Das Recht auf Auskunft
Die DSGVO legt sehr genau fest, in welcher Art und Weise einer betroffenen Person vom Verantwortlichen Auskunft über die Verarbeitung der diese Person betreffenden personenbezogenen Daten zu erteilen ist.
Datenauskunft
Die betroffene Person, deren personenbezogene Daten verarbeitet werden, hat das Recht folgende Informationen vom Verantwortlichen zu erhalten:
die Verarbeitungszwecke;
- die Kategorien personenbezogener Daten
- die Empfänger oder Kategorien von Empfängern
- die geplante Speicherdauer oder die Kriterien für die Festlegung der Speicherdauer;
- das Bestehen eines Rechts auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts
- das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
- alle verfügbaren Informationen über die Herkunft der Daten;
- das Bestehen einer automatisierten Entscheidungsfindung einschließlichProfiling und aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person
Weiters muss eine Kopie der personenbezogenen Daten zur Verfügung gestellt werden, wobei dadurch Rechte dritter Personen nicht verletzt werden dürfen.
ErwG 63 der DSGVO:
Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.
ErwG 64 der DSGVO:
Der Verantwortliche sollte alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen, insbesondere im Rahmen von Online-Diensten und im Fall von Online-Kennungen. Ein Verantwortlicher sollte personenbezogene Daten nicht allein zu dem Zweck speichern, auf mögliche Auskunftsersuchen reagieren zu können.
Fristen
Die Auskunft ist unverzüglich, jedenfalls aber innerhalb eines Monats nach Eingang des Antrags zu erteilen.
Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.
Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
Wird der Verantwortliche nicht tätig, so informiert dieser die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats über die Gründe der Untätigkeit und über die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde oder eines gerichtlichen Rechtsbehelfs.
Sanktion
Wenn der Verantwortliche ein Aufkunftsersuchen einer betroffenen Person nicht ordnungsgemäß erfüllt, dann hat diese die Möglichkeit, eine Beschwerde bei der Aufsichtsbehöre einzulegen.
Die Strafdrohung des Art 83 Abs 5 DSGVO bei bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs , je nachdem, welcher der Beträge höher ist.
DSB: noyb gegen Google … Auskunft ist vollständig und verständlich zu erteilen
DSB: YouTube/Google muss verständliche und vollständige Art-15-Auskunft liefern
Behörde: Datenschutzbehörde (DSB)
Datum der Entscheidung: 7. August 2025
Geschäftszahl: D130.200/2025-0.626.844
(nicht rechtskräftig)
Rechtssatz (kurz):
Eine Auskunft nach Art. 15 DSGVO muss vollständig und in einem leicht verständlichen, lesbaren Format erteilt werden (Art. 12 DSGVO); bloße Verweise auf Portale/Tools oder eine Datenschutzerklärung reichen nicht.
Sachverhalt
Ein von NOYB vertretener Nutzer verlangte eine Auskunft zu seinen bei YouTube/Google verarbeiteten personenbezogenen Daten. Google stellte Teile der Daten nur über Download-Portale in JSON/OPML bereit und verwies im Übrigen auf diverse Online-Tools sowie die allgemeine Datenschutzerklärung. Konkrete Angaben etwa zu Zwecken, Empfängern, Speicherdauern, Datenquellen, Cookies/Tracking sowie eine lesbare Kopie der Daten fehlten. Das Verfahren war zunächst über den One-Stop-Shop an die DPC (Irland) ausgelagert, wurde aber 2022 an die DSB zurückverwiesen. Die DSB bejahte ihre Zuständigkeit nach dem Marktortprinzip (Art. 3 Abs. 2 DSGVO).
Rechtliche Begründung
1) Zuständigkeit & Verantwortlichkeit
Die DSB hält fest: Google LLC war zum Zeitpunkt des Antrags und der Beschwerde Verantwortliche für den Dienst „YouTube“; ein späterer Wechsel zu Google Ireland sei für dieses Verfahren unerheblich. Damit ist die DSB zuständig (Marktortprinzip nach Art. 3 Abs. 2 DSGVO). Ein etwaiger Benennungsfehler der Parteien wäre im Sinne von § 24 Abs. 2 Z 2 DSG ohnehin unschädlich.
2) Form der Auskunft (Art. 12 DSGVO)
Auskunft muss präzise, verständlich und leicht zugänglich sein.
JSON/OPML sind primär maschinenlesbare Formate und für durchschnittliche Betroffene schwer verständlich; damit wird das Transparenz- und Erleichterungsgebot des Art. 12 DSGVO verfehlt.
Auch ein fragmentiertes „Portal“, in dem Betroffene ihre Informationen über mehrere Tools selbst zusammenstellen müssen (ggf. mit Support-Kontakt), genügt Art. 12 Abs. 2 DSGVO nicht.
3) Inhalt der Auskunft (Art. 15 DSGVO)
- Zwecke & Speicherdauern: Allgemeine Listen in der Datenschutzerklärung ersetzen keine personalisierte Information, welche konkreten Daten des Betroffenen zu welchen Zwecken und wie lange verarbeitet werden (Art. 15 Abs. 1 lit. a, d DSGVO).
- Empfänger: Wenn bekannt, sind konkrete Empfänger zu nennen; bloße Empfängerkategorien genügen nicht (unter Hinweis auf EuGH C-154/21).
- Datenquellen & Drittlandtransfers: Pauschale Hinweise („bestimmte Quellen“, „rechtliche Rahmenbedingungen“) reichen nicht; erforderlich sind fallbezogene Angaben, inkl. geeigneter Garantien für Drittlandsübermittlungen (Art. 15 Abs. 1 lit. g, h und Abs. 2 DSGVO).
Ergebnis / Spruch:
Die DSB gab der Beschwerde statt:
Google verletzte Rechte des Betroffenen nach Art. 15 iVm Art. 12 DSGVO. Google wird verpflichtet, binnen 4 Wochen eine vollständige Auskunft (inkl. Kopie in leicht verständlichem, lesbarem Format) zu erteilen (Art. 58 Abs. 2 lit. c DSGVO; §§ 18, 24 DSG).
Fazit
Die Entscheidung bestätigt: Technisch verfügbare Daten ≠ rechtmäßige Auskunft.
Wer Betroffenenrechte ernst nimmt, muss inhaltlich vollständig informieren und die Daten benutzerfreundlich aufbereiten.
Reine Portallogik, in der Betroffene „suchen und sammeln“ müssen, verstößt gegen das Erleichterungsgebot.
Schlussfolgerungen für Verantwortliche
- Ein-Klick-Paket statt Tool-Parcours: Stellen Sie alle Daten und Pflichtinformationen gesammelt bereit – zentrale Stelle, keine verstreuten Tools. (Art. 12)
- Lesbares Format & Kopie: Neben ggf. JSON/CSV eine menschenlesbare Darstellung (z. B. HTML/PDF) anbieten; Kopie iSd Art. 15 Abs. 3.
- Personalisierung: Geben Sie konkret pro Betroffenem an: Zwecke, Datenkategorien→Zweck-Mapping, Speicherdauern, Datenquellen, konkrete Empfänger, Drittland-Garantien. (Art. 15)
- Empfängerbenennung: Wenn bekannt, Empfänger namentlich nennen (EuGH C-154/21).
- UX & Verständlichkeit testen: Rechtstexte in klarer Sprache; Glossar/Erklärungen für technisch geprägte Datenpunkte.
- SLA & Fristen: Prozesse so bauen, dass innerhalb 1 Monats (verlängerbar um 2 Monate bei Komplexität) geliefert werden kann (Art. 12 Abs. 3).
- Nachweisbarkeit: Logging & Checklisten, um Vollständigkeit und Rechenschaftspflicht zu belegen (Art. 5 Abs. 2).
Unvollständige Auskunft durch falsche E-Mail-Adresse in der Auskunft - auch unrichtige Daten sind zu beauskunften, wenn diese verarbeitet werden
Fehler von Betroffenen sind vom Verantwortlichen zu korrigieren, wenn eine Betroffenenafrage gestellt wird
