Eine Bankkundin wollte nach einem Anlagebetrug mit Kryptowährung über den Auskunftsanspruch nach Art. 15 DSGVO an Logfiles, Auszüge aus dem Fraud-Monitoring und interne Vermerke ihrer Bank kommen. Das Amtsgericht Charlottenburg (AG Charlottenburg, Urteil vom 30. September 2026, 211 C 30/26) hat den Antrag abgewiesen, weil die Ausforschung des Gegners kein Zweck der DSGVO sei. Das Ergebnis lässt sich zum Teil begründen, die Begründung dürfte mit der Rechtsprechung des EuGH aber nur schwer zu vereinbaren sein.
Der Fall: Auskunftsanspruch nach einem Anlagebetrug
Die Klägerin war über soziale Medien an eine angebliche Anlageplattform für Kryptowährungen geraten. Auf deren Veranlassung überwies sie im Mai 2025 von ihrem Girokonto bei der beklagten Bank in vier Überweisungen Beträge zwischen 55 und 2.300 Euro auf ein auf ihren Namen geführtes Konto bei einem maltesischen Kryptodienstleister. Von dort floss das Geld in Kryptowährung an die Betrüger. Von ihrer Bank verlangte die Klägerin Schadensersatz. Nach ihrer Auffassung hätte das Monitoring der Bank zur Geldwäsche- und Betrugsprävention Alarm auslösen müssen und die Bank hätte die Ausführung verzögern und mit ihr Rücksprache halten müssen.
Zugleich verlangte sie nach Art. 15 Abs. 1 und 3 DSGVO Auskunft über ihre personenbezogenen Daten zu dem Konto und den Überweisungen, „insbesondere sämtliche Systemprotokolle (Logfiles), Auszüge aus internen Überwachungssystemen (AML-/Fraud-Monitoring), interne Vermerke und Fallbearbeitungsdokumentationen zu diesen Transaktionen“ (Rn. 11), sowie eine vollständige Kopie davon in einem gängigen elektronischen Format. Das Amtsgericht wies die Klage insgesamt ab. Eine Warnpflicht bestehe im Massengeschäft des Überweisungsverkehrs nur ganz ausnahmsweise, und ein solcher Fall habe nicht vorgelegen (Rn. 17).
Was das AG Charlottenburg zum Auskunftsanspruch entschieden hat
Auch den Auskunftsantrag hielt das Gericht für unbegründet (Rn. 20). Es verstand ihn so, dass die Klägerin auf der Grundlage von Art. 15 Abs. 1 DSGVO nur die Herausgabe der Logfiles, der Auszüge aus dem Monitoring, der internen Vermerke und der Fallbearbeitung zu den Überweisungen verlangte, und zwar in der Hoffnung, darin Ansatzpunkte für ihren Schadensersatzanspruch zu finden. Das sei nicht der Zweck des Anspruchs nach Art. 15 Abs. 1 DSGVO.
Daran ändere auch das Urteil des EuGH vom 4. Mai 2023 (C-487/21) nichts, soweit es unter Umständen ein Recht auf Auszüge aus Dokumenten oder ganze Dokumente gebe. Davon sei nicht umfasst, dass einer betroffenen Person, die einen Anspruch anderer Art erhebt, sämtliche Korrespondenz einschließlich interner Vermerke vorzulegen sei. Das würde die Rechtsverteidigung des Gegners unzumutbar einschränken. Das Gericht hält fest: „Die Ausforschung des Gegners zum Zwecke der Begründung von nicht im Datenschutzrecht begründeten Ansprüchen gegen diesen, ist kein Zweck der DSGVO.“
Auskunftsanspruch und Motiv: Was der EuGH dazu sagt
Diese Begründung steht in einem Spannungsverhältnis zur Rechtsprechung des EuGH. Der Verantwortliche darf für einen Auskunftsantrag keine Begründung verlangen. Die erste Kopie ist auch dann unentgeltlich zur Verfügung zu stellen, wenn der Antrag anderen Zwecken dient als den in Erwägungsgrund 63 Satz 1 DSGVO genannten (EuGH, Urteil vom 26. Oktober 2023, C-307/22, Rn. 38 und Tenor Nr. 1). Auch dort diente der Antrag der Vorbereitung von Ansprüchen gegen den Verantwortlichen. Ein Patient verlangte von seiner Zahnärztin eine Kopie seiner Patientenakte, weil er Behandlungsfehler vermutete und Haftungsansprüche geltend machen wollte (zu den Folgen für die Patientenakte siehe auch Neuigkeiten zum Auskunftsrecht).
Das Motiv kann aber bei der Frage eine Rolle spielen, ob ein Antrag offenkundig unbegründet oder exzessiv ist (Art. 12 Abs. 5 DSGVO). Nach dem Urteil des EuGH vom 19. März 2026 (C-526/24) kann schon ein erster Antrag exzessiv sein, wenn der Verantwortliche anhand aller Umstände nachweist, dass er nicht der Kontrolle der Verarbeitung dient, sondern in missbräuchlicher Absicht gestellt wurde. Als Beispiel nennt der EuGH die künstliche Schaffung der Voraussetzungen für einen Vorteil aus der DSGVO, im entschiedenen Fall für einen Schadensersatzanspruch (Tenor Nr. 1, Rn. 41, siehe auch Wie der EuGH dem Geschäftsmodell DSGVO-Auskunft Grenzen setzt). Mit Art. 12 Abs. 5 DSGVO hat sich das Amtsgericht nicht befasst. Dass eine Kundin nach einem Betrug Unterlagen für einen Anspruch gegen ihre Bank sucht, dürfte für sich genommen keine missbräuchliche Absicht in diesem Sinne begründen. Offen ist allerdings, welche weiteren Formen des Missbrauchs der EuGH anerkennt, denn sein Beispiel ist nicht abschließend.
Mit dem digitalen Omnibus (COM(2025) 837) schlägt die EU-Kommission vor, dass der Verantwortliche einen Auskunftsantrag auch dann ablehnen oder eine Gebühr verlangen kann, wenn die betroffene Person das Auskunftsrecht für andere Zwecke als den Schutz ihrer Daten missbraucht. Die Kommission versteht das als Klarstellung (Erwägungsgrund 35 des Vorschlags). Dass sie eine ausdrückliche Regelung vorschlägt, spricht allerdings dafür, dass das geltende Recht diese Grenze nicht ohne Weiteres zieht. Verabschiedet ist der Vorschlag bislang nicht (siehe auch Neuigkeiten zum Auskunftsrecht, Teil 2).
Was der Auskunftsanspruch bei Logfiles und internen Vermerken umfasst
Im Ergebnis lässt sich das Urteil zum Teil auf den begrenzten Umfang des Rechts auf eine Kopie stützen. Art. 15 Abs. 3 DSGVO gibt einen Anspruch auf eine Kopie der personenbezogenen Daten, nicht auf Dokumente. Auszüge aus Dokumenten oder ganze Dokumente sind nach dem EuGH nur herauszugeben, wenn dies unerlässlich ist, damit die betroffene Person ihre Rechte aus der DSGVO wirksam ausüben kann (EuGH, Urteil vom 4. Mai 2023, C-487/21, Tenor Nr. 1, siehe auch Was ist eine Kopie im Sinne des Art. 15 Abs. 3 DSGVO?). Nach dem BGH sind interne Vermerke sowie Telefon- und Gesprächsnotizen nicht pauschal vom Recht auf eine Kopie umfasst (BGH, Urteil vom 5. März 2024, VI ZR 330/21, siehe auch BGH definiert Umfang von Kopien personenbezogener Daten). Das BAG hat einen Anspruch auf Kopie eines Compliance-Abschlussberichts als Dokument verneint und festgehalten, dass eine rechtliche Analyse keine Information über die betroffene Person ist (BAG, Urteil vom 16. April 2026, 8 AZR 169/25, Rn. 22 und 25). Einen Anspruch auf die vollständige Fallbearbeitung der Bank mit allen internen Vermerken dürfte die Klägerin danach nicht gehabt haben.
Anders liegt es bei den personenbezogenen Daten selbst. Wann und zu welchen Zwecken Daten einer Person abgefragt wurden, gehört nach dem EuGH zu den Informationen, die sie nach Art. 15 Abs. 1 DSGVO verlangen kann. Die Identität der Beschäftigten, die die Abfragen weisungsgemäß ausgeführt haben, muss der Verantwortliche dagegen grundsätzlich nicht nennen (EuGH, Urteil vom 22. Juni 2023, C-579/21, Tenor Nr. 2). Protokolldaten zu Kontozugriffen dürften personenbezogene Daten des Kontoinhabers sein (siehe auch Auskunft über Zugriffe durch Beschäftigte). Ob und wie weit auch Ergebnisse eines Fraud-Monitorings, etwa ein Treffer oder eine Risikobewertung zu einer Überweisung, zu beauskunften sind, ist eine Frage des Einzelfalls. Für eine Auskunft spricht, dass sich solche Ergebnisse auf die Kundin beziehen. Zugleich können Grenzen greifen, etwa nach Art. 15 Abs. 4 DSGVO oder zum Schutz von Geschäftsgeheimnissen nach Erwägungsgrund 63 Satz 5 DSGVO, insbesondere für die Erkennungslogik eines Monitorings. Mit diesen Fragen hat sich das Amtsgericht nicht befasst, weil es den Antrag auf die Herausgabe von Unterlagen verengt hat. Da der Antrag ausdrücklich sämtliche personenbezogenen Daten erfasste, ist diese Auslegung nicht zwingend.
Für Banken kommt eine Besonderheit hinzu, auf die das Urteil nicht eingeht. Soweit ein Verpflichteter nach dem Geldwäschegesetz personenbezogene Daten zur Verhinderung von Geldwäsche und Terrorismusfinanzierung an die Aufsicht oder an die Zentralstelle für Finanztransaktionsuntersuchungen übermittelt, besteht das Recht auf Auskunft nach Art. 15 DSGVO nicht (§ 11a Abs. 2 GwG). Das betrifft insbesondere Verdachtsmeldungen nach § 43 GwG, die an die Zentralstelle gehen. Interne Daten des Monitorings, die nicht übermittelt werden, erfasst der Ausschluss nach seinem Wortlaut nicht. Im entschiedenen Fall bestand nach Auffassung des Gerichts ohnehin kein Verdacht auf Geldwäsche (Rn. 18).
Auskunftsanspruch im Streitfall: Empfehlungen für die Praxis
Das Urteil ist kein Beleg dafür, dass Verantwortliche Auskunftsersuchen im Streitfall ablehnen dürfen. Es handelt sich um die Entscheidung eines Amtsgerichts, und ob sie rechtskräftig ist, geht aus der veröffentlichten Fassung nicht hervor. Ihre Begründung zum Zweck des Auskunftsanspruchs erscheint angreifbar.
Auch Ersuchen im Zusammenhang mit einem Rechtsstreit sollten innerhalb der Frist des Art. 12 Abs. 3 DSGVO beantwortet werden. Dabei empfiehlt es sich, zwischen der Auskunft über personenbezogene Daten und der Herausgabe von Dokumenten zu unterscheiden. Zur Auskunft gehören nach dem EuGH auch Zeitpunkt und Zwecke von Abfragen der Daten. Welche weiteren Daten aus internen Systemen zu beauskunften sind und ob Ausnahmen greifen, sollte im Einzelfall geprüft und dokumentiert werden. Interne Vermerke, rechtliche Bewertungen und Fallakten sind als Dokument nur herauszugeben, wenn dies für die Ausübung der Datenschutzrechte unerlässlich ist. Daten Dritter, etwa die Namen von Beschäftigten, können geschwärzt werden (Art. 15 Abs. 4 DSGVO). Wer einen Antrag als exzessiv ablehnen will, muss die missbräuchliche Absicht nachweisen können und sollte die Gründe dokumentieren. Banken sollten zudem prüfen, ob § 11a Abs. 2 GwG eingreift, und Auskünfte zu Daten aus der Geldwäscheprävention mit dem Geldwäschebeauftragten abstimmen.
Fazit und Ausblick
Das AG Charlottenburg begrenzt den Auskunftsanspruch dort, wo er der Beweisbeschaffung für andere Ansprüche dienen soll. Im Ergebnis lässt sich das teilweise mit dem begrenzten Umfang des Rechts auf eine Kopie begründen. Die Begründung lässt sich dagegen nur schwer mit der Rechtsprechung des EuGH vereinbaren, nach der das Motiv vor allem dann zählt, wenn der Verantwortliche eine missbräuchliche Absicht nach Art. 12 Abs. 5 DSGVO nachweist. Ob der Gesetzgeber das mit dem digitalen Omnibus erweitert, ist offen. Bis dahin sollten Verantwortliche Auskunftsersuchen auch im Streitfall vollständig prüfen und Ablehnungen sorgfältig begründen.
Keine Kommentare