Auskunft über Zugriffe durch Beschäftigte

Art. 15 der Datenschutz-Grundverordnung (DSGVO) gewährt betroffenen Personen das Recht, von dem datenschutzrechtlich Verantwortlichen eine Bestätigung darüber zu verlangen, ob und ihre personenbezogenen Daten verarbeitet werden. Ist dies der Fall, haben sie zudem Anspruch auf Auskunft über diese Verarbeitung.

Der Umfang des Auskunftsanspruchs gehört zu den zentralen und zugleich umstrittensten Fragen des Datenschutzrechts. Eine besonders praxisrelevante Problematik betrifft die Frage, ob sich der Anspruch auch darauf erstreckt, konkret zu erfahren, welche einzelnen Mitarbeitenden eines Verantwortlichen Zugriff auf die eigenen personenbezogenen Daten hatten. 

Beschwerde betroffener Person 

Mit dieser Frage hat sich das Unabhängige Datenschutzzentrum Saarland im Jahr 2025 befasst. Grund hierfür war eine Beschwerde eines Betroffenen, der von seiner Bank Auskunft über die zu seiner Person gespeicherten personenbezogenen Daten verlangte. Aufgrund seines Verdachts, dass bestimmte Zugriffe rechtswidrig und ohne berechtigten Anlass erfolgt sein könnten, forderte er ebenfalls die Mitteilung, welche Mitarbeitenden der Bank im Laufe der letzten Jahre Zugriff auf sein Konto genommen hatten. 

Das Kreditinstitut entgegnete, dass – unter Beachtung geltender Datenschutzvorschriften – keine hinreichende Grundlage für die Übermittlung der verlangten Daten existiere. Aus diesem Grund wurde der Beschwerdeführer aufgefordert, seinen Verdacht durch die Nennung konkreter Namen sowie des mutmaßlichen Zeitraums des unberechtigten Zugriffs zu konkretisieren. Daraufhin stellte der Betroffene klar, dass sein Antrag nach Art. 15 DSGVO ebenfalls die Zurverfügungstellung einer Kopie seiner personenbezogenen Daten – einschließlich der protokollierten Zugriffsdaten auf sein Bankkonto – umfasse. Da die Bank diesem Anspruch nicht nachkam, reichte der Betroffene bei der zuständigen Aufsichtsbehörde Beschwerde ein.

Auskunft über Datenempfänger 

Gemäß Art. 15 Abs. 1 lit. c DSGVO ist der Verantwortliche unter anderem verpflichtet, eine Auskunft über Empfänger oder Kategorien von Empfängern, an die die Daten übermittelt werden, zu erteilen. In diesem Kontext stellt sich jedoch die Frage, ob Beschäftigte einer verantwortlichen Stelle als Datenempfänger im Sinne des Art. 4 Nr. 9 DSGVO einzuordnen sind. 

Dies ist nach Auffassung des EuGH regelmäßig zu verneinen, da die Mitarbeitenden die personenbezogenen Daten im Einklang mit den Weisungen des Arbeitgebers verarbeiten und ausschließlich deren organisatorische Umsetzung übernehmen (siehe EuGH, Urteil vom 22.06.2023 - C-579/21). Handelt ein Beschäftigter im Rahmen seiner arbeitsrechtlichen Pflichten und den Arbeitsanweisungen entsprechend, steht der betroffenen Person somit kein Anspruch auf Bekanntgabe von dessen Identität zu. 

Weicht ein Mitarbeitender hingegen eigenmächtig von den internen Vorgaben des Kreditinstituts ab und greift bspw. unbefugt auf Kundendaten zu – ein Vorgang, der als sogenannter Mitarbeiterexzess bezeichnet wird –, genießt diese Person einen geringeren datenschutzrechtlichen Schutz. Folglich sind in einem solchen Fall die entsprechenden Informationen an den Antragsteller herauszugeben.

Entgegen der Auffassung der Bank, stellte die Behörde klar, dass es nicht erforderlich ist, den Namen des im Verdacht stehenden Beschäftigten oder den genauen Zeitraum des mutmaßlich unberechtigten Zugriffs zu benennen. Die Aufsichtsbehörde stellte zu Recht fest, dass dem Antragsteller diese Angaben typischerweise nicht bekannt sein können. Aus diesem Grund genügt nach der Auffassung der Aufsichtsbehörde, wenn der Betroffene grob die Umstände schildert, die darauf hindeuten, dass ein Zugriff außerhalb der Vorgaben möglich wäre, Das Kreditinstitut darf eine solche Darlegung allerdings nur dann einfordern, wenn es geeignete technische und organisatorische Maßnahmen implementiert hat, die sicherstellen, dass unzulässige Zugriffe grundsätzlich verhindert werden.

Die Bank wäre sodann verpflichtet, den zugrunde liegenden Sachverhalt eingehend zu prüfen. Erst nach Abschluss dieser Prüfung kann das Kreditinstitut beurteilen, ob ein Mitarbeiterexzess vorliegt, und gegebenenfalls die Identität des betreffenden Beschäftigten offenzulegen ist.

Sollte dies der Fall sein, wäre die verantwortliche Stelle darüber hinaus in der Regel gemäß Art. 33 DSGVO zur Meldung des Datenschutzvorfalls bei der zuständigen Aufsichtsbehörde verpflichtet. 

Herausgabe von Kopien

Betroffenen steht gem. Art. 15 Abs. 3 DSGVO zudem ein Anspruch auf Herausgabe von Kopien der personenbezogenen Daten zu, die Gegenstand der Verarbeitung sind. Hierbei ist der im Art. 4 Nr. 1 DSGVO definierte Begriff „personenbezogene Daten“ weit auszulegen. Davon umfasst sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Protokolldaten, die Kontozugriffe dokumentieren, sind ebenfalls als personenbezogene Daten des Kontoinhabers einzuordnen – mit der Folge, dass eine Kopie dieser Protokolle herauszugeben ist. 

Im Hinblick auf den Grundsatz der Datensparsamkeit sowie den Schutz jener Beschäftigten, die weisungsgemäß gehandelt haben, dürfen deren personenbezogene Daten in der Kopie geschwärzt werden. Beschäftigte, deren Identität infolge eines Mitarbeiterexzesses im Rahmen der Auskunftserteilung nach Art. 15 Abs. 1 lit. c DSGVO offenzulegen ist, können sich hingegen nicht auf ein schutzwürdiges Interesse an einer Schwärzung in den Protokolldaten berufen.

Fazit

Die Entscheidung des Unabhängigen Datenschutzzentrums Saarland zeigt, dass der Auskunftsanspruch nach Art. 15 DSGVO weiter reicht, als viele Unternehmen annehmen. Betroffene Personen können nicht nur eine Kopie ihrer personenbezogenen Daten einschließlich Protokolldaten verlangen, sondern in engen Grenzen auch Auskunft darüber, welche Beschäftigten auf ihre Daten zugegriffen haben. Für Unternehmen ergibt sich daraus eine doppelte Verantwortung: Zum einen müssen technische und organisatorische Maßnahmen implementiert sein, die unbefugte Zugriffe nachvollziehbar verhindern und dokumentieren. Zum anderen sind interne Zugriffe bei einem begründeten Verdacht aktiv zu prüfen. Stellt sich ein Mitarbeiterexzess heraus, ist die Identität des Beschäftigten regelmäßig offenzulegen.