Schlagwort: Art. 12

Die DS-GVO sichert Betroffenen mit Art. 15 das Recht zu, von Verantwortlichen jederzeit eine Bestätigung darüber zu verlangen, ob diese ihre Daten verarbeiten. Ist dies der Fall, steht den Betroffenen eine detaillierte Auskunft über die Verarbeitung ihrer personenbezogenen Daten sowie die Ausfertigung einer Datenkopie zu. Wie die Erfahrung vieler Schulen und auch Berichte in der Fachpresse zeigen, machen Betroffene zunehmend von diesem Recht Gebrauch.

Hintergrund des Auskunftsrechts ist es, Betroffenen eine Möglichkeit zu geben, ihr Recht auf informationelle Selbstbestimmung auszuüben. Können Betroffene sich einen Überblick über die Verarbeitung ihrer Daten verschaffen, dann haben sie in der Folge nicht nur die Möglichkeit die Rechtmäßigkeit der Verarbeitung zu überprüfen, sondern auch, von weiteren Betroffenenrechten Gebrauch zu machen – etwa eine Löschung, Berichtigung oder Einschränkung der Verarbeitung zu beantragen, einer Verarbeitung zu widersprechen, eine Einwilligung ganz oder in Teilen zu widerrufen oder sich bei einer Aufsichtsbehörde zu beschweren.

Machen Betroffene von ihrem Recht auf Auskunft Gebrauch, dann, so zeigt die Erfahrung ebenfalls, geht es im schulischen Alltag sehr oft weniger um das eigentliche Recht auf informationelle Selbstbestimmung. Häufig steht das Auskunftsbegehren im Kontext von tiefergehenden Auseinandersetzungen mit den Verantwortlichen, die völlig andere Hintergründe haben. Dies ändert aber nichts an der Tatsache, dass Verantwortliche dem Auskunftsbegehren nachkommen müssen.

Für Schulen ist die Beantwortung von Auskunftsersuchen keinesfalls eine Routineaufgabe. In der Regel müssen mehrere Personen eingebunden werden, um alle Bereiche der schulischen Datenverarbeitung lückenlos zu erfassen. Aus Unkenntnis der rechtlichen Vorgaben werden dabei häufig Fehler bei der Beantwortung gemacht.

Werden Anfragen in der Ferienzeit oder kurz davor gestellt, ist es für Schulen personell und organisatorisch kaum möglich, diese zeitnah und in vollem Umfang zu bearbeiten. Betroffene, die Auskunftsanfragen nutzen, um Schulen als Revanche für ein nach ihrem Empfinden erlittenes Unrecht unter Druck zu setzen, legen häufig besonderen Wert auf die strikte Einhaltung von Fristen. Manche setzen sogar eigenmächtig kürzere Fristen, wie dem Verfasser bekannte Fälle zeigen.

Ist das Verhältnis zwischen den Betroffenen und der Schule ohnehin schon angespannt, eskaliert die Situation durch eine solche Auskunftsanfrage schnell. Betroffene suchen dann häufig Unterstützung bei der zuständigen Aufsichtsbehörde. Diese fordert die Schule in der Folge zu einer Stellungnahme auf – insbesondere dazu, warum gesetzliche Fristen versäumt wurden und/oder warum die erteilte Auskunft unvollständig ist.

Und damit kommen wir zu den Fristen, um die es in diesem Beitrag gehen soll. Sehr häufig liest man, dass die Auskunftsanfrage innerhalb einer Monatsfrist beantwortet werden muss, beantwortet im Sinne von Auskunft erteilen gemäß Art. 15 DS-GVO.

Bei der LDI NRW geht man, wie einem Schreiben an eine Schule zu entnehmen ist, davon aus, dass Verantwortliche

“personelle und organisatorische Maßnahmen [ergreifen], die eine zügige Bearbeitung entsprechender Anträge ermöglichen, und [es ermöglichen, dass] Auskunftsansprüche betroffener Personen innerhalb der in Art. 12 Abs. 3 DS-GVO genannten Frist erfüllt werden.”

Auch auf der von der intersoft consulting betriebenen Website dsgvo-gesetz.de findet sich unter
Themen > Auskunftsrecht der betroffenen Person eine inhaltlich ähnliche Formulierung:

“Auskunftserteilungen müssen nach Art. 12 Abs. 3 DSGVO unverzüglich erfolgen, spätestens aber innerhalb eines Monats. Nur in begründeten Ausnahmefällen darf die Monatsfrist überschritten werden.”

Demnach müssen Verantwortliche innerhalb einer Frist von einem Monat eine Auskunftsanfrage nicht nur beantworten, sondern auch erfüllen, indem die angefragte Auskunft vollständig erteilt wird. Der oder die Betroffene erhält dabei alle Informationen gemäß Artikel 15 Abs. 1 DS-GVO sowie die dazugehörige Datenkopie.

Vergleichbare Aussagen zum Auskunftsrecht finden sich an sehr vielen anderen Stellen. Auch in den führenden Kommentaren zu Art. 12 Abs. 3 DS-GVO. In einem der Standardwerke grenzt man das Recht auf Auskunft (sowie das Recht auf Datenübertragbarkeit) bezüglich der Fristenumsetzung sogar ausdrücklich von den übrigen Betroffenenrechten ab:

“Bei den Auskunftsansprüchen der betroffenen Person aus Art. 15 und bei dem Recht auf Datenübertragbarkeit aus Art. 20 besteht die Positivantwort darin, dass der Verantwortliche der betroffenen Person die begehrten Informationen mitteilt bzw. Daten herausgibt. Bei den anderen Betroffenenrechten muss der Verantwortliche die betroffene Person darüber informieren, welche Maßnahmen er auf ihren Antrag hin ergriffen hat.”¹Kühling/Buchner/Bäcker, 4. Aufl. 2024, DS-GVO Art. 12 Rn. 32, beck-online

Eine „Positivantwort“ meint in diesem Kontext, dass tatsächlich Daten zur betroffenen Person vorliegen und dem Auskunftsersuchen folglich inhaltlich nachgekommen werden muss. Der Kommentar verschärft diese Pflicht im nächsten Textabschnitt sogar noch weiter:

“Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat.”²Kühling/Buchner/Bäcker, 4. Aufl. 2024, DS-GVO Art. 12 Rn. 33, beck-online

Schaut man direkt in den angeführten Art. 12 Abs. 3 DS-GVO, dann findet sich dort besagte Monatsfrist mit der Möglichkeit, diese unter bestimmten Bedingungen zu verlängern. Art. 12 bezieht sich allgemein auf die Modalitäten für die Ausübung der Rechte der betroffenen Person. Es geht an dieser Stelle also nicht exklusiv um das Recht auf Auskunft, sondern um alle Betroffenenrechte. Für die Umsetzung der Rechte aus den Artikeln 15 bis 22 setzt die DS-GVO den Verantwortlichen eine feste zeitliche Frist und bildet damit eine einheitliche Klammer für alle Betroffenenrechte, egal ob Auskunft, Löschung oder Berichtigung.

“Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.”

Man findet innerhalb der in der Praxis regelmäßig referenzierten Vorgabe von Art. 12 Abs. 3 DS-GVO bei genauem Hinsehen keinen expliziten Hinweis darauf, dass innerhalb dieser Frist der Antrag der betroffenen Person bereits vollständig umgesetzt und final erfüllt sein muss. Die Vorgabe beschränkt sich laut Wortlaut auf eine reine Information über die ergriffenen Maßnahmen.

Im konkreten Fall eines Auskunftsersuchens könnte dies beispielsweise die Information an die betroffene Person sein, dass die entsprechenden Lehrkräfte oder Abteilungen mit der Zusammenstellung der Übersicht gemäß Art. 15 Abs. 1 DS-GVO beauftragt, die Vorbereitung der Datenkopie in die Wege geleitet sowie etwaige externe Auftragsverarbeiter (wie z. B. die Betreiber von Schulplattformen) für die Bereitstellung von Datenexporten kontaktiert wurden.

Das Auskunftsrecht beschäftigt nicht nur die Schulen und im Falle von Beschwerden auch die Aufsichtsbehörden. Es sorgt vielmehr auch für eine stetig wachsende Zahl von Verfahren vor den Gerichten, wobei das Auskunftsrecht, dies sei nebenbei bemerkt, auch hier von den betroffenen Personen häufig zweckentfremdet eingesetzt wird.

Anders als Aufsichtsbehörden haben Gerichte in Streitfällen das letzte Wort. Während in der Vergangenheit Gerichte bezüglich der zeitlichen Umsetzung des Auskunftsrechts überwiegend die Rechtsauffassung der Aufsichtsbehörden und Fachkommentare vertraten, gibt es mittlerweile auch Gerichte, welche näher am Wortlaut der DS-GVO entscheiden. Exemplarisch sollen hierzu ein Gerichtsurteil und ein Beschluss zum Auskunftsrecht wiedergegeben werden.

Das Verwaltungsgericht Osnabrück setzt sich in seinem Urteil vom 13.01.2026 – 7 A 6/24 detailliert mit der Frage der Fristen auseinander. Wie die Entscheidung deutlich macht, bricht das Gericht hier mit der oben beschriebenen Praxis der Aufsichtsbehörden. In der Urteilsbegründung heißt es:

“Nach Art. 12 Abs. 3 DS-GVO stellt der Verantwortliche (hier: die Beklagte) der betroffenen Person (hier: dem Kläger) Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.”

Damit wird der Wortlaut des Gesetzestextes von Art. 12 Abs. 3 DS-GVO unmittelbar wiedergegeben. Die Frist beginnt laut Urteilsbegründung mit dem Eingang des Antrags des Betroffenen beim Verantwortlichen. Muss der Verantwortliche erst die Identität des Betroffenen feststellen, beginnt die Frist, sobald diese zweifelsfrei festgestellt ist.

Lässt sich der Betroffene anwaltlich vertreten, was im Fall des Auskunftsrechts auch bei Schulen vorkommt, wie dem Verfasser bekannte Fälle belegen, dann beginnt die Frist, sobald die Originalvollmacht vorliegt, sofern der Verantwortliche eine solche verlangt.

Eine vergleichbare Auffassung vertritt auch das Verwaltungsgericht Düsseldorf in seinem Beschluss vom 5.9.2025 (29 K 6375/25). Die einmonatige Frist in Art. 12 Abs. 3 Satz 1 DS‑GVO betrifft nach Auffassung der Richter ausschließlich die Mitteilung über den Stand bzw. die ergriffenen Maßnahmen auf Antrag, nicht jedoch die tatsächliche Erfüllung der in den Art. 15 bis 22 DS‑GVO geregelten Rechte oder Ansprüche der betroffenen Person. Hierbei beruft es sich auf eine Reihe aktueller DS-GVO-Kommentare. ³Siehe auch https://beck-online.beck.de/Bcid/Y-300-Z-ZD-B-2026-S-116-N-1 (Link hinter Bezahlschranke)⁴ Hinweis: In früheren Auflagen einzelner der genannten DS‑GVO‑Kommentarwerke wird die vom Arbeitsgericht Duisburg vertretene Auffassung wiedergegeben Wortwörtlich heißt es so im Urteil:

“Gemäß Art. 12 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Die Frist in Art. 12 Abs. 3 Satz 1 DSGVO bezieht sich lediglich auf die Statusmeldung über die auf Antrag ergriffenen Maßnahmen. Nicht normiert ist dadurch eine Frist zur Erfüllung der in Art. 15-22 DSGVO verankerten Rechte bzw. Ansprüche der betroffenen Person.“

Wie kommt es zu den beiden unterschiedlichen Auslegungen?

Die Antwort liegt in der unterschiedlichen Herangehensweise an den Gesetzestext. Bei der Interpretation von Gesetzen nutzen Juristen verschiedene Auslegungsmethoden. Sie betrachten den reinen Wortlaut, den Sinn und Zweck einer Regelung, den geschichtlichen Hintergrund oder den systematischen Aufbau des Gesetzes. Der Unterschied in den Ergebnissen entsteht dadurch, welche dieser Methoden stärker gewichtet wird.

Die LDI NRW wie auch andere Aufsichtsbehörden und der oben zitierte Fachkommentar gewichten vor allem den Sinn und Zweck (die sogenannte teleologische Auslegung) am höchsten: Für sie steht der effektive und zügige Schutz der Betroffenen im Vordergrund. Wenn eine betroffene Person monatelang auf ihre Daten warten müsste, würde das Recht auf Auskunft in der Praxis entwertet. Daher argumentiert der Verfasser des oben zitierten Fachkommentars mit dem „Beantwortungs- und Beschleunigungsgebot“, welches sich aus der Zusammenschau von Art. 12 Abs. 3 und Abs. 4 DS-GVO ergibt. Ein Antrag darf demnach weder liegengelassen noch das Verfahren künstlich verzögert werden.

Die Verwaltungsgerichte hingegen legen in ihren aktuellen Entscheidungen das Hauptgewicht auf den exakten Wortlaut und die Systematik des Gesetzes. Die Grenze jeder richterlichen Interpretation ist im Rechtsstaat der geschriebene Text. Und der Text von Art. 12 Abs. 3 DS-GVO spricht nun einmal explizit von der Unterrichtung über die „ergriffenen Maßnahmen“ und nicht von der finalen „Erfüllung“. Die Gerichte trennen daher strikt zwischen der verfahrensrechtlichen Pflicht (der Statusmeldung innerhalb eines Monats) und der materiellen Pflicht (der tatsächlichen Herausgabe der Datenkopie), für die das Gesetz an dieser Stelle keine starre Frist nennt.

Fazit und Handlungsempfehlungen für Schulleitungen

Was bedeutet das nun für die schulische Praxis, wenn eine Auskunftsanfrage kurz vor den Ferien eingeht, man sich vielleicht mitten in der heißen Phase der Zeugniserstellung befindet und die Zeit ohnehin knapp ist?

Die Schule sollte den Eingang der Anfrage in jedem Fall unmittelbar, spätestens jedoch innerhalb der gesetzlichen Monatsfrist, schriftlich bestätigen. In diesem Schreiben gilt es,⁵vorausgesetzt, es bestehen keine Zweifel bezüglich der Identität des Betroffenen und es soll auch keine Negativauskunft erteilt werden. der betroffenen Person zumindest erste Informationen über die bereits ergriffenen oder konkret geplanten Maßnahmen zur Erfüllung der Auskunft zukommen zu lassen.

Sollte es der Schule in dieser Zeit gar nicht möglich sein, bereits konkrete Maßnahmen zu benennen, etwa weil Schlüsselpersonen mit dem nötigen Spezialwissen (wie das Sekretariat, IT-Koordinatoren oder Lehrkräfte, die schulische Plattformen administrieren) in den Ferien schlichtweg nicht erreichbar sind, kann und sollte direkt innerhalb des ersten Monats formell eine begründete Fristverlängerung mitgeteilt werden. Im schulischen Kontext lässt sich hierbei sehr gut mit der Komplexität der Datenzusammenführung über verschiedene Systeme hinweg (z.B. Schulverwaltung, Lernplattformen, Arbeits- und Kommunikationsplattform, Geräteverwaltung, …) argumentieren. Damit demonstriert die Schule ein datenschutzkonformes sowie strukturiertes Vorgehen und agiert rechtlich auf der sicheren Seite.

Auch wenn die jüngere Rechtsprechung der Verwaltungsgerichte Osnabrück und Düsseldorf den Schulen bei kurzfristigen und komplexen Anfragen eine spürbare organisatorische Entlastung bringt, bleibt die Praxis im datenschutzrechtlichen Alltag von gegensätzlichen Erwartungen geprägt. Während die Gerichte, vor denen Auskunftsverfahren meist erst bei maximaler Eskalation landen, dazu tendieren, die Monatsfrist als reine „Statusmeldung“ zu interpretieren, fordern die Aufsichtsbehörden, die von Betroffenen in der ersten Eskalationsstufe angerufen werden, in ihren Schreiben weiterhin die vollständige Datenherausgabe innerhalb eines Monats.

Um in verfahrenen Konfliktsituationen die typische Eskalationsspirale zu bremsen und der Aufsichtsbehörde im Falle einer Beschwerde keine Angriffsfläche zu bieten, empfiehlt sich für Schulleitungen im Alltag die Berücksichtigung der folgenden Punkte:

Die Praxis zeigt, wer von vornherein zeitnah und transparent kommuniziert und Zwischenbescheide sachgerecht einsetzt, hält sich in arbeitsintensiven Phasen wie der Zeugniserstellung den Rücken frei und gewinnt den nötigen zeitlichen Puffer, um das Auskunftsverfahren danach rechtssicher und ohne Hektik zu erledigen. In vielen Fällen sollte es so auch möglich sein, Beschwerden durch die Betroffenen bei der Aufsichtsbehörde zu vermeiden, denn auch deren Bearbeitung kostet eine Schule Zeit. Auch wenn die beiden Gerichtsdokumente derzeit noch eher eine Minderheitsmeinung repräsentieren, bieten sie eine wichtige Absicherung. Sollten Schulen durch eine unspezifizierte und umfangreiche Auskunftsanfrage – oder Forderungen weit über Art. 15 hinaus – trotz guter Vorarbeit arg unter Druck geraten, kann man sich auf die Aussagen dieser Gerichte berufen, um sich zu entlasten. Sie entbinden Schulen zwar nicht von ihrer Pflicht zur fortlaufend zügigen Bearbeitung der Auskunft, sie nehmen jedoch spürbaren Druck aus der organisatorischen Umsetzung im Schulbetrieb.

Weiterlesen

Unter dem Schlagwort Art. 15 finden sich auf dieser Website vertiefende Informationen samt Musterschreiben zum gesamten Auskunftsverfahren.