{
    "slug": "eugh-c-579-21-pankki-s-protokolldaten-auskunft-mitarbeiter",
    "titre": "EuGH C-579/21 (Pankki S, VO 2016/679) – Auskunft über Protokolldaten: Wer hat wann und warum auf meine Daten zugegriffen?",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Mit Urteil vom 22. Juni 2023 in der Rechtssache C-579/21 (Pankki S) hat der Gerichtshof der Europäischen Union zum Auskunftsrecht nach Art. 15 DSGVO…",
    "resume_court": "Mit Urteil vom **22. Juni 2023** in der Rechtssache **C-579/21 (Pankki S)** hat der **Gerichtshof der Europäischen Union** zum Auskunftsrecht nach **Art. 15 DSGVO** entschieden: Wer wissen will, **wann und zu welchem Zweck** Beschäftigte eines Verantwortlichen seine personenbezogenen Daten **abgefragt** haben, hat darauf einen **Auskunftsanspruch** (Protokolldaten / Log-Daten). Die **Namen der Beschäftigten**, die die Abfragen im Auftrag des Verantwortlichen vorgenommen haben, müssen dagegen **nicht pauschal** mitgeteilt werden. Etwas anderes gilt nur, wenn diese Information **unerlässlich** ist, damit die betroffene Person ihre DSGVO-Rechte **wirksam ausüben** kann – und auch dann sind die **Rechte und Freiheiten der Beschäftigten** zu berücksichtigen. Dass der Verantwortliche eine **Bank** ist und die betroffene Person zugleich dort **Beschäftigter** war, ändert den Umfang des Anspruchs grundsätzlich nicht.\n\nAls **EU-Verordnung** gilt die DSGVO unmittelbar in Deutschland; ein Umsetzungsgesetz ist nicht erforderlich. Das Urteil ist für deutsche Gerichte und Aufsichtsbehörden verbindlich.",
    "faits": [
        {
            "point": "Aktenzeichen",
            "valeur": "C-579/21",
            "autorite": "A"
        },
        {
            "point": "Entscheidungsdatum",
            "valeur": "22.06.2023 [CURIA-Pressemitteilung Nr. 107/23]",
            "autorite": "A"
        },
        {
            "point": "Verfahrensart",
            "valeur": "Vorabentscheidungsersuchen nach Art. 267 AEUV",
            "autorite": "A"
        },
        {
            "point": "Vorlegendes Gericht",
            "valeur": "Verwaltungsgericht Ostfinnlands (Itä-Suomen hallinto-oikeus) [CURIA-Pressemitteilung]",
            "autorite": "A"
        },
        {
            "point": "Ausgangsfall",
            "valeur": "Ein Bankmitarbeiter, zugleich Kunde der Bank, erfuhr 2014, dass Kolleginnen und Kollegen seine Kundendaten zwischen 01.11. und 31.12.2013 mehrfach abgefragt hatten; Auskunftsantrag vom 29.05.2018; Bank lehnte die Nennung der Namen am 30.08.2018 ab [CURIA-Pressemitteilung]",
            "autorite": "A"
        },
        {
            "point": "Ausgelegte Norm",
            "valeur": "Art. 15 DSGVO (VO (EU) 2016/679)",
            "autorite": "A"
        },
        {
            "point": "Zeitlicher Anwendungsbereich",
            "valeur": "DSGVO gilt seit 25.05.2018; sie ist anwendbar auf einen Antrag nach diesem Datum, auch wenn er Verarbeitungen vor diesem Datum betrifft [CURIA-Pressemitteilung]",
            "autorite": "A"
        },
        {
            "point": "Auskunft über Abfragen",
            "valeur": "Ja – inkl. Datum und Zwecke der Abfragevorgänge",
            "autorite": "A"
        },
        {
            "point": "Namen der Beschäftigten",
            "valeur": "Grundsätzlich nein; Ausnahme, wenn unerlässlich für die wirksame Rechtsausübung, unter Berücksichtigung der Rechte der Beschäftigten",
            "autorite": "A"
        },
        {
            "point": "Kollision mit Rechten Dritter",
            "valeur": "Abwägung; wo möglich Mitteilungsweg wählen, der Rechte Dritter nicht verletzt",
            "autorite": "A"
        },
        {
            "point": "Rolle als Bank / als Beschäftigter",
            "valeur": "grundsätzlich ohne Einfluss auf den Umfang des Anspruchs",
            "autorite": "A"
        },
        {
            "point": "Auskunftsfrist",
            "valeur": "1 Monat, verlängerbar um 2 Monate bei Komplexität [Art. 12 Abs. 3 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Erstauskunft",
            "valeur": "unentgeltlich [Art. 12 Abs. 5 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß gegen Betroffenenrechte",
            "valeur": "bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem was höher ist [Art. 83 Abs. 5 lit. b DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Zusätzlich",
            "valeur": "Immaterieller Schadensersatz möglich [Art. 82 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Betroffener Nutzerkreis",
            "valeur": "Kundinnen und Kunden, Patienten, Beschäftigte, Mitglieder – alle, deren Daten in Systemen mit Zugriffsprotokollen liegen; Banken, Versicherer, Kliniken, Behörden, Arbeitgeber",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "CURIA – Pressemitteilung Nr. 107/23 vom 22.06.2023 zu C-579/21 (EN)",
            "url": "https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-06/cp230107en.pdf",
            "autorite": "A"
        },
        {
            "titre": "CURIA – Pressemitteilung Nr. 107/23 (DE)",
            "url": "https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-06/cp230107de.pdf",
            "autorite": "A"
        },
        {
            "titre": "CURIA – Rechtssache C-579/21 (Ergebnisliste, Volltext des Urteils)",
            "url": "https://curia.europa.eu/juris/documents.jsf?num=C-579/21",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil C-579/21, CELEX 62021CJ0579",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0579",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Verordnung (EU) 2016/679 (DSGVO; Art. 5, 12, 15, 77, 82, 83)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB – Leitlinien 01/2022 zum Recht auf Auskunft",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_de",
            "autorite": "A"
        },
        {
            "titre": "gesetze-im-internet.de – § 34 BDSG (Auskunftsrecht, nationale Einschränkungen)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__34.html",
            "autorite": "A"
        },
        {
            "titre": "gesetze-im-internet.de – § 43 BDSG (Bußgeldvorschriften)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__43.html",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt EuGH C-579/21 (Pankki S, VO 2016/679) – Auskunft über Protokolldaten: Wer hat wann und warum auf meine Daten zugegriffen??",
            "reponse": "Mit Urteil vom 22. Juni 2023 in der Rechtssache C-579/21 (Pankki S) hat der Gerichtshof der Europäischen Union zum Auskunftsrecht nach Art. 15 DSGVO entschieden: Wer wissen will, wann und zu welchem Zweck Beschäftigte eines Verantwortlichen seine personenbezogenen Daten abgefragt haben, hat darauf einen Auskunftsanspruch (Protokolldaten / Log-Daten)."
        },
        {
            "question": "Für wen gilt EuGH C-579/21 (Pankki S, VO 2016/679)?",
            "reponse": "Die Entscheidung betrifft jeden Verantwortlichen im Sinne der DSGVO, dessen Beschäftigte auf personenbezogene Daten zugreifen und der dazu Protokolle führt (wer hat wann welchen Datensatz geöffnet). Anspruchsberechtigt ist jede betroffene Person, deren Daten abgefragt wurden – unabhängig davon, ob sie Kunde, Patient oder (ehemaliger) Beschäftigter des Verantwortlichen ist."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei EuGH C-579/21 (Pankki S, VO 2016/679)?",
            "reponse": "„Protokolldaten sind interne IT-Daten und gehören nicht zur Auskunft.\u0022 Falsch – Datum und Zweck von Abfragen gehören nach dem Urteil zur Auskunft. „Wir nennen sicherheitshalber immer die Namen aller Mitarbeitenden.\u0022 Nicht geboten; die Namen sind nur bei Unerlässlichkeit und nach Abwägung mitzuteilen."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für EuGH C-579/21 (Pankki S, VO 2016/679) aus?",
            "reponse": "Frau K. ist Kundin einer Sparkasse und vermutet, dass Beschäftigte ohne dienstlichen Grund in ihrem Konto gestöbert haben. Sie verlangt Auskunft nach Art. 15 DSGVO über alle Zugriffe der letzten zwei Jahre. Die Sparkasse muss mitteilen, an welchen Tagen und zu welchem Zweck abgefragt wurde. Die Namen der Beschäftigten muss sie nicht ohne Weiteres nennen; legt Frau K."
        }
    ],
    "wikidata": [],
    "valid_from": "2023-06-22",
    "valid_to": null,
    "derniere_revision": "2026-10-30",
    "derniere_verification": "2026-10-30",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eugh-c-579-21-pankki-s-protokolldaten-auskunft-mitarbeiter"
}