Urteil : Grenzen und Erfüllung des DS-GVO-Auskunftsanspruchs : aus der RDV 3/2025, Seite 155 bis 158

bb) Nur wenn die Zurverfügungstellung einer Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die Datenschutz-Grundverordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind, besteht nach Art. 15 Abs. 3 S. 1 DS-GVO ein Anspruch, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zur Verfügung gestellt zu erhalten (vgl. EuGH-Urteile FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 75; Österreichische Datenschutzbehörde vom 04.05.2023 – C-487/21, EU:C:2023:369, Rz 41 und Rz 45). Dies wurde jedoch im Klageverfahren nicht beantragt. Vielmehr ist der die Gerichte bindende Antrag auf die Zurverfügungstellung einer Kopie der Daten gerichtet. Hierüber kann der Senat auch im Revisionsverfahren nicht hinausgehen.

d) Wie auch das FG zutreffend erkannt hat, rechtfertigen unzureichende Soll-Angaben im Sinne von §  32c Abs.  2 der Abgabenordnung (AO) keine Ablehnung des Auskunftsbegehrens im Sinne von Art. 15 DS-GVO.

Nach dieser Vorschrift soll die betroffene Person in dem Antrag auf Auskunft gemäß Art. 15 DS-GVO die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnen. Eine Rechtsfolge, insbesondere ein Untergang des Auskunftsanspruchs oder ein Recht, diesen zu verweigern, sieht die Regelung allerdings nicht vor. Vor dem Hintergrund des Art. 23 Abs. 2 lit. c) DS-GVO wäre dies jedoch für die Annahme einer entsprechenden Rechtsfolge erforderlich. Nach dieser Vorschrift muss jede Norm, die unter anderem das Auskunftsrecht nach Art. 15 DS-GVO beschränkt, zumindest den Umfang der vorgenommenen Beschränkung regeln.

2. Rechtsfehlerhaft gelangt das FG jedoch zu dem Ergebnis, dass der Auskunftsanspruch wegen unverhältnismäßigen Aufwands nicht bestehe.

a) Ungeachtet dessen, dass es an Feststellungen zu einem unverhältnismäßigen Aufwand der Finanzbehörde fehlt, ergibt sich eine entsprechende Einschränkung des Auskunftsanspruchs nicht aus der Datenschutz-Grundverordnung.

aa) Zwar muss der Verantwortliche nach Art.  14 Abs.  5 lit. b) Alternative 2 DS-GVO seiner Verpflichtung nach der Datenschutz-Grundverordnung nicht nachkommen, wenn dies mit einem unverhältnismäßigem Aufwand verbunden wäre. Dies gilt jedoch nur hinsichtlich der Informationspflicht im Sinne von Art. 14 DS-GVO.

Auch scheidet eine analoge Anwendung von Art. 14 Abs. 5 lit. b) Alternative 2 DS-GVO auf ein Auskunftsbegehren aus (Urteil des Bundesverwaltungsgerichts vom 30.11.2022 – 6 C 10.21, BVerwGE 177, 211, Rz 36; Starke, Zeitschrift für Datenschutz –ZD– 2024, 63, 66; Schreiber/Brinke, Recht Digital 2023, 232, 235; Kuznik, Neue Zeitschrift für Verwaltungsrecht 2023, 297, 303; Korch/Chatard, ZD 2022, 482, 484; Waldkirch, recht und schaden –r+s– 2021, 317, 319; Schulte/Welge, Neue Zeitschrift für Arbeitsrecht –NZA– 2019, 1110, 1114; vgl. Benkert, Neue Juristische Wochenschrift Spezial 2022, 306, 307; Krämer/Burghoff, ZD 2022, 428, 431; Lembke/Fischels, NZA 2022, 513, 516; König, Computer und Recht –CR– 2019, 295, 298; a.A. BeckOK DatenschutzR/Schmidt-Wudy, 49. Ed. 01.08.2024, DS-GVO Art. 15 Rz 99.3; Härting, CR 2019, 219, 223). Es fehlt bereits an einer hierfür erforderlichen planwidrigen Regelungslücke. Während Art.  14 DS-GVO die Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden, regelt, beinhaltet Art.  15 DS-GVO das Auskunftsrecht der betroffenen Person über die Verarbeitung der sie betreffenden personenbezogenen Daten.

Ergänzend zu diesen Vorschriften enthält Art.  12 DS-GVO zusätzliche Modalitäten unter anderem für die Ausübung dieser Rechte. Der Einwand unverhältnismäßigen Aufwands ist hierin nicht geregelt. Das Auskunftsrecht steht nicht unter dem allgemeinen Vorbehalt der Verhältnismäßigkeit in Hinblick auf die Anstrengungen, die der Verantwortliche unternehmen muss, um dem Antrag der betroffenen Person nachzukommen (Leitlinien des Europäischen Datenschutzausschusses 01/2022 zu den Rechten der betroffenen Person – Auskunftsrecht, Version 2.1, S. 5).

Zudem besteht auch keine vergleichbare Interessenlage zwischen der Informationspflicht nach Art. 14 DS-GVO und der Auskunftspflicht nach Art. 15 DS-GVO. Während Art. 14 DS-GVO dem Verantwortlichen eine Verpflichtung zur Information der betroffenen Person über die erhobenen personenbezogenen Daten auferlegt, besteht der Auskunftsanspruch nach Art. 15 DS-GVO nur auf Antrag der betroffenen Person.

Der Auskunftsanspruch ist zudem insbesondere darauf gerichtet, Kenntnis über die jeweils verarbeiteten personenbezogenen Daten zu erlangen, während nach Art. 14 DS-GVO keine Verpflichtung besteht, die betroffene Person darüber zu informieren, welche konkreten personenbezogenen Daten über sie erhoben wurden. So beschränkt sich nach Art. 14 Abs. 1 lit. d) DS-GVO die Informationspflicht auf die Kategorien personenbezogener Daten.

bb) Auch ergibt sich eine entsprechende Einschränkung des Auskunftsrechts bei unverhältnismäßigem Aufwand der Auskunftserteilung nicht aus Art. 15 Abs. 4 DS-GVO (a.A. Starke, ZD 2024, 63, 66). Nach Art. 15 Abs. 4 DS-GVO darf das Recht auf Erhalt einer Kopie i.S.v. Art. 15 Abs. 3 S. 1 DS-GVO nicht die Rechte und Freiheiten anderer Personen beeinträchtigen. Art.  15 Abs.  4 DS-GVO schränkt den Auskunftsanspruch nur in Hinblick auf die Rechte Dritter, nicht hingegen in Bezug auf die Belange des Verantwortlichen, insbesondere in Bezug auf den mit dem Schutz der Rechte Dritter verbundenen Aufwand, ein (vgl. EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 63, 67; a.A. Kamlah, in: Plath, DS-GVO/BDSG/TTDSG, 4. Aufl., Art. 15 DS-GVO Rz 20; Schwartmann/Klein/Peisker, in: Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. , Art. 15 DS-GVO Rz 68).

cc) Auch kann ein entsprechender Einwand nicht aus ErwG 63 S. 7 DS-GVO abgeleitet werden. Nach diesem sollte der Verantwortliche verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt, wenn er eine große Menge von Informationen über die betroffene Person verarbeitet. Aus den Erwägungsgründen kann jedoch kein allgemeiner Rechtssatz abgeleitet werden, der zu einer Einschränkung der Rechte und Pflichten nach der Datenschutz-Grundverordnung führt. Es entspricht der Rechtsprechung des EuGH, dass Erwägungsgründe rechtlich nicht verbindlich sind und weder herangezogen werden können, um von den Bestimmungen des betreffenden Rechtsakts abzuweichen, noch, um diese Bestimmungen in einem Sinn auszulegen, der ihrem Wortlaut offensichtlich widerspricht (vgl. EuGH-Urteil Hauptzollamt Bremen gegen J. E. Tyson Parketthandel GmbH hanse j. vom 02.04.2009 – C-134/08, EU:C:2009:229, Rz 16). So verhält es sich vorliegend. Die Einbeziehung des ErwG 63 S. 7 DS-GVO würde dazu führen, dass die Rechte aus Art.  15 Abs.  1 bzw. Abs.  3 DS-GVO ohne ausdrückliche Regelung eingeschränkt würden, obwohl eine solche nach Art. 23 Abs. 2 lit. c) DS-GVO erforderlich ist. Die Erwägungsgründe ersetzen diese nicht, da sie nach den oben genannten Grundsätzen rechtlich nicht verbindlich sind.

b) Eine Einschränkung des Auskunftsanspruchs bei unverhältnismäßigem Aufwand für die Auskunftserteilung ergibt sich ferner nicht aus den Vorschriften des nationalen Rechts.

Gemäß § 32c Abs. 1 Nr. 3 AO ist der Einwand eines unverhältnismäßigen Aufwands nur zu berücksichtigen, wenn die personenbezogenen Daten nur deshalb gespeichert werden, weil sie aufgrund gesetzlicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen (§ 32c Abs. 1 Nr. 3 lit. a) AO) oder wenn die personenbezogenen Daten ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen (§ 32c Abs. 1 Nr. 3 lit. b) AO). Weiter ist erforderlich, dass eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist (§ 32c Abs. 1 Nr. 3 AO).

Wie der Senat bereits entschieden hat, fehlt es bereits an einer gesetzlichen Aufbewahrungspflicht der Finanzbehörden (Senatsurteil v. 07.05.2024 – IX R 21/22, zur amtlichen Veröffentlichung bestimmt, LS Nr. 3 und Rz 33). Im Übrigen wurde weder vorgetragen noch durch das FG festgestellt, dass das FA die personenbezogenen Daten des Klägers ausschließlich zur Datensicherung oder Datenschutzkontrolle verarbeitet und eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist. Letztlich ist dies auch fernliegend, da Aufgabe der Finanzbehörden die Festsetzung und Erhebung von Steuern ist.

aa) Soweit die Auskunft nach §  32c Abs.  3 AO nur erteilt wird, soweit die betroffene Person Angaben macht, die das Auffinden der Daten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem von der betroffenen Person geltend gemachten Informationsinteresse steht, kann dieser Einwand nicht einem Auskunftsersuchen nach Art.  15 DS-GVO entgegengehalten werden. Denn § 32c Abs. 3 AO gilt nur, sofern die personenbezogenen Daten weder automatisiert noch in nicht automatisierten Dateisystemen gespeichert sind (BT-Drs. 18/12611, S. 88). Mithin liegt die Einschränkung außerhalb des Anwendungsbereichs der Datenschutz-Grundverordnung.

bb) Auch kann dem Auskunftsanspruch nicht die Regelung des § 275 Abs. 2 des Bürgerlichen Gesetzbuchs (BGB) oder der darin zum Ausdruck kommende Rechtsgedanke entgegengehalten werden, dass der Schuldner eine Leistung verweigern kann, soweit diese einen Aufwand erfordert, der unter Beachtung des Inhalts des Schuldverhältnisses und der Gebote von Treu und Glauben in einem groben Missverhältnis zu dem Leistungsinteresse des Gläubigers steht (so auch Starke, ZD 2024, 63, 66; König, CR 2019, 295, 298; vgl. Waldkirch, r+s 2021, 317, 319; a.A. Gola/Heckmann/Franck, DS-GVO, 3. Aufl., Art. 15 Rz 51).

3. Rechtsfehlerhaft kommt das FG ferner zu dem Ergebnis, dass das Auskunftsbegehren aufgrund eines exzessiven Antrags im Sinne von Art.  12 Abs.  5 S.  2 und 3 DS-GVO ausgeschlossen sei.

a) Nach Art.  12 Abs.  5 S.  2 DS-GVO kann bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person der Verantwortliche entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden (Art. 12 Abs. 5 S. 2 lit. a) DS-GVO), oder sich weigern, aufgrund des Antrags tätig zu werden (Art. 12 Abs. 5 S. 2 lit. b) DS-GVO). Der Verantwortliche hat gemäß Art. 12 Abs. 5 S. 3 DS-GVO den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. Nach der Rechtsprechung des EuGH beziehen sich die beiden Gründe, bei denen der Verantwortliche dem Begehren des Betroffenen nach Art. 12 Abs. 5 S. 2 DS-GVO nicht nachkommen muss, auf Fälle des Rechtsmissbrauchs (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 31). Ist der Antrag exzessiv, kann in diesem nicht zugleich als Weniger ein statthafter Antrag auf Zurverfügungstellung von Kopien personenbezogener Daten erblickt werden. Dies ergibt sich eindeutig aus Art. 12 Abs. 5 S. 2 lit. b) DS-GVO. Verlangt der Verantwortliche nicht ein angemessenes Entgelt, braucht er bei einer Verweigerung aufgrund eines exzessiven Antrags nicht tätig zu werden (vgl. Senatsurteil v. 12.03.2024 – IX R 35/21, BFHE 283, 266, BStBl II 2024, 682, Rz 32). Ferner bedarf es für die Geltendmachung des Anspruchs aus Art. 15 Abs. 3 S. 1 DS-GVO auf Zurverfügungstellung von Kopien personenbezogener Daten keiner Begründung (EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 38).

b) Diesen Maßstäben genügen die Ausführungen des FG zu Art. 12 Abs. 5 S. 2 und 3 DS-GVO nicht.

Rechtsfehlerhaft nimmt das FG eine Ausnahme von der dem FA für die Annahme eines exzessiven Antrags obliegenden Nachweispflicht an, da sich die zur Unbegründetheit des Antrags führenden Umstände bereits aus dem Antrag ergeben sollen und damit offensichtlich seien. Andernfalls liefe die Nachweispflicht des Art. 12 Abs. 5 S. 3 DS-GVO ins Leere. Das FG verkennt, dass das Verweigerungsrecht nach Art.  12 Abs. 5 S. 2 lit. b) DS-GVO nur besteht, wenn der Antrag offenkundig unbegründet oder exzessiv ist. Zwar verwendet das FG den Begriff offensichtlich, dieser meint jedoch dasselbe wie offenkundig.

Im Übrigen kann ein Auskunftsbegehren nicht bereits als exzessiv gelten, wenn die betroffene Person Auskunft zu ihren personenbezogenen Daten begehrt, ohne – wie vorliegend – dieses Begehren in sachlicher beziehungsweise zeitlicher Hinsicht (weitestgehend) zu beschränken. Nach Art. 15 Abs. 1 DS-GVO besteht ein Anspruch auf Auskunft über sämtliche personenbezogenen Daten, die der Verantwortliche verarbeitet. Nur so wird dem Zweck des Art. 15 DS-GVO hinreichend Rechnung getragen, es der betroffenen Person durch die Wahrnehmung des Auskunftsrechts in angemessenen Abständen zu ermöglichen, sich der Verarbeitung der sie betreffenden personenbezogenen Daten bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können (vgl. ErwG 63 S. 1 DS-GVO). Dem stünde es entgegen, wenn der Verantwortliche die Auskunft verweigern könnte, wenn die betroffene Person ihr Auskunftsrecht unbeschränkt geltend macht

Ferner kann auch ein Exzess des Antrags nicht damit begründet werden, dass das FA dem Kläger die Möglichkeit zur Akteneinsicht angeboten hat. Die Möglichkeit zur Akteneinsicht erweist sich als ein Aliud im Vergleich zu dem Begehren auf Zurverfügungstellung einer Kopie der personenbezogenen Daten. Während das Recht auf Akteneinsicht die temporäre Möglichkeit zur Einsicht in die gesamte Verwaltungsakte beinhaltet, betrifft Art.  15 DS-GVO nicht die gesamte Verwaltungsakte, sondern ist auf die dauerhafte Überlassung der darin enthaltenen personenbezogenen Daten und nur ausnahmsweise unter bestimmten Umständen auf die Überlassung von Auszügen von Verwaltungsakten gerichtet. Zudem betrifft das Recht auf Akteneinsicht einen Einblick in die Originalakte zu erhalten, während Art. 15 DS-GVO auf die Erteilung von Auskünften und die Zurverfügungstellung von Kopien gerichtet ist.

Auch kann es für die Annahme eines Exzesses nicht darauf ankommen, dass der Kläger nach der Überzeugung des FG mit seinem Auskunftsbegehren andere Zwecke verfolge als die, denen die Datenschutz-Grundverordnung dient. Soweit es der betroffenen Person freisteht, Auskunft nach Art.  15 DS-GVO auch ohne eine Begründung ihres Begehrens zu verlangen, kann ein exzessiver Antrag nicht deshalb angenommen werden, dass die betroffene Person mit ihrem Auskunftsbegehren andere Zwecke als die der Datenschutz-Grundverordnung verfolgt (vgl. EuGH-Urteil FT (Copies du dossier médical) vom 26.10.2023 – C-307/22, EU:C:2023:811, Rz 51 f.). Vielmehr wäre es widersprüchlich, wenn ein Verweigerungsrecht entstünde, weil die betroffene Person ihr Auskunftsersuchen nicht hinsichtlich der Art der personenbezogenen Daten, über die Auskunft begehrt wird, näher präzisiert.

Ferner kann auch kein exzessiver Antrag allein deswegen angenommen werden, dass der Kläger in seinem Auskunftsersuchen die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, nicht näher bezeichnet hat. Soweit § 32c Abs. 2 AO eine entsprechende Vorgabe enthält, handelt es sich hierbei um eine bloße Sollvorschrift, an die keine Rechtsfolge geknüpft ist. […]