VG Berlin: Auskunftsanspruch nach Art. 15 DSGVO nur bei eindeutiger Identitätsfeststellung

Der Auskunftsanspruch nach Art. 15 DSGVO als eines der zentralen Betroffenenrechte der DSGVO gibt betroffenen Personen das Recht, von Unternehmen Auskunft darüber zu verlangen, welche personenbezogenen Daten über sie gespeichert und verarbeitet werden. Doch dieser Auskunftsanspruch gilt nicht uneingeschränkt: Die Geltendmachung des DSGVO-Auskunftsanspruchs setzt zwingend voraus, dass die Identität des Antragstellers zweifelsfrei festgestellt werden kann.

Das Verwaltungsgericht Berlin (VG Berlin) stellte in seinem Beschluss vom 24.04.2023 (Az.: VG 1 K 227/22) klar, dass Verantwortliche bei begründeten Zweifeln an der Identität zusätzliche Nachweise verlangen dürfen – und oft auch müssen (Art. 12 Abs. 6 DSGVO). Eine bloße Anfrage per E-Mail reicht nicht aus, um eine rechtssichere Identitätsfeststellung zu gewährleisten. Unternehmen sind daher berechtigt, die Vorlage einer Ausweiskopie inklusive Adressdaten oder anderer geeigneter Nachweise anzufordern.

Wichtiger Hinweis: Falls eine Ausweiskopie verarbeitet wird, muss der Antragsteller vorher ausdrücklich einwilligen – dies ergibt sich aus § 18 Abs. 3 Satz 3 PassG und § 20 Abs. 2 AwG. Weigert sich die betroffene Person, diese Nachweise zu erbringen, entfällt die Pflicht des Unternehmens zur Auskunftserteilung nach Art. 12 Abs. 2 Satz 2 DSGVO.

Das Urteil des VG Berlin betont damit die Notwendigkeit einer sicheren Identitätsprüfung, um Datenmissbrauch durch unbefugte Dritte effektiv zu verhindern. Ein Auskunftsanspruch nach Art. 15 DSGVO besteht also nur bei eindeutiger Identitätsfeststellung.

Fragen zum Auskunftsanspruch? Nehmen Sie gerne an unserem Webinar zum Thema „Auskunftsbegehren & Datenschutzvorfälle“ teil!

Wirtschaftsauskunftei verweigert Auskunft nach Art. 15 DSGVO: VG Berlin bestätigt Recht auf Identitätsnachweis

Im zugrunde liegenden Fall vor dem VG Berlin beantragte der Kläger bei einer Wirtschaftsauskunftei die Auskunft über gespeicherte personenbezogene Daten nach Art. 15 DSGVO. Da diese Unternehmen besonders sensible Informationen wie Bonitätsdaten, offene Verbindlichkeiten und Zahlungsrückstände verarbeiten, ist das Risiko eines Datenmissbrauchs hier besonders hoch.

Die Wirtschaftsauskunftei hatte jedoch begründete Zweifel an der Identität des Antragstellers. Eine einfache Datenprüfung ergab, dass es mehrere Personen mit identischem Vor- und Nachnamen gab. Zusätzlich bestanden Unsicherheiten aufgrund möglicher Adresswechsel und unterschiedlicher Namensschreibweisen. Dadurch war eine eindeutige Zuordnung der gespeicherten personenbezogenen Daten nicht möglich.

Um eine rechtssichere Identitätsfeststellung zu gewährleisten, forderte die Auskunftei deshalb die Angabe des Geburtsdatums sowie gegebenenfalls frühere Anschriften. Gerade bei besonders sensiblen Bonitätsdaten ist eine präziser Identitätsnachweis erforderlich, um Datenmissbrauch auszuschließen.

Das VG Berlin bestätigte die Rechtmäßigkeit dieser Anforderung: Laut Art. 12 Abs. 6 DSGVO dürfen Verantwortliche zusätzliche Daten anfordern, wenn dies zur sicheren Identitätsfeststellung erforderlich ist. Gerade in Branchen mit besonders schützenswerten Daten sind solche Maßnahmen verhältnismäßig und angemessen.

Der Antragsteller verweigerte jedoch die Mitwirkung, beharrte auf seinen Auskunftsanspruch nach Art. 15 DSGVO und legte Beschwerde bei der Berliner Datenschutzaufsichtsbehörde ein. Diese wies die Beschwerde zurück, da die Auskunftei korrekt gehandelt hatte. Daraufhin beantragte der Kläger Prozesskostenhilfe beim VG Berlin – doch das Gericht lehnte ab, weil die Klage keine Erfolgsaussichten hatte.

VG Berlin: Beschwerderecht nach Art. 77 DSGVO

Das Urteil des VG Berlin zum Auskunftsanspruch nach Art. 15 DSGVO nur bei eindeutiger Identitätsfeststellung beleuchtet auch die Rolle der Datenschutzaufsichtsbehörden bei Beschwerden nach der DSGVO. Nach Art. 77 Abs. 1 DSGVO haben Betroffene das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen, wenn sie der Ansicht sind, dass die Verarbeitung personenbezogener Daten gegen die DSGVO verstößt. Die Behörde muss die Beschwerde dann mit aller gebotenen Sorgfalt prüfen und den Beschwerdeführer innerhalb angemessener Frist über den Fortgang und das Ergebnis der Untersuchung informieren (Art. 57 Abs. 1 lit. f DSGVO).

Im vorliegenden Fall hatte die Berliner Datenschutzbehörde diese Pflichten erfüllt. Sie prüfte die Argumente des Antragstellers, forderte die Wirtschaftsauskunftei zu Stellungnahmen auf und wies die Beschwerde schließlich mangels Rechtsverstoßes gegen die DSGVO zurück.

Interessant ist dabei der juristische Streit, wie weit die Gerichte solche Behördenentscheidungen inhaltlich prüfen dürfen:

• Erste Ansicht (Petitionscharakter): Einige Gerichte sehen das Beschwerderecht als Petitionsrecht an. Nach dieser Auffassung beschränkt sich die gerichtliche Kontrolle darauf, ob die Behörde überhaupt tätig wurde – eine inhaltliche Überprüfung findet nicht statt.
• Zweite Ansicht (volle Überprüfung): Andere Gerichte halten hingegen eine inhaltliche Kontrolle für zulässig, da die DSGVO ein effektives Rechtsschutzsystem vorsieht.

Der EuGH hat am 7. Dezember 2023 in den Verfahren C-26/22 und C-64/22 entschieden, dass Entscheidungen der Datenschutzaufsichtsbehörden über Beschwerden vollständig gerichtlich überprüfbar sein müssen. Damit wurde die bisherige Petitionsansicht verworfen und die volle Überprüfungsansicht bestätigt.

Wann Unternehmen zusätzliche Identitätsnachweise verlangen dürfen – Vorgaben des VG Berlin

Das Urteil des VG Berlin zum Auskunftsanspruch nach Art. 15 DSGVO stellt klar, dass Unternehmen unter bestimmten Voraussetzungen berechtigt – und in vielen Fällen sogar verpflichtet – sind, von Betroffenen zusätzliche Identitätsnachweise einzufordern, bevor sie personenbezogene Daten herausgeben oder verarbeiten. Grundlage ist Art. 12 Abs. 6 DSGVO:

„Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, […] kann er […] zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind.“

Ob solche Zweifel bestehen, hängt immer vom Einzelfall ab. Das VG Berlin betonte, dass insbesondere folgende Faktoren entscheidend sind:

• Häufigkeit von Namensüberschneidungen: Wenn mehrere Datensätze denselben Namen enthalten, muss die eindeutige Zuordnung gesichert werden.
• Sensibilität der gespeicherten Daten: Je heikler die Informationen – etwa Bonitätsdaten oder Zahlungsverhalten –, desto höher die Anforderungen an die Identitätsprüfung.
• Missbrauchsrisiko durch Dritte: Bei kommerziell wertvollen Daten, wie sie Wirtschaftsauskunfteien speichern, ist ein unbefugtes Auskunftsersuchen besonders wahrscheinlich.

Geeignete Nachweise sind nach dem Urteil des VG Berlin zum Auskunftsanspruch aus Art. 15 DSGVO beispielsweise:

• Geburtsdatum
• frühere Anschriften
• Kunden- oder Vertragsnummern
• in Ausnahmefällen eine Ausweiskopie (nur mit ausdrücklicher Einwilligung nach § 18 Abs. 3 PassG und § 20 Abs. 2 AwG).

Das VG Berlin betonte zudem, dass alle Maßnahmen verhältnismäßig sein müssen. Unternehmen dürfen nur so viele Daten anfordern, wie unbedingt erforderlich sind, um eine sichere Identitätsfeststellung zu gewährleisten.

 Fragen zur DSGVO? Nehmen Sie gerne an unserer DSGVO Sprechstunde teil!

Praktische Auswirkungen des VG-Berlin-Urteils zum DSGVO-Auskunftsanspruch für Unternehmen und Betroffene

Das Urteil des VG Berlin schafft Rechtssicherheit beim Umgang mit Auskunftsansprüchen nach Art. 15 DSGVO und stärkt zugleich den Schutz personenbezogener Daten. Für Unternehmen ergeben sich daraus klare Handlungsanweisungen zum Datenschutz im Unternehmen:

• Identitätsprüfung ist Pflicht: Bevor sensible personenbezogene Daten herausgegeben werden, müssen Unternehmen bei begründeten Zweifeln geeignete Nachweise verlangen (Art. 12 Abs. 6 DSGVO).
• Verhältnismäßigkeit beachten: Die angeforderten Informationen müssen dem Grundsatz der Datensparsamkeit entsprechen. Häufig sind Geburtsdatum oder frühere Anschriften ausreichend; eine Ausweiskopie sollte nur in Ausnahmefällen und mit ausdrücklicher Einwilligung verarbeitet werden (§ 18 Abs. 3 PassG, § 20 Abs. 2 AwG).
• Keine Pflicht zur Auskunft nach Art. 15 DSGVO ohne Mitwirkung: Verweigert die betroffene Person die erforderlichen Nachweise, dürfen Unternehmen die Auskunft rechtmäßig verweigern (Art. 12 Abs. 2 Satz 2 DSGVO).

Für Betroffene bedeutet das: Wer sein Recht auf Datenauskunft nach Art. 15 DSGVO nutzen möchte, muss bereit sein, die zur Identifikation notwendigen Angaben bereitzustellen. Eine einfache Anfrage per E-Mail reicht nicht.

Insgesamt schafft das Urteil des VG Berlin einen klaren Balanceakt zwischen Informationsrecht und Datensicherheit. Es schützt sensible Daten vor unbefugtem Zugriff und bietet Unternehmen wie Verbrauchern klare Leitlinien für den Umgang mit DSGVO-Auskunftsanfragen nach Art. 15 DSGVO. Zudem stärkt das Urteil die rechtssichere Umsetzung der DSGVO-Compliance in Unternehmen.

Sie haben Probleme bei der Umsetzung der DSGVO? Nehmen Sie an unserem Webinar zum Thema „DSGVO-konformes Handeln – Unmöglichkeit oder Herausforderung?“ teil.

Alternativ beraten Sie unsere spezialisieren Anwälte im IT- und Datenschutzrecht auch gerne individuell. Hier können Sie einen Termin vereinbaren.