Category Archives: Datenschutzbehörde

LG Köln zu KI-Chatbot: Art. 9 DSGVO gilt auch für aufgedrängte Daten – Hilfe durch den BayLfD?

Posted on by

Der Sachverhalt

Der Verbraucherzentrale Bundesverband (vzbv) hat die Snap Group Limited, Vertragspartnerin der deutschen Snapchat-Nutzer, auf Unterlassung in Anspruch genommen. Im Mittelpunkt stand der in die App integrierte KI-Chatbot „My AI“, der auf ChatGPT basiert. Snapchat kann bereits ab 13 Jahren genutzt werden.

Vor der ersten Nutzung erscheint einmalig ein Just-in-time-Hinweis, den Nutzer bestätigen müssen. Danach kann My AI angegebene Informationen nutzen, um die Produkte von Snap Inc. zu verbessern und das Nutzererlebnis zu personalisieren, „unter anderem Anzeigen“. Nach eigenem Vortrag in der Klageerwiderung verwendet Snap die in den Chat eingegebenen Textanfragen, um zu entscheiden, ob und welche Werbung in My AI erscheint (Rn. 40).

Snap verteidigte sich im Kern so: Verarbeitet würden nur nicht sensible Daten, die Werbung sei lediglich kontextbezogen, und eine Erhebung sensibler Daten sei nicht beabsichtigt. Teilten Nutzer entgegen dem Rat von Snap dennoch sensible Informationen, handle es sich um eine „aufgedrängte Erhebung“. Dieser Rat fand sich auf einer Unterseite „Produktbezogener Datenschutz“ im „Privacy and Safety Hub“.

Entscheidung des Gerichts

Das LG Köln gab der Klage vollständig statt (Urt. v. 17.09.2026 – 33 O 120/24, aktuell leider noch nicht frei verfügbar).

Den Einwand, allein die Muttergesellschaft Snap Inc. verarbeite die Daten, ließ die Kammer nicht gelten; wegen der weitreichenden Nutzungsrechte in ihren eigenen Servicebestimmungen ist die Beklagte jedenfalls Mitverantwortliche (Rn. 26 ff.). Beanstandet hat das Gericht außerdem vorangekreuzte Anzeigenpräferenzen, die Snap als Widerspruchsmöglichkeit nach Art. 21 DSGVO verstanden wissen wollte.

Das eigentliche Problem: Art. 9 DSGVO, obwohl der Verantwortliche ihn gar nicht will

Der Fall berührt eine Frage, die weit über KI-Chatbots hinausgeht: Was gilt, wenn besondere Kategorien personenbezogener Daten beim Verantwortlichen landen, ohne dass er sie abgefragt hat oder überhaupt haben will?

In der Praxis ist das Alltag. Bewerber teilen im Anschreiben ungefragt eine Schwerbehinderung, eine Erkrankung oder ihre Religionszugehörigkeit mit, der Lebenslauf verrät das ehrenamtliche Engagement in der Kirchengemeinde oder die Gewerkschaftstätigkeit. Kunden schildern im Service-Chat, im Kontaktformular oder per E-Mail ihre gesundheitliche Situation. Jedes Freitextfeld ist ein potenzielles Einfallstor für Art.-9-Daten. Kein Verantwortlicher kann das vollständig verhindern – und genau das macht die Frage so relevant.

Begründung des LG Köln

Das Gericht lässt das Argument der „aufgedrängten“ Daten nicht gelten. Die Ansicht, Art. 9 DSGVO greife nicht, wenn der Verantwortliche keine sensiblen Informationen gezielt ableiten wolle, es also auf eine Verarbeitungsabsicht ankomme, finde weder im Wortlaut der Norm noch in der Rechtsprechung des EuGH eine Stütze (Rn. 41). Mit diesem Einwand habe Snap die Verarbeitung sensibler Daten vielmehr indirekt selbst eingeräumt.

Dass Nutzer sensible Informationen eingeben, sei bei My AI nicht nur faktisch möglich. Das LG prüfte ganz konkret, wie das Frontend ausgestaltet war. 

Der Chatbot ermuntere bei der ersten Nutzung sogar dazu („Du kannst mir alle möglichen Fragen stellen…“), ihn mit persönlichen Informationen zu füttern. Den Rat im „Privacy and Safety Hub“, keine sensiblen Informationen weiterzugeben, wertet das LG als unverbindlichen Ratschlag, nicht als Verbot; ein Großteil der Nutzer werde diese Unterseite ohnehin nicht zur Kenntnis nehmen (Rn. 38).

Hinzu kommt, dass sich der Dienst an Nutzer ab 13 Jahren richtet, die für die Gefahren weniger sensibilisiert sind; das LG verweist insoweit auf die Stellungnahme der LDI NRW (Rn. 39). Dass die Eingaben tatsächlich verarbeitet werden, folgt für das Gericht aus Snaps eigenem Vortrag, aus Servicebestimmungen und Datenschutzerklärung, die personalisierte Werbung vorsehen. 

Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO hatte Snap schon nicht behauptet; andere Ausnahmen des Art. 9 Abs. 2 DSGVO sah das Gericht nicht . Art. 9 DSGVO entfalte als lex specialis Sperrwirkung gegenüber Art. 6 Abs. 1 DSGVO, auch wenn sensible und nicht sensible Daten gemeinsam erfasst werden (Rn. 35, 46).

Hilfsweise verneint das LG auch eine Rechtfertigung nach Art. 6 Abs. 1 DSGVO. Das Bestätigen des Just-in-time-Hinweises mit „ok“ sei keine Einwilligung (Rn. 48). Auf berechtigte Interessen kann Snap sich nicht stützen, weil diese den Nutzern bei der Erhebung nicht mitgeteilt wurden (C-394/23, Rn. 52); zudem bezweifelt das LG, dass die Abwägung angesichts der jungen Nutzerschaft zugunsten von Snap ausginge.

Die Linie des EuGH

Das LG Köln stützt sich für seine Ansicht zur Verarbeitung von „aufgedrängten“ Art. 9-Daten  auf die Meta-Entscheidung des EuGH. Sie steht aber in einer Reihe von Urteilen, in denen der EuGH Art. 9 DSGVO konsequent weit auslegt:

  • C-252/21: Das Verbot des Art. 9 Abs. 1 DSGVO greift unabhängig davon, ob die Information zutrifft und ob der Verantwortliche mit dem Ziel handelt, sensible Informationen zu erlangen (Rn. 69). Werden sensible und nicht sensible Daten ungetrennt en bloc erhoben, erfasst Art. 9 DSGVO die Verarbeitung insgesamt (Rn. 89). 
  • C-21/23: Bestelldaten apothekenpflichtiger Arzneimittel sind Gesundheitsdaten, auch wenn nicht sicher ist, dass das Medikament für den Besteller selbst bestimmt ist.

Absicht, Richtigkeit und Gewissheit der Zuordnung spielen damit für die Anwendbarkeit des Art. 9 DSGVO (meine Ergänzung: leider) keine Rolle.

Kritische Einordnung

Das Urteil trifft die Linie des EuGH. Das muss man so anerkennen. Es macht aber zugleich sichtbar, wie schlecht die Konstruktion des Art. 9 DSGVO zu Konstellationen passt, in denen sensible Daten ungefragt beim Verantwortlichen eingehen.

Art. 9 DSGVO ist als Verbot mit abschließendem Ausnahmekatalog angelegt. Eine Ausnahme für berechtigte Interessen kennt Art. 9 Abs. 2 DSGVO nicht, und die ausdrückliche Einwilligung ist gerade für unaufgeforderte Mitteilungen ein Fremdkörper: Wer ungefragt seine Erkrankung ins Kontaktformular schreibt, hat vorher nichts ausdrücklich eingewilligt. Kombiniert man dieses starre System mit der extrem weiten Auslegung des EuGH (Absicht irrelevant, mittelbare Ableitung genügt, Wahrscheinlichkeit reicht), ist nahezu jedes Postfach, jedes Bewerbermanagementsystem und jedes Ticketsystem potenziell ein Art.-9-Fall ohne passende Rechtsgrundlage. Das erzeugt für Verantwortliche erhebliche praktische Probleme und setzt Fehlanreize hin zu formalistischen Einwilligungsschleifen, die niemandem nützen.

Hinzu kommt ein dogmatisches Detail: Das LG Köln stützt die Sperrwirkung des Art. 9 gegenüber Art. 6 DSGVO auf Kommentarliteratur und auf Rn. 89 der Meta-Entscheidung. Der EuGH verlangt aber, dass neben einer Ausnahme nach Art. 9 Abs. 2 DSGVO zusätzlich eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegt (C-667/21, Rn. 79). Im Ergebnis ändert das nichts, zumal die Kammer Art. 6 DSGVO hilfsweise geprüft hat.

Auch der Unionsgesetzgeber scheint das Problem zu sehen: Der Kommissionsvorschlag für den Digital Omnibus sieht für die Entwicklung und den Betrieb von KI-Systemen eine eigene Ausnahme für „residual“ verarbeitete sensible Daten vor, verbunden mit der Pflicht, deren Erhebung möglichst zu vermeiden und sie zu entfernen. Ob und in welcher Form das kommt, ist offen.

Die helfende(?) Sicht des BayLfD: nicht Art. 9 – aber nur mit echten Maßnahmen

Bemerkenswert ist in diesem Zusammenhang die Orientierungshilfe „Datenschutz bei KI-Projekten in der bayerischen Verwaltung“ des BayLfD (Rn. 256 ff.). Der BayLfD sieht genau das Problem, das im Fall des LG Köln auftaucht.

Nach seiner Auffassung spielt der Zweck der Verarbeitung bei der Einordnung der Daten sehr wohl eine entscheidende Rolle: Wird ein KI-System eingesetzt, um besondere Kategorien zu verarbeiten, oder zielt es auf deren Gewinnung, gilt Art. 9 DSGVO. Anders sei der Fall zu bewerten, in dem sensible Daten trotz aller Vorkehrungen „zufällig“ in die Datenmengen gelangen, die Verarbeitung aber nicht intendiert ist. Der BayLfD will also im Ergebnis sagen: Nicht jede zufällige Berührung mit sensiblen Daten führt in Art. 9 DSGVO.

Zugleich macht er deutlich, dass Art. 9 DSGVO nicht schon dadurch vermieden werden kann, dass der Verantwortliche die zielgerichtete Verarbeitung einfach bestreitet. Ist keine Verarbeitung sensibler Daten beabsichtigt, muss er – etwa durch technisch-organisatorische Maßnahmen – dafür sorgen, dass eine solche Verarbeitung auch tatsächlich möglichst ausgeschlossen bleibt; der BayLfD leitet das aus dem Grundsatz der Datenminimierung ab. Verantwortliche sollen vorab prognostizieren, wo sensible Daten entstehen oder hineingelangen können, und sich dabei am höchstmöglichen Risiko orientieren. An anderer Stelle empfiehlt er ausdrücklich wirksame Filtermaßnahmen.

Übertragen auf den Snap-Fall heißt das: Der bloße Hinweis „bitte keine sensiblen Daten eingeben“ ist keine solche Vorkehrung; das LG Köln spricht insoweit von einem unverbindlichen Ratschlag. Wer zusätzlich den Inhalt der Eingaben für Werbezwecke auswertet, hat den Bereich der „zufälligen“ Verarbeitung ohnehin verlassen.

Offen bleibt, wie sich der Ansatz des BayLfD mit der Aussage des EuGH verträgt, dass es auf die Absicht des Verantwortlichen nicht ankommt. Praktisch ist er aber der vernünftigere Weg – und er zeigt, was Verantwortliche konkret tun müssen.

Empfehlungen für die Praxis

Wer als Verantwortlicher möglichst (!) aus Art. 9 DSGVO herausbleiben will, sollte:

  • Sensible Inhalte nicht verwerten: Freitexte, Chats und Bewerbungsunterlagen nicht für Profilbildung, Werbung, Scoring oder Training auswerten. Sobald der Inhalt selbst zur Entscheidungsgrundlage wird, ist die Argumentation „nicht intendiert“ kaum noch zu halten.
  • Technisch vorbeugen statt nur hinweisen: Erkennungs- und Filtermechanismen einsetzen (Klassifikation, automatische Schwärzung, Löschroutinen), Freitextfelder durch strukturierte Abfragen ersetzen, wo möglich, und nicht benötigte sensible Angaben – etwa in Bewerbungen – zeitnah schwärzen oder löschen und den Zugriff beschränken. Hinweise an Nutzer bleiben sinnvoll, aber nur flankierend.
  • Prognose und Maßnahmen dokumentieren: Im Verzeichnis der Verarbeitungstätigkeiten bzw. in der DSFA festhalten, wo sensible Daten ungewollt anfallen können und wie das verhindert wird (Art. 5 Abs. 2 DSGVO).

EDSA-Leitlinien 3/2026: Scraping bleibt möglich – die „vernünftigen Erwartungen“ werden zum zentralen Prüfstein

Posted on by

Mit seinen Leitlinien 3/2026 zur Verarbeitung personenbezogener Daten für die Entwicklung und den Einsatz von KI-Modellen stellt der Europäische Datenschutzausschuss (EDSA) klar, dass das Scraping öffentlich zugänglicher personenbezogener Daten datenschutzrechtlich nicht ausgeschlossen ist. Als Rechtsgrundlage kommt insbesondere Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse) in Betracht.

Damit macht der EDSA klar, dass es seiner Ansicht nach kein generelles Verbot des Scrapings gibt. Gleichzeitig stellt er jedoch hohe Anforderungen an die Interessenabwägung. Im Mittelpunkt steht dabei die Frage, welche „vernünftigen Erwartungen“ („reasonable expectations“) die betroffenen Personen hinsichtlich der Verarbeitung ihrer Daten haben.

Keine generelle Erwartung jeder Verarbeitung

Nach Auffassung des EDSA sind sich viele Menschen aufgrund der technologischen Entwicklungen im Bereich der generativen KI zwar bewusst, dass öffentlich zugängliche Daten von Dritten gesammelt und weiterverarbeitet werden können. Daraus folgt jedoch nach Ansicht des EDSA nicht, dass Betroffene mit jeder Verarbeitung, für jeden Zweck, durch jeden Verantwortlichen und hinsichtlich jeder Art personenbezogener Daten rechnen müssen.

Diese Aussage ist zunächst nachvollziehbar. Gleichzeitig bleibt jedoch offen, wo genau die Grenze zwischen einer noch vernünftigerweise erwartbaren und einer nicht mehr erwartbaren Verarbeitung verläuft. Gerade diese Abgrenzung ist für Verantwortliche in der Praxis natürlich entscheidend, wenn sie die Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO durchführen müssen. Konkrete und objektive Maßstäbe liefert der EDSA hierzu allerdings nur eingeschränkt.

Der EDSA relativiert seine Aussage selbst

Interessant ist deshalb ein Blick auf eines der Beispiele (Beispiel 4) in den Leitlinien. Dort beschreibt der EDSA den Fall, dass eine Person Inhalte auf einer frei zugänglichen Plattform veröffentlicht, die keine Beschränkungen gegen Web-Scraping vorsieht und ihre Nutzer ausdrücklich darauf hinweist, dass Inhalte von Dritten gescrapt werden können.

Für diesen Fall gelangt der EDSA zu dem Ergebnis, dass Betroffene vernünftigerweise damit rechnen können, dass Dritte ihre Daten zum Training von KI-Modellen verwenden.

Dieses Beispiel ist durchaus interessant. Denn das Training generativer KI-Modelle gehört sicherlich nicht zu den naheliegendsten oder alltäglichsten Formen der Datenverarbeitung. Wenn der EDSA selbst davon ausgeht, dass Betroffene unter diesen Voraussetzungen sogar mit einer solchen Nutzung rechnen müssen, stellt sich umso mehr die Frage, nach welchen objektiven Kriterien die Grenze in anderen Fällen gezogen werden soll.

Spannend wäre sicherlich die Beurteilung des EDSA in einer Situation, wenn zwar Daten durch Betroffene öffentlich gestellt werden, die Webseite aber nicht ausdrücklich darauf verweist, dass solche Daten durch Dritte genutzt werden können. Liegen in diesem Fall immer noch ausreichend „vernünftige Erwartungen“ vor? Nach den vorherigen Aussagen des EDSA wohl zumindest in gewissem Umfang schon (denn danach müssen Betroffene heutzutage mit einer Verwendung öffentlich zugänglicher Daten rechnen).

Praktische Hinweise für Verantwortliche

Die Leitlinien enthalten einige Anhaltspunkte, welche Umstände bei der Beurteilung der vernünftigen Erwartungen berücksichtigt werden sollten. Dazu gehören insbesondere:

  • die Art der Quellwebsite (z. B. soziale Netzwerke, Foren oder frei zugängliche Websites),
  • die Art der Veröffentlichung und der Grad der öffentlichen Zugänglichkeit,
  • ob die betroffene Person die Daten selbst veröffentlicht hat,
  • sowie der Charakter der jeweiligen Plattform.

Besonders praxisrelevant ist dabei die vom EDSA selbst formulierte Faustregel: Je öffentlicher personenbezogene Daten von der betroffenen Person selbst zugänglich gemacht wurden, desto eher kann erwartet werden, dass diese Daten auch von Dritten verarbeitet werden. Dieser Hinweis dürfte Verantwortlichen künftig eine wichtige Orientierung bei der Interessenabwägung bieten.

Wenig praktikabel erscheinen dagegen technische Kriterien

Kritisch zu sehen ist hingegen eine weitere Überlegung des EDSA. Danach sollen auch technische Schutzmaßnahmen des Betreibers einer Website – etwa robots.txt- oder ai.txt-Dateien, CAPTCHAs oder vergleichbare Zugriffsbeschränkungen – Einfluss auf die vernünftigen Erwartungen der Betroffenen haben. Sind Betroffene sich solcher Schutzmechanismen bekannt und wird eine Website dennoch gescrapt, soll dies gegen eine vernünftige Erwartung der Verarbeitung sprechen.

Diese Überlegung überzeugt in der praktischen Anwendung jedoch nur eingeschränkt. Zum einen verknüpft der EDSA hier Schutzmaßnahmen Dritter (Betreiber der Webseite) mit den vernünftigen Erwartungen der Betroffenen. Zum anderen müssen Verantwortliche die Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO vor Beginn der Verarbeitung durchführen. Wie sie dabei feststellen sollen, ob Betroffene überhaupt Kenntnis von robots.txt-Dateien, ai.txt-Dateien oder vergleichbaren technischen Schutzmechanismen hatten, bleibt offen. Ob einzelne Nutzer über ein entsprechendes technisches Verständnis verfügen, lässt sich regelmäßig weder objektiv feststellen noch dokumentieren. Aber allein schon der Nachweis der (Un)Kenntnis, dass solche Maßnahmen umgesetzt sind, wird in der Praxis für Verantwortliche nur schwer möglich sein. Verantwortliche könnten hier zumindest prüfen (sofern möglich), ob eine Webseite solche Maßnahmen nutzt und wenn ja, ob sie darüber auch zusätzlich informiert.

Gerade dieser Aspekt zeigt, dass der EDSA die Interessenabwägung teilweise an Kriterien knüpft, die sich in der Praxis kaum belastbar bewerten lassen. Dies dürfte die Rechtsunsicherheit für Verantwortliche eher erhöhen als verringern.

Fazit

Die Leitlinien 3/2026 machen deutlich, dass Scraping öffentlich zugänglicher personenbezogener Daten auch künftig auf Grundlage des berechtigten Interesses nach Art. 6 Abs. 1 f) DSGVO möglich sein kann. Gleichzeitig rücken die vernünftigen Erwartungen der Betroffenen und Schutzmaßnahmen der Webseiten stärker in den Mittelpunkt der Interessenabwägung.

Positiv ist, dass der EDSA mit seiner Faustregel zur Veröffentlichung öffentlich zugänglicher Daten und seinem Beispiel zur Nutzung von Daten für das Training von KI-Modellen durchaus praxistaugliche Anhaltspunkte liefert. Weniger überzeugend erscheinen dagegen Kriterien, die auf kaum überprüfbaren Annahmen über das Wissen oder das technische Verständnis der betroffenen Personen beruhen. Hier wäre eine stärkere Orientierung an objektiv feststellbaren Umständen für die Praxis wünschenswert gewesen.

Hessische Datenschutzbehörde: Anforderungen an die Vollmacht zur Ausübung von Betroffenenrechten

Posted on by

Im neuen Tätigkeitsbericht 2025 befasst sich die hessische Datenschutzbehörde u.a. auch mit der Frage, ob Betroffenenrechte (im konkreten Fall, das Auskunftsrecht nach Art. 15 DSGVO), durch Stellvertreter bzw. bevollmächtigte Personen geltend gemacht werden können.

Die kurze Antwort: ja, dies ist möglich. Diese Ansicht ist meines Erachtens auch nicht neu und bereits in der Rechtsprechung (sowohl in Deutschland als auch Österreich) und auch durch Datenschutzbehörden und den EDSA (Leitlinien 01/2022, Version 2.0, Rn. 80) bestätigt worden.

Für die Praxis von besonderer Relevanz ist aber die Frage, welche Anforderungen erfüllt sein und damit vom Verantwortlichen verlangt werden dürfen, damit von einer wirksamen Bevollmächtigung ausgegangen werden kann. Dieses Thema ist öfter Diskussionsgegenstand, wenn Unternehmen etwa solche Auskunftsanträge im Namen der betroffenen Person von Dritten erhalten.

Für diese Frage verweist die hessische Behörde auf die zivilrechtlichen Regelungen über die Stellvertretung nach §§ 164 ff. BGB. Auf die jeweils anwendbaren nationalen Vorgaben verweist auch der EDSA.

Nachweis

Die erteilte Vollmacht ist gegenüber dem Verantwortlichen nachzuweisen. Die Aufsichtsbehörde verweist hierbei auf eine Entscheidung des OLG Stuttgart (Urt. v. 31. März 2021 – 9 U 34/21).

Inhalt

Bezüglich des erforderlichen Inhalts verweist die Aufsichtsbehörde auf einen aus meiner Sicht extrem praxisrelevanten Aspekt:

Grundsätzlich kann die bevollmächtigte Person 1) sowohl den Antrag auf Erteilung einer Auskunft gemäß Art. 15 DSGVO stellen als auch 2) die Datenauskunft entgegennehmen. Also die Daten und Informationen empfangen.

Aber: die Vollmacht

„muss sich ausdrücklich sowohl auf die Geltendmachung des Anspruchs gemäß Art. 15 DS-GVO als auch auf den Empfang der zu beauskunftenden personenbezogenen Daten beziehen und somit inhaltlich klar und bestimmt sein.“

Das bedeutet, dass nach Ansicht der Behörde eine Vollmacht mit dem Inhalt „Person X darf für mich mein Auskunftsrecht nach Art. 15 DSGVO ausüben“ gerade nicht ausreichen würde, um dem Stellvertreter auch die Daten zu übersenden. Denn in diesem Fall würde die Vollmacht nicht den Empfang der personenbezogenen Daten erfassen.

Fristbeginn

Und zuletzt zur Frist: die hessische Aufsichtsbehörde geht zurecht davon aus, dass bei der Bevollmächtigung die Frist nach Art. 12 Abs. 3 DSGVO erst dann beginnt (nicht etwa bereits startet und dann pausiert), wenn eine hinreichende Legitimation des Vertreters gegenüber der verantwortlichen Stelle vorliegt.

Negativauskunft nach Art. 15 DSGVO – Muss über personenbezogene Daten aus dem Auskunftsantrag informiert werden? Österreichische Datenschutzbehörde sagt „nein“

Posted on by

Betroffene Personen haben nach Art. 15 Abs. 1 DSGVO das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sowohl von Aufsichtsbehörden als auch der Rechtsprechung ist mittlerweile anerkannt, dass damit ein Anspruch auf Negativauskunft besteht. 

Verantwortliche müssen also, wenn keine Daten zu der Person vorhanden sind, auf den Antrag antworten, dass keine Daten vorhanden sind. 

In der Praxis stellt sich jedoch die Frage (bzw. legen es manche Betroffene darauf an), ob es denn eine solche Negativauskunft überhaupt geben kann? Wenn doch im Rahmen des Antrags auf Auskunft, also etwa per E-Mail, personenbezogene Daten an den Verantwortlichen gesendet wurden.

Einen solchen Fall hatte die Datenschutzbehörde aus Österreich zu entscheiden (Entscheidung vom 17. September 2025, GZ 2025-0.502.649). 

Sachverhalt

In dem Beschwerdeverfahren rügte die Betroffene u.a., dass die Beschwerdegegnerin auf ihren Antrag auf Auskunft nicht (fristgerecht) reagiert habe. Im Beschwerdeverfahren erteilte die Verantwortliche eine Negativauskunft, dass keine Daten vorliegen würden. 

Nach Ansicht der Betroffenen sei aber einerseits ihr Antrag auf Auskunft bearbeitet worden und schon deshalb müsse eine Datenverarbeitung vorliegen.

Entscheidung

Nach Ansicht der Datenschutzbehörde (DSB) ist für eine Negativauskunft ausreichend, dass, „sofern zu einer antragsstellenden Person (aktuell) keine personenbezogenen Daten verarbeitet werden“, die Information erteilt wird, dass keine personenbezogenen Daten verarbeitet werden. 

Nun mag man sich fragen: aber die Verantwortliche verarbeitet doch personenbezogene Daten? Und zwar jene, die mit dem Auskunftsantrag übersendet wurden. 

Hierzu führt die Aufsichtsbehörde aus: 

„… dass Gegenstand einer zu erteilenden datenschutzrechtlichen Auskunft die im 

Zeitpunkt des Einlangens des Auskunftsverlangens tatsächlich verarbeiteten Daten sind“.

Die DSB sieht also von der Auskunft gerade nur solche Daten erfasst, die vor dem Zeitpunkt des Eingangs des Antrags verarbeitet werden. Daher folgert die DSB, dass die Negativauskunft hier korrekt erteilt wurde.

„Somit waren die personenbezogenen Daten der Beschwerdeführerin, die in ihrem Antrag auf Auskunft bzw. im Identitätsnachweis enthalten gewesen sind, in zeitlicher Hinsicht nicht vom Auskunftsrecht umfasst.“

Zudem verdeutlicht die DSB auch, dass das Auskunftsrecht sich nicht auf ehemals vorhandene Daten bezieht, die aber mittlerweile gelöscht wurden. 

„…, dass aufgrund des klaren Wortlauts von Art. 15 Abs. 1 DSGVO keine inhaltliche Auskunftspflicht hinsichtlich der in der Vergangenheit verarbeiteten (bereits gelöschten) Daten besteht“.

Fazit

Die Ansicht der DSB kann in der Praxis eine wertvolle Hilfe für Verantwortliche bei der Bearbeitung von Auskunftsansprüchen darstellen. Insbesondere für Fälle, in denen Betroffene einen Verstoß gegen die DSGVO dadurch sehen, dass in einer Negativauskunft nicht über jene Daten informiert wird, die durch die Auskunftsanfrage an den Verantwortlichen übermittelt wurden.

Was ist eine „Verarbeitungstätigkeit“ und wann muss diese im Verzeichnis nach Art. 30 DSGVO dokumentiert werden?

Posted on by

Nach Art. 30 Abs. 1 DSGVO muss jeder Verantwortliche ein Verzeichnis „aller Verarbeitungstätigkeiten“, die seiner Zuständigkeit unterliegen, führen. In der Praxis stellt sich oft die Frage, welche Arten von Verarbeitungen personenbezogener Daten als „Verarbeitungstätigkeit“ zu qualifizieren sind und daher ins Verzeichnis aufgenommen werden müssen. Ebenso ist von Bedeutung, wie man eine solche „Verarbeitungstätigkeit“ beschreibt und auch, ob etwa ein einmaliger Verarbeitungsprozess ebenfalls im Verzeichnis dokumentiert sein muss?

Hinweise der DSK

In der Vergangenheit hat sich zu diesen Fragen u.a. die deutsche Datenschutzkonferenz (DSK) in ihrem Anwendungshinweis zum Verzeichnis nach Art. 30 DSGVO geäußert. 

Dort wird empfohlen, für „jede einzelne Verarbeitungstätigkeit“ eine Beschreibung nach Maßgabe des Art. 30 DSGVO anzufertigen. Unter dem Begriff „Verarbeitungstätigkeit“ versteht die DSK im Allgemeinen einen Geschäftsprozess, der auf „geeignetem Abstraktionsniveau“ beschrieben wird. Diese Ansicht klingt zunächst danach, dass als „Verarbeitungstätigkeit“ gerade nicht etwa eine einzelne Datenverarbeitung an sich zu verstehen ist, sondern ein Prozess, der viele solche Verarbeitungen unter einem gemeinsamen Zweck bündelt.

Jedoch vertritt die DSK direkt nachfolgend in den Hinweisen die Ansicht, dass ein „strenger Maßstab anzulegen“ sei und: 

„… so dass jeder neue Zweck der Verarbeitung eine eigene Verarbeitungstätigkeit darstellt“. 

Bei einer nur geringen Zweckänderung müsse geprüft werden, ob eine bereits bestehende Beschreibung einer Verarbeitungstätigkeit angepasst werden muss oder ob eine vollständig neue Beschreibung anzufertigen sei. 

Diese Auffassung scheint wiederum eine „Verarbeitung“ mit der „Verarbeitungstätigkeit“ gleich zu setzen – was in der Praxis aber wohl dazu führen dürfte, dass das Verzeichnis riesig und kaum kontrollierbar wäre, wenn man eine „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO (also etwa den Vorgang der Übermittlung oder Löschung an sich) bereits als „Verarbeitungstätigkeit“ ansehen würde. 

Eventuell kann man die Ansicht der DSK aber auch so verstehen, dass auch viele Verarbeitungen (z.B. Speicherung, Übermittlung, Löschung) unter einer „Verarbeitungstätigkeit“ zusammengefasst werden können, wenn diese Verarbeitungen denselben Zwecken dienen. Denn die Ansicht der DSK verweist auf den Fall der Zweckänderung („neuer Zweck“). Völlig eindeutig sind die Hinwiese jedoch nicht. 

Ansicht der Verwaltungsgerichts Hannover zur „Verarbeitungstätigkeit“ und Aktualität des Verzeichnisses

Das VG Hannover (Urteil vom 5.Juni 2025 , Az: 10 A 4017/23) hat sich in einer Entscheidung ebenfalls mit dem Begriff der „Verarbeitungstätigkeit“ nach Art. 30 Abs. 1 DSGVO befasst. Die Entscheidung hat in jedem Fall Praxisrelevanz, da es eher selten gerichtliche Entscheidungen zu Art. 30 Abs. 1 DSGVO und zum Verzeichnis gibt. 

Nach Ansicht des Gerichts hatte im vorliegenden Fall die Klägerin (ein Unternehmen, welches gegen eine Verwarnung der Datenschutzbehörde klagte) gegen Art. 30 Abs. 1 DSGVO verstoßen, da sie nicht schon zu Beginn eines Prozesses, der auch die Verarbeitung von Daten beinhaltete, ein Verarbeitungsverzeichnis geführt hat. Konkret ging es um eine sog. EPA-Auditierung. Diese wurde im Rahmen einer Verwaltungsvereinbarung mit der US-Umweltbehörde „Environmental Protection Agency“ (EPA) vereinbart. 

Die EPA-Auditierung war darauf ausgerichtet, das interne Compliance-Management-System der Klägerin fortzuentwickeln und die bestehenden Compliance-Strukturen auf ihre Effektivität zu überprüfen.

Nach Ansicht des Gerichts 

„stellen die Datenverarbeitungen, die im Rahmen der EPA-Auditierung erfolgt sind, eine Verarbeitungstätigkeit dar“.

Das VG sieht also (meines Erachtens zurecht) nicht einzelne Verarbeitungen für sich jeweils als „Verarbeitungstätigkeit“ an, sondern fasst viele Verarbeitungen unter der Tätigkeit oder dem Prozess „EPA-Auditierung“ als eine Verarbeitungstätigkeit zusammen. Der verklammernde Faktor, wenn man so will, ist der übergeordnete Zweck der Durchführung der Auditierung. 

Das Gericht verweist darauf, dass der Begriff der Verarbeitungstätigkeit von der DSGVO selbst nicht legal definiert wird. Er werde jedoch an mehreren Stellen in der Verordnung genannt. Dabei werde er häufig in Kontexten verwendet, wenn es um mehrere gleichartige Verarbeitungen oder um eine Kategorie der Verarbeitung gehe. 

Zudem sei der Begriff durch eine „gewisse zeitliche Kontinuität gekennzeichnet“, da eine punktuelle Verarbeitung personenbezogener Daten nicht als „Tätigkeit“ bezeichnet werden würde. 

Diese Ansicht des VG ist aus meiner Sicht für die Praxis wichtig, wenn man sich die Frage stellt, ob eine Verarbeitungstätigkeit aufgenommen werden muss, wenn diese Tätigkeit bereits absehbar nur einmal durchgeführt wird. Dann wäre eine Dokumentation nach Art. 30 Abs. 1 DSGVO nicht erforderlich. 

Im konkreten Fall ging das VG davon aus, dass eine Verarbeitungstätigkeit vorlag, da es während der Dauer der EPA-Auditierung zu einer Vielzahl von gleichartigen Datenverarbeitungen gekommen ist, weil die Klägerin in diesem Zeitraum personenbezogene Daten von mindestens 234 Beschäftigten an den EPA-Auditor übersandt hatet.

Des Weiteren urteilt das VG, dass die Pflicht nach Art. 30 Abs. 1 S. 1 DSGVO, ein Verarbeitungsverzeichnis zu führen, nicht auf einen bestimmten Zeitpunkt beschränkt sei. Vielmehr sei der Verantwortliche verpflichtet, die Grundsätze aus Art. 5 Abs. 1 DSGVO – zu denen auch die Transparenz gehöre – (jederzeit) nachweisen zu können. 

Aus dem Sinn und Zweck der Norm gehe hervor, dass der Verantwortliche der Aufsichtsbehörde jederzeit auf Verlangen ein Verzeichnis vorlegen können muss. Zwar sei eine explizite Aktualisierungspflicht gesetzlich nicht vorgesehen. 

„… jedoch ist angesichts des Sinnes und Zweckes des Verarbeitungsverzeichnisses davon auszugehen, dass nur ein solches, welches die tatsächliche, nicht überholte Sachlage widerspiegelt, den Anforderungen des Art. 30 Abs. 1 S. 1 DSGVO gerecht werden kann“.

Im Grunde ist die Aussage des VG aus meiner Sicht nachvollziehbar, aber praktisch in größeren Einheiten wohl kaum umsetzbar. Da das Gericht verlangt, dass stets ein aktuelles Verzeichnis vorliegt. Beispiel: würde man eine Verarbeitungstätigkeit prüfen und intern freigeben, diese jedoch erst 2-3 Tage später im Verzeichnis dokumentiert, befände man sich in diesem Zeitraum in einem Verstoß gegen Art. 30. Abs. 1 DSGVO. Da das Verzeichnis in dieser Zeit eben nicht 100% aktuell ist. 

Das VG folgert, dass bereits bei Aufnahme der konkreten Verarbeitungstätigkeiten ein neues Verarbeitungsverzeichnis zu erstellen oder ein bestehendes Verarbeitungsverzeichnis zu ergänzen sei, sodass es die aktuelle Sachlage bei Beginn der Verarbeitungstätigkeiten wiedergibt. 

„Es ist sodann fortlaufend zu pflegen und nach Bedarf zu aktualisieren“.

Fazit

Die Entscheidung des Gerichts gibt einige wichtige Anhaltspunkte für die Erfüllung der Pflicht zur Führung des Verzeichnisses nach Art. 30 Abs. 1 DSGVO. Insbesondere die Auslegung des Begriffs der „Verarbeitungstätigkeit“ kann in der Praxis hilfreich sein. 

Oberverwaltungsgericht: Das Recht zur Datenschutzbeschwerde erlischt mit dem Tod der betroffenen Person – kein Übergang auf die Erben

Posted on by

Das Oberverwaltungsgericht Koblenz (OVG) hat sich in seinem Urteil vom 28.11.2025 (Az. 10 A 11059/23.OVG) mit der Frage befasst, inwiefern Erben der betroffenen Person eine Datenschutzbeschwerde nach Art. 77 DSGVO bei einer Aufsichtsbehörde einreichen dürfen.

Sachverhalt

Die Klägerin ist Alleinerbin ihrer verstorbenen Ehefrau und wendet sich gegen die Beendigung ihres datenschutzrechtlichen Beschwerdeverfahrens durch die Datenschutzbehörde. Sie hatte dort zuvor um eine Bewertung einer Verarbeitung von Daten ihrer verstorbenen Ehefrau durch ein Institut und einen Professor erbeten.

Die Klägerin klagte gegen das Einstellungsschreiben der Datenschutzbehörde vor dem Verwaltungsgericht, welches die Klage abwies.

Entscheidung

Das OVG weist die Berufung der Klägerin zurück. Die Klage ist unbegründet.

Die Klägerin war nach Art. 77 Abs. 1 DSGVO nicht berechtigt, für ihre verstorbene Ehefrau eine Datenschutzbeschwerde einzureichen und daraus Rechte geltend zu machen.

Die Klägerin berufe sich zwar auf etwaige Verstöße gegen die DSGVO. Bezogen auf die in Rede stehenden Datenverarbeitungen ist sie aber weder betroffene Person nach Art. 77 Abs. 1 DSGVO noch kann sie das Beschwerderecht als Erbin ihrer verstorbenen Ehefrau geltend machen.

Die Klägerin ist nicht Betroffene im Sinne von Art. 77 Abs. 1 DSGVO, denn sie bezieht sich mit ihrer Beschwerde nicht auf die Verarbeitung ihrer eigenen personenbezogenen Daten, sondern auf die ihrer verstorbenen Ehefrau.

Die Klägerin kann auch nicht als Erbin ihrer verstorbenen Ehefrau deren Datenschutzrechte nach Art. 77 Abs. 1 DSGVO wahrnehmen. Sie ist weder nach § 1922 Abs. 1 BGB in die Betroffenenstellung der Verstorbenen eingetreten, noch ist Art. 77 Abs. 1 DSGVO und der Begriff der betroffenen Person für den vorliegenden Fall einer erweiternden Auslegung oder analogen Anwendung zugänglich. Auch eine nationale Regelung (im Sinne von Erwägungsgrund 27 Satz 2 DSGVO) zur (allgemeinen) Datenschutzbeschwerde betreffend die Daten Verstorbener besteht nicht.

Das Schutzregime der DSGVO bezieht sich grundsätzlich („nur“) auf den Schutz lebender natürlicher Personen. Der Begriff „natürliche Person“ impliziere dabei ein auf den Menschen als lebende Person zielendes Schutzkonzept. Er knüpft an die Rechtsfähigkeit des Menschen an, die grundsätzlich mit dem Tod endet. Das Verständnis, wonach die DSGVO keine Anwendung auf personenbezogene Daten verstorbener Personen findet, steht ferner in inhaltlicher Kontinuität zur Datenschutzrichtlinie 95/46/EG.

„Hiervon ausgehend geht das Recht zur Datenschutzbeschwerde nach Art. 77 Abs. 1 DSGVO grundsätzlich mit dem Tod der betroffenen Person unter. Eine übergangsfähige Rechtsposition im Sinne von § 1922 Abs. 1 BGB besteht nicht“.

Das Beschwerderecht nach Art. 77 DSGVO ist Ausfluss des in Art. 8 GRCh verbürgten Schutzes personenbezogener Daten und soll dem Betroffenen die effektive Durchsetzung „seiner“ Datenschutzrechte sichern. Eine eigene Betroffenheit, wie sie Kern des Rechts aus Art. 77 DSGVO ist und wie sie auch anderen Betroffenenrechten der Datenschutz-Grundverordnung immanent ist, liegt bei einem Erben aber gerade nicht vor.

Auch der vorgebrachte Einwand, im Verfahren nach Art. 77 DSGVO gehe es in erster Linie um eine objektive Rechtskontrolle, die losgelöst von der Person der Betroffenen auch nach deren Tod „fortgesetzt“ werden könne, verfängt auf dieser Grundlage nicht.

Denn der Schutzzweck von Art. 77 DSGVO, der effektive Schutz des Betroffenen im Anwendungsbereich der Datenschutz-Grundverordnung, kann nach dem Tod nicht mehr verwirklicht werden. Bei einer Geltendmachung des Anspruchs durch die Erben ginge es gerade nicht mehr um den Schutz der Grundrechte und der Grundfreiheiten des datenschutzrechtlich Betroffenen.

Auch das postmortale Persönlichkeitsrecht gebietet keine andere (erweiternde) Auslegung. Denn die Schutzwirkungen des (verfassungsrechtlichen) postmortalen Persönlichkeitsrechts sind nicht identisch mit denen, die sich aus dem Recht auf informationelle Selbstbestimmung lebender Personen ergeben.

Kontaktaufnahme per E-Mail oder Kontaktformular: bitte ohne Einwilligung

Posted on by

Immer wieder lese ich im Internet Datenschutzhinweise, in denen etwas steht wie:

„Bei Fragen jeglicher Art bieten wir Ihnen die Möglichkeit, mit uns über die auf der Webseite angegebene E-Mailadresse des Kundenservice Kontakt aufzunehmen. Ihre Angaben werden zur Beantwortung Ihrer Anfrage verarbeitet. Die Datenverarbeitung zum Zwecke der Kontaktaufnahme mit uns erfolgt nach Art. 6 Abs. 1 S. 1 lit. a DSGVO auf Grundlage Ihrer freiwillig erteilten Einwilligung.“

Ähnliche Texte gibt es auch zur Kommunikation via Kontaktformular (was ja im Hintergrund oft auch nur eine Mail auslöst).

Verwendung ohne Not

Und jedes Mal, wenn ich solche Angaben lese, denke ich: ihr glaubt doch nicht wirklich, dass so eine Kontaktaufnahme als Einwilligung nach Art. 6 Abs. 1 DSGVO gewertet werden kann? Wie soll das gehen? Wie dokumentiert ihr die Einwilligung? Wo findet man den Text der Einwilligungserklärung?

Wie so oft im Datenschutzrecht, werden solche Placebo-Hinweise aus Un- und fehlender Fachkenntnis oder mangelndem Willen zur richtigen Beratung in der Sache einfach „rausgefeuert“. Oft auch übernommen aus falschen Standardmustern.

Mit potentiellen Risiken

Für die Unternehmen, Vereine oder öffentliche Stellen, die solche Hinweise verwenden, kann dies (im worst case) durchaus negative Konsequenzen haben. Bsp: jemand ist mit dem Kundenservice nicht zufrieden und beschwert sich bei der Aufsichtsbehörde. Diese schreibt dem Verantwortlichen und fragt etwa nach der Rechtsgrundlage der Verwendung der Daten des Anfragenden. Wenn man nun antwortet „Einwilligung“, dann wird man diese im Zweifel auch nachweisen können müssen. Kann man aber nicht. Wenn man antwortet, „Sorry, wir haben uns vertan. Es ist doch eine andere Rechtsgrundlage“, dann hat man in den Datenschutzhinweisen falsch informiert. Beide Ergebnisse sind nicht gut – und absolut vermeidbar.

Es geht sehr viel ohne Einwilligung

Für mich sind solche Situationen (Anfrage von interessierten Personen per Mail oder Kontaktformular) aber eigentlich ein Paradebeispiel der Rechtsgrundlage nach Art. 6 Abs.  1 f) DSGVO, also der Interessenabwägung. Und für öffentliche Stellen dann ggfs. noch nach Art. 6 Abs. 1 e) DSGVO, zur Aufgabenwahrnehmung.

Nach ErwG 47 DSGVO sind vor allem zwei Aspekte bei Art. 6 Abs. 1 f) DSGVO relevant:

  • Vernünftige Erwartungen des Betroffenen: gerade in der oben beschrieben Situation weiß doch der Betroffene, dass er Kontakt aufnimmt. Er weiß auch, dass seine Angaben zur Kommunikation genutzt werden. Er erwartet diese Datenverwendung auch.
  • Kann der Betroffene absehen, „dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“: ja natürlich kann er das. Denn er initiiert die Kontaktaufnahme.

Und auch Art. 6 Abs. 1 b) DSGVO, also die Anbahnung eines Vertrags oder die Durchführung (Kommunikation mit Kunden) kann je nach Situation als Rechtsgrundlage dienen.

Auch deutsche Aufsichtsbehörden sind bei der Frage der Rechtsgrundlage gegen die Einwilligung.

Die hessische Datenschutzbehörde (TB 2024, S. 127) geht etwa davon aus: „Hier ist ganz deutlich Art. 6 Abs. 1 UAbs. 1 Buchst. f DS-GVO die passende und richtige Rechtsgrundlage für die Datenverarbeitung…“. Eine „Einwilligung der Dienstenutzenden in die Verarbeitung ihrer Daten ist in solchen Fällen offensichtlich nicht notwendig“.

Zu Kontaktformularen auf Websites vertritt etwa das BayLDA (TB 2017/18, S. 56) die Ansicht: „Grundsätzlich bedarf es keiner Einwilligung durch den Nutzer, da die Datenverarbeitung auf eine Interessenabwägung nach Art. 6 Abs. 1 Buchstabe f DS-GVO gestützt werden kann“.

Natürlich muss man neben der Rechtsgrundlage auch die übrigen Vorgaben der DSGVO beachten (etwas den Grundsatz der Datenminimierung bei Kontaktformularen, also welche Daten man von Betroffenen erfragt). Aber auch dies ist meiner Erfahrung nach wirklich kein Hexenwerk.

Externe „Spam-Mail“ zu einer Sicherheitslücke: Österreichische Datenschutzbehörde verhängt Bußgeld gegen Unternehmen wegen unterlassener Meldung einer Datenpanne

Posted on by

Am 4. September 2025 erließ die österreichische Datenschutzbehörde (DSB) eine Entscheidung in einem Fall, in dem ein Unternehmen es versäumt hatte, die DSB gemäß Art. 33 DSGVO über eine Datenschutzverletzung zu informieren.

Sachverhalt

Eine unbekannte Person entdeckte eine Sicherheitslücke auf der Subdomain der Website des Unternehmens, die es aufgrund fehlender technischer Sicherheitsvorkehrungen ermöglichte, personenbezogene Daten (u. a. Namen, E-Mail-Adressen, Telefonnummern, Geschlecht) zu extrahieren. Die Person informierte das Unternehmen per E-Mail, doch die Nachricht wurde von einer Mitarbeiterin fälschlicherweise als Spam behandelt und erreichte weder die Geschäftsleitung noch die IT-Abteilung. Nachdem keine Antwort erfolgt, schickte eine andere Person (Vertreter eines Vereins) eine zweite E-Mail, diesmal mit der österreichischen DSB in „CC“.

Das Unternehmen handelte daraufhin schnell, um die Sicherheitslücke zu schließen, und die Person, die die Sicherheitslücke gemeldet hatte, bestätigte die Löschung aller Dateien, auf die sie zugegriffen hatte. Die IT-Abteilung des Unternehmens dokumentierte den Vorfall, aber das Unternehmen meldete keine Datenschutzverletzung an die DSB.

Entscheidung der Datenschutzbehörde

Die DSB leitete eine Untersuchung ein und fragte das Unternehmen, warum sie nicht gemäß Art. 33 DSGVO über die Verletzung informiert worden sei. Das Unternehmen argumentierte, dass keine weitere Benachrichtigung erforderlich sei, da die Datenschutzbehörde bereits in der zweiten E-Mail in „CC“ gesetzt wurde.

Die DSB widersprach dieser Ansicht und stellte klar, dass eine externe E-Mail über ein potenzielles Sicherheitsproblem keine gültige Benachrichtigung gemäß Art. 33 DSGVO darstellt. Art. 33 DSGVO enthalte keine Ausnahme für einen solchen Fall, dass Dritte die Aufsichtsbehörde über eine Datenschutzverletzung informieren.

„Wenn eine dritte Person die DSB über einen Vorfall informiert, handelt es sich hierbei um eine Verdachtsmeldung bzw. Sachverhaltsanzeige. Der Verdacht einer Sicherheitsverletzung kann nur vom Verantwortlichen nach einer internen Prüfung bestätigt oder widerlegt werden.“

Zudem ging es noch um die Frage, wann der Verantwortliche Kenntnis von der Datenschutzverletzung erlangte – mit der ersten „Spam-Mail“ oder aber erst mit der zweiten Mail?

Die DSB geht davon aus, dass der Verantwortliche bereits durch den ersten Hinweis, welcher von einer Mitarbeiterin als „Spam-Nachricht“ eingestuft wurde, Kenntnis erlangte. Die unterlassene interne Weiterleitung der Nachricht, muss sich der Verantwortliche zurechnen lassen.

„Die Beschuldigte übersieht hierbei, dass das Verhalten ihrer Arbeitnehmerin ihr unmittelbar zugerechnet wird. Für die Strafbarkeit nach Art. 83 DSGVO ist im Falle einer juristischen Person nämlich keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans erforderlich“.

Fazit

Natürlich werden in der Praxis nicht alle Hinweise auf eine mögliche Sicherheitsverletzung wirklich echt sein. Jedoch sollten Verantwortliche darauf achten, interne Vorgaben und Prozesse vorzuhalten, dass die Einschätzung darüber, ob eine solche Nachricht „echt“ ist, durch fachliche geschulte Mitarbeiter, etwa in der IT-Abteilung, bei Compliance oder im Datenschutz, erfolgt.

„Zu viel Aufwand“ zählt nicht – EDSA lehnt Verhältnismäßigkeitsprüfung bei Auskunftsanfragen ab

Posted on by

Wenn Unternehmen oder öffentliche Stellen mit Auskunftsanträgen nach Art. 15 DSGVO konfrontiert sind, kann sich deren Erfüllung in der Praxis manchmal als extrem aufwendig herausstellen. Schließlich müssen in diesem Fall intern alle personenbezogenen Daten zu der betroffenen Person herausgesucht werden. Gerade im Verhältnis zwischen Arbeitgeber und Arbeitnehmern kann dies, bei langjährigen Arbeitsverhältnissen, zu nicht zu unterschätzenden Aufwänden führen.

Im Rahmen einer Stellungnahme zum Entwurf des Durchführungsbeschlusses der Kommission über den angemessenen Schutz personenbezogener Daten im Vereinigten Königreich befasste sich der EDSA – kurz, aber eindeutig – mit der Frage, ob bei der Erfüllung von Auskunftsanfragen ein Verhältnismäßigkeitskriterium angewendet werden darf. Konkret also, ob ein Verantwortlicher berechtigt sein kann, eine Anfrage nicht vollständig zu erfüllen, weil die Suche nach den Daten in internen Systemen zu aufwendig wäre.

Art. 15 Abs. 1A UK GDPR führt eine Verhältnismäßigkeitsprüfung ein, wie es in der britischen Rechtsprechung entwickelt wurde. Nach Absatz 1A

„hat die betroffene Person nur Anspruch auf eine solche Bestätigung, personenbezogene Daten und sonstige Informationen, die der Verantwortliche auf Grundlage einer angemessenen und verhältnismäßigen Suche nach den in diesem Absatz beschriebenen personenbezogenen Daten und sonstigen Informationen bereitstellen kann.“

Verantwortliche müssen daher nur „angemessene und verhältnismäßige Suchvorgänge“ durchführen, um Auskunftsanfragen zu erfüllen.

Der EDSA hebt hervor, dass eine solche Verhältnismäßigkeitsprüfung im EU-Datenschutzrahmen nicht vorgesehen ist:

„Das Unionsrecht sieht keinen allgemeinen Vorbehalt der Verhältnismäßigkeit in Bezug auf den Aufwand vor, den der Verantwortliche zur Erfüllung von Betroffenenanfragen nach Art. 12 DSGVO zu leisten hat, sondern enthält nur die in Absatz 5 genannten Ablehnungsgründe.“

Vorbeugende Beschwerde bei der Datenschutzbehörde zulässig?

Posted on by

In seinen Schlussanträgen vom 25.9.2025 (Rs. C‑474/24) befasst sich Generalanwalt Spielmann u.a. auch mit der interessanten Frage, ob Betroffene nach Art. 77 eine Beschwerde bei einer Datenschutzbehörde gegen eine Verarbeitung einlegen können, die noch nicht stattfindet – also eine Art vorbeugende Beschwerde.

Wortlaut sieht diesen Fall nicht explizit vor

Nach Art. 77 DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde hat, „wenn [sie] der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt“.

Der Wortlaut der Norm sieht zumindest nicht ausdrücklich den Fall vor, in dem die Verarbeitung noch nicht stattgefunden hat. Es wird der Ausdruck „verstößt“ im Präsens verwendet, was nach Ansicht des Generalanwalt zu bedeuten scheint, dass die Verarbeitung bereits stattgefunden haben muss. Jedoch schließt er die Möglichkeit, dass auch eine künftige Verarbeitung umfasst sein kann, als solche nicht aus).

Zweck der Beschwerde

Danach widmet sich der Generalanwalt im Rahmen der Auslegung dem Sinne und Zweck des Art. 77 DSGVO.

Eine Beschwerde durch Betroffene soll dazu führen, dass Datenschutzbehörden tätig werden, um ihre Aufgaben zu erfüllen und ihre Befugnisse wahrzunehmen.

Der Generalanwalt verweist auf Art. 58 Abs. 1 DSGVO, wonach jeder Aufsichtsbehörde weitreichende Untersuchungsbefugnisse zur Bearbeitung eingereichter Beschwerden zur Verfügung stehen. Zu den Befugnissen der Aufsichtsbehörde nach Art. 58 Abs. 2 a) DSGVO gehört es, einen Verantwortlichen zu „warnen“, dass „beabsichtigte“ Verarbeitungsvorgänge „voraussichtlich“ gegen die DSGVO verstoßen.

Dass die DSGVO hier vorsieht, dass eine Aufsichtsbehörde auch eine zukünftige Verarbeitung prüfen kann, sieht der Generalanwalt als Teil eines Ansatzes,

„den man als „vorbeugenden Schutz“ der Rechte der betroffenen Person bezeichnen kann“.

Vorbeugende Pflichten der DSGVO

Zudem stellt der Generalanwalt heraus, dass der Verantwortliche, bestimmte Verpflichtungen erfüllen und insbesondere die betroffene Person vor der Verarbeitung informieren muss.

Aus diesen kontextbezogenen Gesichtspunkten leitet der Generalanwalt ab, ein vorsorglicher oder präventiver Ansatz der Aufsichtsbehörden bei der Bearbeitung von Beschwerden im Kontext der DSGVO nicht von vornherein ausgeschlossen werden kann.

Ziele der DSGVO

Zuletzt betrachtet der Generalanwalt bei seiner Auslegung des Art. 77 DSGVO auch die generellen Ziele der DSGVO. Aus ErwG 10 geht hervor, dass sie darauf abzielt, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten in der Union zu gewährleisten.

Würde man die den Aufsichtsbehörden in Art. 57 Abs. 1 f) DSGVO auferlegte Verpflichtung, sich mit Beschwerden zu befassen, durch eine Auslegung von Art. 77 Abs. 1 DSGVO einschränken, nach der jede Möglichkeit ausgeschlossen wäre, eine Beschwerde bei einer Aufsichtsbehörde „im Vorfeld einer Verarbeitung“ einzureichen, könnte dies den Zielen dieser Verordnung zuwiderlaufen.

Zulässigkeit der vorbeugenden Beschwerde – aber …

Insgesamt geht der Generalanwalt daher davon aus, dass eine gemäß Art. 77 DSGVO eingelegte Beschwerde zulässig sein kann, obwohl die Verarbeitung personenbezogener Daten der betroffenen Person zum Zeitpunkt der Einreichung ihrer Beschwerde bei der Aufsichtsbehörde noch nicht stattgefunden hat.

Rein praktisch stellt sich dann natürlich die Frage, „wie früh“ die Beschwerde eingelegt werden kann? Wie konkret muss also die geplante Verarbeitung feststehen?

Einschränkend zur generellen Zulässigkeit der vorbeugenden Beschwerde geht der Generalanwalt davon aus, dass der geltend gemachte Verstoß gegen die DSGVO dafür geeignet sein muss und dass die betreffende Verarbeitung

„nicht rein hypothetischer Natur sein darf“.

So wäre seiner Ansicht nach etwa eine Beschwerde, die sich auf die in Art. 12 DSGVO vorgesehene Informationspflicht oder auf das in Art. 15 DSGVO vorgesehene Auskunftsrecht bezieht, beispielsweise vor Beginn einer Datenverarbeitung zulässig.

Der Generalanwalt fügt danach ein Beispiel an, wann eine vorbeugende Beschwerde jedoch unzulässig ist. Hierbei stellt er auf den konkret geltend gemachten Verstoß und auch die Möglichkeit des Verantwortlichen ab, diesen Verstoß zu beseitigen.

Im vorliegenden Fall legte die Betroffene eine Beschwerde zur Löschung von Daten nach Art. 17 DSGVO sein, wobei die Daten noch nicht veröffentlicht waren. Die Betroffene hat angegeben, dass die Veröffentlichung ihrer Daten „mit ziemlicher Sicherheit unmittelbar bevorstehe“.

Konkret zu dieser Beschwerde geht der Generalanwalt davon aus, dass die auf das Recht auf Löschung gemäß Art. 17 DSGVO gestützte Beschwerde unzulässig war, weil sie eine Verarbeitung (hier die Veröffentlichung der personenbezogenen Daten der betroffenen Person) betrifft, die, auch wenn sie unmittelbar bevorsteht, weder zum Zeitpunkt der Einreichung der Beschwerde bei der Aufsichtsbehörde noch zum Zeitpunkt des Erlasses der Entscheidung dieser Aufsichtsbehörde vorlag.

Eine auf Löschung der Daten gerichtete Beschwerde setze naturgemäß voraus, dass die betreffende Verarbeitung, in diesem Fall die Veröffentlichung der Daten, tatsächlich stattgefunden hat. Dem Verantwortlichen dürfte es nämlich unmöglich sein, aufgrund einer solchen Beschwerde tätig zu werden und Daten zu löschen, wenn diese noch nicht veröffentlicht wurden.