Wer sich bei einer Aufsichtsbehörde beschwert, übermittelt dieser üblicherweise auch eigene personenbezogene Daten. Kann die betroffene Person ihr Auskunftsrecht nach Art. 15 DSGVO auch gegenüber der Behörde selbst geltend machen? Der EuGH hat diese Frage in seinem neuen Urteil vom 5. November 2026 bejaht.
Worum ging es im Fall des BayLDA?
Ausgangspunkt des Verfahrens war eine Datenschutzbeschwerde, die ein Journalist beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) eingereicht hatte. Das BayLDA leitete daraufhin ein aufsichtsrechtliches Verfahren gegen einen Dritten ein und teilte dem Beschwerdeführer später mit, Datenschutzverstöße festgestellt zu haben.
Nachdem der Beschwerdeführer weitere Einzelheiten zu den ergriffenen Maßnahmen verlangt hatte, beantragte er eine vollständige Auskunft nach Art. 15 DSGVO, insbesondere eine Kopie seiner personenbezogenen Daten aus der Beschwerdeakte.
Das BayLDA lehnte den Antrag unter Berufung auf Art. 20 Abs. 2 BayDSG ab. Danach bestehen keine Auskunfts- oder Einsichtsrechte hinsichtlich der Akten und Dateien der Aufsichtsbehörden.
Art. 20 Anrufung der Aufsichtsbehörden (zu Art. 77 DSGVO)
(2) Auskunfts- oder Einsichtsrechte hinsichtlich Akten und Dateien der Aufsichtsbehörden bestehen nicht.
Der Fall gelangte vor das Bayerische Verwaltungsgericht Ansbach. Dieses wollte vom EuGH wissen, ob eine Aufsichtsbehörde im Beschwerdeverfahren zugleich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO sein kann und ob Art. 20 Abs. 2 BayDSG das Auskunftsrecht nach Art. 15 DSGVO pauschal ausschließen darf.
Ist die Aufsichtsbehörde im Beschwerdeverfahren Verantwortlicher?
Der EuGH hat diese Frage in seinem Urteil bejaht. Nach Art. 4 Nr. 7 DSGVO ist Verantwortlicher
„die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.“
Der EuGH weist darauf hin, dass die Definition des Begriffs „Verantwortlicher“ weit gefasst ist und einen wirksamen und umfassenden Schutz der betroffenen Personen gewährleisten soll.
Eine Aufsichtsbehörde muss sich nach Art. 57 Abs. 1 lit. f DSGVO mit Beschwerden befassen und verarbeitet dabei regelmäßig auch personenbezogene Daten des Beschwerdeführers. Sie erfasst und speichert diese Daten, fragt sie ab und verwendet sie beispielsweise im Rahmen ihrer Ermittlungen und der Kommunikation mit den Beteiligten. Damit liegt eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO vor.
Auch die Datenschutzaufsicht muss die DSGVO einhalten
Nach Auffassung des EuGH ergeben sich die Zwecke und Mittel dieser Verarbeitung im Wesentlichen aus den Vorschriften des Unionsrechts, die die Tätigkeit der Aufsichtsbehörde regeln. Die Aufsichtsbehörde ist daher hinsichtlich dieser Verarbeitung selbst als Verantwortlicher einzustufen. Ohne diese Einordnung würden dem Beschwerdeführer wesentliche Rechte aus Kapitel III der DSGVO vorenthalten, etwa die Rechte auf Auskunft, Berichtigung oder Löschung.
Das BayLDA argumentierte, einige Bestimmungen der DSGVO setzten eine strikte Trennung zwischen Aufsichtsbehörde und Verantwortlichem voraus. Der EuGH folgte dem nicht und stellte klar: Die DSGVO schließe eine Doppelrolle der Aufsichtsbehörde nicht aus.
„Insoweit ist hinzuzufügen, dass es für eine Aufsichtsbehörde durchaus möglich ist, ihre interne Organisation anzupassen, damit die Handlungen, die sie als Verantwortlicher für die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durchführt, selbst Gegenstand einer unabhängigen Kontrolle durch eine andere Stelle innerhalb dieser Behörde gemäß den einschlägigen Bestimmungen der DSGVO sein können.“
Darf das Auskunftsrecht gegenüber Aufsichtsbehörden gesetzlich ausgeschlossen werden?
Eine derart pauschale Regelung wie Art. 20 Abs. 2 BayDSG ist nach Auffassung des EuGH mit Art. 23 DSGVO nicht vereinbar, soweit dadurch auch das Auskunftsrecht nach Art. 15 DSGVO vollständig ausgeschlossen wird. Art. 23 DSGVO erlaubt den Mitgliedstaaten zwar, Betroffenenrechte gesetzlich einzuschränken. Eine solche Einschränkung muss jedoch einem der dort genannten Ziele dienen, den Wesensgehalt der Grundrechte achten und zudem notwendig und verhältnismäßig sein.
Das BayLDA hatte unter anderem den Schutz personenbezogener Daten Dritter angeführt. Dieses Anliegen ist nach Ansicht des EuGH grundsätzlich legitim. Gerade in aufsichtsrechtlichen Verfahren können Akten umfangreiche Informationen über Beschäftigte, Ansprechpartner oder andere Beteiligte enthalten. Dies rechtfertigt aber keinen vollständigen Ausschluss des Auskunftsrechts. Nach Möglichkeit sind Modalitäten zu wählen, die die Rechte Dritter nicht verletzen. Der EuGH sieht die Schwärzung oder Anonymisierung als geeignete Mittel an, um die Interessen in Einklang zu bringen, ohne das Auskunftsrecht vollständig zu beseitigen. Art. 23 Abs. 1 lit. i DSGVO steht daher einer Bestimmung entgegen, die jede Auskunft ausschließt, ohne eine Abwägung der Interessen zu erlauben.
Auch der Schutz der öffentlichen Sicherheit rechtfertigt keinen pauschalen Ausschluss. Dafür wäre eine tatsächliche und hinreichend schwere Gefährdung erforderlich, die ein Grundinteresse der Gesellschaft berührt. Eine solche Gefährdung ging aus der Akte nicht hervor. Zudem führte das BayLDA die Funktionsfähigkeit und Unabhängigkeit der Aufsicht als Grund an. Diese Ziele erkennt der EuGH als legitim an. Ein genereller Ausschluss ist hierfür jedoch nicht verhältnismäßig.
Zu viel Arbeit für die Behörde?
Der mögliche Verwaltungsaufwand reicht nach Auffassung des EuGH als Rechtfertigung nicht aus. Schließlich verpflichtet die DSGVO die Mitgliedstaaten gerade dazu, ihre Datenschutzaufsichtsbehörden mit ausreichenden personellen, technischen und finanziellen Ressourcen auszustatten.
Hinzu kommt: Gegen offensichtlich unbegründete oder exzessive Anträge hält die DSGVO mit Art. 12 Abs. 5 bereits ein eigenes Instrument bereit. Unter den dort genannten Voraussetzungen kann der Verantwortliche ein Entgelt verlangen oder die Bearbeitung des Antrags ablehnen. Ein pauschaler Ausschluss aller Auskunftsanträge ist daher nicht erforderlich.
Was bedeutet dies in der Praxis?
Unmittelbar betrifft die Entscheidung Datenschutzaufsichtsbehörden. Der EuGH hat in dem Urteil jedoch auch einige allgemeine Grundsätze zum Umgang mit Auskunftsersuchen nach Art. 15 DSGVO nochmals hervorgehoben, die auch für private Unternehmen relevant sind. So begründet Art. 15 DSGVO etwa kein allgemeines Recht auf Einsicht in sämtliche Unterlagen. Enthalten Unterlagen zugleich personenbezogene Daten Dritter, darf die Auskunft nicht ohne weiteres vollständig verweigert werden; vielmehr ist zu prüfen, ob eine teilweise Auskunft möglich ist. Schwärzung oder Anonymisierung können dabei geeignete Mittel sein, um die Rechte Dritter zu schützen, ohne das Auskunftsrecht vollständig auszuschließen.
