkarte. Wer weiß, welches System welche Spalte trägt, beantwortet ihn in Stunden; wer es nicht weiß, verbraucht die Frist mit der Suche nach der Frage.

— XICTRAQ

Was jetzt zu tun ist

Der erste Schritt ist kein Rechtstext, sondern eine Liste. Schreiben Sie auf, welche Systeme auf Ihrer Website personenbezogene Daten erzeugen, über welchen Schlüssel man darin sucht und wer den Export ausführen darf. Diese Liste beantwortet die zweite Weiche im Voraus. Der zweite Schritt ist eine Entscheidung über die erste Weiche: Führen Sie eine Wiedererkennungskennung im Endgerät, oder messen Sie ohne? Beide Antworten sind vertretbar, aber sie haben unterschiedliche Folgekosten je Antrag - und die Entscheidung gehört dokumentiert, bevor der erste Antrag eingeht. Wie sich beide Wege im Betrieb unterscheiden, ordnet der Überblick zur DSGVO-konformen Website-Analyse ein.

Der dritte Schritt ist eine Probe. Stellen Sie sich selbst einen Antrag, mit einer Testkennung und einem echten Zeitfenster, und messen Sie, wie lange die Zusammenstellung dauert und welche Quelle keine Antwort liefert. Was dabei auffällt, ist typischerweise nicht das fehlende Formular, sondern die fehlende Zuständigkeit für ein System, das niemand mehr auf dem Zettel hatte. Für Aufzeichnungen lohnt der Blick in die Sitzungsaufzeichnung als Erstanbieter, weil dort Maskierung und Export besonders eng zusammenhängen. Wie sich die Anforderungen insgesamt entwickelt haben, fasst der Stand der DSGVO-Anforderungen für Websites zusammen, und welche Funktionen in welchem Paket enthalten sind, steht in der Übersicht der Pakete.