EuGH stärkt Beschwerdeführer: Was Unternehmen tun sollten

Wer sich bei einer Datenschutzaufsichtsbehörde über ein Unternehmen beschwert, kann von der Behörde Auskunft über die zu seiner Person gespeicherten Daten verlangen. Das hat der Europäische Gerichtshof entschieden (C-205/25, Lindenberg, Urteil vom 5. November 2026). Für Unternehmen hat das eine konkrete Folge: Was Sie der Aufsichtsbehörde über einen Beschwerdeführer mitteilen, kann dieser künftig erfahren. Und er kann es in einem Schadensersatzprozess nach Art. 82 DSGVO verwenden.

Der Ausgangsfall: Auskunft in Bayern pauschal ausgeschlossen

Art. 20 Abs. 2 des Bayerischen Datenschutzgesetzes (BayDSG) schloss ein Auskunfts- und Einsichtsrecht gegenüber der Aufsichtsbehörde vollständig aus. Ein Beschwerdeführer wollte das nicht hinnehmen und klagte gegen das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Das Verwaltungsgericht Ansbach legte die Frage dem EuGH vor (Beschluss vom 19. Februar 2025, Az.: AN 14 K 22.02562).

Was der EuGH entschieden hat

Der EuGH stellt fest: Eine Aufsichtsbehörde ist bei der Bearbeitung einer Beschwerde selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Sie verarbeitet personenbezogene Daten des Beschwerdeführers, und Zweck und Mittel der Verarbeitung ergeben sich aus den Aufgaben, die ihr die DSGVO zuweist. Deshalb gilt Art. 15 DSGVO auch für sie.

Die Argumente gegen einen pauschalen Ausschluss ließ der EuGH nicht gelten:

• Der Schutz Dritter lässt sich durch Schwärzungen wahren.
• Die Unabhängigkeit der Behörde wird durch Auskunftsersuchen nicht berührt.
• Den Arbeitsaufwand muss der Staat durch eine angemessene Ausstattung seiner Behörden auffangen.

Exzessive Anfragen darf die Behörde weiterhin abweisen. Die bayerische Vorschrift steht zwar noch im Gesetz, darf auf Auskunftsansprüche nach Art. 15 DSGVO aber nicht mehr angewendet werden. Das Urteil bindet auch die Aufsichtsbehörden der übrigen Bundesländer.

Wo die Grenzen liegen

Ein allgemeines Recht auf Akteneinsicht begründet Art. 15 DSGVO ausdrücklich nicht. Der Beschwerdeführer erhält Auskunft über seine eigenen personenbezogenen Daten, nicht über die gesamte Akte. Daten anderer Personen dürfen geschwärzt werden. Welche Maßnahmen die Behörde gegen Sie ergriffen hat, erfährt der Beschwerdeführer über die Unterrichtung über das Beschwerdeergebnis nach Art. 77 Abs. 2 DSGVO. Offen ist, wie weit die Auskunft bei internen Vermerken der Behörde reicht, die Angaben zum Beschwerdeführer enthalten.

Warum das für Unternehmen relevant ist

Die Beschwerde als Ermittlungsinstrument

Im Zivilprozess nach Art. 82 DSGVO muss der Kläger den Verstoß, den Schaden und den Ursachenzusammenhang darlegen und gegebenenfalls beweisen. Die dafür nötigen Informationen liegen bei Ihnen. Anträge, die erkennbar nur der Ausforschung dienen, haben im deutschen Zivilprozess selten Erfolg. Kläger scheitern deshalb häufig an der Beweislage.

Die Beschwerde bei der Aufsichtsbehörde bietet einen Ausweg. Die Behörde kann Sie zur Stellungnahme auffordern und Unterlagen anfordern, was einer Privatperson nicht möglich ist. Alles, was Sie dabei über den Beschwerdeführer mitteilen, sind seine personenbezogenen Daten. Darüber muss die Behörde jetzt Auskunft geben, und zwar kostenlos. Der Beschwerdeführer kann so erfahren, welche Daten wann an wen gelangt sind und wie Sie den Vorfall gegenüber der Behörde dargestellt haben.

Das Beschwerdeergebnis kann Ihre Position im Prozess verändern

Stellt die Aufsichtsbehörde einen Verstoß fest, bindet das ein Zivilgericht nicht. Sie geraten dann aber leichter in die Darlegungs- und Beweislast. Mündet die Beschwerde in ein Bußgeldverfahren, kann der Kläger über seinen Rechtsanwalt zusätzlich Akteneinsicht nach dem Ordnungswidrigkeiten- und Strafprozessrecht nehmen.

Das neue Auskunftsrecht greift vor allem im gewöhnlichen Beschwerdeverfahren, das mit einem Hinweis, einer Verwarnung oder einer Einstellung endet. Gerade dort hatte der Beschwerdeführer bisher keine Einsicht. Eine Auskunft ersetzt zwar keinen schlüssigen Klagevortrag, liefert aber Tatsachenmaterial, das vorher fehlte.

Checkliste: So bereiten Sie sich auf ein Beschwerdeverfahren vor

Die folgenden Schritte helfen Ihnen, Anfragen der Aufsichtsbehörde sicher zu beantworten.

1. Stellungnahmen als lesbar für den Beschwerdeführer behandeln. Schreiben Sie sachlich, vollständig und belegbar. Jede Angabe zur Person des Beschwerdeführers kann bei ihm landen.
2. Fakten vor der Antwort klären. Prüfen Sie, welche Daten betroffen waren, wann der Vorfall eintrat und welche Empfänger beteiligt waren. Widersprüche zwischen Ihrer Stellungnahme und Ihren Unterlagen fallen später auf.
3. Dokumentation bereithalten. Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), Löschkonzepte, Berechtigungskonzepte und Protokolle zu Datenpannen gehören dazu. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung nachweisen können.
4. Fristen im Blick behalten. Die Aufsichtsbehörde setzt Ihnen meist knappe Fristen. Planen Sie ein, wer im Haus für die Antwort zuständig ist.
5. Eigene Auskunftsanfragen sauber bearbeiten. Viele Beschwerden entstehen, weil ein Auskunftsersuchen nach Art. 15 DSGVO unvollständig oder zu spät beantwortet wurde. Die Frist beträgt in der Regel einen Monat (Art. 12 Abs. 3 DSGVO).
6. Schadensersatzrisiken einschätzen. Prüfen Sie nach einer Beschwerde, ob ein Anspruch nach Art. 82 DSGVO realistisch ist, und stimmen Sie Ihre Kommunikation darauf ab.
7. Datenschutz-Audit durchführen. Ein Datenschutz-Audit zeigt, wo Ihre Dokumentation Lücken hat, bevor eine Behörde oder ein Gericht danach fragt.

Was ein externer Datenschutzbeauftragter in diesem Fall übernimmt

Ein Beschwerdeverfahren bindet Zeit und Aufmerksamkeit, die in kleinen und mittleren Unternehmen selten vorhanden sind. Ein externer Datenschutzbeauftragter ist Ihr Ansprechpartner gegenüber der Aufsichtsbehörde. Er prüft, welche Unterlagen Sie vorlegen müssen, formuliert die Stellungnahme und achtet darauf, dass sie mit Ihrer Dokumentation übereinstimmt. Außerdem baut er mit Ihnen die Nachweise auf, die Sie für eine belastbare DSGVO-Compliance brauchen. Die Kosten dafür sind planbar und liegen in der Regel deutlich unter dem Aufwand einer eigenen Stelle.

AZ-Datenschutz begleitet KMU aller Branchen von der Bestandsaufnahme über das Datenschutz-Audit bis zur laufenden Betreuung. Wenn Sie wissen möchten, wie Ihr Unternehmen auf Beschwerden und Auskunftsersuchen vorbereitet ist, vereinbaren Sie ein kostenloses Beratungsgespräch. Wir prüfen gemeinsam mit Ihnen, wo Handlungsbedarf besteht.

Kontakt: Fordern Sie jetzt Ihr unverbindliches Erstgespräch mit AZ-Datenschutz an.

Hinweis zur Prüfung vor Veröffentlichung: Datum und Aktenzeichen des EuGH-Urteils (5. November 2026, C-205/25) habe ich aus Ihrer Vorlage übernommen. Bitte gleichen Sie diese Angaben vor dem Veröffentlichen mit der Originalquelle ab.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.