Juristische Personen können die Auskunft nicht verweigern – jedenfalls nicht mit dem Verweis auf ein Auskunftsverweigerungsrecht. So hat es das Verwaltungsgericht (VG) Berlin in seiner kürzlich veröffentlichten Entscheidung (Urteil vom 09.10.2025, Az.: VG 1 K 607/22) mitgeteilt. Das Berliner Verwaltungsgericht stärkt somit die Befugnisse der Aufsichtsbehörden. Das Urteil ist jedoch noch nicht rechtskräftig.
Was dürfen die Aufsichtsbehörden?
Die Befugnisse der Aufsichtsbehörden sind in Art. 58 DSGVO festgehalten, aufgeteilt in Untersuchungsbefugnisse (Abs. 1), Abhilfebefugnisse (Abs. 2) sowie Genehmigungs- und Beratungsbefugnisse (Abs. 3). Daneben bestehen weitere verwandte Regelungen wie Art. 57 DSGVO (Aufgaben) und Art. 83 DSGVO (Allgemeine Bedingungen für die Verhängung von Geldbußen). Ergänzt werden die europäischen Normen durch das BDSG, konkret durch §§ 8 ff. BDSG (unter anderem Zuständigkeit, Organisation) und § 40 BDSG (Aufsichtsbehörden der Länder).
Maßstab für das Vorgehen der Aufsichtsbehörde im konkreten Fall war Art. 58 Abs. 1 lit. a DSGVO, also der Themenblock „Untersuchung“. Danach darf die Aufsichtsbehörde von Verantwortlichen, Auftragsverarbeitern (und ggf. Vertretern dieser) alle Informationen verlangen, die zur Erfüllung ihrer Aufgaben erforderlich sind.
Was war passiert?
Der Entscheidung liegt ein Rechtsstreit zwischen einem Berliner Verlag und der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) zugrunde. Der Verlag vermietet im Rahmen eines sog. Lettershop-Verfahrens Kundendaten zu Werbezwecken an Dritte. Nach Beschwerden verschiedener Kunden verwarnte die BlnBDI den Verlag wegen fehlender Einwilligungen der Kunden. In diesem Zuge verwies die Aufsichtsbehörde auch auf anzupassende Datenschutzhinweise auf der Website des Verlages. Da der Verlag seine Datenschutzhinweise nicht wie vorgegeben anpasste, verlangte die Aufsichtsbehörde detaillierte Auskünfte, insbesondere dazu, wie viele Adressdaten in bestimmten Quartalen zu Werbezwecken vermietet wurden und an welche konkreten Werbepartner diese Daten gingen. Die entsprechende Frist ließ der Verlag verstreichen, sodass die BlnBDI den angedrohten Auskunftsheranziehungsbescheid erließ. Dies ist eine behördliche Anordnung, mit der der Gegenüber verpflichtet wird, Fragen zu beantworten oder Informationen bereitzustellen.
Der Verlag verweigerte die begehrte Auskunft mit Verweis auf sein Auskunftsverweigerungsrecht nach § 40 Abs. 4 S. 2 BDSG wegen möglicher Selbstbelastung. Zusätzlich argumentierte der Verlag u. a., dass das Auskunftsverlangen der Behörde nicht dem Bestimmtheitsgebot entspräche und unzulässig sei, da es der Vorbereitung eines späteren Bußgeldverfahrens diene.
Entscheidung des Gerichts
Das VG Berlin wies die Klage des Verlages gegen den Auskunftsheranziehungsbescheid ab und bestätigte die Rechtsauffassung der Aufsichtsbehörde. Der Bescheid war rechtmäßig, die Auskunft durfte verlangt werden.
Die begehrten Informationen waren nach Auffassung des VG Berlin erforderlich zur Erfüllung der aufsichtsbehördlichen Pflichten, konkret, um das Ausmaß eines festgestellten Datenschutzverstoßes zu bewerten, mögliche weitere datenschutzrechtlich relevante Akteure ausfindig zu machen und eine ermessensfehlerfreie Entscheidung über zu treffende Abhilfemaßnahmen nach Art. 58 Abs. 2 DSGVO zu treffen.
Bevor sich das Gericht zur gegenständlich thematisierten Frage der Berufung auf ein Auskunftsverweigerungsrecht äußert, wird im Urteil (Seite 6 f.) auch zu weiteren rechtlichen Fragen Stellung genommen, u. a. zur Verhältnismäßigkeit der von der Behörde angefragten Informationen, zur Reichweite der aufsichtsbehördlichen Begründungspflichten sowie zur Bestimmtheit der behördlichen Auskunftsanfrage.
Durfte die Auskunft verweigert werden?
Kurz gesagt: nein. Das Auskunftsverweigerungsrecht („nemo tenetur se ipsum accusare“), das als Selbstbelastungsfreiheit aus dem Rechtsstaatsprinzip bzw. aus dem Allgemeinen Persönlichkeitsrecht (APR) aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG folgt, steht nach der Rechtsprechung des Bundesverfassungsgerichts ausschließlich natürlichen Personen zu. Ziel der Selbstbelastungsfreiheit ist es, den Einzelnen davor zu schützen, durch staatlichen Zwang zur Offenlegung eigener strafbarer oder ordnungswidriger Handlungen veranlasst zu werden. Eine Selbstbezichtigung berührt die im APR enthaltene Komponente der Menschenwürde, die juristische Personen gerade nicht besitzen. Juristische Personen wie der Verlag können sich mangels Vergleichbarkeit nicht auf dieses höchstpersönliche Recht berufen. Das sah auch das VG Berlin so und führt hierzu aus (Seite 9 ff.):
„Nach der Rechtsprechung des Bundesverfassungsgerichts schließt Art. 19 Abs. 3 GG für juristische Personen einen Schutz vor einem derartigen Zwang aber aus. Eine Lage, wie sie dieser Zwang für natürliche Personen heraufbeschwört, kann bei juristischen Personen nicht eintreten.“
[…]
„Beschäftigte und Leitungspersonen eines Unternehmens können sich folglich auf das Auskunftsverweigerungsrecht nur dann berufen, wenn ihnen persönlich strafrechtliche Verfolgung oder ein Bußgeld drohen, d.h., das Auskunftsersuchen muss sich auf das konkrete Verhalten der auskunftspflichtigen Person beziehen, welches möglicherweise eine Straftat oder Ordnungswidrigkeit darstellt.“
[…]
„Für den Fall der Klägerin bedeutet dies, dass sie dem Auskunftsheranziehungsbescheid kein Auskunftsverweigerungsrecht entgegenhalten kann. Der Bescheid nimmt sie selbst in Anspruch und richtet sich nicht gegen einen ihrer Beschäftigten oder ihre Geschäftsführung und deren persönliches Verhalten im Rahmen des Lettershop-Verfahrens. Straf- oder Ordnungswidrigkeitenverfahren gegen natürliche Personen sind weder eingeleitet noch angekündigt. Es gibt noch nicht einmal ein Ordnungswidrigkeitenverfahren gegen die Klägerin selbst.“
Fazit
Es hilft nichts: Verantwortliche müssen Post der Aufsichtsbehörde ernst nehmen. Insbesondere Auskunftsersuchen oder formelle Auskunftsheranziehungsbescheide sind grundsätzlich vollständig zu beantworten, auch wenn die begehrte Auskunft eigene Datenschutzverstöße offenlegen würde. Mit anwaltlicher Unterstützung können im Einzelfall ggf. Schlupflöcher gefunden werden – ein Berufen des Unternehmens auf ein Auskunftsverweigerungsrecht ist nach heutigem Stand jedoch nicht erfolgversprechend.
Das Gegenteil kann von Vorteil sein: Geben Sie die begehrten Auskünfte, binden Sie die für datenschutzrechtliche Fragen beauftragten Stellen ein, um angemessene und wenig angreifbare Formulierungen zu finden und versuchen Sie im gebotenen Umfang zur Sachverhaltsaufklärung beizutragen. Denn: Kooperatives Verhalten wird von Aufsichtsbehörden regelmäßig geschätzt und auch im Zuge einer eventuellen Sanktionsbemessung positiv bewertet.