Nexvyra

EuGH C-579/21 (Pankki S, VO 2016/679) – Auskunft über Protokolldaten: Wer hat wann und warum auf meine Daten zugegriffen? In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-10-30 · letzte Prüfung: 2026-10-30 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Mit Urteil vom 22. Juni 2023 in der Rechtssache C-579/21 (Pankki S) hat der Gerichtshof der Europäischen Union zum Auskunftsrecht nach Art. 15 DSGVO entschieden: Wer wissen will, wann und zu welchem Zweck Beschäftigte eines Verantwortlichen seine personenbezogenen Daten abgefragt haben, hat darauf einen Auskunftsanspruch (Protokolldaten / Log-Daten). Die Namen der Beschäftigten, die die Abfragen im Auftrag des Verantwortlichen vorgenommen haben, müssen dagegen nicht pauschal mitgeteilt werden. Etwas anderes gilt nur, wenn diese Information unerlässlich ist, damit die betroffene Person ihre DSGVO-Rechte wirksam ausüben kann – und auch dann sind die Rechte und Freiheiten der Beschäftigten zu berücksichtigen. Dass der Verantwortliche eine Bank ist und die betroffene Person zugleich dort Beschäftigter war, ändert den Umfang des Anspruchs grundsätzlich nicht. Als EU-Verordnung gilt die DSGVO unmittelbar in Deutschland; ein Umsetzungsgesetz ist nicht erforderlich. Das Urteil ist für deutsche Gerichte und Aufsichtsbehörden verbindlich.

Kernfakten

PunktWert
AktenzeichenC-579/21
Entscheidungsdatum22.06.2023 [CURIA-Pressemitteilung Nr. 107/23]
VerfahrensartVorabentscheidungsersuchen nach Art. 267 AEUV
Vorlegendes GerichtVerwaltungsgericht Ostfinnlands (Itä-Suomen hallinto-oikeus) [CURIA-Pressemitteilung]
AusgangsfallEin Bankmitarbeiter, zugleich Kunde der Bank, erfuhr 2014, dass Kolleginnen und Kollegen seine Kundendaten zwischen 01.11. und 31.12.2013 mehrfach abgefragt hatten; Auskunftsantrag vom 29.05.2018; Bank lehnte die Nennung der Namen am 30.08.2018 ab [CURIA-Pressemitteilung]
Ausgelegte NormArt. 15 DSGVO (VO (EU) 2016/679)
Zeitlicher AnwendungsbereichDSGVO gilt seit 25.05.2018; sie ist anwendbar auf einen Antrag nach diesem Datum, auch wenn er Verarbeitungen vor diesem Datum betrifft [CURIA-Pressemitteilung]
Auskunft über AbfragenJa – inkl. Datum und Zwecke der Abfragevorgänge
Namen der BeschäftigtenGrundsätzlich nein; Ausnahme, wenn unerlässlich für die wirksame Rechtsausübung, unter Berücksichtigung der Rechte der Beschäftigten
Kollision mit Rechten DritterAbwägung; wo möglich Mitteilungsweg wählen, der Rechte Dritter nicht verletzt
Rolle als Bank / als Beschäftigtergrundsätzlich ohne Einfluss auf den Umfang des Anspruchs
Auskunftsfrist1 Monat, verlängerbar um 2 Monate bei Komplexität [Art. 12 Abs. 3 DSGVO]
Erstauskunftunentgeltlich [Art. 12 Abs. 5 DSGVO]
Bußgeldrahmen bei Verstoß gegen Betroffenenrechtebis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem was höher ist [Art. 83 Abs. 5 lit. b DSGVO]
ZusätzlichImmaterieller Schadensersatz möglich [Art. 82 DSGVO]
Betroffener NutzerkreisKundinnen und Kunden, Patienten, Beschäftigte, Mitglieder – alle, deren Daten in Systemen mit Zugriffsprotokollen liegen; Banken, Versicherer, Kliniken, Behörden, Arbeitgeber

Geltungsbereich

Die Entscheidung betrifft jeden Verantwortlichen im Sinne der DSGVO, dessen Beschäftigte auf personenbezogene Daten zugreifen und der dazu Protokolle führt (wer hat wann welchen Datensatz geöffnet). Anspruchsberechtigt ist jede betroffene Person, deren Daten abgefragt wurden – unabhängig davon, ob sie Kunde, Patient oder (ehemaliger) Beschäftigter des Verantwortlichen ist. Ein Urteil im Vorabentscheidungsverfahren legt das Unionsrecht verbindlich aus; nationale Regelungen wie § 34 BDSG (Einschränkungen des Auskunftsrechts) sind im Lichte dieser Auslegung anzuwenden.

Details

Protokolldaten sind Auskunftsgegenstand

Nach dem Urteil gehören Informationen über Abfragevorgänge an den eigenen Daten – einschließlich ihres Datums und ihrer Zwecke – zu dem, was die betroffene Person nach Art. 15 DSGVO vom Verantwortlichen erhalten kann. Wer Zugriffsprotokolle führt, muss diese Information daher auf Antrag aufbereiten können. Praktisch heißt das: Log-Daten sollten so lange und so strukturiert vorgehalten werden, dass Datum und Zweck jedes Zugriffs nachvollziehbar sind (Speicherbegrenzung und Auskunftsfähigkeit müssen zusammen geplant werden).

Namen der Beschäftigten: Regel und Ausnahme

Beschäftigte, die auf Weisung des Verantwortlichen handeln, sind nach der Entscheidung nicht pauschal namentlich zu benennen. Die Identität ist nur dann mitzuteilen, wenn sie unerlässlich ist, damit die betroffene Person ihre Rechte aus der DSGVO wirksam ausüben kann – und nur unter Berücksichtigung der Rechte und Freiheiten der betroffenen Beschäftigten. Der Verantwortliche muss die Abwägung dokumentieren.

Kollidierende Rechte Dritter

Kollidiert der Auskunftsanspruch mit Rechten oder Freiheiten anderer, ist abzuwägen; wo möglich, ist ein Weg der Mitteilung zu wählen, der diese Rechte nicht verletzt. Eine pauschale Verweigerung der gesamten Auskunft ist damit nicht gedeckt.

Zeitliche Reichweite

Die DSGVO gilt seit dem 25.05.2018. Sie ist auf einen nach diesem Datum gestellten Antrag anwendbar, der Verarbeitungen vor diesem Datum betrifft (im Ausgangsfall: Abfragen im November/Dezember 2013).

Beweislast und Nachweispflichten

Der Verantwortliche trägt nach dem Rechenschaftsgrundsatz (Art. 5 Abs. 2 DSGVO) die Nachweislast, dass er die Auskunft ordnungsgemäß erteilt und eine etwaige Beschränkung (Schutz der Beschäftigten) begründet hat. Betroffene Personen sollten ihren Antrag schriftlich oder in Textform stellen, Datum und Umfang (Zeitraum, betroffene Systeme) konkret bezeichnen und den Zugang des Antrags belegen können.

Häufige Fehler

Beispiel

Frau K. ist Kundin einer Sparkasse und vermutet, dass Beschäftigte ohne dienstlichen Grund in ihrem Konto gestöbert haben. Sie verlangt Auskunft nach Art. 15 DSGVO über alle Zugriffe der letzten zwei Jahre. Die Sparkasse muss mitteilen, an welchen Tagen und zu welchem Zweck abgefragt wurde. Die Namen der Beschäftigten muss sie nicht ohne Weiteres nennen; legt Frau K. aber dar, dass sie die Namen zwingend braucht, um etwa Schadensersatzansprüche durchzusetzen, ist abzuwägen. Bleibt die Auskunft aus, kann sie sich nach Art. 77 DSGVO bei der Landesdatenschutzbehörde beschweren.

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-10-30
Letzte Prüfung:
2026-10-30
In Kraft seit:
2023-06-22
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.