Das Auskunftsrecht gemäß Art. 15 DSGVO ist ein Betroffenenrecht, das den Verantwortlichen verpflichtet auf Verlangen einer Person bestimmte Auskünfte zu erteilen. Dazu gehört zunächst, ob überhaupt Personenbezogene Daten der Person verarbeitet werden. Insofern ist im Falle einer Negativauskunft die anfragende Person strengenommen keine Betroffene Person. Dennoch ist auch in einem solchen Fall die (Negativ-)Auskunft zu erteilen.
Wenn personenbezogene Daten durch den Verantwortlichen verarbeitet werden, muss über folgendes gemäß Art. 15 Abs. 1 Auskunft erteilt werden:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Dieser Katalog hat nicht zufällig Ähnlichkeit mit den Katalogen für die Informationspflicht und das VVT.
Im Vergleich mit der Informationspflicht gemäß Art. 13 und https://dejure.org/gesetze/DSGVO/14.html DSGVO muss der Verantwortlich also nicht proaktiv handeln sondern nur reaktiv. Dafür ist der Umfang der Pflichten wesentlich größer, denn es muss nicht nur abstrakt die Verarbeitung beschrieben werden, sondern es muss der betroffenen Person konkret dargelegt werden, was über sie gespeichert ist.
Das Recht auf Kopie gibt der betroffenen Person gemäß Art. 15 Abs. 4 DSGVO Anspruch auf eine Kopie der personenbezogenen Daten. Der genaue Inhalt dieses Rechts und sein Verhältnis zum Auskunftsrecht sind umstritten.