Wenn eine betroffene Person ein Auskunftsersuchen stellt, muss zunächst geklärt werden, ob Daten über diese Person verarbeitet werden. Dies erfordert gründliche Vorarbeit, da der Verantwortliche wissen muss, wo und welche Daten verarbeitet werden. Nur die Person, deren Daten betroffen sind, hat Anspruch auf Auskunft. Wenn keine Daten über den Anfragenden vorliegen, muss dies ebenfalls mitgeteilt werden.
Die Auskunft darf in der Regel nicht verweigert werden. Insofern gibt es nur sehr wenige und sehr enge Ausnahmen, wie etwa bei exzessiven Anfragen, d.h. wenn jemand ohne nachvollziehbaren Grund mehrmals im Jahr die gleiche Anfrage stellt. Auch kann die Auskunft verweigert werden, wenn es sich um reine Archiv- und Protokolldaten handelt und die Auskunftserteilung unverhältnismäßig aufwendig wäre, oder wenn ein Interesse an Geheimhaltung besteht.
Die Auskunft muss unverzüglich und in jedem Fall innerhalb eines Monats nach Eingang des Antrags zu Verfügung gestellt werden. Sie muss detailliert sein und folgende Informationen enthalten: die Zwecke der Datenverarbeitung, die Kategorien der verarbeiteten personenbezogenen Daten, die Empfänger oder Kategorien von Empfängern, an die die Daten offengelegt wurden, und die Kriterien für die Speicherdauer. Zudem muss sie Hinweise auf die Rechte der betroffenen Person und die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde enthalten. Wenn die Daten nicht vom Betroffenen selbst stammen, sind auch Angaben zur Herkunft der Daten erforderlich.
Auskunftsersuche sollten ernst genommen werden, da unvollständige, verspätete oder unterlassene Antworten zu hohen Geldbußen und Schadensersatzansprüchen der Betroffenen führen können.