Art. 15 DSGVO VG Berlin stärkt Identitätsprüfung beim Auskunftsanspruch

Der Auskunftsanspruch nach Art. 15 DSGVO gehört zu den wichtigsten Betroffenenrechten. Das VG Berlin konkretisiert den Art. 15 DSGVO Auskunftsanspruch Identitätsprüfung nun und entschied, dass ein DSGVO-Auskunftsanspruch nur dann besteht, wenn die Identitätsfeststellung eindeutig möglich ist. Damit stärkt das Gericht die Anforderungen an die Identitätsprüfung nach Art. 12 Abs. 6 DSGVO und konkretisiert, wann Unternehmen Auskunftsersuchen ablehnen dürfen.

Das Verwaltungsgericht Berlin (VG Berlin) stellte in seinem Beschluss vom 24.04.2023 (Az.: VG 1 K 227/22) klar, dass Verantwortliche bei begründeten Zweifeln an der Identität zusätzliche Nachweise verlangen dürfen – und oft auch müssen (Art. 12 Abs. 6 DSGVO). Eine bloße Anfrage per E-Mail reicht nicht aus, um eine rechtssichere Identitätsfeststellung zu gewährleisten. Unternehmen sind daher berechtigt, die Vorlage einer Ausweiskopie inklusive Adressdaten oder anderer geeigneter Nachweise anzufordern. Das Urteil verdeutlicht damit, dass der Art. 15 DSGVO Auskunftsanspruch Identitätsprüfung zwingend voraussetzt und ohne eine eindeutige Identitätsfeststellung kein Anspruch auf Datenauskunft besteht.

Wichtiger Hinweis: Falls eine Ausweiskopie verarbeitet wird, muss der Antragsteller vorher ausdrücklich einwilligen – dies ergibt sich aus § 18 Abs. 3 Satz 3 PassG und § 20 Abs. 2 AwG. Weigert sich die betroffene Person, diese Nachweise zu erbringen, entfällt die Pflicht des Unternehmens zur Auskunftserteilung nach Art. 12 Abs. 2 Satz 2 DSGVO.

Das Urteil des VG Berlin betont damit die Notwendigkeit einer sicheren Identitätsprüfung, um Datenmissbrauch durch unbefugte Dritte effektiv zu verhindern. Ein Auskunftsanspruch nach Art. 15 DSGVO besteht also nur bei eindeutiger Identitätsfeststellung. Wie weit der Art. 15 DSGVO Auskunftsanspruch Identitätsprüfung in der Praxis reicht, zeigt der vom VG Berlin entschiedene Fall einer Wirtschaftsauskunftei besonders deutlich.

VG-Berlin-Urteil zum Art. 15 DSGVO Auskunftsanspruch Identitätsprüfung

Im zugrunde liegenden Fall vor dem VG Berlin beantragte der Kläger bei einer Wirtschaftsauskunftei die Auskunft über gespeicherte personenbezogene Daten nach Art. 15 DSGVO. Da diese Unternehmen besonders sensible Informationen wie Bonitätsdaten, offene Verbindlichkeiten und Zahlungsrückstände verarbeiten, ist das Risiko eines Datenmissbrauchs hier besonders hoch.

Die Wirtschaftsauskunftei hatte jedoch begründete Zweifel an der Identität des Antragstellers. Eine einfache Datenprüfung ergab, dass es mehrere Personen mit identischem Vor- und Nachnamen gab. Zusätzlich bestanden Unsicherheiten aufgrund möglicher Adresswechsel und unterschiedlicher Namensschreibweisen. Dadurch war eine eindeutige Zuordnung der gespeicherten personenbezogenen Daten nicht möglich.

Um eine rechtssichere Identitätsfeststellung zu gewährleisten, forderte die Auskunftei deshalb die Angabe des Geburtsdatums sowie gegebenenfalls frühere Anschriften. Gerade bei besonders sensiblen Bonitätsdaten ist eine präziser Identitätsnachweis erforderlich, um Datenmissbrauch auszuschließen.

Das VG Berlin bestätigte die Rechtmäßigkeit dieser Anforderung: Laut Art. 12 Abs. 6 DSGVO dürfen Verantwortliche zusätzliche Daten anfordern, wenn dies zur sicheren Identitätsfeststellung erforderlich ist. Gerade in Branchen mit besonders schützenswerten Daten sind solche Maßnahmen verhältnismäßig und angemessen.

Der Antragsteller verweigerte jedoch die Mitwirkung, beharrte auf seinen Auskunftsanspruch nach Art. 15 DSGVO und legte Beschwerde bei der Berliner Datenschutzaufsichtsbehörde ein. Diese wies die Beschwerde zurück, da die Auskunftei korrekt gehandelt hatte. Daraufhin beantragte der Kläger Prozesskostenhilfe beim VG Berlin – doch das Gericht lehnte ab, weil die Klage keine Erfolgsaussichten hatte.

Wann Unternehmen eine Identitätsprüfung verlangen dürfen

Das Urteil des VG Berlin zum Auskunftsanspruch nach Art. 15 DSGVO nur bei eindeutiger Identitätsfeststellung beleuchtet auch die Rolle der Datenschutzaufsichtsbehörden bei Beschwerden nach der DSGVO. Nach Art. 77 Abs. 1 DSGVO haben Betroffene das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen, wenn sie der Ansicht sind, dass die Verarbeitung personenbezogener Daten gegen die DSGVO verstößt. Die Behörde muss die Beschwerde dann mit aller gebotenen Sorgfalt prüfen und den Beschwerdeführer innerhalb angemessener Frist über den Fortgang und das Ergebnis der Untersuchung informieren (Art. 57 Abs. 1 lit. f DSGVO).

Im vorliegenden Fall hatte die Berliner Datenschutzbehörde diese Pflichten erfüllt. Sie prüfte die Argumente des Antragstellers, forderte die Wirtschaftsauskunftei zu Stellungnahmen auf und wies die Beschwerde schließlich mangels Rechtsverstoßes gegen die DSGVO zurück.

Interessant ist dabei der juristische Streit, wie weit die Gerichte solche Behördenentscheidungen inhaltlich prüfen dürfen:

• Erste Ansicht (Petitionscharakter): Einige Gerichte sehen das Beschwerderecht als Petitionsrecht an. Nach dieser Auffassung beschränkt sich die gerichtliche Kontrolle darauf, ob die Behörde überhaupt tätig wurde – eine inhaltliche Überprüfung findet nicht statt.
• Zweite Ansicht (volle Überprüfung): Andere Gerichte halten hingegen eine inhaltliche Kontrolle für zulässig, da die DSGVO ein effektives Rechtsschutzsystem vorsieht.

Der EuGH hat am 7. Dezember 2023 in den Verfahren C-26/22 und C-64/22 entschieden, dass Entscheidungen der Datenschutzaufsichtsbehörden über Beschwerden vollständig gerichtlich überprüfbar sein müssen. Damit wurde die bisherige Petitionsansicht verworfen und die volle Überprüfungsansicht bestätigt.

Art. 12 Abs. 6 DSGVO als Grundlage der Identitätsprüfung

Das Urteil des VG Berlin zum Auskunftsanspruch nach Art. 15 DSGVO stellt klar, dass Unternehmen unter bestimmten Voraussetzungen berechtigt – und in vielen Fällen sogar verpflichtet – sind, von Betroffenen zusätzliche Identitätsnachweise einzufordern, bevor sie personenbezogene Daten herausgeben oder verarbeiten. Grundlage ist Art. 12 Abs. 6 DSGVO:

„Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, […] kann er […] zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind.“

Damit wird deutlich, dass der Art. 15 DSGVO Auskunftsanspruch Identitätsprüfung untrennbar mit den Vorgaben des Art. 12 Abs. 6 DSGVO verknüpft ist.

Auskunft verweigern bei fehlender Identitätsprüfung

Ob solche Zweifel bestehen, hängt immer vom Einzelfall ab. Das VG Berlin betonte, dass insbesondere folgende Faktoren entscheidend sind:

• Häufigkeit von Namensüberschneidungen: Wenn mehrere Datensätze denselben Namen enthalten, muss die eindeutige Zuordnung gesichert werden.
• Sensibilität der gespeicherten Daten: Je heikler die Informationen – etwa Bonitätsdaten oder Zahlungsverhalten –, desto höher die Anforderungen an die Identitätsprüfung.
• Missbrauchsrisiko durch Dritte: Bei kommerziell wertvollen Daten, wie sie Wirtschaftsauskunfteien speichern, ist ein unbefugtes Auskunftsersuchen besonders wahrscheinlich.

Geeignete Nachweise sind nach dem Urteil des VG Berlin zum Auskunftsanspruch aus Art. 15 DSGVO beispielsweise:

• Geburtsdatum
• frühere Anschriften
• Kunden- oder Vertragsnummern
• in Ausnahmefällen eine Ausweiskopie (nur mit ausdrücklicher Einwilligung nach § 18 Abs. 3 PassG und § 20 Abs. 2 AwG).

Das VG Berlin betonte zudem, dass alle Maßnahmen verhältnismäßig sein müssen. Unternehmen dürfen nur so viele Daten anfordern, wie unbedingt erforderlich sind, um eine sichere Identitätsfeststellung zu gewährleisten.

Bedeutung des VG-Berlin-Urteils für Unternehmen und Betroffene

Das Urteil des VG Berlin schafft Rechtssicherheit beim Umgang mit Auskunftsansprüchen nach Art. 15 DSGVO und stärkt zugleich den Schutz personenbezogener Daten. Für Unternehmen ergeben sich daraus klare Handlungsanweisungen zum Datenschutz im Unternehmen:

• Identitätsprüfung ist Pflicht: Bevor sensible personenbezogene Daten herausgegeben werden, müssen Unternehmen bei begründeten Zweifeln geeignete Nachweise verlangen (Art. 12 Abs. 6 DSGVO).
• Verhältnismäßigkeit beachten: Die angeforderten Informationen müssen dem Grundsatz der Datensparsamkeit entsprechen. Häufig sind Geburtsdatum oder frühere Anschriften ausreichend; eine Ausweiskopie sollte nur in Ausnahmefällen und mit ausdrücklicher Einwilligung verarbeitet werden (§ 18 Abs. 3 PassG, § 20 Abs. 2 AwG).
• Keine Pflicht zur Auskunft nach Art. 15 DSGVO ohne Mitwirkung: Verweigert die betroffene Person die erforderlichen Nachweise, dürfen Unternehmen die Auskunft rechtmäßig verweigern (Art. 12 Abs. 2 Satz 2 DSGVO).

Für Betroffene bedeutet das: Wer sein Recht auf Datenauskunft nach Art. 15 DSGVO nutzen möchte, muss bereit sein, die zur Identifikation notwendigen Angaben bereitzustellen. Eine einfache Anfrage per E-Mail reicht nicht.

Insgesamt schafft das Urteil des VG Berlin einen klaren Balanceakt zwischen Informationsrecht und Datensicherheit. Es schützt sensible Daten vor unbefugtem Zugriff und bietet Unternehmen wie Verbrauchern klare Leitlinien für den Umgang mit DSGVO-Auskunftsanfragen nach Art. 15 DSGVO. Zudem stärkt das Urteil die rechtssichere Umsetzung der DSGVO-Compliance in Unternehmen.

Fragen Art. 15 DSGVO Auskunftsanspruch Identitätsprüfung oder Datenschutz-Compliance?

Wenn Sie Fragen zur Identitätsfeststellung nach Art. 12 Abs. 6 DSGVO, zum Auskunftsanspruch nach Art. 15 DSGVO, zur rechtssicheren Prüfung von Betroffenenanfragen oder zur Umsetzung der DSGVO-Compliance im Unternehmen haben, unterstützen wir Sie gerne. Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht beraten Sie umfassend – von der Prüfung interner Prozesse über die Implementierung sicherer Identitätsnachweise!

Vereinbaren Sie gerne einen Beratungstermin – wir unterstützen Sie zuverlässig, praxisnah und rechtssicher.