--- title: "EuGH C-579/21 (Pankki S, VO 2016/679) – Auskunft über Protokolldaten: Wer hat wann und warum auf meine Daten zugegriffen?" slug: "eugh-c-579-21-pankki-s-protokolldaten-auskunft-mitarbeiter" domaine: "datenschutz" valid_from: "2023-06-22" valid_to: null last_reviewed: "2026-10-30" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eugh-c-579-21-pankki-s-protokolldaten-auskunft-mitarbeiter.md wikidata_subjects: [] factcheck_status: "ok" --- # EuGH C-579/21 (Pankki S, VO 2016/679) – Auskunft über Protokolldaten: Wer hat wann und warum auf meine Daten zugegriffen? ## Kurzantwort Mit Urteil vom **22. Juni 2023** in der Rechtssache **C-579/21 (Pankki S)** hat der **Gerichtshof der Europäischen Union** zum Auskunftsrecht nach **Art. 15 DSGVO** entschieden: Wer wissen will, **wann und zu welchem Zweck** Beschäftigte eines Verantwortlichen seine personenbezogenen Daten **abgefragt** haben, hat darauf einen **Auskunftsanspruch** (Protokolldaten / Log-Daten). Die **Namen der Beschäftigten**, die die Abfragen im Auftrag des Verantwortlichen vorgenommen haben, müssen dagegen **nicht pauschal** mitgeteilt werden. Etwas anderes gilt nur, wenn diese Information **unerlässlich** ist, damit die betroffene Person ihre DSGVO-Rechte **wirksam ausüben** kann – und auch dann sind die **Rechte und Freiheiten der Beschäftigten** zu berücksichtigen. Dass der Verantwortliche eine **Bank** ist und die betroffene Person zugleich dort **Beschäftigter** war, ändert den Umfang des Anspruchs grundsätzlich nicht. Als **EU-Verordnung** gilt die DSGVO unmittelbar in Deutschland; ein Umsetzungsgesetz ist nicht erforderlich. Das Urteil ist für deutsche Gerichte und Aufsichtsbehörden verbindlich. ## Kernfakten | Punkt | Wert | |---|---| | Aktenzeichen | C-579/21 | | Entscheidungsdatum | 22.06.2023 [CURIA-Pressemitteilung Nr. 107/23] | | Verfahrensart | Vorabentscheidungsersuchen nach Art. 267 AEUV | | Vorlegendes Gericht | Verwaltungsgericht Ostfinnlands (Itä-Suomen hallinto-oikeus) [CURIA-Pressemitteilung] | | Ausgangsfall | Ein Bankmitarbeiter, zugleich Kunde der Bank, erfuhr 2014, dass Kolleginnen und Kollegen seine Kundendaten zwischen 01.11. und 31.12.2013 mehrfach abgefragt hatten; Auskunftsantrag vom 29.05.2018; Bank lehnte die Nennung der Namen am 30.08.2018 ab [CURIA-Pressemitteilung] | | Ausgelegte Norm | Art. 15 DSGVO (VO (EU) 2016/679) | | Zeitlicher Anwendungsbereich | DSGVO gilt seit 25.05.2018; sie ist anwendbar auf einen Antrag nach diesem Datum, auch wenn er Verarbeitungen vor diesem Datum betrifft [CURIA-Pressemitteilung] | | Auskunft über Abfragen | Ja – inkl. Datum und Zwecke der Abfragevorgänge | | Namen der Beschäftigten | Grundsätzlich nein; Ausnahme, wenn unerlässlich für die wirksame Rechtsausübung, unter Berücksichtigung der Rechte der Beschäftigten | | Kollision mit Rechten Dritter | Abwägung; wo möglich Mitteilungsweg wählen, der Rechte Dritter nicht verletzt | | Rolle als Bank / als Beschäftigter | grundsätzlich ohne Einfluss auf den Umfang des Anspruchs | | Auskunftsfrist | 1 Monat, verlängerbar um 2 Monate bei Komplexität [Art. 12 Abs. 3 DSGVO] | | Erstauskunft | unentgeltlich [Art. 12 Abs. 5 DSGVO] | | Bußgeldrahmen bei Verstoß gegen Betroffenenrechte | bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem was höher ist [Art. 83 Abs. 5 lit. b DSGVO] | | Zusätzlich | Immaterieller Schadensersatz möglich [Art. 82 DSGVO] | | Betroffener Nutzerkreis | Kundinnen und Kunden, Patienten, Beschäftigte, Mitglieder – alle, deren Daten in Systemen mit Zugriffsprotokollen liegen; Banken, Versicherer, Kliniken, Behörden, Arbeitgeber | ## Geltungsbereich Die Entscheidung betrifft jeden **Verantwortlichen** im Sinne der DSGVO, dessen Beschäftigte auf personenbezogene Daten zugreifen und der dazu **Protokolle** führt (wer hat wann welchen Datensatz geöffnet). Anspruchsberechtigt ist jede **betroffene Person**, deren Daten abgefragt wurden – unabhängig davon, ob sie Kunde, Patient oder (ehemaliger) Beschäftigter des Verantwortlichen ist. Ein Urteil im Vorabentscheidungsverfahren legt das Unionsrecht verbindlich aus; nationale Regelungen wie **§ 34 BDSG** (Einschränkungen des Auskunftsrechts) sind im Lichte dieser Auslegung anzuwenden. ## Details ### Protokolldaten sind Auskunftsgegenstand Nach dem Urteil gehören Informationen über **Abfragevorgänge** an den eigenen Daten – einschließlich ihres **Datums** und ihrer **Zwecke** – zu dem, was die betroffene Person nach Art. 15 DSGVO vom Verantwortlichen erhalten kann. Wer Zugriffsprotokolle führt, muss diese Information daher auf Antrag aufbereiten können. Praktisch heißt das: Log-Daten sollten **so lange und so strukturiert** vorgehalten werden, dass Datum und Zweck jedes Zugriffs nachvollziehbar sind (Speicherbegrenzung und Auskunftsfähigkeit müssen zusammen geplant werden). ### Namen der Beschäftigten: Regel und Ausnahme Beschäftigte, die auf Weisung des Verantwortlichen handeln, sind nach der Entscheidung **nicht pauschal** namentlich zu benennen. Die Identität ist nur dann mitzuteilen, wenn sie **unerlässlich** ist, damit die betroffene Person ihre Rechte aus der DSGVO **wirksam ausüben** kann – und nur unter Berücksichtigung der **Rechte und Freiheiten der betroffenen Beschäftigten**. Der Verantwortliche muss die Abwägung **dokumentieren**. ### Kollidierende Rechte Dritter Kollidiert der Auskunftsanspruch mit Rechten oder Freiheiten anderer, ist abzuwägen; wo möglich, ist ein Weg der Mitteilung zu wählen, der diese Rechte nicht verletzt. Eine pauschale Verweigerung der gesamten Auskunft ist damit nicht gedeckt. ### Zeitliche Reichweite Die DSGVO gilt seit dem 25.05.2018. Sie ist auf einen **nach diesem Datum gestellten Antrag** anwendbar, der Verarbeitungen **vor diesem Datum** betrifft (im Ausgangsfall: Abfragen im November/Dezember 2013). ## Beweislast und Nachweispflichten Der Verantwortliche trägt nach dem Rechenschaftsgrundsatz (**Art. 5 Abs. 2 DSGVO**) die **Nachweislast**, dass er die Auskunft ordnungsgemäß erteilt und eine etwaige Beschränkung (Schutz der Beschäftigten) **begründet** hat. Betroffene Personen sollten ihren Antrag **schriftlich oder in Textform** stellen, Datum und Umfang (Zeitraum, betroffene Systeme) konkret bezeichnen und den Zugang des Antrags belegen können. ## Häufige Fehler - **„Protokolldaten sind interne IT-Daten und gehören nicht zur Auskunft."** Falsch – Datum und Zweck von Abfragen gehören nach dem Urteil zur Auskunft. - **„Wir nennen sicherheitshalber immer die Namen aller Mitarbeitenden."** Nicht geboten; die Namen sind nur bei Unerlässlichkeit und nach Abwägung mitzuteilen. - **„Wir verweigern alles, weil Beschäftigte betroffen sind."** Eine pauschale Verweigerung ist nicht gedeckt; Rechte Dritter erfordern eine Abwägung. - **„Die Abfragen lagen vor dem 25.05.2018, also keine Auskunft."** Maßgeblich ist der Zeitpunkt des Antrags; ein Antrag nach diesem Datum ist nach der Entscheidung erfasst. - **„Als Bank oder Arbeitgeber gelten Sonderregeln."** Die Eigenschaft als Bank und die Doppelrolle der betroffenen Person als Beschäftigter ändern den Umfang des Anspruchs grundsätzlich nicht. - **Fristversäumnis:** Die Monatsfrist des Art. 12 Abs. 3 DSGVO gilt auch hier. ## Beispiel Frau K. ist Kundin einer Sparkasse und vermutet, dass Beschäftigte ohne dienstlichen Grund in ihrem Konto gestöbert haben. Sie verlangt Auskunft nach Art. 15 DSGVO über alle Zugriffe der letzten zwei Jahre. Die Sparkasse muss mitteilen, **an welchen Tagen** und **zu welchem Zweck** abgefragt wurde. Die Namen der Beschäftigten muss sie nicht ohne Weiteres nennen; legt Frau K. aber dar, dass sie die Namen **zwingend** braucht, um etwa Schadensersatzansprüche durchzusetzen, ist abzuwägen. Bleibt die Auskunft aus, kann sie sich nach Art. 77 DSGVO bei der Landesdatenschutzbehörde beschweren. ## Änderungsverlauf - 2026-10-30: Erstveröffentlichung durch EU-Recht-Bot. Verifiziert gegen die CURIA-Pressemitteilung Nr. 107/23 (Datum, Vorlagegericht, Sachverhalt, Kernaussagen). `factcheck_status` = review_needed: Der Urteilsvolltext (Randnummern, ECLI, docid) konnte nicht abgerufen werden und ist noch gegen EUR-Lex/CURIA zu prüfen; deshalb sind ECLI und Randnummern bewusst nicht angegeben. ## Siehe auch - [DSGVO Art. 15 – Auskunftsrecht der betroffenen Person](/fakten/dsgvo-auskunftsrecht-art-15.html) - [EuGH C-487/21 (CRIF) – Recht auf Kopie, Art. 15 Abs. 3](/fakten/eugh-c-487-21-ff-crif-recht-auf-kopie-art-15-abs-3.html) - [EuGH C-307/22 – Patientenakte, kostenlose erste Kopie](/fakten/eugh-c-307-22-ft-patientenakte-kostenlose-erste-kopie.html) - [EuGH C-526/24 – Rechtsmissbrauch beim Auskunftsantrag](/fakten/eugh-c-526-24-brillen-rottler-rechtsmissbrauch-auskunftsantrag.html) - [DSGVO-Schadensersatz Art. 82](/fakten/dsgvo-schadensersatz-art-82-eugh.html) - [DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html) ## Stand - Stand: 2026-10-30 - Entscheidungsdatum: 2023-06-22 (EuGH, C-579/21) - Verfahrensstand: Vorabentscheidung ergangen - Status: aktuell - Quellenautorität: A (CURIA, EUR-Lex, VO 2016/679, EDSA, BDSG) - Lizenz: CC BY 4.0 ## Quellen - CURIA – Pressemitteilung Nr. 107/23 vom 22.06.2023 zu C-579/21 (EN): https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-06/cp230107en.pdf - CURIA – Pressemitteilung Nr. 107/23 (DE): https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-06/cp230107de.pdf - CURIA – Rechtssache C-579/21 (Ergebnisliste, Volltext des Urteils): https://curia.europa.eu/juris/documents.jsf?num=C-579/21 - EUR-Lex – Urteil C-579/21, CELEX 62021CJ0579: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0579 - EUR-Lex – Verordnung (EU) 2016/679 (DSGVO; Art. 5, 12, 15, 77, 82, 83): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679 - EDSA/EDPB – Leitlinien 01/2022 zum Recht auf Auskunft: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_de - gesetze-im-internet.de – § 34 BDSG (Auskunftsrecht, nationale Einschränkungen): https://www.gesetze-im-internet.de/bdsg_2018/__34.html - gesetze-im-internet.de – § 43 BDSG (Bußgeldvorschriften): https://www.gesetze-im-internet.de/bdsg_2018/__43.html ## Stand - Letzte Änderung: 2026-10-30 - Letzte Prüfung: 2026-10-30 - In Kraft seit: 2023-06-22 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0