Datenschutzbehörden müssen Auskunft geben – wie Betroffene ihre Beweislage beim Schadensersatz nach Art. 82 DSGVO verbessern können

Wer sich bei einer Datenschutzaufsichtsbehörde über ein Unternehmen beschwert, durfte in Bayern bislang nicht erfahren, was die Behörde über ihn in ihrer Akte führt. Der Art. 20 Abs. 2 des Bayerischen Datenschutzgesetzes (BayDSG) schloss jedes Auskunfts- und Einsichtsrecht pauschal aus. Das wollte ein Betroffener so nicht akzeptieren und zog gegen das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) vor Gericht. Das Verwaltungsgericht (VG) Ansbach wandte sich dann mit einem Vorabentscheidungsersuchen an den Europäischen Gerichtshof (EuGH), um klären zu lassen, ob eine Aufsichtsbehörde Verantwortlicher im Rahmen des Beschwerdeverfahrens sein kann (Beschluss vom 19. Februar 2025, Az.: AN 14 K 22.02562).

Entscheidung des EuGH

Der EuGH hat am 5. November 2026 entschieden (C-205/25, Lindenberg), dass diese bayerische Praxis DSGVO-widrig ist und eine Aufsichtsbehörde bei der Bearbeitung einer Beschwerde selbst „Verantwortlicher“ im Sinne der DSGVO ist. Sie muss dem Beschwerdeführer deshalb grundsätzlich Auskunft nach Art. 15 DSGVO über die ihn betreffenden Daten erteilen. Die Behörde verarbeitet diese Daten, und Zweck und Mittel der Verarbeitung ergeben sich aus den Aufgaben, die ihr die DSGVO zuweist. Damit erfüllt sie die Kriterien eines Verantwortlichen nach Art. 4 Nr. 7 DSGVO und unterfällt ihrerseits Art. 15 DSGVO.

Einen pauschalen Ausschluss des Auskunftsrechts lässt der EuGH in seinem Urteil nicht gelten: Der Schutz Dritter lässt sich durch Schwärzungen wahren und die Unabhängigkeit der Behörde wird durch Auskunftsersuchen nicht berührt. Den Arbeitsaufwand muss der Staat durch eine angemessene Ausstattung seiner Behörden auffangen. Exzessive Auskunftsanfragen können abgewiesen werden. Die bayerische Vorschrift steht zwar noch im Gesetz, darf auf Auskunftsansprüche nach Art. 15 DSGVO aber nicht mehr angewendet werden. 

Grenzen

Ein allgemeines Recht auf Akteneinsicht begründet Art. 15 DSGVO nach dem ausdrücklichen Hinweis des EuGH nicht. Auskunft gibt es über die eigenen personenbezogenen Daten, nicht über die gesamte Akte. Daten anderer Personen dürfen geschwärzt werden. Welche Maßnahmen die Behörde gegenüber dem Unternehmen ergriffen hat, erfährt man auf diese Weise auch nicht, sondern über die Unterrichtung über das Beschwerdeergebnis nach Art. 77 Abs. 2 DSGVO. Offengelassen hat das Gericht, wie weit die Auskunft bei internen Vermerken reicht, die Angaben zum Beschwerdeführer enthalten.

Verbesserte Beweislage im Schadensersatzprozess

Praktisch interessant wird das Urteil für Betroffene, die nach Art. 82 DSGVO Schadensersatz verlangen oder die getroffene behördliche Maßnahme gerichtlich überprüfen lassen wollen. Im Zivilprozess müssen sie den Verstoß, den eingetretenen Schaden und den Ursachenzusammenhang darlegen und ggf. beweisen. Das Unternehmen sitzt auf diesen Informationen, aber etwaige „Ausforschungsanträge“ des Klägers sind im deutschen Zivilprozess selten erfolgreich, sodass der Kläger häufig beweisfällig bleibt und seinen Prozess verliert.  

Die Beschwerde bei der Aufsichtsbehörde wird damit zu einem vorgelagerten Ermittlungsinstrument des Klägers. Die Behörde kann das Unternehmen zur Stellungnahme auffordern und Unterlagen anfordern, was einer Privatperson verwehrt ist. Was das Unternehmen ihr dabei über den Beschwerdeführer mitteilt, sind dessen personenbezogene Daten. Darüber muss die Behörde nun Auskunft geben. Wer wissen will, welche Daten über ihn wann an wen gelangt sind, wie das Unternehmen den Vorfall gegenüber der Behörde dargestellt hat und welche Angaben es zur eigenen Person gemacht hat, kann diese Informationen nun kostenlos erlangen.

Hinzu kommt die Unterrichtung über das Ergebnis der Beschwerde. Stellt die Behörde einen Verstoß fest, bindet das ein Zivilgericht zwar nicht, jedoch würde das Unternehmen zumindest in die Darlegungs-/Beweislast geraten. Mündet die Beschwerde in ein Bußgeldverfahren, eröffnen das Ordnungswidrigkeiten- und das Strafprozessrecht dem Kläger zusätzlich ein Akteneinsichtsrecht über seinen Rechtsanwalt. 

Fazit

Das neue Auskunftsrecht schließt die Lücke dort, wo diese Wege nicht greifen. Das betrifft das gewöhnliche Beschwerdeverfahren, das mit einem Hinweis, einer Verwarnung oder einer Einstellung und nicht mit einem Bußgeld endet. Verweigert die Behörde die Auskunft vollständig oder ohne nachvollziehbare Abwägung, stehen die Chancen für eine Klage vor dem Verwaltungsgericht gut. Angesichts der Länge solcher Verfahren sollte man jedoch besser nicht darauf angewiesen sein.

Nicht entschieden hat der EuGH aber über die Herausgabe interner Bewertungen der Behörde. Diese bleiben wohl nach wie vor im Zweifel verschlossen. Die Auskunft ersetzt auch keinen schlüssigen Klagevortrag. Sie liefert aber Tatsachenmaterial, das man sonst nicht hätte, und verbessert die Ausgangslage für eine Schadensersatzklage erheblich. Das Urteil des EuGH ist auch für alle anderen Datenschutzaufsichtsbehörden verbindlich.