Nexvyra

DSGVO Art. 12 (VO 2016/679) – Modalitäten der Betroffenenrechte: Monatsfrist, Kostenfreiheit, Identitätsprüfung, exzessive Anträge In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-09-30 · letzte Prüfung: 2026-09-30 · Quellen-Autorität A Fehler melden ✉
Kurzantwort **Art. 12 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** regelt das **„Wie"** aller Betroffenenrechte (Art. 15–22 DSGVO): Der Verantwortliche muss Anträge **unverzüglich, spätestens innerhalb eines Monats** beantworten (Abs. 3). Die Frist kann bei Komplexität oder hoher Antragszahl um **weitere zwei Monate** verlängert werden – dann muss die betroffene Person **innerhalb des ersten Monats** unter Angabe der Gründe informiert werden. Informationen und Maßnahmen sind grundsätzlich **unentgeltlich** (Abs. 5). Nur bei **offenkundig unbegründeten oder – insbesondere bei häufiger Wiederholung – exzessiven** Anträgen darf der Verantwortliche ein **angemessenes Entgelt** verlangen oder sich **weigern**, tätig zu werden; die **Nachweislast** dafür trägt der **Verantwortliche**. Die DSGVO ist als **EU-Verordnung unmittelbar in Deutschland anwendbar** – ein Umsetzungsgesetz ist nicht erforderlich. Verstöße gegen die Betroffenenrechte (Art. 12–22) fallen in den **höheren Bußgeldrahmen** des **Art. 83 Abs. 5 lit. b DSGVO**: bis zu **20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (der höhere Betrag zählt).

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2016/679 (DSGVO), Artikel 12 [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar (kein Umsetzungsgesetz nötig)
Geltung ab25. Mai 2018 [Art. 99 Abs. 2 DSGVO]
Regelfrist (Abs. 3)unverzüglich, spätestens 1 Monat ab Antragseingang
Fristverlängerung (Abs. 3)um bis zu 2 weitere Monate (insgesamt max. 3), bei Komplexität/Antragszahl; Mitteilung mit Gründen innerhalb des 1. Monats
Untätigkeit (Abs. 4)Unterrichtung spätestens binnen 1 Monat über Gründe sowie Beschwerde- und Rechtsbehelfsmöglichkeit (Art. 77, 79)
Form (Abs. 1, 3)schriftlich/elektronisch; bei elektronischem Antrag grundsätzlich elektronische Antwort; mündlich nur, wenn die Person es verlangt und die Identität nachgewiesen ist
Kosten (Abs. 5)unentgeltlich; Entgelt/Weigerung nur bei offenkundig unbegründeten oder exzessiven Anträgen
Nachweislast (Abs. 5)Verantwortlicher (offenkundige Unbegründetheit/Exzessivität)
Identitätsprüfung (Abs. 6)zusätzliche Informationen nur bei begründeten Zweifeln an der Identität
Bildsymbole (Abs. 7, 8)standardisierte, maschinenlesbare Symbole möglich; Kommission kann delegierte Rechtsakte erlassen
Bußgeldrahmenbis 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. b]
Zentrale EuGH-UrteileC-307/22 (26.10.2023, erste Kopie kostenlos); C-416/23 (09.01.2025, „exzessiv" nur bei nachgewiesenem Missbrauch)

Geltungsbereich

Art. 12 gilt für alle Verantwortlichen (nicht unmittelbar für Auftragsverarbeiter, die aber nach Art. 28 Abs. 3 lit. e bei der Bearbeitung unterstützen müssen) und für die Informationspflichten nach Art. 13 und 14 sowie die Rechte nach Art. 15 bis 22 und die Benachrichtigung nach Art. 34. Er bildet damit die gemeinsame Verfahrensnorm für Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und automatisierte Entscheidungen. Räumlich gilt er nach dem Marktortprinzip des Art. 3 auch für Verantwortliche außerhalb der EU.

Die Modalitäten im Detail

Abs. 1 – Transparenzgebot. Informationen sind präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache zu erteilen, besonders bei Informationen, die sich an Kinder richten. Die Übermittlung erfolgt schriftlich oder in anderer Form, gegebenenfalls elektronisch.

Abs. 2 – Erleichterungspflicht. Der Verantwortliche muss die Ausübung der Betroffenenrechte erleichtern. In den Fällen des Art. 11 Abs. 2 (Identifizierung nicht möglich) darf er sich nur weigern, wenn er nachweist, dass er die betroffene Person nicht identifizieren kann.

Abs. 3 – Monatsfrist. Die Frist beginnt mit Eingang des Antrags; ein Formzwang für den Antrag besteht nicht (auch E-Mail, Brief, Social-Media-Nachricht oder mündlich können genügen). Nach den Leitlinien des EDPB richtet sich die Fristberechnung nach der Fristen-Verordnung (EWG, Euratom) Nr. 1182/71. Die Verlängerung um zwei Monate ist Ausnahme, nicht Regel – maßgeblich sind Komplexität und Anzahl der Anträge, nicht interne Organisationsmängel.

Abs. 4 – Pflicht zur Zwischenmitteilung. Wird der Verantwortliche nicht tätig, muss er ohne Verzögerung, spätestens binnen eines Monats, die Gründe nennen und auf die Möglichkeit der Beschwerde bei der Aufsichtsbehörde sowie des gerichtlichen Rechtsbehelfs hinweisen.

Abs. 5 – Unentgeltlichkeit und Missbrauchsschranke. Kostenfreiheit ist der Grundsatz. Bei offenkundig unbegründeten oder exzessiven Anträgen hat der Verantwortliche die Wahl zwischen einem angemessenen Entgelt (Verwaltungskosten) und der Weigerung. Die Beweislast liegt beim Verantwortlichen. Für weitere Kopien nach Art. 15 Abs. 3 Satz 2 darf ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangt werden.

Abs. 6 – Identitätsprüfung. Bei begründeten Zweifeln darf der Verantwortliche zusätzliche Informationen zur Bestätigung der Identität anfordern. Der Grundsatz der Datenminimierung gilt auch hier: Ausweiskopien sollten nur ausnahmsweise und möglichst geschwärzt verlangt werden. Die Nachfrage muss unverzüglich erfolgen; ob und wie die Monatsfrist bis zur Identitätsklärung gehemmt ist, ist im Gesetzestext nicht geregelt und wird in den EDPB-Leitlinien behandelt (Verifikation offen).

Abs. 7 und 8 – Bildsymbole. Die Informationen nach Art. 13/14 können mit standardisierten Bildsymbolen kombiniert werden; die Kommission ist zum Erlass delegierter Rechtsakte ermächtigt. Bislang hat sie hiervon nicht abschließend Gebrauch gemacht.

EuGH-Rechtsprechung

EuGH, 26.10.2023 – C-307/22 (FT / DW, Kopie der Patientenakte). Der Verantwortliche muss die erste Kopie der personenbezogenen Daten nach Art. 15 Abs. 3 in Verbindung mit Art. 12 Abs. 5 DSGVO unentgeltlich zur Verfügung stellen. Das gilt auch, wenn die Person die Kopie zur Verfolgung datenschutzfremder Zwecke (z. B. Arzthaftung) verlangt; abweichende nationale Kostenregelungen wie § 630g Abs. 2 BGB (Kostenerstattung) können dem nicht entgegengehalten werden. Die Kopie umfasst eine originalgetreue und verständliche Wiedergabe aller Daten, ggf. mit Auszügen aus Dokumenten.

EuGH, 09.01.2025 – C-416/23 (Österreichische Datenschutzbehörde). Zum gleichlautenden Missbrauchsbegriff in Art. 57 Abs. 4 DSGVO: Eine hohe Anzahl von Anträgen oder Beschwerden allein begründet nicht die Einstufung als „exzessiv". Erforderlich ist die Würdigung des Einzelfalls und ein Missbrauchsnachweis; die Behörde muss ihr Ermessen verhältnismäßig ausüben. Die Wertung ist auf Art. 12 Abs. 5 übertragbar, da dort dieselben Begriffe verwendet werden.

Verwandt: Zum Rechtsmissbrauch beim Auskunftsantrag siehe die Seite zu [EuGH C-526/24 (Brillen Rottler)](eugh-c-526-24-brillen-rottler-rechtsmissbrauch-auskunftsantrag.md); zum Auskunftsrecht selbst [DSGVO Art. 15](dsgvo-auskunftsrecht-art-15.md).

Beweislast und Nachweispflichten für Verantwortliche

Häufige Fehler

Änderungsverlauf

Stand

Quellen

Letzte Änderung:
2026-09-30
Letzte Prüfung:
2026-09-30
In Kraft seit:
2018-05-25
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.