Datenschutzbehörden sind im Beschwerdeverfahren Verantwortliche im Sinne der DSGVO und müssen Beschwerdeführern grundsätzlich Auskunft über ihre dort verarbeiteten personenbezogenen Daten gewähren. Ein nationaler Ausschluss dieser Auskunftspflicht ohne Abwägungsmöglichkeit verstößt gegen Art. 23 DSGVO (EuGH, Urt. v. 05.11.2026 - Az. C-205/25).
Ein Journalist hatte beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) mehrere Beschwerden eingelegt und anschließend nach Art. 15 DSGVO Auskunft über die personenbezogenen Daten verlangt, die die Behörde im Rahmen dieser Verfahren über ihn verarbeitete.
Das BayLDA Behörde lehnte das Auskunftsbegehren unter Berufung auf Art. 20 Abs. 2 des Bayerischen Datenschutzgesetzes ab. Später gewährte sie ohne Anerkennung einer Rechtspflicht elektronische Akteneinsicht.
Das VG Ansbach legte dem EuGH daraufhin mehrere Vorlagefragen vor.
Der EuGH bejahte das Auskunftsrecht und erklärte die pauschale nationale Ausschlussregelung für unvereinbar mit der DSGVO.
Eine Datenschutzaufsichtsbehörde sei im Beschwerdeverfahren als Verantwortliche im Sinne der DSGVO einzustufen und müsse Beschwerdeführern grundsätzlich Auskunft nach Art. 15 DSGVO gewähren. Eine nationale Regelung, die diese Auskunft pauschal ausschließe, verstoße gegen Art. 23 DSGVO.
Eine Datenschutzaufsichtsbehörde erfasse im Beschwerdeverfahren zwangsläufig personenbezogene Daten des Beschwerdeführers. Sie sei daher Verantwortliche im Sinne der DSGVO. Ohne diese Einstufung fehle der betroffenen Person der Zugang zu grundlegenden Datenschutzrechten wie Auskunft, Berichtigung oder Löschung, was dem Schutzziel der Verordnung widerspreche.
Das Auskunftsrecht nach Art. 15 DSGVO beziehe sich allein auf die eigenen personenbezogenen Daten der betroffenen Person, nicht auf die gesamte Verwaltungsakte.
Ein pauschaler Ausschluss wie nach dem Bayerischen Datenschutzgesetz verletze jedoch den Wesensgehalt des Auskunftsrechts und genüge dem Verhältnismäßigkeitsgebot nicht. Den Schutz der Rechte Dritter könnten die Behörden durch Abwägung im Einzelfall sowie durch praktische Maßnahmen wie Schwärzungen oder Anonymisierungen sicherstellen.
Auch das Interesse an der Unabhängigkeit und Funktionsfähigkeit der Aufsichtsbehörde rechtfertige keinen generellen Ausschluss des Auskunftsrechts. Die DSGVO sehe Ressourcenpflichten sowie Instrumente gegen exzessive Anträge bereits vor: Gegenüber offensichtlich unbegründeten oder überzogenen Begehren könne die Behörde Gebühren erheben oder die Bearbeitung verweigern.
Ein Verweis auf den Schutz der öffentlichen Sicherheit trage nur dann, wenn eine reale und schwerwiegende Gefahr konkret dargelegt werde. Dies sei im vorliegenden Fall nicht geschehen:
"Nach alledem ist auf die erste Frage zu antworten, dass (…) eine Aufsichtsbehörde im Sinne von Art. 4 Nr. 21 DSGVO im Rahmen eines Verfahrens, das eine von einer betroffenen Person nach Art. 77 DSGVO eingelegte Beschwerde zum Gegenstand hat, als „Verantwortlicher" einzustufen und daher grundsätzlich verpflichtet ist, dieser Person Auskunft über die sie betreffenden personenbezogenen Daten und die in Art. 15 DSGVO aufgeführten Informationen zu gewähren."