LG Köln zu KI-Chatbot: Art. 9 DSGVO gilt auch für aufgedrängte Daten – Hilfe durch den BayLfD?

Posted on by

Der Sachverhalt

Der Verbraucherzentrale Bundesverband (vzbv) hat die Snap Group Limited, Vertragspartnerin der deutschen Snapchat-Nutzer, auf Unterlassung in Anspruch genommen. Im Mittelpunkt stand der in die App integrierte KI-Chatbot „My AI“, der auf ChatGPT basiert. Snapchat kann bereits ab 13 Jahren genutzt werden.

Vor der ersten Nutzung erscheint einmalig ein Just-in-time-Hinweis, den Nutzer bestätigen müssen. Danach kann My AI angegebene Informationen nutzen, um die Produkte von Snap Inc. zu verbessern und das Nutzererlebnis zu personalisieren, „unter anderem Anzeigen“. Nach eigenem Vortrag in der Klageerwiderung verwendet Snap die in den Chat eingegebenen Textanfragen, um zu entscheiden, ob und welche Werbung in My AI erscheint (Rn. 40).

Snap verteidigte sich im Kern so: Verarbeitet würden nur nicht sensible Daten, die Werbung sei lediglich kontextbezogen, und eine Erhebung sensibler Daten sei nicht beabsichtigt. Teilten Nutzer entgegen dem Rat von Snap dennoch sensible Informationen, handle es sich um eine „aufgedrängte Erhebung“. Dieser Rat fand sich auf einer Unterseite „Produktbezogener Datenschutz“ im „Privacy and Safety Hub“.

Entscheidung des Gerichts

Das LG Köln gab der Klage vollständig statt (Urt. v. 17.09.2026 – 33 O 120/24, aktuell leider noch nicht frei verfügbar).

Den Einwand, allein die Muttergesellschaft Snap Inc. verarbeite die Daten, ließ die Kammer nicht gelten; wegen der weitreichenden Nutzungsrechte in ihren eigenen Servicebestimmungen ist die Beklagte jedenfalls Mitverantwortliche (Rn. 26 ff.). Beanstandet hat das Gericht außerdem vorangekreuzte Anzeigenpräferenzen, die Snap als Widerspruchsmöglichkeit nach Art. 21 DSGVO verstanden wissen wollte.

Das eigentliche Problem: Art. 9 DSGVO, obwohl der Verantwortliche ihn gar nicht will

Der Fall berührt eine Frage, die weit über KI-Chatbots hinausgeht: Was gilt, wenn besondere Kategorien personenbezogener Daten beim Verantwortlichen landen, ohne dass er sie abgefragt hat oder überhaupt haben will?

In der Praxis ist das Alltag. Bewerber teilen im Anschreiben ungefragt eine Schwerbehinderung, eine Erkrankung oder ihre Religionszugehörigkeit mit, der Lebenslauf verrät das ehrenamtliche Engagement in der Kirchengemeinde oder die Gewerkschaftstätigkeit. Kunden schildern im Service-Chat, im Kontaktformular oder per E-Mail ihre gesundheitliche Situation. Jedes Freitextfeld ist ein potenzielles Einfallstor für Art.-9-Daten. Kein Verantwortlicher kann das vollständig verhindern – und genau das macht die Frage so relevant.

Begründung des LG Köln

Das Gericht lässt das Argument der „aufgedrängten“ Daten nicht gelten. Die Ansicht, Art. 9 DSGVO greife nicht, wenn der Verantwortliche keine sensiblen Informationen gezielt ableiten wolle, es also auf eine Verarbeitungsabsicht ankomme, finde weder im Wortlaut der Norm noch in der Rechtsprechung des EuGH eine Stütze (Rn. 41). Mit diesem Einwand habe Snap die Verarbeitung sensibler Daten vielmehr indirekt selbst eingeräumt.

Dass Nutzer sensible Informationen eingeben, sei bei My AI nicht nur faktisch möglich. Das LG prüfte ganz konkret, wie das Frontend ausgestaltet war. 

Der Chatbot ermuntere bei der ersten Nutzung sogar dazu („Du kannst mir alle möglichen Fragen stellen…“), ihn mit persönlichen Informationen zu füttern. Den Rat im „Privacy and Safety Hub“, keine sensiblen Informationen weiterzugeben, wertet das LG als unverbindlichen Ratschlag, nicht als Verbot; ein Großteil der Nutzer werde diese Unterseite ohnehin nicht zur Kenntnis nehmen (Rn. 38).

Hinzu kommt, dass sich der Dienst an Nutzer ab 13 Jahren richtet, die für die Gefahren weniger sensibilisiert sind; das LG verweist insoweit auf die Stellungnahme der LDI NRW (Rn. 39). Dass die Eingaben tatsächlich verarbeitet werden, folgt für das Gericht aus Snaps eigenem Vortrag, aus Servicebestimmungen und Datenschutzerklärung, die personalisierte Werbung vorsehen. 

Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO hatte Snap schon nicht behauptet; andere Ausnahmen des Art. 9 Abs. 2 DSGVO sah das Gericht nicht . Art. 9 DSGVO entfalte als lex specialis Sperrwirkung gegenüber Art. 6 Abs. 1 DSGVO, auch wenn sensible und nicht sensible Daten gemeinsam erfasst werden (Rn. 35, 46).

Hilfsweise verneint das LG auch eine Rechtfertigung nach Art. 6 Abs. 1 DSGVO. Das Bestätigen des Just-in-time-Hinweises mit „ok“ sei keine Einwilligung (Rn. 48). Auf berechtigte Interessen kann Snap sich nicht stützen, weil diese den Nutzern bei der Erhebung nicht mitgeteilt wurden (C-394/23, Rn. 52); zudem bezweifelt das LG, dass die Abwägung angesichts der jungen Nutzerschaft zugunsten von Snap ausginge.

Die Linie des EuGH

Das LG Köln stützt sich für seine Ansicht zur Verarbeitung von „aufgedrängten“ Art. 9-Daten  auf die Meta-Entscheidung des EuGH. Sie steht aber in einer Reihe von Urteilen, in denen der EuGH Art. 9 DSGVO konsequent weit auslegt:

  • C-252/21: Das Verbot des Art. 9 Abs. 1 DSGVO greift unabhängig davon, ob die Information zutrifft und ob der Verantwortliche mit dem Ziel handelt, sensible Informationen zu erlangen (Rn. 69). Werden sensible und nicht sensible Daten ungetrennt en bloc erhoben, erfasst Art. 9 DSGVO die Verarbeitung insgesamt (Rn. 89). 
  • C-21/23: Bestelldaten apothekenpflichtiger Arzneimittel sind Gesundheitsdaten, auch wenn nicht sicher ist, dass das Medikament für den Besteller selbst bestimmt ist.

Absicht, Richtigkeit und Gewissheit der Zuordnung spielen damit für die Anwendbarkeit des Art. 9 DSGVO (meine Ergänzung: leider) keine Rolle.

Kritische Einordnung

Das Urteil trifft die Linie des EuGH. Das muss man so anerkennen. Es macht aber zugleich sichtbar, wie schlecht die Konstruktion des Art. 9 DSGVO zu Konstellationen passt, in denen sensible Daten ungefragt beim Verantwortlichen eingehen.

Art. 9 DSGVO ist als Verbot mit abschließendem Ausnahmekatalog angelegt. Eine Ausnahme für berechtigte Interessen kennt Art. 9 Abs. 2 DSGVO nicht, und die ausdrückliche Einwilligung ist gerade für unaufgeforderte Mitteilungen ein Fremdkörper: Wer ungefragt seine Erkrankung ins Kontaktformular schreibt, hat vorher nichts ausdrücklich eingewilligt. Kombiniert man dieses starre System mit der extrem weiten Auslegung des EuGH (Absicht irrelevant, mittelbare Ableitung genügt, Wahrscheinlichkeit reicht), ist nahezu jedes Postfach, jedes Bewerbermanagementsystem und jedes Ticketsystem potenziell ein Art.-9-Fall ohne passende Rechtsgrundlage. Das erzeugt für Verantwortliche erhebliche praktische Probleme und setzt Fehlanreize hin zu formalistischen Einwilligungsschleifen, die niemandem nützen.

Hinzu kommt ein dogmatisches Detail: Das LG Köln stützt die Sperrwirkung des Art. 9 gegenüber Art. 6 DSGVO auf Kommentarliteratur und auf Rn. 89 der Meta-Entscheidung. Der EuGH verlangt aber, dass neben einer Ausnahme nach Art. 9 Abs. 2 DSGVO zusätzlich eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegt (C-667/21, Rn. 79). Im Ergebnis ändert das nichts, zumal die Kammer Art. 6 DSGVO hilfsweise geprüft hat.

Auch der Unionsgesetzgeber scheint das Problem zu sehen: Der Kommissionsvorschlag für den Digital Omnibus sieht für die Entwicklung und den Betrieb von KI-Systemen eine eigene Ausnahme für „residual“ verarbeitete sensible Daten vor, verbunden mit der Pflicht, deren Erhebung möglichst zu vermeiden und sie zu entfernen. Ob und in welcher Form das kommt, ist offen.

Die helfende(?) Sicht des BayLfD: nicht Art. 9 – aber nur mit echten Maßnahmen

Bemerkenswert ist in diesem Zusammenhang die Orientierungshilfe „Datenschutz bei KI-Projekten in der bayerischen Verwaltung“ des BayLfD (Rn. 256 ff.). Der BayLfD sieht genau das Problem, das im Fall des LG Köln auftaucht.

Nach seiner Auffassung spielt der Zweck der Verarbeitung bei der Einordnung der Daten sehr wohl eine entscheidende Rolle: Wird ein KI-System eingesetzt, um besondere Kategorien zu verarbeiten, oder zielt es auf deren Gewinnung, gilt Art. 9 DSGVO. Anders sei der Fall zu bewerten, in dem sensible Daten trotz aller Vorkehrungen „zufällig“ in die Datenmengen gelangen, die Verarbeitung aber nicht intendiert ist. Der BayLfD will also im Ergebnis sagen: Nicht jede zufällige Berührung mit sensiblen Daten führt in Art. 9 DSGVO.

Zugleich macht er deutlich, dass Art. 9 DSGVO nicht schon dadurch vermieden werden kann, dass der Verantwortliche die zielgerichtete Verarbeitung einfach bestreitet. Ist keine Verarbeitung sensibler Daten beabsichtigt, muss er – etwa durch technisch-organisatorische Maßnahmen – dafür sorgen, dass eine solche Verarbeitung auch tatsächlich möglichst ausgeschlossen bleibt; der BayLfD leitet das aus dem Grundsatz der Datenminimierung ab. Verantwortliche sollen vorab prognostizieren, wo sensible Daten entstehen oder hineingelangen können, und sich dabei am höchstmöglichen Risiko orientieren. An anderer Stelle empfiehlt er ausdrücklich wirksame Filtermaßnahmen.

Übertragen auf den Snap-Fall heißt das: Der bloße Hinweis „bitte keine sensiblen Daten eingeben“ ist keine solche Vorkehrung; das LG Köln spricht insoweit von einem unverbindlichen Ratschlag. Wer zusätzlich den Inhalt der Eingaben für Werbezwecke auswertet, hat den Bereich der „zufälligen“ Verarbeitung ohnehin verlassen.

Offen bleibt, wie sich der Ansatz des BayLfD mit der Aussage des EuGH verträgt, dass es auf die Absicht des Verantwortlichen nicht ankommt. Praktisch ist er aber der vernünftigere Weg – und er zeigt, was Verantwortliche konkret tun müssen.

Empfehlungen für die Praxis

Wer als Verantwortlicher möglichst (!) aus Art. 9 DSGVO herausbleiben will, sollte:

  • Sensible Inhalte nicht verwerten: Freitexte, Chats und Bewerbungsunterlagen nicht für Profilbildung, Werbung, Scoring oder Training auswerten. Sobald der Inhalt selbst zur Entscheidungsgrundlage wird, ist die Argumentation „nicht intendiert“ kaum noch zu halten.
  • Technisch vorbeugen statt nur hinweisen: Erkennungs- und Filtermechanismen einsetzen (Klassifikation, automatische Schwärzung, Löschroutinen), Freitextfelder durch strukturierte Abfragen ersetzen, wo möglich, und nicht benötigte sensible Angaben – etwa in Bewerbungen – zeitnah schwärzen oder löschen und den Zugriff beschränken. Hinweise an Nutzer bleiben sinnvoll, aber nur flankierend.
  • Prognose und Maßnahmen dokumentieren: Im Verzeichnis der Verarbeitungstätigkeiten bzw. in der DSFA festhalten, wo sensible Daten ungewollt anfallen können und wie das verhindert wird (Art. 5 Abs. 2 DSGVO).

EDSA-Leitlinien 3/2026: Scraping bleibt möglich – die „vernünftigen Erwartungen“ werden zum zentralen Prüfstein

Posted on by

Mit seinen Leitlinien 3/2026 zur Verarbeitung personenbezogener Daten für die Entwicklung und den Einsatz von KI-Modellen stellt der Europäische Datenschutzausschuss (EDSA) klar, dass das Scraping öffentlich zugänglicher personenbezogener Daten datenschutzrechtlich nicht ausgeschlossen ist. Als Rechtsgrundlage kommt insbesondere Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse) in Betracht.

Damit macht der EDSA klar, dass es seiner Ansicht nach kein generelles Verbot des Scrapings gibt. Gleichzeitig stellt er jedoch hohe Anforderungen an die Interessenabwägung. Im Mittelpunkt steht dabei die Frage, welche „vernünftigen Erwartungen“ („reasonable expectations“) die betroffenen Personen hinsichtlich der Verarbeitung ihrer Daten haben.

Keine generelle Erwartung jeder Verarbeitung

Nach Auffassung des EDSA sind sich viele Menschen aufgrund der technologischen Entwicklungen im Bereich der generativen KI zwar bewusst, dass öffentlich zugängliche Daten von Dritten gesammelt und weiterverarbeitet werden können. Daraus folgt jedoch nach Ansicht des EDSA nicht, dass Betroffene mit jeder Verarbeitung, für jeden Zweck, durch jeden Verantwortlichen und hinsichtlich jeder Art personenbezogener Daten rechnen müssen.

Diese Aussage ist zunächst nachvollziehbar. Gleichzeitig bleibt jedoch offen, wo genau die Grenze zwischen einer noch vernünftigerweise erwartbaren und einer nicht mehr erwartbaren Verarbeitung verläuft. Gerade diese Abgrenzung ist für Verantwortliche in der Praxis natürlich entscheidend, wenn sie die Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO durchführen müssen. Konkrete und objektive Maßstäbe liefert der EDSA hierzu allerdings nur eingeschränkt.

Der EDSA relativiert seine Aussage selbst

Interessant ist deshalb ein Blick auf eines der Beispiele (Beispiel 4) in den Leitlinien. Dort beschreibt der EDSA den Fall, dass eine Person Inhalte auf einer frei zugänglichen Plattform veröffentlicht, die keine Beschränkungen gegen Web-Scraping vorsieht und ihre Nutzer ausdrücklich darauf hinweist, dass Inhalte von Dritten gescrapt werden können.

Für diesen Fall gelangt der EDSA zu dem Ergebnis, dass Betroffene vernünftigerweise damit rechnen können, dass Dritte ihre Daten zum Training von KI-Modellen verwenden.

Dieses Beispiel ist durchaus interessant. Denn das Training generativer KI-Modelle gehört sicherlich nicht zu den naheliegendsten oder alltäglichsten Formen der Datenverarbeitung. Wenn der EDSA selbst davon ausgeht, dass Betroffene unter diesen Voraussetzungen sogar mit einer solchen Nutzung rechnen müssen, stellt sich umso mehr die Frage, nach welchen objektiven Kriterien die Grenze in anderen Fällen gezogen werden soll.

Spannend wäre sicherlich die Beurteilung des EDSA in einer Situation, wenn zwar Daten durch Betroffene öffentlich gestellt werden, die Webseite aber nicht ausdrücklich darauf verweist, dass solche Daten durch Dritte genutzt werden können. Liegen in diesem Fall immer noch ausreichend „vernünftige Erwartungen“ vor? Nach den vorherigen Aussagen des EDSA wohl zumindest in gewissem Umfang schon (denn danach müssen Betroffene heutzutage mit einer Verwendung öffentlich zugänglicher Daten rechnen).

Praktische Hinweise für Verantwortliche

Die Leitlinien enthalten einige Anhaltspunkte, welche Umstände bei der Beurteilung der vernünftigen Erwartungen berücksichtigt werden sollten. Dazu gehören insbesondere:

  • die Art der Quellwebsite (z. B. soziale Netzwerke, Foren oder frei zugängliche Websites),
  • die Art der Veröffentlichung und der Grad der öffentlichen Zugänglichkeit,
  • ob die betroffene Person die Daten selbst veröffentlicht hat,
  • sowie der Charakter der jeweiligen Plattform.

Besonders praxisrelevant ist dabei die vom EDSA selbst formulierte Faustregel: Je öffentlicher personenbezogene Daten von der betroffenen Person selbst zugänglich gemacht wurden, desto eher kann erwartet werden, dass diese Daten auch von Dritten verarbeitet werden. Dieser Hinweis dürfte Verantwortlichen künftig eine wichtige Orientierung bei der Interessenabwägung bieten.

Wenig praktikabel erscheinen dagegen technische Kriterien

Kritisch zu sehen ist hingegen eine weitere Überlegung des EDSA. Danach sollen auch technische Schutzmaßnahmen des Betreibers einer Website – etwa robots.txt- oder ai.txt-Dateien, CAPTCHAs oder vergleichbare Zugriffsbeschränkungen – Einfluss auf die vernünftigen Erwartungen der Betroffenen haben. Sind Betroffene sich solcher Schutzmechanismen bekannt und wird eine Website dennoch gescrapt, soll dies gegen eine vernünftige Erwartung der Verarbeitung sprechen.

Diese Überlegung überzeugt in der praktischen Anwendung jedoch nur eingeschränkt. Zum einen verknüpft der EDSA hier Schutzmaßnahmen Dritter (Betreiber der Webseite) mit den vernünftigen Erwartungen der Betroffenen. Zum anderen müssen Verantwortliche die Interessenabwägung nach Art. 6 Abs. 1 f) DSGVO vor Beginn der Verarbeitung durchführen. Wie sie dabei feststellen sollen, ob Betroffene überhaupt Kenntnis von robots.txt-Dateien, ai.txt-Dateien oder vergleichbaren technischen Schutzmechanismen hatten, bleibt offen. Ob einzelne Nutzer über ein entsprechendes technisches Verständnis verfügen, lässt sich regelmäßig weder objektiv feststellen noch dokumentieren. Aber allein schon der Nachweis der (Un)Kenntnis, dass solche Maßnahmen umgesetzt sind, wird in der Praxis für Verantwortliche nur schwer möglich sein. Verantwortliche könnten hier zumindest prüfen (sofern möglich), ob eine Webseite solche Maßnahmen nutzt und wenn ja, ob sie darüber auch zusätzlich informiert.

Gerade dieser Aspekt zeigt, dass der EDSA die Interessenabwägung teilweise an Kriterien knüpft, die sich in der Praxis kaum belastbar bewerten lassen. Dies dürfte die Rechtsunsicherheit für Verantwortliche eher erhöhen als verringern.

Fazit

Die Leitlinien 3/2026 machen deutlich, dass Scraping öffentlich zugänglicher personenbezogener Daten auch künftig auf Grundlage des berechtigten Interesses nach Art. 6 Abs. 1 f) DSGVO möglich sein kann. Gleichzeitig rücken die vernünftigen Erwartungen der Betroffenen und Schutzmaßnahmen der Webseiten stärker in den Mittelpunkt der Interessenabwägung.

Positiv ist, dass der EDSA mit seiner Faustregel zur Veröffentlichung öffentlich zugänglicher Daten und seinem Beispiel zur Nutzung von Daten für das Training von KI-Modellen durchaus praxistaugliche Anhaltspunkte liefert. Weniger überzeugend erscheinen dagegen Kriterien, die auf kaum überprüfbaren Annahmen über das Wissen oder das technische Verständnis der betroffenen Personen beruhen. Hier wäre eine stärkere Orientierung an objektiv feststellbaren Umständen für die Praxis wünschenswert gewesen.

„Verantwortlicher“ nach der DSGVO: Bezeichnung in der Datenschutzerklärung ist rechtlich nicht relevant

Posted on by

Das österreichische Bundesverwaltungsgericht (BVwG) hat sich in einer Entscheidung vom  01. Juni 2026 (Geschäftszahl  W274 2265153-1) u.a. mit der Frage befasst, ob Angaben zur Verantwortlichkeit nach der DSGVO in einer Datenschutzerklärung relevant dafür sind, wer tatsächlich „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO für eine Datenverarbeitung ist. In der Praxis erlebt man (leider) immer wieder, das vorschnell einfach eine Muttergesellschaft oder ein anderes passendes Unternehmen oder Behörde als „Verantwortlicher“ in Datenschutzerklärungen entsprechend Art. 13 Abs. 1 a) DSGVO eingetragen wird. Oft passiert dies auch insbesondere im Online-Kontext für Apps und Webseiten.

Sachverhalt

Im konkreten Fall beschweret sich eine betroffene Person darüber, in ihrem Recht auf Information verletzt zu sein. Der Betroffene habe im Rahmen der Covid-19-Pandemie zwischen diverse Antigen-Tests gemacht und sei bei der Vor-Ort-Registrierung nicht im Sinne des Art. 13 DSGVO über die Datenverarbeitung aufgeklärt worden.

Entscheidung

Das Gericht musste die Frage beantworten, welche Stelle wirklich „Verantwortlicher“ nach Art. 4 Nr. 7 DSGVO für die Datenverarbeitung war.

Denn: nur der Verantwortliche ist zur Erfüllung der Informationspflicht nach Art. 13 DGSVO verpflichtet.

„Da die Informationspflicht allein den nach Art 4 Z 7 DSGVO Verantwortlichen trifft, ist zu prüfen, wer entsprechend dieser Bestimmung über Mittel und Zwecke der gegenständlichen Datenverarbeitungen im Rahmen der Testungen in den beiden Teststraßen entschied.“

Das BVwG hatte u.a. zu prüfen, ob für die Einordnung als Verantwortlicher eine Angabe als eben solcher in einer Datenschutzerklärung ausreichend ist. Wenn man so will, also die rein formelle Angabe eines Unternehmens oder einer öffentlichen Stelle in der Datenschutzerklärung.

Die Antwort auf diese Frage ist, insbesondere auch mit Blick auf die Rechtsprechung des EuGH und die Ansichten des EDSA, ziemlich eindeutig.

So hat der EuGH (Rs C‑683/21) etwa entschieden, dass ein Verantwortlicher die personenbezogenen Daten nicht selbst verarbeiten muss, sondern über das „Warum und Wie“ der betreffenden Verarbeitungsvorgänge entscheiden muss. Dieses Kriterium ist nur erfüllt, wenn eine Person oder Einrichtung tatsächlich „auf die Verarbeitung personenbezogener Daten Einfluss nimmt. (EuGH, Rz. 27)

Bereits hieraus wird klar, dass allein die (formelle) Angabe zur Verantwortlichkeit in einer Datenschutzerklärung nicht ausreichend sein kann.

Erforderlich ist nach Ansicht des EuGH rein faktisch, ob eine Stelle über Zwecke und Mittel der Verarbeitung (mit)entscheidet.

Da es allein rein auf diese faktische Einflussnahme ankommt, ob eine Einrichtung in der Lage ist, über die Zwecke und Mittel der Verarbeitung zu entscheiden, ist diese Einrichtung auch

„unabhängig davon als „Verantwortlicher“ anzusehen, ob sie (durch Gesetz, durch Vertrag oder in sonstiger Weise) formal hierzu bestimmt worden ist“ (EuGH, Rz. 28)

Dieser Linie folgt auch das BVwG in seiner Entscheidung und beurteilt sehr klar die Situation, dass eine Stelle schlicht in einer Datenschutzerklärung als „Verantwortlicher“ angegeben ist.

„Dabei kann nicht maßgeblich sein, wer allenfalls in einer dem Betroffenen übermittelten oder zugänglichen „Datenschutzerklärung“ als Verantwortlicher bezeichnet wurde“.

Es ist also für die Rolle als „Verantwortlicher“ nach der DSGVO nicht relevant, ob diese Stelle in den Informationen genannt ist. Oder anders: nur weil ein Unternehmen oder eine öffentliche Stelle in Datenschutzhinweisen als Verantwortlicher angegeben ist, bedeutet dies nicht, dass sie dies auch rechtlich ist.

Hierzu auch sehr klar das BVwG:

„… zumal sich die Kriterien für die Rolle des Verantwortlichen aus der DSGVO ergeben und eine Bezeichnung in einer Datenschutzerklärung insofern nicht konstitutiv ist“.

EuGH bestätigt: für eine Verarbeitung können mehrere Rechtsgrundlagen nebeneinander vorliegen

Posted on by

Ein Thema, welches schon seit Jahren immer mal wieder im Datenschutzrecht diskutiert wird, ist die Frage, ob sich Verantwortliche für ein und dieselbe Verarbeitung gleichzeitig auf mehrere Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO stützen können.

Ist es also etwa möglich, die Verarbeitung von Beschäftigtendaten sowohl auf Art. 6 Abs. 1 b) (zur Durchführung des Arbeitsvertrages) als auch auf Art. 6 Abs. 1 f) DSGVO (auf Grundlage einer Interessenabwägung) zu verarbeiten?

Der EuGH hat diese Frage nun sehr kurz und pragmatisch in seinem Urteil vom 18.6.2026 (Rs C‑484/24) entschieden.

Vorgaben des Art. 6 Abs. 1 DSGVO
Bereits in der Vergangenheit durch den EuGH entschieden wurde die Frage, in welchem Verhältnis die Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO zueinanderstehen.

„Art. 7 der Richtlinie 95/46 und Art. 6 Abs. 1 Unterabs. 1 der DSGVO enthalten eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in diesen Bestimmungen vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können“ (C-184/20, Rn. 67)

Die Rechtsgrundlagen stehen also im Grundsatz nebeneinander und es gibt keine „erste“ oder „beste“ Rechtsgrundlage. Die Verarbeitung personenbezogener Daten muss auf Grundlage einer der in Art. 6 Abs. 1 DSGVO genannten Rechtsgrundlagen erfolgen.

Die offene Frage war noch, ob man nicht nur eine, sondern auch zwei oder mehr Rechtsgrundlagen nebeneinander zur Rechtfertigung einer Verarbeitung nutzen darf.

Hintergrund des Urteils
In seinem nun veröffentlichten Urteil bewertet der EuGH Fragen, die von einem Landesarbeitsgericht vorgelegt wurden. Hintergrund ist der Rechtsstreit zwischen der NTH Haustechnik GmbH und ihrer ehemaligen Angestellten über den Ersatz des Schadens, der dieser Gesellschaft wegen unerlaubten Online-Verkaufs ihr gehörender Waren entstanden sein soll. Das Landesarbeitsgericht geht davon aus, dass personenbezogene Daten der Angestellten durch die ehemalige Arbeitgeberin im Rahmen der Aufklärung des Falles eventuell rechtswidrig verarbeitet wurden. Also gegen die DSGVO verstoßen wurde.

Darf das Landesarbeitsgericht solche rechtswidrig erlangten Informationen selbst verarbeiten und im Rahmen des Gerichtsprozesses verwerten? Und was ist dann die Rechtsgrundlage des Gerichts nach Art. 6 Abs. 1 DSGVO?

Entscheidung des EuGH
Und nun folgt ein wichtiger Aspekt: das vorlegende Gericht scheint nach Auffassung und Darstellung des EuGH davon auszugehen, dass die Verarbeitung personenbezogener Daten durch ein Gericht im Rahmen seiner justiziellen Tätigkeit nur auf Art. 6 Abs. 1 e) DSGVO gestützt werden kann (also zur Wahrnehmung einer Aufgabe im öffentlichen Interesse).

Das Gericht geht also davon aus, dass nur diese Rechtsgrundlage einschlägig sein kann. Hierzu stellt dann der EuGH fest:

„Zum einen ist darauf hinzuweisen, dass unter bestimmten Umständen für dieselbe Verarbeitung mehrere alternative Zulässigkeitsvoraussetzungen gelten können.“ (Rn. 48)

Wichtig: der EuGH sagt sehr klar, dass ein und dieselbe Verarbeitung alternativ auf mehrere Rechtsgrundlagen gestützt werden kann – natürlich nur, wenn die jeweiligen Voraussetzungen erfüllt sind.

In der englischen Sprachfassung wird die Aussage des EuGH auch sehr deutlich, dass mehrere Rechtsgrundlagen nebeneinander greifen könen.

„First, it must be stated that, in certain situations, a number of alternative lawfulness conditions may apply to the same processing.“

Fazit
Die Ansicht des EuGH ist eine wichtige und gute Klarstellung für die Praxis. Natürlich muss man immer die jeweiligen Voraussetzungen der Rechtsgrundlage auch einhalten.

Geänderte Rechtsprechung des EuGH zum Missbrauch des Auskunftsrechts?

Posted on by

In der Rechtssache C‑526/24 (Brillen Rottler) hat sich der EuGH u.a. mit der Frage befasst, unter welchen Umständen ein Antrag nach Art. 15 DSGVO auf Auskunft über personenbezogene Daten als „exzessiv“ im Sinne dieses Art. 12 Abs. 5 DSGVO angesehen werden kann.

Wann liegen also die Voraussetzungen eines Missbrauchs des Betroffenenrechts vor?

Vorab

Um es vorweg zu nehmen: in den letzten Wochen wurde bereits viel zu dem Urteil diskutiert und geschrieben. So gerne ich zu der Fraktion „Jetzt können wir Auskunftsanträge ganz einfach wegen Missbrauch ablehnen.“ gehören würde, denke ich schon, dass Verantwortliche in der Praxis immer noch recht hohe Anforderungen erfüllen müssen, um sich auf den Missbrauchsweinwand berufen zu können. Der EuGH hat uns aber mit seinem Urteil einige gute Leitlinien bzw. Prüfpunkte geliefert, die man nun anwenden kann bzw. muss.

Anforderungen des EuGH an den Einwand des Missbrauchs

Möchte ein Verantwortlicher einen Auskunftsantrag als „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO ablehnen, begründet er seine Ablehnung damit nach Ansicht des EuGH im Grunde mit dem Einwand des Rechtsmissbrauchs auf der Grundlage des Europäischen Rechts. In Art. 12 Abs. 5 DSGVO kommt der allgemeine Grundsatz des Unionsrechts zum Ausdruck,

„wonach sich Einzelne nicht in betrügerischer oder missbräuchlicher Weise auf unionsrechtliche Normen berufen dürfen“ (Rn. 30).

Für diesen Nachweis (!) einer missbräuchlichen Verhaltensweise ist zweierlei erforderlich:

  • zum einen eine Gesamtheit objektiver Umstände, aus denen sich ergibt, dass trotz formaler Einhaltung des Art. 15 DSGVO das Ziel dieser Regelung nicht erreicht wurde
  • zum anderen ein subjektives Element, das in der Absicht der betroffenen Person besteht, sich einen aus der Unionsregelung resultierenden Vorteil zu verschaffen, indem die Voraussetzungen für seine Erlangung künstlich geschaffen werden.

Ich möchte mich nachfolgend auf den zweiten Aspekt fokussieren und hervorheben, dass der EuGH hier meines Erachtens eine Änderung in seiner Rechtsprechung zu den Voraussetzungen des Missbrauchseinwands vorgenommen hat.

Subjektives Element des Missbrauchs

Hinsichtlich des subjektiven Elements stellt der EuGH fest, dass der Verantwortliche anhand aller relevanten Umstände des Einzelfalls nachweisen muss, dass eine Missbrauchsabsicht seitens der betroffenen Person vorliegt.

Und nun kommt der entscheidende Passus der Begründung.

Eine solche Absicht kann festgestellt werden,

„wenn diese Person den Antrag zu einem anderen Zweck stellt als dem, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte aus der DSGVO schützen zu können“ (Rn. 40).

Wichtig: der EuGH geht ausdrücklich davon aus, dass diese Absicht nicht per se vorliegt und festzustellen ist, wenn die nachfolgende Anforderung erfüllt ist. Die Absicht „kann“ in diesem Fall vorliegen. Den Nachweis muss am Ende der Verantwortliche erbringen.

Und welche Voraussetzung ist nun entscheidend, um diese Missbrauchsabsicht nachweisen zu können? Der EuGH stellt auf den Zweck der Ausübung des Betroffenenrechts ab. Also, warum bzw. wofür wird Auskunft beantragt?

Alte (?) Ansicht

In der Vergangenheit hat der EuGH schon einmal zum Zweck des Auskunftsrechts Position bezogen. In der Rechtssache C-307/22. Dort wurde die Kopie einer Patientenakte verlangt, um zivilrechtliche Haftungsansprüche geltend zu machen. Der EuGH lehnte die Verfolgung dieses Zwecks als Grund für den Einwand des Missbrauchs ab.

„kann der erste Satz des 63. Erwägungsgrundes nicht dahin ausgelegt werden, dass dieser Antrag zurückzuweisen ist, wenn mit ihm ein anderer Zweck verfolgt wird als der, von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen“ (Rn. 43).

Damals sah es der EuGH also nicht als einen Faktor für einen Missbrauch an, wenn Art. 15 DSGVO geltend gemacht wird, um gerade nicht die Rechtmäßigkeit der Verarbeitung zu prüfen.

Dieses Urteil wurde von der Ersten Kammer des EuGH gefällt.

Neue (?) Ansicht

In dem neuen Urteil geht der EuGH jedoch davon aus, dass eine Missbrauchsabsicht seitens der betroffenen Person festgestellt werden kann,

„wenn diese Person den Antrag zu einem anderen Zweck stellt als dem, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte aus der DSGVO schützen zu können“ (Rn. 40).

In der Rechtssache C‑526/24 geht der EuGH also genau konträr zur damaligen Begründung davon aus, dass gerade ein anderer Zweck, als die Rechtmäßigkeit der Verarbeitung zu prüfen und DSGVO-Rechte geltend zu machen, die Missbrauchsabsicht begründen kann.

Dieses Urteil wurde von der Vierten Kammer des EuGH gefällt.

Fazit

Wir sehen derzeit also eine durchaus klassische Situation: verschiedene Gerichte bzw. verschiedene Kammern innerhalb eines Gerichts legen die gleichen Vorschriften anders aus. Aus meiner Sicht ist die divergierende Auslegung der Kammern tatsächlich sehr klar, da die Begründungen als Startpunkt jeweils sehr klar den „anderen Zweck“ haben, dann aber zu unterschiedlichen Ansichten gelangen.

Für die Praxis können Verantwortliche natürliche die neuere Ansicht der 4. Kammer nutzen. Jedoch sollte, wie bereits erwähnt, stets beachtet werden, dass erstens auch die 4. Kammer nicht per se die Missbrauchsabsicht bei einem anderen Zweck als gegeben unterstellt. Und zweitens der Nachweis des Vorliegens sowohl der objektiven als auch subjektiven Elemente dem Verantwortlichen obliegt. Ablehnung wegen Missbrauchs sind also auch nach diesem Urteil kein Selbstläufer, jedoch bieten sich für Verantwortliche bessere Möglichketen.

LG Köln: DSGVO hindert Gehaltsauskunft an Personalvermittler zur Berechnung des Honorars nicht – selbst bei Widerspruch des Arbeitnehmers

Posted on by

In der Praxis der Vermittlung von Mitarbeitern an Unternehmen sind Honorarabreden etabliert, die sich am Bruttojahresgehalt des vermittelten Arbeitnehmers orientieren. Zumeist wird ein gewisser Prozentanteil am zukünftigen Jahresbruttoeinkommen als Provision für die Personalvermittlung vereinbart.

Erforderlich für die Berechnung der Provision ist hierbei, dass der Kunde des Personalvermittlers (also das Unternehmen, welches den Arbeitnehmer anstellt) Inhalt aus dem Arbeitsvertrag an den Personalvermittler übersendet. Konkret geht es also um die Übermittlung personenbezogener Daten des neuen Mitarbeiters.  

Ende 2025 hat das Landgericht Köln (Urt. v. 13.11.2025 – 30 O 146/25) in einem solchen Fall die datenschutzrechtliche Frage beantwortet, ob der neue Arbeitgeber (und Kunde des Personalvermittlers) diese Daten aus dem Arbeitsvertrag zur Berechnung der Provision übermitteln darf. Selbst wenn der neue Mitarbeiter dies nicht wünscht. Das Urteil betrifft folglich einen Kernbereich der Tätigkeit von Personalvermittlern.

Sachverhalt

Die Klägerin (Personalvermittler) schloss mit der Beklagten (Unternehmen und Kundin des Personalvermittlers) einen Personalvermittlungsvertrag, mit dem die Beklagte die Klägerin mit der Suche nach einem geeigneten Kandidaten für eine Stelle beauftragte. Gemäß des Vertrages verpflichtete sich die Klägerin, sämtliches ihr überlassenes Daten- und Informationsmaterial vom Auftraggeber absolut vertraulich zu behandeln, nur zu Zwecken der Vermittlungstätigkeit zu nutzen. Zudem verpflichtete sich die Beklagte den Abschluss des Anstellungsvertrages, aus dem sich alle Gehaltsbestandteile ergeben, innerhalb einer Woche nach Vertragsabschluss mitzuteilen. Es wurde ein Kandidat vorgeschlagen, jedoch erfolgte eine Einstellung erst ein Jahr später, nachdem erste Gespräche zwischen dem Personalvermittler, dem Unternehmen und dem Kandidaten nicht erfolgreich waren.

Zwar zahlte die Beklagte in der Folge auch einen gewissen Betrag als Honorar. Jedoch lehnte sie die Erteilung einer Auskunft über das Gehalt des Mitarbeiters unter Verweis auf dessen Widerspruch und dessen Recht auf informationelle Selbstbestimmung ab.

Entscheidung

Nach Ansicht des Gerichts hat die Klägerin gegen die Beklagte einen Anspruch auf Erteilung der beantragten Auskunft über das Bruttojahreseinkommen einschließlich aller Gehaltsbestandteile aus dem abgeschlossenen Personalvermittlungsvertrag.

Die Beklagte brachte vor, dass die DSGVO einem solchen Anspruch entgegenstehen würde. Zudem wünsche der Mitarbeiter nicht, dass Informationen zu seinem Gehalt weitergegeben werden.

Nach Ansicht des Landgerichts ist die Erteilung der Auskunft der Beklagten jedoch nicht gem. § 275 Abs. 1 BGB rechtlich unmöglich. Rechtliche Unmöglichkeit läge vor, wenn der geschuldete Erfolg aus Rechtsgründen nicht herbeigeführt werden kann oder nicht herbeigeführt werden darf. Dies sei hier jedoch nicht der Fall.

„Die Erlaubnis der Beklagten zur Erteilung der Auskunft trotz der Untersagung durch den Zeugen H. ergibt sich aus Art. 6 Abs. 1 S. 1 lit f DSGVO.“

Das Gericht geht also vom Erlaubnistatbestand der Interessenabwägung aus und nimmt auch eine solche Interessenabwägung vor.

  • Die Datenverarbeitung in Form der Weitergabe der Daten diene hier der Klägerin als Drittem zur Wahrung ihrer berechtigten Interessen und zur Geltendmachung von Ansprüchen. Denn die Klägerin hat gegen die Beklagte grundsätzlich einen Anspruch auf Honorar und kann dessen Höhe nur anhand der Gehaltsdaten des Zeugen berechnen.
  • Da der Klägerin die Gehaltsdaten zur Berechnung ihres Honorars nicht vorliegen, ist die Weitergabe der Daten an sie auch erforderlich.
  • Zu berücksichtigen sind desweiteren die vernünftige Erwartungshaltung der betroffenen Person bzw. die Absehbarkeit (Branchenüblichkeit) der Verarbeitung.
  • Zwar habe der Mitarbeiter angegeben, dass er die Weitergabe seiner Gehaltsdaten aus grundsätzlichen Erwägungen nicht wünsche.
  • Ein daneben bestehendes spezielles Geheimhaltungsinteresse wie beispielsweise die Sorge vor behördlichen Maßnahmen oder vor Streitigkeiten mit Arbeitskollegen hatte er aber verneint. Konkrete Befürchtungen, dass sein Gehalt veröffentlicht werden könnte, hatte er ebenfalls verneint.

„Dieses allgemeine Geheimhaltungsinteresse des Zeugen H. muss im Rahmen der Abwägung nach Ansicht der Kammer vorliegend gegenüber dem Interesse der Klägerin am Erhalt der Gehaltsdaten zurückstehen.“

Ein sicherlich wichtiger Faktor bei der Abwägung war auch, dass der Mitarbeiter der Klägerin seine konkreten Gehaltsvorstellungen bereits von sich aus mitgeteilt hatte. So hatte er angegeben, dass er ein Gehalt von 110.000 EUR anstrebte, ebenso wie seinen Wunsch nach einem Dienstwagen.

Hinzu komme, dass ihm aufgrund der Branchenüblichkeit der Bemessung eines Vermittlerhonorars nach dem Gehalt des vermittelten Arbeitnehmers bewusst sein musste, dass die Klägerin die konkreten Gehaltsdaten erfragen und benötigen würde.

Den Interessen des Betroffenen können im Übrigen auch dadurch Rechnung getragen werden, dass die Klägerin dessen Gehaltsdaten unmittelbar nach Berechnung und gerichtlicher Geltendmachung ihres Honoraranspruchs löscht.

Hessische Datenschutzbehörde: Anforderungen an die Vollmacht zur Ausübung von Betroffenenrechten

Posted on by

Im neuen Tätigkeitsbericht 2025 befasst sich die hessische Datenschutzbehörde u.a. auch mit der Frage, ob Betroffenenrechte (im konkreten Fall, das Auskunftsrecht nach Art. 15 DSGVO), durch Stellvertreter bzw. bevollmächtigte Personen geltend gemacht werden können.

Die kurze Antwort: ja, dies ist möglich. Diese Ansicht ist meines Erachtens auch nicht neu und bereits in der Rechtsprechung (sowohl in Deutschland als auch Österreich) und auch durch Datenschutzbehörden und den EDSA (Leitlinien 01/2022, Version 2.0, Rn. 80) bestätigt worden.

Für die Praxis von besonderer Relevanz ist aber die Frage, welche Anforderungen erfüllt sein und damit vom Verantwortlichen verlangt werden dürfen, damit von einer wirksamen Bevollmächtigung ausgegangen werden kann. Dieses Thema ist öfter Diskussionsgegenstand, wenn Unternehmen etwa solche Auskunftsanträge im Namen der betroffenen Person von Dritten erhalten.

Für diese Frage verweist die hessische Behörde auf die zivilrechtlichen Regelungen über die Stellvertretung nach §§ 164 ff. BGB. Auf die jeweils anwendbaren nationalen Vorgaben verweist auch der EDSA.

Nachweis

Die erteilte Vollmacht ist gegenüber dem Verantwortlichen nachzuweisen. Die Aufsichtsbehörde verweist hierbei auf eine Entscheidung des OLG Stuttgart (Urt. v. 31. März 2021 – 9 U 34/21).

Inhalt

Bezüglich des erforderlichen Inhalts verweist die Aufsichtsbehörde auf einen aus meiner Sicht extrem praxisrelevanten Aspekt:

Grundsätzlich kann die bevollmächtigte Person 1) sowohl den Antrag auf Erteilung einer Auskunft gemäß Art. 15 DSGVO stellen als auch 2) die Datenauskunft entgegennehmen. Also die Daten und Informationen empfangen.

Aber: die Vollmacht

„muss sich ausdrücklich sowohl auf die Geltendmachung des Anspruchs gemäß Art. 15 DS-GVO als auch auf den Empfang der zu beauskunftenden personenbezogenen Daten beziehen und somit inhaltlich klar und bestimmt sein.“

Das bedeutet, dass nach Ansicht der Behörde eine Vollmacht mit dem Inhalt „Person X darf für mich mein Auskunftsrecht nach Art. 15 DSGVO ausüben“ gerade nicht ausreichen würde, um dem Stellvertreter auch die Daten zu übersenden. Denn in diesem Fall würde die Vollmacht nicht den Empfang der personenbezogenen Daten erfassen.

Fristbeginn

Und zuletzt zur Frist: die hessische Aufsichtsbehörde geht zurecht davon aus, dass bei der Bevollmächtigung die Frist nach Art. 12 Abs. 3 DSGVO erst dann beginnt (nicht etwa bereits startet und dann pausiert), wenn eine hinreichende Legitimation des Vertreters gegenüber der verantwortlichen Stelle vorliegt.

Negativauskunft nach Art. 15 DSGVO – Muss über personenbezogene Daten aus dem Auskunftsantrag informiert werden? Österreichische Datenschutzbehörde sagt „nein“

Posted on by

Betroffene Personen haben nach Art. 15 Abs. 1 DSGVO das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Sowohl von Aufsichtsbehörden als auch der Rechtsprechung ist mittlerweile anerkannt, dass damit ein Anspruch auf Negativauskunft besteht. 

Verantwortliche müssen also, wenn keine Daten zu der Person vorhanden sind, auf den Antrag antworten, dass keine Daten vorhanden sind. 

In der Praxis stellt sich jedoch die Frage (bzw. legen es manche Betroffene darauf an), ob es denn eine solche Negativauskunft überhaupt geben kann? Wenn doch im Rahmen des Antrags auf Auskunft, also etwa per E-Mail, personenbezogene Daten an den Verantwortlichen gesendet wurden.

Einen solchen Fall hatte die Datenschutzbehörde aus Österreich zu entscheiden (Entscheidung vom 17. September 2025, GZ 2025-0.502.649). 

Sachverhalt

In dem Beschwerdeverfahren rügte die Betroffene u.a., dass die Beschwerdegegnerin auf ihren Antrag auf Auskunft nicht (fristgerecht) reagiert habe. Im Beschwerdeverfahren erteilte die Verantwortliche eine Negativauskunft, dass keine Daten vorliegen würden. 

Nach Ansicht der Betroffenen sei aber einerseits ihr Antrag auf Auskunft bearbeitet worden und schon deshalb müsse eine Datenverarbeitung vorliegen.

Entscheidung

Nach Ansicht der Datenschutzbehörde (DSB) ist für eine Negativauskunft ausreichend, dass, „sofern zu einer antragsstellenden Person (aktuell) keine personenbezogenen Daten verarbeitet werden“, die Information erteilt wird, dass keine personenbezogenen Daten verarbeitet werden. 

Nun mag man sich fragen: aber die Verantwortliche verarbeitet doch personenbezogene Daten? Und zwar jene, die mit dem Auskunftsantrag übersendet wurden. 

Hierzu führt die Aufsichtsbehörde aus: 

„… dass Gegenstand einer zu erteilenden datenschutzrechtlichen Auskunft die im 

Zeitpunkt des Einlangens des Auskunftsverlangens tatsächlich verarbeiteten Daten sind“.

Die DSB sieht also von der Auskunft gerade nur solche Daten erfasst, die vor dem Zeitpunkt des Eingangs des Antrags verarbeitet werden. Daher folgert die DSB, dass die Negativauskunft hier korrekt erteilt wurde.

„Somit waren die personenbezogenen Daten der Beschwerdeführerin, die in ihrem Antrag auf Auskunft bzw. im Identitätsnachweis enthalten gewesen sind, in zeitlicher Hinsicht nicht vom Auskunftsrecht umfasst.“

Zudem verdeutlicht die DSB auch, dass das Auskunftsrecht sich nicht auf ehemals vorhandene Daten bezieht, die aber mittlerweile gelöscht wurden. 

„…, dass aufgrund des klaren Wortlauts von Art. 15 Abs. 1 DSGVO keine inhaltliche Auskunftspflicht hinsichtlich der in der Vergangenheit verarbeiteten (bereits gelöschten) Daten besteht“.

Fazit

Die Ansicht der DSB kann in der Praxis eine wertvolle Hilfe für Verantwortliche bei der Bearbeitung von Auskunftsansprüchen darstellen. Insbesondere für Fälle, in denen Betroffene einen Verstoß gegen die DSGVO dadurch sehen, dass in einer Negativauskunft nicht über jene Daten informiert wird, die durch die Auskunftsanfrage an den Verantwortlichen übermittelt wurden.

Was ist eine „Verarbeitungstätigkeit“ und wann muss diese im Verzeichnis nach Art. 30 DSGVO dokumentiert werden?

Posted on by

Nach Art. 30 Abs. 1 DSGVO muss jeder Verantwortliche ein Verzeichnis „aller Verarbeitungstätigkeiten“, die seiner Zuständigkeit unterliegen, führen. In der Praxis stellt sich oft die Frage, welche Arten von Verarbeitungen personenbezogener Daten als „Verarbeitungstätigkeit“ zu qualifizieren sind und daher ins Verzeichnis aufgenommen werden müssen. Ebenso ist von Bedeutung, wie man eine solche „Verarbeitungstätigkeit“ beschreibt und auch, ob etwa ein einmaliger Verarbeitungsprozess ebenfalls im Verzeichnis dokumentiert sein muss?

Hinweise der DSK

In der Vergangenheit hat sich zu diesen Fragen u.a. die deutsche Datenschutzkonferenz (DSK) in ihrem Anwendungshinweis zum Verzeichnis nach Art. 30 DSGVO geäußert. 

Dort wird empfohlen, für „jede einzelne Verarbeitungstätigkeit“ eine Beschreibung nach Maßgabe des Art. 30 DSGVO anzufertigen. Unter dem Begriff „Verarbeitungstätigkeit“ versteht die DSK im Allgemeinen einen Geschäftsprozess, der auf „geeignetem Abstraktionsniveau“ beschrieben wird. Diese Ansicht klingt zunächst danach, dass als „Verarbeitungstätigkeit“ gerade nicht etwa eine einzelne Datenverarbeitung an sich zu verstehen ist, sondern ein Prozess, der viele solche Verarbeitungen unter einem gemeinsamen Zweck bündelt.

Jedoch vertritt die DSK direkt nachfolgend in den Hinweisen die Ansicht, dass ein „strenger Maßstab anzulegen“ sei und: 

„… so dass jeder neue Zweck der Verarbeitung eine eigene Verarbeitungstätigkeit darstellt“. 

Bei einer nur geringen Zweckänderung müsse geprüft werden, ob eine bereits bestehende Beschreibung einer Verarbeitungstätigkeit angepasst werden muss oder ob eine vollständig neue Beschreibung anzufertigen sei. 

Diese Auffassung scheint wiederum eine „Verarbeitung“ mit der „Verarbeitungstätigkeit“ gleich zu setzen – was in der Praxis aber wohl dazu führen dürfte, dass das Verzeichnis riesig und kaum kontrollierbar wäre, wenn man eine „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO (also etwa den Vorgang der Übermittlung oder Löschung an sich) bereits als „Verarbeitungstätigkeit“ ansehen würde. 

Eventuell kann man die Ansicht der DSK aber auch so verstehen, dass auch viele Verarbeitungen (z.B. Speicherung, Übermittlung, Löschung) unter einer „Verarbeitungstätigkeit“ zusammengefasst werden können, wenn diese Verarbeitungen denselben Zwecken dienen. Denn die Ansicht der DSK verweist auf den Fall der Zweckänderung („neuer Zweck“). Völlig eindeutig sind die Hinwiese jedoch nicht. 

Ansicht der Verwaltungsgerichts Hannover zur „Verarbeitungstätigkeit“ und Aktualität des Verzeichnisses

Das VG Hannover (Urteil vom 5.Juni 2025 , Az: 10 A 4017/23) hat sich in einer Entscheidung ebenfalls mit dem Begriff der „Verarbeitungstätigkeit“ nach Art. 30 Abs. 1 DSGVO befasst. Die Entscheidung hat in jedem Fall Praxisrelevanz, da es eher selten gerichtliche Entscheidungen zu Art. 30 Abs. 1 DSGVO und zum Verzeichnis gibt. 

Nach Ansicht des Gerichts hatte im vorliegenden Fall die Klägerin (ein Unternehmen, welches gegen eine Verwarnung der Datenschutzbehörde klagte) gegen Art. 30 Abs. 1 DSGVO verstoßen, da sie nicht schon zu Beginn eines Prozesses, der auch die Verarbeitung von Daten beinhaltete, ein Verarbeitungsverzeichnis geführt hat. Konkret ging es um eine sog. EPA-Auditierung. Diese wurde im Rahmen einer Verwaltungsvereinbarung mit der US-Umweltbehörde „Environmental Protection Agency“ (EPA) vereinbart. 

Die EPA-Auditierung war darauf ausgerichtet, das interne Compliance-Management-System der Klägerin fortzuentwickeln und die bestehenden Compliance-Strukturen auf ihre Effektivität zu überprüfen.

Nach Ansicht des Gerichts 

„stellen die Datenverarbeitungen, die im Rahmen der EPA-Auditierung erfolgt sind, eine Verarbeitungstätigkeit dar“.

Das VG sieht also (meines Erachtens zurecht) nicht einzelne Verarbeitungen für sich jeweils als „Verarbeitungstätigkeit“ an, sondern fasst viele Verarbeitungen unter der Tätigkeit oder dem Prozess „EPA-Auditierung“ als eine Verarbeitungstätigkeit zusammen. Der verklammernde Faktor, wenn man so will, ist der übergeordnete Zweck der Durchführung der Auditierung. 

Das Gericht verweist darauf, dass der Begriff der Verarbeitungstätigkeit von der DSGVO selbst nicht legal definiert wird. Er werde jedoch an mehreren Stellen in der Verordnung genannt. Dabei werde er häufig in Kontexten verwendet, wenn es um mehrere gleichartige Verarbeitungen oder um eine Kategorie der Verarbeitung gehe. 

Zudem sei der Begriff durch eine „gewisse zeitliche Kontinuität gekennzeichnet“, da eine punktuelle Verarbeitung personenbezogener Daten nicht als „Tätigkeit“ bezeichnet werden würde. 

Diese Ansicht des VG ist aus meiner Sicht für die Praxis wichtig, wenn man sich die Frage stellt, ob eine Verarbeitungstätigkeit aufgenommen werden muss, wenn diese Tätigkeit bereits absehbar nur einmal durchgeführt wird. Dann wäre eine Dokumentation nach Art. 30 Abs. 1 DSGVO nicht erforderlich. 

Im konkreten Fall ging das VG davon aus, dass eine Verarbeitungstätigkeit vorlag, da es während der Dauer der EPA-Auditierung zu einer Vielzahl von gleichartigen Datenverarbeitungen gekommen ist, weil die Klägerin in diesem Zeitraum personenbezogene Daten von mindestens 234 Beschäftigten an den EPA-Auditor übersandt hatet.

Des Weiteren urteilt das VG, dass die Pflicht nach Art. 30 Abs. 1 S. 1 DSGVO, ein Verarbeitungsverzeichnis zu führen, nicht auf einen bestimmten Zeitpunkt beschränkt sei. Vielmehr sei der Verantwortliche verpflichtet, die Grundsätze aus Art. 5 Abs. 1 DSGVO – zu denen auch die Transparenz gehöre – (jederzeit) nachweisen zu können. 

Aus dem Sinn und Zweck der Norm gehe hervor, dass der Verantwortliche der Aufsichtsbehörde jederzeit auf Verlangen ein Verzeichnis vorlegen können muss. Zwar sei eine explizite Aktualisierungspflicht gesetzlich nicht vorgesehen. 

„… jedoch ist angesichts des Sinnes und Zweckes des Verarbeitungsverzeichnisses davon auszugehen, dass nur ein solches, welches die tatsächliche, nicht überholte Sachlage widerspiegelt, den Anforderungen des Art. 30 Abs. 1 S. 1 DSGVO gerecht werden kann“.

Im Grunde ist die Aussage des VG aus meiner Sicht nachvollziehbar, aber praktisch in größeren Einheiten wohl kaum umsetzbar. Da das Gericht verlangt, dass stets ein aktuelles Verzeichnis vorliegt. Beispiel: würde man eine Verarbeitungstätigkeit prüfen und intern freigeben, diese jedoch erst 2-3 Tage später im Verzeichnis dokumentiert, befände man sich in diesem Zeitraum in einem Verstoß gegen Art. 30. Abs. 1 DSGVO. Da das Verzeichnis in dieser Zeit eben nicht 100% aktuell ist. 

Das VG folgert, dass bereits bei Aufnahme der konkreten Verarbeitungstätigkeiten ein neues Verarbeitungsverzeichnis zu erstellen oder ein bestehendes Verarbeitungsverzeichnis zu ergänzen sei, sodass es die aktuelle Sachlage bei Beginn der Verarbeitungstätigkeiten wiedergibt. 

„Es ist sodann fortlaufend zu pflegen und nach Bedarf zu aktualisieren“.

Fazit

Die Entscheidung des Gerichts gibt einige wichtige Anhaltspunkte für die Erfüllung der Pflicht zur Führung des Verzeichnisses nach Art. 30 Abs. 1 DSGVO. Insbesondere die Auslegung des Begriffs der „Verarbeitungstätigkeit“ kann in der Praxis hilfreich sein. 

EDSA: Keine (zwingende) Pflicht zur Löschung in Backups – aber nach Restore zwingend umzusetzen

Posted on by

Löschung von personenbezogenen Daten aus Backups – ein in der Praxis oft diskutiertes Thema. Die Ausgangslage ist recht klar: befinden sich in Backups personenbezogene Daten, so gilt auch für diese die Löschpflicht, etwa nach der Vorgabe des Art. 17 Abs. 1 lit. a) DSGVO. Die Daten sind zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.

Zumeist stellt sich dann jedoch in der Praxis das Problem, wie diese Löschung umgesetzt werden kann. Entweder rein technisch. Oder auch für dem (validen) Hintergrund, dass Backups nicht einfach inhaltlich verändert werden können.

Andeutung des EDSA – Löschung ist nicht immer zwingend

Jüngst hat der EDSA seinen Abschlussbericht zur koordinierte Durchsetzungsmaßnahme „Umsetzung des Rechts auf Löschung durch die für die Verarbeitung Verantwortlichen“ veröffentlicht (PDF). Im Abschnitt 4.2.6 werden die Ergebnisse der Antworten der nationalen Aufsichtsbehörden zu genau dem oben angesprochenen Thema zusammengefasst. Zudem enthält der Bericht auch einige Empfehlungen für Verantwortliche.

Die aus praktischer Sicht interessante Aussage trifft der EDSA direkt zu beginn des Abschnitts.

„Backups sind ein wichtiges Instrument zum Schutz der Integrität personenbezogener Daten, wenn der Verantwortliche von einem Sicherheitsvorfall (z. B. Ransomware) betroffen ist. Daher ist es wichtig, die Integrität der Backups zu schützen. Je nach den technischen Einstellungen und Risiken ist es möglicherweise nicht immer ratsam, Informationen aus Backups zu ändern oder zu löschen.“

Die europäischen Aufsichtsbehörden empfehlen also, dass personenbezogene Daten aus Backups gerade nicht zu löschen sind, wenn dies die Integrität und damit auch das Ziel der Widerherstellbarkeit beeinträchtigen würde.

Jedoch macht der EDSA dies von zwei Voraussetzungen abhängig: 1) den technischen Möglichketen; 2) dem Risiko (wohl für betroffene Personen).

Erfolgt keine Datenlöschung aus Backups, verlangt der EDSA jedoch, dass

„Organisationen … über geeignete Verfahren verfügen [sollten], um Löschungsanträge zu verfolgen und diese auf wiederhergestellten Systemen so weit wie möglich zu erfüllen“.

Werden personenbezogene Daten, die eigentlich gelöscht werden müssten, nicht gelöscht und dann aus dem Backup wieder in das Livesystem gespielt, muss der Verantwortliche also Maßnahmen und Prozesse etablieren, dass diese Daten gelöscht werden.

Interessant ist auch die Information in dem Bericht, dass die Hälfte der befragten Aufsichtsbehörden Bedenken hinsichtlich der Löschung personenbezogener Daten aus Backups äußerte. Das Problem für Verantwortliche wird also bei den Aufsichtsbehörden gesehen.

Der Vorschlag des EDSA kann Verantwortlichen in der Praxis als Argumentationsstütze helfen, wenn Daten aus Backups nicht gelöscht werden (können). Wichtig ist jedoch, eine inhaltlich valide Begründung vorzuhalten, warum Daten nicht gelöscht werden (können) und die unterbliebene Löschung keine (hohen) Risiken für Betroffene darstellt.

Umsetzungsvorschlag des BayLfD

Bereits in seinem Tätigkeitsbericht 2020 hat sich der BayLfD mit dem Löschen von Daten aus Backups befasst. Und seine Empfehlungen enthalten genau jene beiden Aspekte, auf die auch nun der EDSA abstellt.

Ziel der Löschung soll eigentlich sein, dass ein Datum nach der Löschung in den Dateisystemen, die dem betroffenen Verantwortlichen zurechenbar sind, weder vorhanden ist noch wiederhergestellt werden kann. Die Löschpflicht erfasse daher eigentlich auch Backups-Systeme.

Zur Lösung des Problems verweist der BayLfD auf ErwG 26 DSGVO. Danach dürfen gelöschte personenbezogene Daten nicht oder nach allgemeinem Ermessen nur mit geringer Wahrscheinlichkeit wiederherstellbar sein.

„Das bedeutet in der betrachteten Konstellation, dass nach der datenschutzrechtlichen Löschung von Daten im Primärsystemen diese nun nicht mehr vorhandenen personenbezogenen Daten nur mit geringer Wahrscheinlichkeit durch eine Kopie aus dem Backup-System (Reliktdaten) im gerade genannten Sinn wiederherstellbar sein dürfen“.

Sollte eine zeitgleiche Löschung (im Primärsystem und im Backup) nicht möglich sein, ist dies entsprechend zu begründen.

„Diese dokumentierte Begründung muss auch die umgesetzten Schutzmaßnahmen enthalten oder auf diese verweisen, die ergriffen wurden, damit eine zeitlich verzögerte Löschung der Reliktdaten nur mit geringer Wahrscheinlichkeit zur Reproduzierbarkeit der aus dem Primärsystem gelöschten Daten führen kann“.

Der BayLfD stellt dann eine Liste an Voraussetzungen auf, die Verantwortliche erfüllen müssen, wenn sie Daten in Backups nicht löschen.

  • Technische Unmöglichkeit oder Unzumutbarkeit: Bei dem betroffenen Backup-System ist aus Sicht eines verständigen Betrachters nachvollziehbar die gleichzeitige Löschung der Datensicherungskopie technisch nicht möglich oder im Hinblick auf den vorliegenden Schutzbedarf der personenbezogenen Daten unverhältnismäßig aufwändig.
  • Löschfrequenz im Backup-System: Die Wiederholungsfrequenz der allgemeinen Löschung sowie gegebenenfalls außerordentliche Löschungen nicht mehr benötigter Datensicherungskopien richtet sich im Backup-System nach dem Schutzbedarf der betroffenen personenbezogenen Daten. Die Löschstrategie im Backupsystem wird in Form eines Datensicherungskonzeptes nachgewiesen.
  • Verfügbarkeit nur mittels Wiederherstellung: Es ist hinreichend sichergestellt, dass die Datensicherungskopien ausschließlich über die vorgesehene Wiederherstellungsfunktionalität aus dem Backup-System ausgelesen werden können.
  • Löschung bei Wiederherstellung: Bei jeder Wiederherstellung von Daten aus dem Backup-System muss gewährleistet sein, dass alle Daten, die im Primärsystem aus Datenschutzgründen bereits gelöscht wurden, nicht wiederhergestellt oder – falls technisch nicht anders möglich – nach der Wiederherstellung wieder gelöscht werden.
  • Dokumentation und Umsetzungsnachweis: Der Verarbeitungsvorgang „Backup-System verwenden“ ist geeignet zu dokumentieren und dessen wirksame Umsetzung nachzuweisen.

Die Ansicht EDSA liegt aus meiner Sicht auf der Linie der bereits vorhandenen Empfehlungen des BayLfD. Beide bieten Verantwortlichen in der Praxis eine gute Richtschnur dafür, wie mit personenbezogenen Daten in Backups umzugehen ist.