Im zweiten Teil unserer Reihe zum „Recht auf Auskunft“ nach Art. 15 DSGVO wollen wir die derzeitigen Reformvorschläge der EU-Kommission (digitaler Omnibus) sowie einige aktuelle Urteile näher beleuchten.

Digitaler Omnibus

Über den digitalen Omnibus wird zurzeit kontrovers diskutiert. Nach Meinung einiger Rechtswissenschaftler*innen könnte gar ein Paradigmenwechsel im Datenschutzrecht bevorstehen. Auch beim Auskunftsrecht nach Art. 15 DSGVO könnte es gravierende Änderungen geben.

In dem im November veröffentlichten ersten Entwurf der EU-Kommission zur Anpassung der DSGVO wird u. a. ein neuer Absatz in Art. 12 der Verordnung vorgeschlagen. Die wenigen neuen Worte könnten im Ergebnis das Auskunftsrecht erheblich beeinflussen – und für die betroffenen Personen unter Umständen beschränken.

Der derzeitige Entwurf der EU-Kommission zum Art. 12 Abs. 5 DSGVO sieht vor (Entwurf der EU-Kommission, S. 64 f.):

„(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person oder bei Anträgen nach Artikel 15 kann der Verantwortliche, wenn die betroffene Person die ihr durch diese Verordnung verliehenen Rechte zu anderen Zwecken als dem Schutz ihrer Daten missbraucht, entweder

  1. a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
  2. b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat nachzuweisen, dass der Antrag offenkundig unbegründet ist oder dass hinreichende Gründe für die Annahme bestehen, dass der Antrag exzessiv ist.“

Neu wäre hier die ausdrückliche Erwähnung des Missbrauchs dieses Auskunftsanspruchs, in dem die betroffene Person dieses Recht also für „andere Zwecke“ einsetzt. Wenn dieses Regelbeispiel vorliegt, könnte der Verantwortliche ein angemessenes Entgelt verlangen oder – was wohl relevanter wäre – sich weigern, die beantragte Auskunft zu erteilen.

Auf den ersten Blick würde mit dieser neuen Vorschrift ein zusätzlicher gesetzlich normierter Ablehnungsgrund aufseiten des Verantwortlichen bestehen. Allerdings hätte der Verantwortliche ausweislich des anschließenden Satzes in Abs. 5 diese Situation des zweckwidrigen Antrags nachzuweisen, auch wenn hier der Wortlaut des Entwurfs nicht hinreichend präzise ist.

Sollte das so umgesetzt werden, bliebe noch die Frage offen, wie sich hier mit guten, haltbaren Argumenten beweisen lässt, dass der Antrag auf Auskunft von der betroffenen Person zu anderen Zwecken als der „Auskunft“ gestellt wird – z. B. um bei einer Kündigungsschutzklage die Gegenseite unter Druck zu setzen und dadurch ggf. im Ergebnis eine höhere Abfindung zu erzielen. Denn der Antrag zu den einzelnen Betroffenenrechten aus der DSGVO ist grundsätzlich von der betroffenen Person nicht zu begründen.

Vieles spricht dafür, dass diese Argumentation in der Ablehnung des Antrages (weiterhin) gewisse Schwierigkeiten mit sich bringt und im Zweifel von der Verweigerung der Umsetzung des Auskunftsrechts abzusehen ist. Schließlich könnte eine formell verspätete oder unvollständige Umsetzung des Auskunftsrechts eine Beanstandung durch die Datenschutz-Aufsichtsbehörden sowie ggf. auch Schadensersatzansprüche der betroffenen Person nach sich ziehen.

Im Übrigen sei an dieser Stelle darauf hingewiesen, dass es nach wie vor unklar ist, inwiefern diese Anpassung des Art. 12 Abs. 5 DSGVO als Reformvorschlag des digitalen Omnibusses bestehen bleibt oder unter Beteiligung der weiteren Organe/Initiativen abgewandelt oder gar verworfen wird.

Neues vom EuGH?

Das Thema „missbräuchliche Verwendung des Auskunftsrechts“ ist natürlich nicht ganz neu: Auch der EuGH wird sich in Kürze mit der Frage des Missbrauchs des Auskunftsrechts im für Ende März erwarteten Urteil im Fall „Brillen Rottler“ (Rechtssache C-526/24, wir berichteten) befassen, bspw. wenn es um eine Art „Geschäftsmodell“ geht und hier möglicherweise gute Argumente entwickeln. Es ist zu erwarten, dass auch hier eine einschneidende Rechtsprechung (neue) Hürden für exzessive Anträge auf Auskunft aufstellen wird.

Inhalt der Kopie

Fragen zum Inhalt und Umfang der Kopie gemäß Art. 15 Abs. 3 DSGVO werden seit vielen Jahren vor Gericht verhandelt und führten zu diversen, höchstrichterlichen Entscheidungen, u. a. des BGH und des EuGH. Vor allem das Unkenntlichmachen der Daten anderer Personen (sog. Dritter) zum Schutze ihrer Daten bereitet Verantwortlichen in Fällen umfangreicher Datenverarbeitungen große Schwierigkeiten.

So ergibt sich aus Art. 15 Abs. 4 DSGVO die klare Vorgabe, dass das „Recht auf Erhalt einer Kopie“ gemäß Art. 15 Abs. 4 DSGVO „die Rechte und Freiheiten anderer Personen nicht beeinträchtigen“ darf. Diese Vorschrift lässt die Vermutung zu, dass in diesen Kopien der Daten keine sensiblen Informationen bzgl. anderer natürlicher Personen, z. B. Aussagen oder Daten von anderen Mitarbeitenden, Kund*innen oder gar Patient*innen im Rahmen von Chatverläufen oder in E-Mails enthalten sein dürfen. Hier sind die Interessen der anderen Personen in angemessener Weise zu berücksichtigen. Ungeachtet anderer Lösungen, wie z. B. die Zustimmung dieser anderen Personen einzuholen, empfiehlt sich daher das Unkenntlichmachen solcher Informationen über Dritte, auch wenn dies in der letzten Konsequenz den Inhalt der Kopie teilweise stark beeinträchtigen bzw. reduzieren würde.

In einem aktuellen Rechtstreit stellte das Verwaltungsgericht (VG) Düsseldorf (Urteil vom 28.01.2026, Az.: 29 K 9469/23) hierzu klar:

„Zu beachten ist allerdings, dass sich das Recht der betroffenen Person auf eine Kopie der gerade sie betreffenden personenbezogenen Daten beschränkt. Der Verantwortliche ist daher berechtigt, Daten ohne Bezug zu der betroffenen Person, die in demselben Dokument oder derselben Datei erhalten sind, unkenntlich zu machen, bevor er die Kopie herausgibt. Hierzu kann er etwa Texte teilweise schwärzen. Allerdings dürfen die auf die betroffene Person bezogenen Daten durch eine solche Unkenntlichmachung nicht verkürzt oder verfälscht werden.“ (Rn. 40)

Diese Argumentation überzeugt und lehnt sich an die bisherige Rechtsprechung an. Im Zweifel ist hier aber eine Interessensabwägung im Einzelfall vorzunehmen, um allen Seiten gerecht zu werden.

Löschung vs. Auskunft

Die rechtskonforme Erfüllung des Auskunftsrechts aus Art. 15 DSGVO wird noch komplexer, wenn die betroffene Person gleichzeitig auch die Löschung ihrer Daten nach Art. 17 DSGVO begehrt. Diese zwei Ansprüche stehen sich grundsätzlich gegenüber und müssen daher in richtiger Reihenfolge bearbeitet werden. Denn nach der Löschung aller Daten zur Person wäre die Erteilung der Auskunft, insbesondere die Erstellung einer Kopie, sozusagen unmöglich. Aber auch der Anspruch auf Berichtigung nach Art. 16 DSGVO könnte in diesem Zusammenhang eine Rolle spielen.

Eine vorzeitige Löschung würde das Recht auf Auskunft aushöhlen und einen Verstoß gegen die DSGVO begründen.

Hierzu führte das VG Düsseldorf (Urteil vom 21.01.2026, Az.: 29 K 7470/24) vor Kurzem aus:

„Die Erfüllung der Pflicht aus Art. 12 Abs. 1 bis 3 DSGVO setzt die fortgesetzte Datenverarbeitung in Form der Speicherung der personenbezogenen Daten bis zur Erfüllung des Auskunftsbegehrens voraus. Die Mitteilungen gemäß Art. 15 DSGVO z.B. zu den Bearbeitungszwecken oder den Kategorien der verarbeiteten personenbezogenen Daten können nur übermittelt werden, wenn der Verantwortliche noch über die personenbezogenen Daten verfügt. Es spricht viel dafür, dass die personenbezogenen Daten, auf die die Auskunft zielt, so lange gespeichert werden müssen, bis die betroffene Person Gelegenheit hatte, die Rechtmäßigkeit der Verarbeitung zu überprüfen (vgl. Erwägungsgrund 63). Wie lange personenbezogene Daten zur Erfüllung eines Auskunftsbegehrens gespeichert werden müssen, braucht hier jedoch nicht entschieden zu werden. Denn jedenfalls tritt Erfüllung der Informationspflicht des Verantwortlichen und mit ihr der Wegfall des Zwecks der Verarbeitung frühestens ein, nachdem dem Antragsteller die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden (Art. 12 Abs. 1, Abs. 3 Satz 1 DSGVO). Die Klägerin hat vorliegend die Daten aber bereits gelöscht, bevor dem Beschwerdeführer die Auskunft übermittelt worden ist. Mit Übersendung der als Datenschutzauskunft bezeichneten Daten hat die Klägerin bereits die Löschung der Daten in ihrer Datenbank bestätigt.“

Erschwerend kommt hinzu, dass der Verantwortliche aus Gründen der Dokumentations- und Nachweispflichten, im Wege der Rechenschaftspflichten aus Art. 5 Abs. 2 DSGVO, die vollständige Umsetzung des Auskunftsrechts (für drei Jahre) vorzuhalten hat. Dies könnte bedeuten, dass etwaige Korrespondenz und Kopien der Daten auf Antrag der betroffenen Person dokumentiert werden müssen. Eine Löschung dieser Daten, also als Nachweis der ordnungsgemäßen Umsetzung des Betroffenenrechts, wäre daher nicht geboten.

Fazit

Die skizzierten Entscheidungen verdeutlichen die Schwierigkeit der korrekten Umsetzung der Betroffenenrechte. Einerseits ergeben sich gewisse Grenzen bei der Beauskunftung oder Vornahme der Löschung, andererseits könnten den Unternehmen bei verwehrter oder unvollständiger (oder auch verspäteter) Umsetzung des jeweiligen Anspruchs wiederum Sanktionen drohen. So bleibt es dabei, dass vielfach die Anfragen (unbewusst) inkorrekt abgewickelt werden.

| | | , , , , , , , , ,