Auskunft
auch von der
Aufsicht.
Auskunft
auch von der
Aufsicht.
von
Wer sich bei der Datenschutzbehörde beschwert, gibt dort selbst Daten preis. Schuldet die Aufsichtsbehörde dann Auskunft darüber, was sie über den Beschwerdeführer gespeichert hat? Und was erfährt dieser auf diesem Weg über das Unternehmen, gegen das sich seine Beschwerde richtet?
Ein Journalist will seine Beschwerdeakte sehen
Der Beschwerdeführer ist Journalist und betreibt einen Blog, der sich unter anderem mit Datenschutz befasst. Seit 2021 hatte er beim Bayerischen Landesamt für Datenschutzaufsicht mehrere Beschwerden eingereicht. Am 13.05.2022 beschwerte er sich erneut über ein Unternehmen. Das Landesamt stellte Verstöße fest und teilte ihm am 11.10.2022 mit, bei erneuten Verstößen werde eine kostenpflichtige Verwarnung folgen.
Das genügte dem Journalisten nicht. Noch am selben Tag verlangte er Auskunft über alle Daten, die das Landesamt im Beschwerdeverfahren über ihn verarbeitet hatte, samt Kopie. Das Landesamt lehnte am 20.10.2022 ab. Es berief sich auf das Bayerische Datenschutzgesetz. Danach bestehen Auskunfts- oder Einsichtsrechte hinsichtlich Akten und Dateien der Aufsichtsbehörden nicht.
Der Journalist klagte am 06.12.2022 vor dem Verwaltungsgericht Ansbach. Am 23.02.2024 gewährte ihm das Landesamt zwar elektronische Akteneinsicht, ausdrücklich aber ohne Anerkennung einer Rechtspflicht. Seither geht es nur noch um die Feststellung, dass die Ablehnung rechtswidrig war. Das Verwaltungsgericht legte die Sache mit Beschluss vom 19.02.2025 dem Europäischen Gerichtshof vor.
Kontrolleur oder Verantwortlicher?
Das Landesamt vertrat eine klare Rollentrennung. Gegenüber dem Beschwerdeführer handle es ausschließlich als Aufsichtsbehörde. Verantwortlicher im Sinne der Datenschutz-Grundverordnung, also die Stelle, die über Zweck und Mittel einer Datenverarbeitung entscheidet und deshalb die Betroffenenrechte erfüllen muss, sei es in diesem Verhältnis nicht. Das vorlegende Gericht neigte dagegen zu der Ansicht, eine Behörde könne beides zugleich sein.
EuGH verpflichtet auch die Aufsichtsbehörde zur Auskunft
Der Europäische Gerichtshof hat beide Vorlagefragen zugunsten des Beschwerdeführers beantwortet (EuGH Urteil vom 05.11.2026 – Az. C-205/25). Eine Aufsichtsbehörde, die eine Beschwerde bearbeitet, ist für die Daten des Beschwerdeführers Verantwortliche und schuldet ihm grundsätzlich Auskunft. Eine Landesvorschrift, die diese Auskunft vollständig ausschließt, verstößt gegen die Datenschutz-Grundverordnung.
Warum ist die Aufsicht zugleich Verantwortliche?
Wer eine Beschwerde bearbeitet, verarbeitet die Daten des Beschwerdeführers. Nach Auffassung des Gerichtshofs erfasse, speichere, frage ab und verwende die Behörde diese Daten. Zweck und Mittel dieser Verarbeitung ergäben sich im Wesentlichen aus dem Unionsrecht, das die Tätigkeit der Behörde regelt. Das reiche für die Einstufung als Verantwortliche aus.
Der Gerichtshof begründet das vor allem mit der Folge der Gegenansicht. Ohne diese Einstufung stünden dem Beschwerdeführer gegenüber der Behörde keinerlei Betroffenenrechte zu, weder Auskunft noch Berichtigung noch Löschung. Die Behörde wäre zudem nicht an die Grundsätze der Datenverarbeitung gebunden. Das Argument des Landesamts, die Verordnung trenne Aufsicht und Verantwortlichen strikt, überzeugte den Gerichtshof nicht. Diese Trennung beschreibe nur den Regelfall.
Wichtig ist eine Einschränkung. Das Auskunftsrecht begründe kein allgemeines Recht auf Akteneinsicht. Es erfasse die eigenen personenbezogenen Daten und die Informationen über deren Verarbeitung, nicht sämtliche Unterlagen der Behörde.
Warum hält der pauschale Ausschluss nicht?
Die Datenschutz-Grundverordnung erlaubt den Mitgliedstaaten, Betroffenenrechte durch Gesetz zu beschränken. Das ist aber nur zulässig, wenn die Beschränkung einem der dort genannten Gemeinwohlziele dient, den Wesensgehalt der Grundrechte achtet und verhältnismäßig ist. Das Landesamt hatte sich auf den Schutz Dritter, auf seine Funktionsfähigkeit und Unabhängigkeit sowie auf die öffentliche Sicherheit berufen. Keines dieser Ziele trägt nach dem Urteil einen vollständigen Ausschluss.
Schutz Dritter: Die Rechte anderer Personen seien zwar ein legitimes Ziel. Sie dürften aber nicht dazu führen, dass jede Auskunft verweigert wird. Die widerstreitenden Interessen seien abzuwägen.
Daher sind angepasste Modalitäten wie u. a. die Schwärzung oder Anonymisierung von personenbezogenen Daten Dritter geeignet, die betroffenen Interessen miteinander in Einklang zu bringen, ohne das Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten vollständig zu beseitigen.
Funktionsfähigkeit und Unabhängigkeit. Dieses Ziel sei grundsätzlich anerkannt. Es sei aber nicht ersichtlich, wie Auskünfte die Unabhängigkeit der Behörde beeinträchtigen könnten. Den Verwaltungsaufwand müssten die Mitgliedstaaten durch eine ausreichende Ausstattung der Behörden auffangen. Gegen offenkundig unbegründete oder exzessive Anträge gebe die Verordnung selbst Mittel an die Hand, nämlich ein Entgelt oder die Weigerung. Wann ein Antrag missbräuchlich sein kann, haben wir im Beitrag zur Grenze für missbräuchliche DSGVO-Anfragen dargestellt.
Öffentliche Sicherheit. Sie rechtfertige eine Beschränkung nur bei einer tatsächlichen und hinreichend schweren Gefährdung eines Grundinteresses der Gesellschaft. Dafür ergab die Akte nichts.
Was folgt daraus für Ihre eigenen Auskunftsprozesse?
Die Ausführungen zum Schutz Dritter gelten nicht nur für Behörden. Sie betreffen jedes Unternehmen, das Auskunftsersuchen beantwortet. Der Gerichtshof greift dabei auf seine bisherige Rechtsprechung zurück. Eine Auskunft mit Verweis auf Daten von Kollegen, Kunden oder Geschäftspartnern vollständig zu verweigern, lässt sich danach kaum halten. Erforderlich ist eine Abwägung im Einzelfall und, wo möglich, eine Herausgabe mit Schwärzungen.
Dabei kommt es auf die Technik an. Ein schwarzer Balken im PDF ist nicht immer eine wirksame Schwärzung, worauf wir im Beitrag Schwärzen, aber richtig eingegangen sind.
Was erfährt der Beschwerdeführer über Ihr Unternehmen?
Für Unternehmen, gegen die sich eine Beschwerde richtet, stellt sich eine Anschlussfrage. Die Akte der Behörde enthält regelmäßig deren Stellungnahmen und Unterlagen. Das Urteil beantwortet nicht ausdrücklich, welche Teile davon über das Auskunftsrecht beim Beschwerdeführer ankommen können.
Einen Anspruch auf die gesamte Akte hat der Beschwerdeführer nach dem Urteil nicht. Soweit eine Stellungnahme des Unternehmens aber Angaben über ihn enthält, etwa zu seinen Bestellungen, seiner Korrespondenz oder seinem Verhalten, dürften diese Angaben zu seinen personenbezogenen Daten zählen. Sie können dann Gegenstand der Auskunft werden. Daten von Mitarbeitern oder Dritten wären zu schwärzen. Geschäftsgeheimnisse erwähnt die Verordnung in ihren Erwägungsgründen ausdrücklich als schutzwürdig. Wie Behörden diese Abwägung in der Praxis vornehmen, ist offen.
Für Stellungnahmen gegenüber der Aufsicht empfehlen wir deshalb folgende Schritte:
- Sachlich formulieren. Gehen Sie davon aus, dass Passagen über den Beschwerdeführer ihn später erreichen können. Wertungen über seine Person gehören nicht in die Stellungnahme.
- Trennen. Bündeln Sie Ausführungen zu internen Abläufen und Sicherheitsmaßnahmen getrennt von Angaben zur Person des Beschwerdeführers.
- Kennzeichnen. Markieren Sie Geschäftsgeheimnisse und Daten Dritter ausdrücklich und begründen Sie das Schutzbedürfnis.
- Prüfen lassen. Lassen Sie Stellungnahmen in Verfahren mit erkennbarem Konfliktpotenzial durch eine Beratung zum Datenschutzrecht vorab prüfen.
Fazit
Das Ergebnis fügt sich in die Linie des Gerichtshofs, die Betroffenenrechte weit auszulegen und pauschale Ausnahmen zurückzuweisen, ein. Für das Datenschutzrecht insgesamt ist vor allem die klare Absage an Totalverweigerungen wichtig. Sie gilt für Behörden wie für Unternehmen.
Offen bleiben mehrere Fragen. Das Landesamt hatte sich auch auf sonstige wichtige Ziele des öffentlichen Interesses berufen. Diesen Rechtfertigungsgrund behandelt das Urteil nicht gesondert. Ebenso offen ist, wer die Datenverarbeitung einer Aufsichtsbehörde eigentlich kontrolliert. Der Gerichtshof regt lediglich an, die Behörde könne intern eine unabhängige Stelle dafür einrichten. Ob das ausreicht, wenn sich ein Beschwerdeführer über die Behörde selbst beschweren will, wird die Praxis zeigen müssen.
Für Unternehmen ist die mittelbare Wirkung wahrscheinlich bedeutsamer als der Streit um die bayerische Vorschrift. Was Sie der Aufsicht schreiben, ist nicht mehr selbstverständlich nur für die Aufsicht bestimmt.
Wir beraten
Sie gerne zum
Datenschutzrecht!
