Kein automatischer Übergang des Auskunftsanspruchs bei Forderungsabtretung

Der Bundesgerichtshof (BGH) hat entschieden, dass ein Anspruch aus Art. 15 DSGVO nicht automatisch als Nebenrecht mit abgetretenen Erstattungs- oder Schadensersatzansprüchen auf den Erwerber übergeht (Urteil vom 24.02.2026, Az.: VI ZR 430/24). Gleichzeitig hat der BGH gerade nicht darüber befunden, ob ein solcher Anspruch überhaupt wirksam abgetreten werden kann.

Relevant ist die Entscheidung vor allem für Unternehmen, die daraus ein Geschäftsmodell gemacht haben, sich Auskunftsersuchen abtreten zu lassen, um diese gewinnbringend geltend zu machen.

Forderungskauf von Versicherungsnehmern

Eine in der Schweiz ansässige Aktiengesellschaft hatte Ansprüche von Versicherungsnehmern einer privaten Krankenversicherung erworben und wollte diese gegenüber der Versicherung geltend machen. Nach dem Abtretungsvertrag zwischen der Gesellschaft und den Versicherungsnehmern sollten sämtliche Erstattungs- und Schadensersatzansprüche, die im Zusammenhang mit zu viel gezahlten Beiträgen entstanden sind, auf die Gesellschaft übergehen.

BGH prüft Mitübertragung von Auskunftsansprüchen

Vor dem BGH wurde zuletzt darüber gestritten, ob der Klägerin auch Auskunftsansprüche nach der DSGVO zustanden. Der BGH legte den Vertrag zwischen Forderungskäufer und Abtreter so aus, dass der Auskunftsanspruch aus Art. 15 DSGVO gerade nicht ausdrücklich mitübertragen werden sollte.

Der Schwerpunkt des Abtretungsvertrags lag also auf Erstattung und Schadensersatz, nicht auf Auskunft. Mit anderen Worten: Der Vertrag machte den Forderungserwerber nicht automatisch zum Inhaber eines datenschutzrechtlichen Transparenzanspruchs wie des Auskunftsanspruchs.

Der BGH hat allerdings ebenso wenig entschieden, dass ein Auskunftsanspruch nach Art. 15 DSGVO generell unabtretbar sei. Er hat lediglich festgestellt, dass das Auskunftsrecht im konkreten Fall weder ausdrücklich noch als Nebenrecht nach entsprechender Anwendung des § 401 BGB übergeht. Die Vorinstanz, das Oberlandesgericht (OLG) Hamm, hatte das noch anders gesehen (Urteil vom 26.06.2024, Az.: 20 U 337/22). Dort war Art. 15 DSGVO als höchstpersönliches Recht eingeordnet und ein wirksamer Übergang eines Auskunftsanspruchs bereits verneint worden. Diese weitgehende Exklusivität des Auskunftsanspruchs lässt sich nach der Entscheidung des BGH so nicht mehr aufrechterhalten.

Auskunftsanspruch nicht notwendig, um Forderungen durchzusetzen

Der Hintergrund ist zivilrechtlich durchaus vertraut: Nach § 401 BGB gehen mit einer Forderung auch Neben- und Vorzugsrechte über, allerdings nur dann, wenn diese Rechte erforderlich sind, um den Hauptanspruch durchzusetzen, etwa zur Ermittlung von Gegenstand und Betrag der Hauptforderung. Im Gesetzeswortlaut geht es zwar um Hypotheken und Pfandrechte. Der dahinterstehende Gedanke wird im Zivilrecht aber auch auf vergleichbare Konstellationen wie den Forderungskauf übertragen.

Genau eine solche Funktion hat der BGH beim Auskunftsanspruch aus Art. 15 DSGVO für Erstattungs- oder Schadensersatzansprüche aber nicht gesehen. Es gehe gerade nicht darum, Zahlungsansprüche zu beziffern. Vielmehr solle der Anspruch der betroffenen Person ein Bewusstsein über die Verarbeitung ihrer personenbezogenen Daten verschaffen und ihr ermöglichen, die Rechtmäßigkeit dieser Verarbeitung zu kontrollieren. Art. 15 DSGVO ist danach ein eigenständiges Betroffenenrecht und kein bloßes Hilfsrecht zur Durchsetzung anderer Ansprüche.

Fazit

Für Verantwortliche ist das ein wichtiger Hinweis für die Praxis: Wird ein Auskunftsersuchen nicht von der betroffenen Person selbst geltend gemacht, sollte nicht vorschnell beauskunftet werden. Unabhängig vom vorliegenden Fall, sollte der Dritte zunächst darlegen, dass der Anspruch tatsächlich ausdrücklich abgetreten und nicht als bloßes Hilfsrecht verstanden wurde. Andernfalls spricht zunächst vieles dafür, dass eine solche Abtretung gerade nicht erfolgt ist. Eine vorschnelle Auskunft an eine unberechtigte Person wäre dann schnell mehr als nur ein Schönheitsfehler. Sie würde eine Datenpanne nach Art. 33 DSGVO bedeuten, die der Aufsichtsbehörde und je nach Umfang und Sensibilität der Daten auch der betroffenen Person gemeldet werden müsste.

Unklar bleibt allerdings auch nach dem Urteil des BGH, ob ein Anspruch aus Art. 15 DSGVO überhaupt ausdrücklich abgetreten werden kann.

Misstrauisch darf man jedenfalls werden, wenn ein abgetretener Auskunftsanspruch geltend gemacht werden soll, zugleich aber deutlich wird, dass es letztlich nur um eine vorbereitende Maßnahme zur Monetarisierung etwaiger Verstöße geht. Spätestens dann lohnt sich ein genauer Blick auf die kürzlich ergangene Entscheidung des EuGH zum Missbrauch von Auskunftsansprüchen.