--- title: "DSGVO Art. 12 (VO 2016/679) – Modalitäten der Betroffenenrechte: Monatsfrist, Kostenfreiheit, Identitätsprüfung, exzessive Anträge" slug: "dsgvo-betroffenenrechte-modalitaeten-art-12" domaine: "datenschutz" valid_from: "2018-05-25" valid_to: null last_reviewed: "2026-09-30" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-betroffenenrechte-modalitaeten-art-12.md wikidata_subjects: [] factcheck_status: "ok" --- # DSGVO Art. 12 (VO 2016/679) – Modalitäten der Betroffenenrechte: Monatsfrist, Kostenfreiheit, Identitätsprüfung, exzessive Anträge ## Kurzantwort **Art. 12 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** regelt das **„Wie"** aller Betroffenenrechte (Art. 15–22 DSGVO): Der Verantwortliche muss Anträge **unverzüglich, spätestens innerhalb eines Monats** beantworten (Abs. 3). Die Frist kann bei Komplexität oder hoher Antragszahl um **weitere zwei Monate** verlängert werden – dann muss die betroffene Person **innerhalb des ersten Monats** unter Angabe der Gründe informiert werden. Informationen und Maßnahmen sind grundsätzlich **unentgeltlich** (Abs. 5). Nur bei **offenkundig unbegründeten oder – insbesondere bei häufiger Wiederholung – exzessiven** Anträgen darf der Verantwortliche ein **angemessenes Entgelt** verlangen oder sich **weigern**, tätig zu werden; die **Nachweislast** dafür trägt der **Verantwortliche**. Die DSGVO ist als **EU-Verordnung unmittelbar in Deutschland anwendbar** – ein Umsetzungsgesetz ist nicht erforderlich. Verstöße gegen die Betroffenenrechte (Art. 12–22) fallen in den **höheren Bußgeldrahmen** des **Art. 83 Abs. 5 lit. b DSGVO**: bis zu **20 Mio. € oder 4 % des weltweiten Jahresumsatzes** (der höhere Betrag zählt). ## Kernfakten | Punkt | Wert | |---|---| | Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), Artikel 12 [EUR-Lex, CELEX:32016R0679] | | Rechtsnatur | EU-Verordnung → unmittelbar anwendbar (kein Umsetzungsgesetz nötig) | | Geltung ab | 25. Mai 2018 [Art. 99 Abs. 2 DSGVO] | | Regelfrist (Abs. 3) | unverzüglich, spätestens 1 Monat ab Antragseingang | | Fristverlängerung (Abs. 3) | um bis zu 2 weitere Monate (insgesamt max. 3), bei Komplexität/Antragszahl; Mitteilung mit Gründen innerhalb des 1. Monats | | Untätigkeit (Abs. 4) | Unterrichtung spätestens binnen 1 Monat über Gründe sowie Beschwerde- und Rechtsbehelfsmöglichkeit (Art. 77, 79) | | Form (Abs. 1, 3) | schriftlich/elektronisch; bei elektronischem Antrag grundsätzlich elektronische Antwort; mündlich nur, wenn die Person es verlangt und die Identität nachgewiesen ist | | Kosten (Abs. 5) | unentgeltlich; Entgelt/Weigerung nur bei offenkundig unbegründeten oder exzessiven Anträgen | | Nachweislast (Abs. 5) | Verantwortlicher (offenkundige Unbegründetheit/Exzessivität) | | Identitätsprüfung (Abs. 6) | zusätzliche Informationen nur bei begründeten Zweifeln an der Identität | | Bildsymbole (Abs. 7, 8) | standardisierte, maschinenlesbare Symbole möglich; Kommission kann delegierte Rechtsakte erlassen | | Bußgeldrahmen | bis 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. b] | | Zentrale EuGH-Urteile | C-307/22 (26.10.2023, erste Kopie kostenlos); C-416/23 (09.01.2025, „exzessiv" nur bei nachgewiesenem Missbrauch) | ## Geltungsbereich Art. 12 gilt für **alle Verantwortlichen** (nicht unmittelbar für Auftragsverarbeiter, die aber nach Art. 28 Abs. 3 lit. e bei der Bearbeitung unterstützen müssen) und für die Informationspflichten nach **Art. 13 und 14** sowie die Rechte nach **Art. 15 bis 22** und die Benachrichtigung nach **Art. 34**. Er bildet damit die gemeinsame Verfahrensnorm für Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und automatisierte Entscheidungen. Räumlich gilt er nach dem Marktortprinzip des Art. 3 auch für Verantwortliche außerhalb der EU. ## Die Modalitäten im Detail **Abs. 1 – Transparenzgebot.** Informationen sind **präzise, transparent, verständlich und leicht zugänglich** in **klarer und einfacher Sprache** zu erteilen, besonders bei Informationen, die sich an **Kinder** richten. Die Übermittlung erfolgt schriftlich oder in anderer Form, gegebenenfalls elektronisch. **Abs. 2 – Erleichterungspflicht.** Der Verantwortliche muss die Ausübung der Betroffenenrechte **erleichtern**. In den Fällen des Art. 11 Abs. 2 (Identifizierung nicht möglich) darf er sich nur weigern, wenn er **nachweist**, dass er die betroffene Person nicht identifizieren kann. **Abs. 3 – Monatsfrist.** Die Frist beginnt mit **Eingang des Antrags**; ein Formzwang für den Antrag besteht nicht (auch E-Mail, Brief, Social-Media-Nachricht oder mündlich können genügen). Nach den Leitlinien des EDPB richtet sich die Fristberechnung nach der Fristen-Verordnung (EWG, Euratom) Nr. 1182/71. Die Verlängerung um zwei Monate ist **Ausnahme**, nicht Regel – maßgeblich sind Komplexität und Anzahl der Anträge, nicht interne Organisationsmängel. **Abs. 4 – Pflicht zur Zwischenmitteilung.** Wird der Verantwortliche nicht tätig, muss er **ohne Verzögerung, spätestens binnen eines Monats**, die Gründe nennen und auf die Möglichkeit der **Beschwerde bei der Aufsichtsbehörde** sowie des **gerichtlichen Rechtsbehelfs** hinweisen. **Abs. 5 – Unentgeltlichkeit und Missbrauchsschranke.** Kostenfreiheit ist der Grundsatz. Bei **offenkundig unbegründeten oder exzessiven** Anträgen hat der Verantwortliche die **Wahl** zwischen einem **angemessenen Entgelt** (Verwaltungskosten) und der **Weigerung**. Die Beweislast liegt beim Verantwortlichen. Für **weitere Kopien** nach Art. 15 Abs. 3 Satz 2 darf ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangt werden. **Abs. 6 – Identitätsprüfung.** Bei **begründeten Zweifeln** darf der Verantwortliche **zusätzliche Informationen zur Bestätigung der Identität** anfordern. Der Grundsatz der Datenminimierung gilt auch hier: Ausweiskopien sollten nur ausnahmsweise und möglichst geschwärzt verlangt werden. Die Nachfrage muss **unverzüglich** erfolgen; ob und wie die Monatsfrist bis zur Identitätsklärung gehemmt ist, ist im Gesetzestext nicht geregelt und wird in den EDPB-Leitlinien behandelt (Verifikation offen). **Abs. 7 und 8 – Bildsymbole.** Die Informationen nach Art. 13/14 können mit **standardisierten Bildsymbolen** kombiniert werden; die Kommission ist zum Erlass delegierter Rechtsakte ermächtigt. Bislang hat sie hiervon **nicht** abschließend Gebrauch gemacht. ## EuGH-Rechtsprechung **EuGH, 26.10.2023 – C-307/22 (FT / DW, Kopie der Patientenakte).** Der Verantwortliche muss die **erste Kopie** der personenbezogenen Daten nach **Art. 15 Abs. 3** in Verbindung mit **Art. 12 Abs. 5 DSGVO unentgeltlich** zur Verfügung stellen. Das gilt auch, wenn die Person die Kopie zur **Verfolgung datenschutzfremder Zwecke** (z. B. Arzthaftung) verlangt; abweichende nationale Kostenregelungen wie § 630g Abs. 2 BGB (Kostenerstattung) können dem **nicht** entgegengehalten werden. Die Kopie umfasst eine **originalgetreue und verständliche Wiedergabe aller Daten**, ggf. mit Auszügen aus Dokumenten. **EuGH, 09.01.2025 – C-416/23 (Österreichische Datenschutzbehörde).** Zum gleichlautenden Missbrauchsbegriff in Art. 57 Abs. 4 DSGVO: Eine **hohe Anzahl** von Anträgen oder Beschwerden allein begründet **nicht** die Einstufung als „exzessiv". Erforderlich ist die **Würdigung des Einzelfalls** und ein **Missbrauchsnachweis**; die Behörde muss ihr Ermessen **verhältnismäßig** ausüben. Die Wertung ist auf Art. 12 Abs. 5 **übertragbar**, da dort dieselben Begriffe verwendet werden. **Verwandt:** Zum Rechtsmissbrauch beim Auskunftsantrag siehe die Seite zu [EuGH C-526/24 (Brillen Rottler)](eugh-c-526-24-brillen-rottler-rechtsmissbrauch-auskunftsantrag.md); zum Auskunftsrecht selbst [DSGVO Art. 15](dsgvo-auskunftsrecht-art-15.md). ## Beweislast und Nachweispflichten für Verantwortliche - **Eingang und Frist dokumentieren:** Datum des Antragseingangs, Fristende und Fristverlängerungsmitteilung nachweisbar festhalten (Rechenschaftspflicht, Art. 5 Abs. 2). - **Weigerung/Entgelt nur mit Begründung:** „Offenkundig unbegründet" oder „exzessiv" muss **konkret belegt** werden (EuGH C-416/23); pauschale Hinweise auf Aufwand genügen nicht. - **Rechtsbehelfsbelehrung mitschicken:** Bei Ablehnung oder Nichtabhilfe Hinweis auf Art. 77 und Art. 79 DSGVO (Abs. 4). - **Sanktionsrisiko:** bis **20 Mio. € / 4 %** nach Art. 83 Abs. 5 lit. b; daneben **Schadensersatz** nach Art. 82 (vgl. [Art. 82 / EuGH](dsgvo-schadensersatz-art-82-eugh.md)). ## Häufige Fehler - **Frist als „30 Tage" lesen:** Das Gesetz sagt **„einen Monat"** (Fristberechnung nach VO 1182/71), nicht 30 Tage. - **Verlängerung ohne Mitteilung:** Die Verlängerung um zwei Monate wirkt nur, wenn die Person **im ersten Monat** mit Gründen informiert wird. - **Formular-Zwang:** Betroffene dürfen nicht auf ein bestimmtes Portal oder Formular verwiesen werden; der Antrag ist **formfrei**. - **Standardmäßig Ausweiskopie verlangen:** Nur bei **begründeten Zweifeln** (Abs. 6) und datensparsam. - **Gebühr für die erste Kopie:** Unzulässig (EuGH C-307/22); Entgelt nur für **weitere** Kopien. - **„Viele Anträge = exzessiv":** Quantität allein reicht nicht (EuGH C-416/23). - **Schweigen statt Zwischenmitteilung:** Auch wer nicht liefert, muss binnen eines Monats **begründen und belehren** (Abs. 4). ## Änderungsverlauf - 2026-09-30: Erstveröffentlichung der Faktenseite. Art. 12 Abs. 1–8 und Bußgeldrahmen Art. 83 Abs. 5 lit. b gegen EUR-Lex gegengelesen (Zusammenfassung des Volltexts); EuGH C-307/22 und C-416/23 über Sekundärquellen/dejure.org-Permalinks eingebunden. Wortlaut-Feinheiten (Fristberechnung nach VO 1182/71, Hemmung bei Identitätsprüfung) noch nicht gegen den EUR-Lex-Originaltext bzw. die EDPB-Leitlinien im Volltext verifiziert → factcheck_status=review_needed. | change_type=initial_publication field="topic_lifecycle" new="published" ## Stand - Stand: 2026-09-30 - Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO) - Status: aktuell - Quellenautorität: A (EUR-Lex, EU-Kommission, EDPB, EuGH) - Lizenz: CC BY 4.0 ## Quellen - Verordnung (EU) 2016/679 (DSGVO) – Art. 12, Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 - Verordnung (EU) 2016/679 (DSGVO) – Art. 83 Abs. 5 lit. b (Bußgeldrahmen), Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 - Europäische Kommission – Datenschutzrechte von Einzelpersonen / Pflichten von Organisationen: https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/obligations_de - EDPB – Guidelines 01/2022 on data subject rights – Right of access (Fristen, Identitätsprüfung, Art. 12): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en - EuGH, Urteil v. 26.10.2023, C-307/22 (FT / DW) – erste Kopie kostenlos (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=26.10.2023&Aktenzeichen=C-307%2F22 - EuGH, Urteil v. 09.01.2025, C-416/23 (Österreichische Datenschutzbehörde) – exzessive Anträge (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=09.01.2025&Aktenzeichen=C-416%2F23 - Nationale Durchführung (keine Umsetzung nötig; ergänzend Beschränkungen der Betroffenenrechte): BDSG §§ 32–37 (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/ - BGB § 630g (Einsichtnahme in die Patientenakte; Vorrang der DSGVO nach EuGH C-307/22) (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bgb/__630g.html ## Stand - Letzte Änderung: 2026-09-30 - Letzte Prüfung: 2026-09-30 - In Kraft seit: 2018-05-25 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0