DSB sind Verantwortliche, pauschale Aktengeheimhaltung rechtswidrig

Eine Datenschutzbehörde, die eine Beschwerde bearbeitet, ist Verantwortliche für die Daten des BeschwerdeführersEuropa und muss ihm Zugang nach Artikel 15 gewährenEuropa, entschied der Gerichtshof (Dritte Kammer) am 5. November 2026 in der Rechtssache C-205/25 (Lindenberg gegen Bayerisches Landesamt für Datenschutzaufsicht). Ein pauschales gesetzliches Verbot jeden Zugangs zu den Akten der Behörde, wie Paragraph 20 Absatz 2 des Bayerischen Datenschutzgesetzes, verstößt gegen Artikel 23 DSGVOEuropa: Der Schutz Dritter und die Funktionsfähigkeit der Behörde verlangen Abwägung, Schwärzung oder gezielte Begrenzungen, niemals die Totalverweigerung, und die öffentliche Sicherheit braucht eine tatsächliche, hinreichend schwere Bedrohung.

Der Beschwerdeführer, ein Journalist mit einem Datenschutz-Blog, hatte seit 2021 mehrere Beschwerden bei der bayerischen Behörde erhoben. Nach seiner Beschwerde vom 13. Mai 2022 gegen einen Dritten teilte die Behörde am 11. Oktober 2022 per E-Mail mit, Datenschutzverstöße festgestellt zu haben und bei weiteren Verstößen einen Bußgeldbescheid zu erlassen. Noch am selben Tag verlangte er vollständige Auskunft nach Artikel 15 Absatz 1 und 3; am 20. Oktober 2022 verweigerte die Behörde unter Berufung auf das bayerische Pauschalverbot. Er klagte noch im Dezember auf Kopie sämtlicher Informationen in der Beschwerdeakte; im Februar 2024 gewährte die Behörde elektronische Akteneinsicht ohne Anerkennung einer Pflicht, während er weiter die Feststellung der Rechtswidrigkeit der Verweigerung begehrt.

Zur ersten Frage stuft der Gerichtshof die beschwerdebearbeitende Behörde als Verantwortliche nach Artikel 4 Absatz 7 einEuropa: Sie erfasst, konsultiert, speichert und verwendet die Daten des Beschwerdeführers, und Zwecke und Mittel dieser Verarbeitung ergeben sich aus den die Behörde regelnden EU-Vorschriften, die den Verantwortlichen nicht nur ausdrücklich, sondern auch stillschweigend bestimmen können, ohne dass die Behörde selbst darüber entscheidet. Sonst verlöre der Beschwerdeführer gegenüber der Behörde sämtliche Kapitel-III-Rechte, von Information und Auskunft bis Berichtigung, Löschung und Einschränkung, und die Behörde entkäme den Artikel-5-Grundsätzen und den Kapitel-IV-Sicherheitsregeln. Eine Stelle kann zugleich Aufsichtsbehörde und Verantwortliche sein, indem sie ihre interne Organisation so anpasst, dass Verantwortlichen-Handeln unabhängiger Aufsicht unterliegt. Doch Artikel 15 gewährt Zugang zu den eigenen personenbezogenen Daten und den aufgeführten Informationen, kein allgemeines Recht auf die Verwaltungsakte oder jedes vorgehaltene DokumentEuropa.

Zur zweiten Frage schließen Artikel 23 Absatz 1 Buchstaben c, h und i das Pauschalverbot ausEuropa. Der Schutz fremder Daten nach Buchstabe i verlangt Abwägung, wo immer möglich durch Schwärzung oder Anonymisierung, denn das Ergebnis darf niemals die Verweigerung sämtlicher Informationen sein. Erhalt von Funktionsfähigkeit und Unabhängigkeit der Behörde nach Buchstabe h ist grundsätzlich legitim, doch kann die Ausübung des Zugangs die Unabhängigkeit nicht untergraben, und ein allgemeines abstraktes Verbot ist unverhältnismäßig: Verwaltungsaufwand beantworten die Ausstattungspflicht sowie Artikel-12-Absatz-5-Gebühren oder -Verweigerungen bei offenkundig unbegründeten oder exzessiven Anträgen. Öffentliche Sicherheit nach Buchstabe c verlangt eine tatsächliche und hinreichend schwere Bedrohung eines Grundinteresses der Gesellschaft, von der hier nichts ersichtlich ist.

Rechtsgrundlage: Artikel 4 Absatz 7 in Verbindung mit Artikel 15 sowie Artikel 23 Absatz 1 Buchstaben c, h und i der Verordnung (EU) 2016/679.