Im neuen Tätigkeitsbericht 2025 befasst sich die hessische Datenschutzbehörde u.a. auch mit der Frage, ob Betroffenenrechte (im konkreten Fall, das Auskunftsrecht nach Art. 15 DSGVO), durch Stellvertreter bzw. bevollmächtigte Personen geltend gemacht werden können.

Die kurze Antwort: ja, dies ist möglich. Diese Ansicht ist meines Erachtens auch nicht neu und bereits in der Rechtsprechung (sowohl in Deutschland als auch Österreich) und auch durch Datenschutzbehörden und den EDSA (Leitlinien 01/2022, Version 2.0, Rn. 80) bestätigt worden.

Für die Praxis von besonderer Relevanz ist aber die Frage, welche Anforderungen erfüllt sein und damit vom Verantwortlichen verlangt werden dürfen, damit von einer wirksamen Bevollmächtigung ausgegangen werden kann. Dieses Thema ist öfter Diskussionsgegenstand, wenn Unternehmen etwa solche Auskunftsanträge im Namen der betroffenen Person von Dritten erhalten.

Für diese Frage verweist die hessische Behörde auf die zivilrechtlichen Regelungen über die Stellvertretung nach §§ 164 ff. BGB. Auf die jeweils anwendbaren nationalen Vorgaben verweist auch der EDSA.

Nachweis

Die erteilte Vollmacht ist gegenüber dem Verantwortlichen nachzuweisen. Die Aufsichtsbehörde verweist hierbei auf eine Entscheidung des OLG Stuttgart (Urt. v. 31. März 2021 – 9 U 34/21).

Inhalt

Bezüglich des erforderlichen Inhalts verweist die Aufsichtsbehörde auf einen aus meiner Sicht extrem praxisrelevanten Aspekt:

Grundsätzlich kann die bevollmächtigte Person 1) sowohl den Antrag auf Erteilung einer Auskunft gemäß Art. 15 DSGVO stellen als auch 2) die Datenauskunft entgegennehmen. Also die Daten und Informationen empfangen.

Aber: die Vollmacht

„muss sich ausdrücklich sowohl auf die Geltendmachung des Anspruchs gemäß Art. 15 DS-GVO als auch auf den Empfang der zu beauskunftenden personenbezogenen Daten beziehen und somit inhaltlich klar und bestimmt sein.“

Das bedeutet, dass nach Ansicht der Behörde eine Vollmacht mit dem Inhalt „Person X darf für mich mein Auskunftsrecht nach Art. 15 DSGVO ausüben“ gerade nicht ausreichen würde, um dem Stellvertreter auch die Daten zu übersenden. Denn in diesem Fall würde die Vollmacht nicht den Empfang der personenbezogenen Daten erfassen.

Fristbeginn

Und zuletzt zur Frist: die hessische Aufsichtsbehörde geht zurecht davon aus, dass bei der Bevollmächtigung die Frist nach Art. 12 Abs. 3 DSGVO erst dann beginnt (nicht etwa bereits startet und dann pausiert), wenn eine hinreichende Legitimation des Vertreters gegenüber der verantwortlichen Stelle vorliegt.