Auch bayerische Datenschutzbehörde muss Auskunft geben

Der EuGH hat Datenschutzbehörden im Beschwerdeverfahren als "Verantwortliche" nach der DS-GVO qualifiziert und den pauschalen Ausschluss von Auskunftsrechten im Bayerischen Datenschutzgesetz für unionsrechtswidrig erklärt.

Datenschutzbehörden, die Beschwerden nach Art. 77 DS-GVO bearbeiten, sind im Verhältnis zum Beschwerdeführer als "Verantwortliche" im Sinne von Art. 4 Nr. 7 DS-GVO einzustufen. Sie unterliegen damit den Auskunftspflichten aus Art. 15 DS-GVO. Mit seinem am Donnerstag verkündeten Urteil (Urteil vom 5.11.2026 - C-205/25) hat der EuGH zugleich klargestellt, dass eine nationale Vorschrift, die dieses Recht pauschal ausschließt, gegen Unionsrecht verstößt.

Anlass war ein Rechtsstreit zwischen dem Journalisten und Blogger Joachim Lindenberg und dem Bayerischen Landesamt für Datenschutzaufsicht. Lindenberg hatte im Mai 2022 eine Datenschutzbeschwerde gegen einen Dritten beim Landesamt eingereicht. Als ihn die Behörde über festgestellte Verstöße informierte, wollte er Einzelheiten zu den ergriffenen Maßnahmen erfahren und berief sich auf sein Auskunftsrecht nach Art. 15 DS-GVO.

Das Landesamt lehnte ab – gestützt auf Art. 20 Abs. 2 des Bayerischen Datenschutzgesetzes (BayDSG). Die Vorschrift bestimmt knapp: "Auskunfts- oder Einsichtsrechte hinsichtlich Akten und Dateien der Aufsichtsbehörden bestehen nicht." Lindenberg klagte vor dem VG Ansbach. Im Februar 2024 gewährte das Landesamt ihm zwar elektronisch Akteneinsicht, allerdings ohne eine Rechtspflicht anzuerkennen. Lindenberg verfolgte darauf sein Ziel weiter. Er wollte die Rechtswidrigkeit der ursprünglichen Ablehnung feststellen lassen.

Das VG Ansbach legte dem EuGH zwei Fragen vor. Kann eine Datenschutzaufsichtsbehörde im Beschwerdeverfahren zugleich "Verantwortlicher" sein? Und erlaubt Art. 23 DS-GVO einen so umfassenden Ausschluss des Auskunftsrechts, wie ihn das BayDSG vorsieht?

Wer Daten verarbeitet, ist Verantwortlicher

Zur ersten Frage stellte die Dritte Kammer fest: Eine Aufsichtsbehörde erfasst, speichert und verwendet im Beschwerdeverfahren personenbezogene Daten des Beschwerdeführers. Zwecke und Mittel dieser Verarbeitung ergäben sich aus dem Unionsrecht selbst – die Behörde erfülle damit die Voraussetzungen des Art. 4 Nr. 7 DS-GVO. Würde man das anders sehen, stünden dem Beschwerdeführer sämtliche Rechte aus Kapitel III der Verordnung nicht zu, vom Recht auf Berichtigung über das Recht auf Löschung bis zur Einschränkung der Verarbeitung. Selbst die Verarbeitungsgrundsätze aus Art. 5 DS-GVO, darunter Zweckbindung und Datenminimierung, bänden die Behörde dann nicht.

Das Argument des Landesamts, der Unionsgesetzgeber habe Aufsichtsbehörde und Verantwortlichen als strikt getrennte Rollen konzipiert, überzeuge nicht, so die Luxemburger Richter. Die betreffenden Vorschriften bezögen sich auf den Regelfall, schlössen eine Doppelrolle aber nicht aus.

Bayerische Auskunftssperre fällt

Bei der zweiten Frage prüfte der EuGH die bayerische Vorschrift an Art. 23 Abs. 1 DS-GVO. Das Landesamt hatte sich auf drei Ziele berufen: den Schutz personenbezogener Daten Dritter, die Funktionsfähigkeit der Aufsichtsbehörden und die öffentliche Sicherheit. Der Gerichtshof erkannte alle drei als taugliche Beschränkungsgründe an, verwarf aber den pauschalen Ausschluss als unverhältnismäßig.

Zum Schutz der Daten Dritter ließen sich mildere Mittel einsetzen, etwa Schwärzungen oder Anonymisierungen. Die Funktionsfähigkeit der Behörde gefährde ein einzelner Auskunftsantrag nicht; bei exzessiven Anträgen biete Art. 12 Abs. 5 DS-GVO mit der Entgeltregelung ohnehin ein Korrektiv. Für eine Gefährdung der öffentlichen Sicherheit fehlte aus Sicht des Gerichts jeder Anhaltspunkt.