Der Europäische Gerichtshof hat die datenschutzrechtliche Stellung von Aufsichtsbehörden bei der Bearbeitung einer Beschwerde konkretisiert. Nach dem EuGH, Urteil vom 5. November 2026 – C-205/25, ist eine Aufsichtsbehörde insoweit zugleich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Sie muss der betroffenen Person daher grundsätzlich Auskunft über deren personenbezogene Daten und die in Art. 15 DSGVO bezeichneten Informationen erteilen.
Auskunftsbegehren gegenüber dem Bayerischen Landesamt
Ausgangspunkt der Entscheidung war ein Rechtsstreit zwischen einem Journalisten und dem Bayerischen Landesamt für Datenschutzaufsicht. Der Journalist betreibt einen Blog, der sich unter anderem mit Datenschutz befasst, und hatte seit 2021 mehrere Beschwerdeverfahren bei der Behörde eingeleitet.
Am 13. Mai 2022 reichte er eine weitere Datenschutzbeschwerde ein. Das Landesamt eröffnete daraufhin ein aufsichtsrechtliches Beschwerdeverfahren gegen einen Dritten. Im Oktober 2022 teilte die Behörde dem Beschwerdeführer mit, sie habe Datenschutzverstöße des Dritten festgestellt; bei erneuten Verstößen nach Ablauf der Umsetzungsfrist werde eine entgeltpflichtige Verwarnung ausgesprochen.
Der Beschwerdeführer verlangte anschließend nähere Angaben zu den Maßnahmen der Behörde. Nachdem er diese nicht erhalten hatte, beantragte er eine vollständige Auskunft nach Art. 15 Abs. 1 und 3 DSGVO.
Landesamt berief sich auf das Bayerische Datenschutzgesetz
Das Landesamt lehnte das Auskunftsbegehren unter Hinweis auf Art. 20 Abs. 2 des Bayerischen Datenschutzgesetzes ab. Nach dieser Vorschrift bestehen keine Auskunfts- oder Einsichtsrechte hinsichtlich der Akten und Dateien der Aufsichtsbehörden.
Der Beschwerdeführer erhob daraufhin Klage beim Bayerischen Verwaltungsgericht Ansbach. Er verlangte zunächst, das Landesamt zur Bereitstellung einer Kopie sämtlicher ihn betreffender Daten aus der Beschwerdeakte zu verpflichten.
Im Februar 2024 gewährte die Behörde elektronisch Einsicht in die Akte, erkannte dabei jedoch keine entsprechende Rechtspflicht an. Der Beschwerdeführer hielt deshalb an seinem Begehren fest, die Rechtswidrigkeit des ablehnenden Bescheids feststellen zu lassen.
Fragen des Verwaltungsgerichts Ansbach
Das Verwaltungsgericht Ansbach hatte zu klären, ob eine Datenschutzaufsichtsbehörde bei der Bearbeitung einer Beschwerde ausschließlich in ihrer Aufsichtsfunktion handelt oder hinsichtlich der Daten des Beschwerdeführers zugleich als Verantwortlicher anzusehen ist.
Außerdem stellte sich die Frage, ob Art. 23 DSGVO eine nationale Regelung zulässt, die Auskunfts- und Einsichtsrechte in Bezug auf sämtliche Akten und Dateien einer Aufsichtsbehörde ohne Einzelfallprüfung ausschließt.
Das Landesamt vertrat die Auffassung, eine Aufsichtsbehörde könne gegenüber dem Beschwerdeführer nicht zugleich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO sein. Nach der vorläufigen Einschätzung des Verwaltungsgerichts konnten beide Eigenschaften dagegen nebeneinander bestehen.
Aufsichtsbehörde verarbeitet Daten in eigener Verantwortung
Der EuGH stellte zunächst auf die Begriffsbestimmungen der DSGVO ab. Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Begriff der Verarbeitung in Art. 4 Nr. 2 DSGVO erfasst insbesondere das Erheben, Erfassen, Speichern, Abfragen und Verwenden solcher Daten.
Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Sind diese Zwecke und Mittel durch Unionsrecht oder mitgliedstaatliches Recht vorgegeben, kann auch der Verantwortliche oder können die Kriterien seiner Bestimmung gesetzlich festgelegt werden.
Zwecke und Mittel ergeben sich aus dem Unionsrecht
Aufsichtsbehörden müssen nach Art. 57 Abs. 1 Buchst. f DSGVO Beschwerden betroffener Personen bearbeiten und deren Gegenstand in angemessenem Umfang untersuchen. Dabei erfassen, speichern, verwenden und prüfen sie regelmäßig personenbezogene Daten des Beschwerdeführers.
Die Zwecke und Mittel dieser Verarbeitung folgen nach Auffassung des EuGH im Wesentlichen aus den unionsrechtlichen Bestimmungen über die Aufgaben und Befugnisse der Aufsichtsbehörde. Das genügt für die Einordnung als Verantwortlicher. Es ist nicht erforderlich, dass die Behörde die Zwecke und Mittel vollständig selbst festlegt.
Der weit gefasste Begriff des Verantwortlichen soll einen wirksamen und umfassenden Schutz betroffener Personen gewährleisten. Würde die Aufsichtsbehörde nicht als Verantwortlicher behandelt, wären ihre Verarbeitungsvorgänge unter anderem folgenden Anforderungen entzogen:
- Die betroffene Person könnte gegenüber der Behörde ihre Rechte auf Information, Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung nicht geltend machen.
- Die Behörde wäre hinsichtlich dieser Verarbeitung nicht an die Grundsätze der Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung und Richtigkeit aus Art. 5 DSGVO gebunden.
- Die Vorgaben zur Sicherheit personenbezogener Daten in Kapitel IV Abschnitt 2 DSGVO wären nicht auf die betreffende Verarbeitung anwendbar.
Ein solches Ergebnis wäre mit dem von der DSGVO angestrebten Schutzniveau nicht vereinbar.
Doppelrolle der Behörde ist möglich
Der Gerichtshof folgte nicht dem Einwand, die DSGVO trenne zwingend zwischen Aufsichtsbehörde und Verantwortlichem. Die Vorschriften, die beide Rollen gesondert behandeln, gehen zwar grundsätzlich davon aus, dass sie unterschiedlichen Stellen zukommen. Sie schließen aber nicht aus, dass eine Aufsichtsbehörde unter bestimmten Umständen zugleich die Voraussetzungen eines Verantwortlichen erfüllt.
Nach dem Urteil kann die Behörde ihre interne Organisation so ausgestalten, dass die Verarbeitung personenbezogener Daten des Beschwerdeführers einer unabhängigen Kontrolle durch eine andere Stelle innerhalb derselben Behörde unterliegt.
Umfang des Auskunftsrechts nach Art. 15 DSGVO
Ist die Aufsichtsbehörde hinsichtlich der Daten des Beschwerdeführers Verantwortlicher, steht diesem grundsätzlich das Auskunftsrecht aus Art. 15 DSGVO zu. Die betroffene Person kann insbesondere eine Bestätigung darüber verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden.
Ist dies der Fall, umfasst das Auskunftsrecht die personenbezogenen Daten sowie unter anderem Informationen über:
- die Zwecke der Verarbeitung,
- die verarbeiteten Datenkategorien,
- die Empfänger oder Empfängerkategorien,
- die vorgesehene Speicherdauer oder deren Festlegungskriterien,
- bestehende Rechte auf Berichtigung, Löschung, Einschränkung oder Widerspruch,
- die Herkunft der Daten, soweit diese nicht bei der betroffenen Person erhoben wurden,
- sowie eine gegebenenfalls bestehende automatisierte Entscheidungsfindung einschließlich Profiling.
Nach Art. 15 Abs. 3 DSGVO ist zudem eine Kopie der personenbezogenen Daten bereitzustellen, die Gegenstand der Verarbeitung sind.
Kein allgemeiner Anspruch auf vollständige Akteneinsicht
Der EuGH begrenzte die Reichweite seiner Entscheidung ausdrücklich. Art. 15 DSGVO vermittelt kein allgemeines Recht auf Zugang zur vollständigen Verwaltungsakte. Ebenso wenig besteht auf dieser Grundlage ein Anspruch auf Einsicht in sämtliche Unterlagen, die sich im Besitz einer staatlichen Stelle befinden.
Gegenstand des Anspruchs sind allein die personenbezogenen Daten der betroffenen Person und die in Art. 15 DSGVO genannten Informationen. Ob zur verständlichen und vollständigen Auskunft auch Auszüge aus Dokumenten oder vollständige Dokumente bereitgestellt werden müssen, richtet sich danach, was zur Wiedergabe der verarbeiteten personenbezogenen Daten erforderlich ist. Rechte und Freiheiten anderer Personen dürfen durch die Kopie nach Art. 15 Abs. 4 DSGVO nicht beeinträchtigt werden.
Pauschaler Ausschluss nach Art. 20 Abs. 2 BayDSG
Im zweiten Teil seiner Entscheidung prüfte der EuGH, ob Art. 23 DSGVO den vollständigen gesetzlichen Ausschluss des Auskunftsrechts gegenüber Aufsichtsbehörden erlaubt.
Art. 23 Abs. 1 DSGVO gestattet Beschränkungen bestimmter Betroffenenrechte durch Gesetzgebungsmaßnahmen. Voraussetzung ist, dass die Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist. Außerdem muss sie einem der in Art. 23 Abs. 1 DSGVO genannten Ziele dienen.
Im Ausgangsverfahren wurden insbesondere folgende Schutzziele angeführt:
- der Schutz personenbezogener Daten und sonstiger Rechte Dritter,
- das ordnungsgemäße Funktionieren und die Unabhängigkeit der Aufsichtsbehörden,
- sowie die Aufrechterhaltung der öffentlichen Sicherheit.
Der Gerichtshof erkannte diese Gesichtspunkte grundsätzlich als mögliche Beschränkungsgründe an. Sie rechtfertigen jedoch keinen generell und abstrakt wirkenden Ausschluss des Auskunftsrechts.
Rechte Dritter erfordern eine Abwägung
Der Schutz der Rechte und Freiheiten anderer Personen kann eine Einschränkung des Auskunftsanspruchs rechtfertigen. Gerade Beschwerdeakten können personenbezogene Daten Dritter oder andere geschützte Informationen enthalten.
Nach dem EuGH darf dieser Schutz jedoch nicht dazu führen, dass der betroffenen Person jede Auskunft über die eigenen Daten verweigert wird. Bei einem Konflikt sind die betroffenen Rechte gegeneinander abzuwägen. Dabei müssen nach Möglichkeit Formen der Übermittlung gewählt werden, die fremde Rechte wahren, ohne den Anspruch vollständig zu beseitigen.
Als mögliche Modalitäten nannte der Gerichtshof insbesondere die Schwärzung oder Anonymisierung personenbezogener Daten Dritter. Eine Regelung, die der Behörde keine solche Abwägung ermöglicht und sie zur vollständigen Ablehnung verpflichtet, ist mit Art. 23 Abs. 1 Buchst. i DSGVO nicht vereinbar.
Funktionsfähigkeit und Unabhängigkeit reichen nicht aus
Die wirksame und unabhängige Wahrnehmung der Aufgaben einer Datenschutzaufsichtsbehörde ist ein legitimes Ziel. Art. 52 DSGVO verpflichtet die Mitgliedstaaten zugleich, den Aufsichtsbehörden die personellen, technischen und finanziellen Ressourcen zur Verfügung zu stellen, die sie für ihre Aufgaben benötigen.
Der EuGH konnte nicht erkennen, inwiefern die Ausübung des Auskunftsrechts als solche die unabhängige Tätigkeit der Behörde beeinträchtigt. Auch ein möglicherweise erheblicher Verwaltungsaufwand rechtfertigt keinen allgemeinen Ausschluss.
Für offenkundig unbegründete oder exzessive Anträge enthält Art. 12 Abs. 5 DSGVO bereits eine besondere Regelung. Unter den dort genannten Voraussetzungen kann der Verantwortliche ein angemessenes Entgelt verlangen oder die Bearbeitung ablehnen. Ein vollständiger Ausschluss sämtlicher Auskunftsanträge ist daher zur Sicherung der Funktionsfähigkeit und Unabhängigkeit nicht verhältnismäßig.
Keine festgestellte Gefährdung der öffentlichen Sicherheit
Auch der Schutz der öffentlichen Sicherheit kann nach Art. 23 Abs. 1 Buchst. c DSGVO grundsätzlich eine Beschränkung des Auskunftsrechts tragen. Dafür muss allerdings eine tatsächliche und hinreichend schwere Gefährdung vorliegen, die ein Grundinteresse der Gesellschaft berührt.
Eine solche Gefährdung ergab sich nach den Feststellungen des EuGH nicht aus der Verfahrensakte. Die öffentliche Sicherheit konnte den pauschalen Ausschluss deshalb im konkreten Zusammenhang nicht rechtfertigen.
Kernaussagen des EuGH
Der Gerichtshof beantwortete die Fragen des Verwaltungsgerichts Ansbach im Ergebnis wie folgt:
Eine Aufsichtsbehörde, die eine Beschwerde nach Art. 77 DSGVO bearbeitet, ist hinsichtlich der dabei verarbeiteten personenbezogenen Daten des Beschwerdeführers Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Sie ist daher grundsätzlich verpflichtet, der betroffenen Person Auskunft über diese Daten und die in Art. 15 DSGVO aufgeführten Informationen zu gewähren.
Art. 23 Abs. 1 Buchst. c, h und i DSGVO steht einer nationalen Bestimmung entgegen, die dem Beschwerdeführer das Auskunftsrecht über seine bei der Aufsichtsbehörde vorhandenen personenbezogenen Daten vollständig verwehrt. Art. 20 Abs. 2 BayDSG kann einen solchen generellen Ausschluss deshalb nicht tragen.
Fortsetzung des Ausgangsverfahrens
Das Verfahren vor dem Verwaltungsgericht Ansbach ist auf der Grundlage der verbindlichen Auslegung des Unionsrechts durch den EuGH fortzuführen und abzuschließen. Über die Kosten des Ausgangsverfahrens entscheidet das Verwaltungsgericht. Die Auslagen der übrigen Beteiligten, die vor dem EuGH Erklärungen abgegeben haben, sind nicht erstattungsfähig.
Die Entscheidung verdeutlicht zugleich die Abgrenzung zwischen datenschutzrechtlicher Auskunft und allgemeiner Akteneinsicht: Art. 15 DSGVO eröffnet Zugang zu den eigenen personenbezogenen Daten und den gesetzlich bestimmten Begleitinformationen, nicht aber ohne Weiteres zur gesamten Behördenakte. Unternehmen, Investoren und Privatpersonen, die Fragen zur Reichweite von Betroffenenrechten oder zu Auskunftsbegehren gegenüber öffentlichen oder privaten Verantwortlichen haben, können sich hierzu an MTR Legal wenden. Weitere Informationen finden sich unter Rechtsberatung im Datenschutzrecht.
