Das Wichtigste in Kürze
- Form und Begründung braucht ein Auskunftsantrag nicht. Fällig ist die Antwort unverzüglich, spätestens einen Monat nach Eingang, bei Komplexität um bis zu zwei Monate verlängerbar (DSGVO, KDG).
- Das evangelische Recht nennt drei Monate als Höchstfrist; ich würde auch dort mit einem Monat planen.
- Die erste Kopie ist kostenlos, auch wenn die Person damit Ansprüche gegen den Träger prüfen will.
- Einsicht nach § 630g BGB gibt es nur bei Behandlungsverträgen, nicht bei reinen Pflege- und Betreuungsverträgen. Bewohnerinnen und Bewohner stützen sich auf das Datenschutzrecht.
- Verweigern darf der Träger nur, soweit Rechte anderer, ein offenkundig unbegründeter oder exzessiver Antrag oder eine gesetzliche Ausnahme es tragen. Seine Gründe dokumentiert er und teilt sie mit.
- Verpflichtet ist der Träger, nicht die einzelne Fachkraft. Wer im Haus entscheidet, regelt kein Gesetz; sinnvoll ist eine feste Zuständigkeit, mit dem Datenschutzbeauftragten als Berater.
Auskunftsrecht ist das Recht jeder Person, von einer Stelle zu erfahren, ob sie Daten über sie verarbeitet: welche, wozu, an wen sie gingen, wie lange sie gespeichert bleiben und woher sie stammen. Dazu gehört eine Kopie dieser Daten (Art. 15 DSGVO, § 17 KDG, § 19 DSG-EKD). Es ist kein Recht auf die Akte als Gegenstand, kann aber ganze Dokumente umfassen, wenn die Person sie zum Verständnis ihrer Daten braucht.
Drei Begriffe sind zu unterscheiden. Auskunft heißt, der Träger teilt mit, welche Daten er über die Person verarbeitet. Kopie heißt, die Person erhält diese Daten in Abschrift. Einsicht heißt, sie sieht Unterlagen selbst durch; das regelt für Behandlungsverträge § 630g BGB und im Verwaltungsverfahren gegenüber Behörden § 25 SGB X. Der Europäische Datenschutzausschuss (EDSA), das Gremium der europäischen Aufsichtsbehörden, hält in seinen Leitlinien 01/2022 zum Auskunftsrecht auch Einsicht vor Ort oder mündliche Auskunft für möglich, wenn die Person es wünscht oder es ihr nützt. Der Träger muss das nicht anbieten. Die Person behält ihr Recht auf die Kopie (Rn. 133). Die Leitlinien sind keine Rechtsvorschrift.
Wer fragt, bestimmt die Grundlage
Für freie Träger als Verein, gGmbH oder Stiftung gilt die Datenschutz-Grundverordnung (DSGVO), ergänzt durch das Bundesdatenschutzgesetz (BDSG). Der Deutsche Caritasverband, seine Untergliederungen und Fachverbände wenden ohne Rücksicht auf ihre Rechtsform das Gesetz über den Kirchlichen Datenschutz (KDG) an, ebenso weitere kirchliche Rechtsträger (§ 3 Abs. 1 KDG). Diakonische Dienste und Einrichtungen, die einer Landeskirche oder der Evangelischen Kirche in Deutschland zugeordnet sind, wenden das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) an (§ 2 Abs. 1 DSG-EKD). Alle drei geben ein Auskunftsrecht mit Kopie; Fristen und Ausnahmen unterscheiden sich. Hinzu treten das Bürgerliche Gesetzbuch (BGB) für Behandlungsverträge und Vertretung sowie das Betriebsverfassungsgesetz (BetrVG) für Beschäftigte. Was herauszugeben ist, hängt davon ab, wer fragt.
| Wer fragt | Grundlage | Was herauszugeben ist | Besonderheit |
|---|---|---|---|
| Klientin oder Klient | Art. 12 und 15 DSGVO; § 17 KDG; § 19 DSG-EKD | Auskunft über die Daten mit Zwecken, Empfängern, Speicherdauer und Herkunft; eine kostenlose Kopie | Angaben über andere Personen in der Akte schützen, ohne die ganze Auskunft zu verweigern |
| Bewohnerin oder Bewohner einer Pflegeeinrichtung | Art. 15 DSGVO; § 17 KDG; § 19 DSG-EKD | Wie bei Klientinnen und Klienten, auch die Daten in Pflegedokumentation und Heimakte | § 630g BGB nur, wenn die Einrichtung selbst medizinisch behandelt |
| Angehörige, Bevollmächtigte, rechtliche Betreuer | Recht der vertretenen Person; § 1823 BGB | Was die vertretene Person verlangen könnte, im Umfang der Vertretung | Vollmacht oder Aufgabenkreis prüfen und belegen; ohne Vertretung nur Auskunft über eigene Daten |
| Beschäftigte, auch Bewerberinnen, Bewerber und ehemalige Beschäftigte | Art. 15 DSGVO; § 17 KDG; § 19 DSG-EKD | Die Daten in Personalakte, E-Mails und Unterlagen; ganze Dokumente nur, wo zum Verständnis unerlässlich | Einsicht in die Personalakte nach § 83 BetrVG gilt bei nicht kirchlichen Trägern im Geltungsbereich des BetrVG; bei Religionsgemeinschaften und ihren karitativen Einrichtungen nicht (§ 118 Abs. 2 BetrVG) |
| Patientinnen und Patienten mit Behandlungsvertrag | § 630g BGB neben Art. 15 DSGVO | Unverzüglich Einsicht in die vollständige Akte und Abschrift, die erste kostenlos | Erhebliche therapeutische Gründe oder Rechte Dritter können Einsicht und Auskunft ausschließen; Ablehnung begründen |
Nach dem Tod einer Person gilt die DSGVO für ihre Daten nicht mehr (Erwägungsgrund 27 DSGVO). Rechte von Erben und Angehörigen regelt § 630g Abs. 3 BGB nur für Behandlungsverhältnisse; für andere Akten ist die Rechtslage offen.
Sozialdaten und Akteneinsicht
Sozialdaten sind Angaben, die eine Stelle wie das Jugendamt für ihre Aufgaben nach dem Sozialgesetzbuch verarbeitet (§ 67 Abs. 2 des Zehnten Buches Sozialgesetzbuch, SGB X). Die Daten, die ein freier Träger selbst bei seinen Klientinnen und Klienten erhebt, sind in der Regel keine Sozialdaten; für Daten, die ihm ein Leistungsträger übermittelt, gelten Zweckbindung und Geheimhaltung (§ 78 Abs. 1 SGB X). Mehr dazu im Beitrag zum Sozialdatenschutz bei freien Trägern. Ob die Ausnahmen des § 83 SGB X auch für solche übermittelten Daten gelten, lässt der Wortlaut offen.
Für Leistungsträger ist eine weitere Unterscheidung wichtig. Akteneinsicht im Verwaltungsverfahren (§ 25 SGB X) ist ein anderes Recht als die Auskunft; der Bundesfinanzhof hat das 2024 für ein Finanzamt entschieden (IX R 20/22, Rn. 42). Die sächsische Datenschutzaufsicht sah deshalb keinen Raum, einen klar auf Art. 15 DSGVO gestützten Antrag in Akteneinsicht umzudeuten (Tätigkeitsbericht Datenschutz 2025, S. 137 f.).
Die erste Kopie kostet nichts, auch wenn ein Streit droht
Am 26. Oktober 2023 hat der Europäische Gerichtshof (EuGH) entschieden, dass eine Person Anspruch auf eine erste unentgeltliche Kopie ihrer Daten hat. Ein Entgelt darf die verarbeitende Stelle nur verlangen, wenn die Person schon eine Kopie kostenlos erhalten hat und erneut fragt. Begründen muss sie den Antrag nicht, auch dann nicht, wenn sie Haftungsansprüche gegen die Stelle prüfen will (C-307/22, Rn. 34 bis 38 und 43).
Entschieden wurde der Fall eines Patienten gegen seine Zahnärztin. Die Aussagen zur Unentgeltlichkeit legen aber Art. 12 und 15 DSGVO aus, die für jede verarbeitende Stelle gelten; ich halte sie deshalb auf Träger der Sozialen Arbeit und Pflege für übertragbar. KDG und DSG-EKD formulieren die Regel wie die DSGVO (§ 17 Abs. 3 KDG, § 19 Abs. 4 DSG-EKD).
Wie weit die Kopie reicht, ist eine zweite Frage. Nach dem EuGH bezieht sie sich auf die Daten, nicht auf das Dokument als solches. Ganze Dokumente oder Auszüge sind zu kopieren, wenn das für das Verständnis der Daten oder die wirksame Ausübung der Rechte unerlässlich ist (Rn. 72 bis 75).
Eine Entscheidung zu Entwicklungsberichten oder Teilhabeplänen in Klientenakten ist mir nicht bekannt. Hilfreich ist die Frage, ob die Person ihre Daten ohne den Zusammenhang des Berichts versteht. Wenn nicht, gehört der Bericht in die Kopie, mit Schutz der Angaben über andere.
Zur Auskunft gehören auch die Empfänger. Wurden Daten etwa an Jugendamt, Kostenträger oder Ärztinnen und Ärzte weitergegeben, sind grundsätzlich die konkreten Empfänger zu nennen, nicht nur deren Kategorien (EuGH, Urteil vom 12. Januar 2023, C-154/21).
Gilt § 630g BGB auch im Pflegeheim?
Nicht ohne Weiteres. § 630g BGB setzt einen Behandlungsvertrag voraus, also eine medizinische Behandlung (§ 630a Abs. 1 BGB). Verträge über reine Pflege- oder Betreuungsleistungen und Verträge nach dem Wohn- und Betreuungsvertragsgesetz (WBVG) sind nach der Gesetzesbegründung von 2012 ausgenommen (Bundestagsdrucksache 17/10488, S. 17). Bewohnerinnen und Bewohner stützen ihren Anspruch deshalb auf Art. 15 DSGVO, das KDG oder das DSG-EKD. Ungeklärt ist, wie gemischte Leistungen einzuordnen sind, etwa ärztlich verordnete Behandlungspflege.
Wo ein Behandlungsvertrag besteht, gilt seit dem 6. Februar 2026 eine neue Fassung. Patientinnen und Patienten können unverzüglich die vollständige Behandlungsakte einsehen und Abschriften verlangen, auch elektronisch; die erste Abschrift ist unentgeltlich (§ 630g Abs. 1 BGB). Damit hat der Bundestag auf das Urteil des EuGH reagiert (Bundestagsdrucksache 21/3345, S. 48 f.). Wer ältere Veröffentlichungen heranzieht, etwa die Entschließung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) von 2024, findet dort noch die frühere Kostenerstattung.
Seit der Neufassung kostet auch die Einsicht nichts, soweit die Auskunft unentgeltlich ist. Zugleich gelten die Verweigerungsgründe der Einsicht, nämlich erhebliche therapeutische Gründe oder erhebliche Rechte Dritter, jetzt auch für die Auskunft zwischen Behandelnden und Patientinnen und Patienten (§ 630g Abs. 2 und 4 BGB). Ob diese Beschränkung mit den Vorgaben der DSGVO für nationale Beschränkungen (Art. 23 DSGVO) vereinbar ist, ist offen; eine Entscheidung dazu ist mir nicht bekannt.
Fristen und Ausnahmen bei Caritas und Diakonie
Kirchen dürfen eigene Datenschutzregeln anwenden, wenn diese mit der DSGVO in Einklang gebracht sind (Art. 91 DSGVO). KDG und DSG-EKD gewähren dieselben Rechte wie die DSGVO, weichen aber bei Frist und Verweigerung ab.
| Punkt | DSGVO mit BDSG | KDG (katholisch) | DSG-EKD (evangelisch) |
|---|---|---|---|
| Frist | Unverzüglich, spätestens ein Monat (Art. 12 Abs. 3) | Unverzüglich, spätestens ein Monat (§ 14 Abs. 3) | Unverzüglich, höchstens drei Monate (§ 16 Abs. 3) |
| Verlängerung | Um zwei Monate, mit Gründen im ersten Monat mitzuteilen | Wie DSGVO | Keine |
| Erste Kopie | Kostenlos (Art. 15 Abs. 3, Art. 12 Abs. 5) | Kostenlos (§ 17 Abs. 3, § 14) | Kostenlos, im Gesetz seit 1. Mai 2025 (§ 19 Abs. 4) |
| Weitere Ausnahmen | Geheimhaltung nach Rechtsvorschrift oder wegen überwiegender Interessen Dritter (§ 29 Abs. 1 Satz 2 BDSG); Daten nur aus Aufbewahrungspflicht oder Datensicherung bei unverhältnismäßigem Aufwand (§ 34 Abs. 1 Nr. 2 BDSG) | Daten nur aus Aufbewahrungspflicht oder Datensicherung bei unverhältnismäßigem Aufwand und weitere Fälle (§ 17 Abs. 6) | Auskunft darf nicht erteilt werden, soweit Geheimhaltung per Rechtsvorschrift oder wegen überwiegender berechtigter Interessen Dritter geboten ist und das Interesse der Person zurücktreten muss (§ 19 Abs. 3) |
| Verweigerung | Gründe dokumentieren und begründen (§ 34 Abs. 2 BDSG); Mitteilung binnen eines Monats mit Hinweis auf Beschwerde (Art. 12 Abs. 4) | Gründe dokumentieren und gegenüber der Person begründen, außer die Begründung gefährdet den Zweck der Verweigerung (§ 17 Abs. 7) | Gegenüber der Person begründen (§ 19 Abs. 3); Nachweis aus der Rechenschaftspflicht (§ 5 Abs. 2) |
Die drei Monate im DSG-EKD versteht die Begründung der Novelle als Gesamtbearbeitungszeit wie in der DSGVO, also ein Monat plus zwei Monate Verlängerung. Sie betont zugleich das „unverzüglich“. Ich würde deshalb auch bei diakonischen Trägern mit einem Monat planen. Ob die Regel mit Art. 91 DSGVO in Einklang steht, ist offen.
Den Kopieanspruch kennt das DSG-EKD erst seit der Neufassung zum 1. Mai 2025; vorher wandte der Kirchengerichtshof der Evangelischen Kirche in Deutschland Art. 15 Abs. 3 DSGVO unmittelbar an (Urteil vom 9. September 2022, 0135/4-2020). Wenn das Bundesarbeitsgericht in 8 AZR 42/24 noch von einem bloßen Auskunftsanspruch ausgeht, beschreibt es die Fassung vor 2025.
Das KDG ist 2025 neu gefasst worden. Es gilt in jedem Bistum erst ab dem Tag, an dem der Bischof es für sein Bistum in Kraft setzt; in Hildesheim war das der 1. März 2026 (so auch katholisch.de, 18. Dezember 2025). Den geltenden Stand nennt Ihr Bistum.
Wer entscheidet über die Antwort?
Verpflichtet ist der Verantwortliche, also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO), hier der Träger und nicht die Einrichtung oder die Fachkraft, die die Akte führt. Welche Person im Haus entscheidet, regelt kein Gesetz; das legt die Leitung fest. Der Datenschutzbeauftragte berät und überwacht, ist dabei weisungsfrei und darf von den betroffenen Personen direkt angesprochen werden (Art. 38 Abs. 3 und 4, Art. 39 Abs. 1 DSGVO).
Warum diese Festlegung bei der Leitung liegt, auch wenn ein Datenschutzbeauftragter berät, begründet der Beitrag zur Verantwortung der Leitung für Datenschutz und KI. Wann ein Träger einen Datenschutzbeauftragten braucht, steht im Beitrag zur Benennungspflicht in sozialen Einrichtungen.
Meine Empfehlung
Eine Stelle nimmt alle Anträge an, notiert Eingang und Frist und führt die Vorgangsakte, etwa die Verwaltung. Den Inhalt prüft die Fachleitung, weil sie beurteilen kann, welche Angaben andere Personen betreffen. Jede Verweigerung, auch eine teilweise, zeichnet die Geschäftsführung oder eine von ihr benannte Person ab. Vor jeder Verweigerung wird, sofern benannt, der Datenschutzbeauftragte gefragt.
Wie ein Antrag vom Eingang bis zur Ablage läuft
- Erkennen Sie den Antrag. Er braucht weder eine Form noch einen Verweis auf Art. 15 oder die DSGVO; „Ich möchte wissen, was Sie über mich aufgeschrieben haben“ genügt. Er kann über jeden Kommunikationsweg eingehen, den der Träger anbietet (EDSA, Rn. 50 bis 55). Beschäftigte geben solche Anfragen noch am selben Tag an die zuständige Stelle. Ab Eingang darf nichts gelöscht oder geändert werden, um der Auskunft zu entgehen (Rn. 38 f.).
- Prüfen Sie die Identität nur bei begründeten Zweifeln. Nur dann darf der Träger zusätzliche Nachweise verlangen (Art. 12 Abs. 6 DSGVO). Wer aus dem laufenden Kontakt bekannt ist, muss keinen Ausweis vorlegen. Eine Ausweiskopie hält der EDSA im Regelfall für ungeeignet; bei Gesundheitsdaten kann ein Ausweis aber verhältnismäßig sein. Dann empfiehlt der EDSA einen Vermerk, dass er geprüft wurde, statt die Kopie aufzubewahren (Rn. 63 bis 79). Bei Vertretern ist die Befugnis nachweisbar zu prüfen (Rn. 80 f.). Eine Herausgabe an Nichtberechtigte kann eine meldepflichtige Datenpanne sein.
- Notieren Sie Eingang und Fristende. Die Frist beginnt mit dem Eingang über einen offiziellen Kanal des Trägers, auch wenn die zuständige Person den Antrag noch nicht gesehen hat (EDSA, Rn. 159). Planen Sie das Fristende auf einen Monat nach Eingang; bei diakonischen Trägern nennt das DSG-EKD drei Monate als äußerste Grenze. Eine Verlängerung nach DSGVO oder KDG setzt Komplexität oder eine hohe Zahl von Anträgen voraus (Art. 12 Abs. 3 DSGVO). Fragt der Träger ohne Verzögerung zur Identität oder Präzisierung nach, ruht die Frist nach Auffassung des EDSA bis zur Antwort. Sinnvoll ist eine Eingangsbestätigung mit Fristende (Rn. 57).
- Bestimmen Sie den Umfang. Suchen Sie in allen Systemen, also in Fachsoftware, Papierakte, E-Mail, Abrechnung und Übergabebüchern. Zur Antwort gehören neben den Daten Zwecke, Empfänger, Speicherdauer und Herkunft (Art. 15 Abs. 1 DSGVO). Bei großen Datenmengen darf der Träger um Präzisierung bitten (Erwägungsgrund 63 DSGVO). Auch der Anbieter der Fachsoftware muss nach dem Vertrag zur Auftragsverarbeitung helfen (Art. 28 Abs. 3 Buchst. e DSGVO); was für externe Dienstleister mit Zugang zu Akten gilt, beschreibt der Beitrag zur Schweigepflicht bei IT, Cloud und KI.
- Prüfen Sie die Rechte anderer. Die Kopie darf die Rechte anderer nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO), etwa von Angehörigen, Mitbewohnern oder Hinweisgebenden. Sinnvoll ist, solche Stellen unkenntlich zu machen und das in der Antwort zu sagen; ganz ohne Auskunft darf die Person nicht dastehen (EDSA, Rn. 168 f.).
- Entscheiden und begründen Sie. Prüfen Sie außerdem, ob eine gesetzliche Ausnahme oder ein exzessiver Antrag vorliegt (Art. 12 Abs. 5 DSGVO). Eine drohende Klage gegen den Träger ist kein Verweigerungsgrund (EuGH, C-307/22, Rn. 43). Jede Verweigerung, auch eine teilweise, wird dokumentiert und der Person mit Gründen und Hinweis auf Beschwerde und Rechtsbehelf mitgeteilt (Art. 12 Abs. 4 DSGVO, § 34 Abs. 2 BDSG, § 17 Abs. 7 KDG).
- Stellen Sie die Kopie sicher bereit. Die Herausgabe ist selbst eine Verarbeitung. Der Weg richtet sich nach dem Risiko, etwa verschlüsselte Datei mit getrennt mitgeteiltem Passwort, Einschreiben oder Abholung gegen Unterschrift (EDSA, Rn. 40). Kam der Antrag elektronisch, wird die Kopie in einem gängigen elektronischen Format bereitgestellt, sofern die Person nichts anderes wünscht (Art. 15 Abs. 3 DSGVO).
- Bewahren Sie Antrag, Prüfung und Antwort auf. Der Träger muss nachweisen können, dass er die Vorgaben eingehalten hat (Art. 5 Abs. 2 DSGVO, § 5 Abs. 2 DSG-EKD). In die Vorgangsakte gehören Antrag mit Eingangsdatum, Identitätsprüfung, Abwägung zu Rechten Dritter, Antwort und Versandnachweis; sie dienen nur dem Auskunftsverfahren und der Datenschutzkontrolle (§ 17 Abs. 7 Satz 3 KDG). Keines der Gesetze nennt dafür eine Aufbewahrungsfrist; ich halte es für ratsam, sie im Löschkonzept festzulegen, also in der Übersicht, wann welche Unterlagen gelöscht werden.
Was Beschäftigte über sich verlangen können
Das Auskunftsrecht aus Art. 15 DSGVO, bei kirchlichen Trägern aus § 17 KDG und § 19 DSG-EKD, haben auch Bewerberinnen, Bewerber und ehemalige Beschäftigte; § 26 Abs. 8 BDSG zählt sie im Sinne des BDSG zu den Beschäftigten. Wie weit ihre Kopie reicht, hat das Bundesarbeitsgericht (BAG) am 16. April 2026 entschieden. Art. 15 DSGVO bezieht sich grundsätzlich nur auf die personenbezogenen Daten in einem Dokument, nicht auf das ganze Dokument (8 AZR 169/25). Eine leitende Beschäftigte verlangte Kopien der Berichte, in denen eine Anwaltskanzlei Beschwerden über ihr Führungsverhalten untersucht hatte. Eine Kopie des ganzen Berichts samt rechtlicher Ausführungen bekam sie nicht, weil eine rechtliche Analyse keine Information über die Person ist und sie die Passagen nicht brauchte, um ihre Daten zu verstehen (Rn. 20 bis 26). Ihren Antrag auf die zweite Fassung ohne diese Ausführungen wies das Gericht aus Verfahrensgründen zurück (Rn. 30, 35).
Aus der Rechtsprechung: BAG, 17. Oktober 2024
Eine ehemalige Organistin einer evangelischen Kirchengemeinde verlangte die Kopie eines Protokolls aus einer nichtöffentlichen Sitzung des Kirchengemeinderats von 2006 über arbeitsrechtliche Maßnahmen gegen sie. Zur Herausgabe verurteilte das BAG die Gemeinde (8 AZR 42/24). Ob sich der Anspruch aus DSGVO oder DSG-EKD ergibt, ließ es offen; es stützte ihn auf die kirchliche Anstellungsordnung der Landeskirche und die Rücksichtnahmepflicht aus dem Arbeitsvertrag, weil das Protokoll inhaltlich zur Personalakte gehört.
Das Urteil von 2024 beruht auf kirchlichem Arbeitsrecht und Arbeitsvertrag. Ob Protokolle von Leitungssitzungen bei anderen Trägern ebenso zur Personalakte zählen, ist damit nicht gesagt. Für den Umfang der Kopie nach Art. 15 DSGVO ist die jüngere Entscheidung von 2026 der Maßstab, den das BAG derzeit gesetzt hat.
Was eine verspätete oder verweigerte Auskunft kosten kann
Wer keine oder eine unvollständige Antwort bekommt, kann sich bei der Datenschutzaufsicht beschweren (Art. 77 DSGVO, § 48 KDG, § 46 DSG-EKD). Wie das abläuft und wie hoch der Bußgeldrahmen ist, beschreibt der Beitrag zur Beschwerde bei der Datenschutzaufsicht.
Daneben steht der Schadensersatz. Am 19. März 2026 hat der EuGH entschieden, dass eine Verletzung des Auskunftsrechts einen Anspruch nach Art. 82 DSGVO begründen kann (C-526/24). Der nicht in Geld messbare Schaden, der immaterielle Schaden, kann im Kontrollverlust oder in der Ungewissheit liegen, ob Daten verarbeitet wurden. Die Person muss ihn aber nachweisen, der Verstoß allein genügt nicht. Zur Höhe bei verspäteter Auskunft ist mir keine gefestigte Linie bekannt.
Als externer Datenschutzbeauftragter richte ich mit Trägern den Auskunftsprozess ein, von der Fristenkontrolle über die Dokumentation der Verweigerungsgründe bis zur Schulung der Verwaltung.
Stand: 8. Oktober 2026. Das KDG gilt in der Fassung, die Ihr Bistum in Kraft gesetzt hat. Der Vorschlag der Europäischen Kommission vom 19. November 2025 für eine Missbrauchsregel in Art. 12 Abs. 5 DSGVO ist nicht beschlossen; er liegt beim zuständigen Ausschuss des Europäischen Parlaments.
Fragen
Haben Angehörige ein Recht auf Einsicht in die Pflegedokumentation?
Mit Vertretungsbefugnis (rechtliche Betreuer im passenden Aufgabenkreis, Bevollmächtigte) oder mit Einwilligung der betroffenen Person; ein eigenes Auskunftsrecht haben Angehörige nur für Daten über sich selbst. Ehegatten dürfen bei Bewusstlosigkeit oder Krankheit die Krankenunterlagen zu Angelegenheiten der Gesundheitssorge einsehen, nicht aber bei Getrenntleben, entgegenstehendem Willen, Vollmacht oder Betreuer und höchstens sechs Monate (§ 1358 Abs. 2 und 3 BGB). Ob das gegenüber einer Pflegeeinrichtung für die Pflegedokumentation gilt, sagt das Gesetz nicht ausdrücklich; die Vorschrift nennt behandelnde Ärzte.
Darf ein Pflegeheim für die Kopie der Akte Geld verlangen?
Für die erste Kopie nicht. So regeln es Art. 12 Abs. 5 und Art. 15 Abs. 3 DSGVO, bestätigt durch das Urteil des EuGH vom 26. Oktober 2023; KDG und DSG-EKD regeln es ebenso. Erst für weitere Kopien ist ein angemessenes Entgelt nach den Verwaltungskosten zulässig.
Muss der Träger sagen, wer die Akte gelesen hat?
Zeitpunkt und Zweck von Abfragen der eigenen Daten kann die Person verlangen. Die Namen der Beschäftigten, die auf Weisung zugegriffen haben, kann sie grundsätzlich nicht verlangen, außer sie sind unerlässlich, um ihre Rechte wirksam auszuüben (EuGH, Urteil vom 22. Juni 2023, C-579/21). Auskunft geben kann der Träger nur über Zugriffe, die er protokolliert hat.
Was tun, wenn eine Klientin oder ein Klient immer wieder Auskunft verlangt?
Wiederholte Anträge können exzessiv sein; dann darf der Träger ein angemessenes Entgelt verlangen oder die Antwort verweigern, muss den Missbrauch aber im Einzelfall nachweisen (Art. 12 Abs. 5 DSGVO). Auch ein erster Antrag kann missbräuchlich sein; als Beispiel nennt der EuGH mehrere Anträge, auf die jeweils Schadensersatzforderungen folgen (C-526/24, Rn. 45). Die Hürde bleibt hoch, weil die Begriffe eng auszulegen sind und ein unsachlicher Ton nicht genügt (EDSA, Rn. 175 bis 180); die Ablehnung wird mit Hinweis auf Beschwerde und Rechtsbehelf begründet.
Dürfen Jugendliche selbst Auskunft über ihre Akte beim Jugendhilfeträger verlangen?
Ja, das Auskunftsrecht steht dem Kind oder Jugendlichen selbst zu. Je nach Reife handeln die Sorgeberechtigten für es; leitend ist das Kindeswohl (EDSA, Rn. 84 bis 87).
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 7, Art. 5 Abs. 2, Art. 12, 15, 23, 28, 38, 39, 77, 82, 91, Erwägungsgründe 27 und 63. EUR-Lex, abgerufen am 8. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bürgerliches Gesetzbuch, § 630a, § 630g (Fassung seit 6. Februar 2026), § 1358, § 1823. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
- Bundesgesetzblatt: Gesetz zur Änderung des Verbrauchervertrags- und des Versicherungsvertragsrechts sowie zur Änderung des Behandlungsvertragsrechts vom 3. Februar 2026, BGBl. 2026 I Nr. 28, Art. 1 Nr. 16 und Art. 10 Abs. 2. recht.bund.de, abgerufen am 8. Oktober 2026.
- Deutscher Bundestag: Beschlussempfehlung und Bericht des Rechtsausschusses, Drucksache 21/3345, Begründung zu Art. 1 Nr. 16 (§ 630g BGB), S. 48 f. dserver.bundestag.de, abgerufen am 8. Oktober 2026.
- Deutscher Bundestag: Entwurf eines Gesetzes zur Verbesserung der Rechte von Patientinnen und Patienten, Drucksache 17/10488, Begründung zu § 630a BGB, S. 17. dserver.bundestag.de, abgerufen am 8. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz, § 1, § 26 Abs. 8, § 29 Abs. 1, § 34. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Zehntes Buch Sozialgesetzbuch, § 25, § 67, § 78, § 83. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Betriebsverfassungsgesetz, § 83 und § 118. gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), Fassung des Beschlusses vom 24. November 2025, § 3, § 14, § 17, § 48, in Kraft gesetzt durch das Bistum Hildesheim zum 1. März 2026. PDF des Bistums Hildesheim, abgerufen am 8. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025 (ABl. EKD 2025 S. 1), in der seit 1. Mai 2025 geltenden Fassung, § 2, § 5, § 16, § 19, § 46. kirchenrecht-ekd.de, abgerufen am 8. Oktober 2026.
- Evangelische Kirche in Deutschland: Nichtamtliche Begründung zum Kirchengesetz zur dritten Änderung des EKD-Datenschutzgesetzes vom 13. November 2024 (Stand 6. Januar 2025), zu § 16 und § 19. kirchenrecht-ekd.de, abgerufen am 8. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 26. Oktober 2023, C-307/22 (FT, Kopie der Patientenakte), Rn. 34 bis 38, 43, 72 bis 75 und Tenor. EUR-Lex, abgerufen am 8. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 19. März 2026, C-526/24 (Brillen Rottler), Rn. 45, 55 bis 67 und Tenor. EUR-Lex, abgerufen am 8. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 12. Januar 2023, C-154/21 (Österreichische Post), Tenor. EUR-Lex, abgerufen am 8. Oktober 2026.
- Gerichtshof der Europäischen Union: Urteil vom 22. Juni 2023, C-579/21 (Pankki S), Tenor Nr. 2. EUR-Lex, abgerufen am 8. Oktober 2026.
- Bundesarbeitsgericht: Urteil vom 16. April 2026, 8 AZR 169/25, Leitsatz und Rn. 20 bis 26, 30 und 35. bundesarbeitsgericht.de, abgerufen am 8. Oktober 2026.
- Bundesarbeitsgericht: Urteil vom 17. Oktober 2024, 8 AZR 42/24, Rn. 1, 16, 17, 28 bis 31, 35 und 36. bundesarbeitsgericht.de, abgerufen am 8. Oktober 2026.
- Kirchengerichtshof der Evangelischen Kirche in Deutschland, Verwaltungssenat: Urteil vom 9. September 2022, 0135/4-2020, Leitsätze. kirchenrecht-ekd.de, abgerufen am 8. Oktober 2026.
- Bundesfinanzhof: Urteil vom 12. November 2024, IX R 20/22, Leitsätze und Rn. 42. bundesfinanzhof.de, Volltext als PDF auf curia.europa.eu, abgerufen am 8. Oktober 2026.
- Europäischer Datenschutzausschuss: Guidelines 01/2022 on data subject rights, Right of access, Version 2.1 vom 30. Mai 2024, Rn. 38 bis 40, 50 bis 57, 63 bis 87, 133, 159, 168, 169 und 175 bis 180. edpb.europa.eu, abgerufen am 8. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder: Entschließung vom 11. September 2024, Recht auf kostenlose Erstkopie der Patientenakte kann durch eine nationale Regelung nicht eingeschränkt werden. datenschutzkonferenz-online.de, abgerufen am 8. Oktober 2026.
- Sächsische Datenschutz- und Transparenzbeauftragte: Tätigkeitsbericht Datenschutz 2025, Kap. 3.2.1 und 3.2.2, S. 137 bis 140. publikationen.sachsen.de, abgerufen am 8. Oktober 2026.
- Europäische Kommission: Vorschlag COM(2025) 837 final vom 19. November 2025 (Digital-Omnibus), Änderung des Art. 12 Abs. 5 DSGVO. EUR-Lex, abgerufen am 8. Oktober 2026.
- Europäisches Parlament: Legislative Observatory, Verfahren 2025/0360(COD), Stand „Awaiting committee decision“. oeil.secure.europarl.europa.eu, abgerufen am 8. Oktober 2026.
- katholisch.de (Sekundärquelle): Kirche veröffentlicht neues Datenschutzrecht: Reform des KDG ist da, 18. Dezember 2025. katholisch.de, abgerufen am 8. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
