Jeder Kunde, jeder Bewerber, jeder ehemalige Mitarbeiter kann jederzeit fragen: Welche Daten haben Sie über mich gespeichert? Art. 15 DSGVO gibt dieser Frage ein Recht, und Unternehmen als Verantwortliche müssen antworten, grundsätzlich kostenlos, innerhalb eines Monats, grundsätzlich ohne Begründung des Anfragenden verlangen zu können. Was in der Praxis schwerfällt, ist nicht die Pflicht selbst, sondern ihr Umfang: Reicht eine Zusammenfassung, oder müssen ganze Dokumente heraus? Zählen interne Vermerke dazu? Und gibt es überhaupt eine Grenze, ab der ein Antrag als missbräuchlich abgelehnt werden darf? Zwischen 2021 und 2026 haben BGH, EuGH und in einer bemerkenswert dichten Serie auch der Bundesfinanzhof genau diese Fragen beantwortet, zwölf Entscheidungen, die zusammen ein klares Bild ergeben.
Die BFH-Serie: sieben Urteile in sechs Monaten
Dass ausgerechnet der Bundesfinanzhof zur zentralen Instanz für Art. 15 DSGVO wurde, überrascht auf den ersten Blick. Der Hintergrund: Steuerpflichtige verlangen von Finanzbehörden zunehmend Auskunft nach Art. 15 DSGVO, oft als Ersatz oder Ergänzung zur klassischen Akteneinsicht. Zwischen Januar und Juli 2025 musste der BFH deshalb siebenmal klären, wie weit dieser Anspruch reicht. Die steuerverfahrensrechtlichen Besonderheiten dieser Fälle, etwa das Verhältnis zur Akteneinsicht nach AO/FGO oder das Steuergeheimnis nach § 30 AO, lassen sich nicht 1:1 auf private Unternehmen übertragen. Die dahinterliegenden DSGVO-Auslegungsgrundsätze, die diese Urteile zu Umfang, internen Vermerken und Aufwand als Ablehnungsgrund entwickeln, gelten dagegen für jeden Verantwortlichen gleichermaßen, denn Art. 15 DSGVO selbst unterscheidet nicht zwischen Behörde und Betrieb.
Den Auftakt macht das Urteil vom 14. Januar 2025 (IX R 25/22): Unverhältnismäßiger Aufwand allein rechtfertigt keine Auskunftsverweigerung, ein Ersuchen ist nicht bereits deshalb exzessiv, weil es sachlich oder zeitlich nicht eingegrenzt ist. Am 11. März 2025 folgen zwei weitere Entscheidungen am selben Tag: Der Anspruch besteht unabhängig von Art und Form der Aktenführung (IX R 23/22) und umfasst auch interne Vermerke, Aktennotizen und interne Kommunikation, soweit Personenbezug vorliegt (IX R 24/22). Ein Verweis auf „das würde zu viel Arbeit machen“ trägt also nicht, und „das steht doch nur in unseren internen Notizen“ schützt ebenfalls nicht vor der Herausgabepflicht.
Am 8. April 2025 zieht der BFH gleich dreifach nach. Betroffenenschreiben an eine oberste Landesbehörde sind vollständig personenbezogene Daten, die rechtliche Analyse der Behörde selbst dagegen nicht, wohl aber die darin verarbeiteten personenbezogenen Angaben (IX R 22/22). Wer erstmals im laufenden Klageverfahren von einem Akteneinsichtsantrag auf einen datenschutzrechtlichen Auskunftsanspruch umschwenkt, vollzieht eine Klageänderung, die einen vorherigen außergerichtlichen Antrag voraussetzt (IX R 8/24). Und: Art. 15 DSGVO vermittelt keinen allgemeinen Akteneinsichtsanspruch, gegen die Ablehnung eines Akteneinsichtsantrags ist der behördliche Einspruch der richtige Weg, nicht die DSGVO-Auskunftsklage (IX R 27/22).
Klartext für Geschäftsführer: Diese drei Urteile ziehen eine wichtige Trennlinie. Ein Kunde, der Ihre komplette Kundenakte sehen will, hat dafür keinen Anspruch aus Art. 15 DSGVO, sondern höchstens einen vertraglichen oder sonstigen Einsichtsanspruch, wenn überhaupt einen. Art. 15 DSGVO verschafft eine verständliche Auskunft über die Daten, nicht automatisch den kompletten Aktenordner.
Den Schlusspunkt dieser Halbjahres-Serie setzt das Urteil vom 15. Juli 2025 (IX R 25/24): Ein Steuerpflichtiger hat regelmäßig keinen Anspruch, den Inhalt einer anonymen Anzeige beim Finanzamt offengelegt zu bekommen. Das Auskunftsersuchen darf nicht allein deshalb abgelehnt werden, weil es einen datenschutzfremden Zweck verfolgt, aber der Auskunftsanspruch ist nach § 32c Abs. 1 Nr. 1 i.V.m. § 32b Abs. 1 AO ausgeschlossen, wenn die Abwägung im Einzelfall ergibt, dass das Geheimhaltungsinteresse überwiegt: Sowohl die Identität des Anzeigeerstatters als auch der Inhalt seiner Anzeige unterliegen dem Geheimnisschutz nach § 30 AO. Übertragen auf die Unternehmenspraxis: Wer intern einen anonymen Hinweisgeber-Fall hat, kann sich für den Schutz der Identität auf eine vergleichbare Kollisionsnorm oder auf die Rechte Dritter nach Art. 15 Abs. 4 DSGVO berufen, aber nicht pauschal auf „das interessiert Sie nichts“.
Die BGH/EuGH-Linie: was eine Kopie tatsächlich enthalten muss
Parallel zur BFH-Serie hat die zivilrechtliche Rechtsprechung eine zweite, ebenso wichtige Frage geklärt: Was genau schuldet der Verantwortliche, wenn er „eine Kopie“ der Daten nach Art. 15 Abs. 3 DSGVO herausgibt?
Den Ausgangspunkt setzt der BGH bereits am 15. Juni 2021 (VI ZR 576/19): Der Auskunftsanspruch folgt einem weiten Datenbegriff und erfasst auch interne Vermerke und Kommunikation mit Personenbezug, reine Rechtsbewertungen der verantwortlichen Stelle selbst sind aber ausgenommen, dieselbe Linie, die der BFH vier Jahre später für Behörden bestätigt. Der EuGH konkretisiert am 4. Mai 2023 im CRIF-Urteil (C-487/21), was „Kopie“ bedeutet: Sie muss eine originalgetreue und verständliche Reproduktion aller betroffenen Daten ermöglichen, was im Einzelfall auch ganze Dokumente oder Datenbankauszüge erfordern kann, wenn dies für die wirksame Rechtsausübung unerlässlich ist.
Am 27. September 2023 zieht der BGH in einem Versicherungsfall eine Grenze (IV ZR 177/22): Die Begründungsschreiben zu Prämienanpassungen samt Anlagen sind als solche keine personenbezogenen Daten des Versicherungsnehmers, Art. 15 Abs. 1 und 3 DSGVO gibt daher keinen Anspruch auf ihre Abschrift. Ein Auskunftsanspruch kann sich in solchen Fällen allenfalls aus § 242 BGB ergeben, und auch nur unter engen Voraussetzungen. Am 16. April 2024 präzisiert der BGH diese Linie weiter (VI ZR 223/21): Der Anspruch betrifft eine Kopie der Daten, nicht pauschal eine Dokumentkopie, ganze Dokumente sind nur herauszugeben, wenn dies für eine verständliche Auskunft unerlässlich ist. Zugleich stellt der BGH klar, dass Schreiben, die die betroffene Person selbst an den Verantwortlichen gerichtet hat, in ihrer Gesamtheit personenbezogene Daten sind und daher als vollständige Kopie herausverlangt werden können.
Klartext für Techniker: Wer ein Auskunftsersuchen bearbeitet, muss nicht reflexartig den kompletten Datensatz oder alle Rohdokumente exportieren. Maßgeblich ist, ob eine verständliche, originalgetreue Auskunft auch ohne die vollständigen Dokumente möglich ist. Ist sie das, reicht eine strukturierte Zusammenstellung der personenbezogenen Daten. Ist sie es nicht, etwa weil der Kontext ohne das ganze Dokument nicht verständlich wird, müssen ganze Dokumente heraus.
Die Grenze: wenn der Antrag selbst missbräuchlich wird
Den bislang jüngsten und für die Praxis vielleicht wichtigsten Punkt setzt der EuGH am 19. März 2026 im Fall Brillen Rottler (C-526/24): Ein erster Auskunftsantrag kann ausnahmsweise exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sein, wenn er missbräuchlich zur Erlangung eines DSGVO-fremden Vorteils gestellt wird, etwa um sich im Vorfeld eines Rechtsstreits einen prozessualen Vorteil zu verschaffen, ohne dass es dem Antragsteller tatsächlich um den Datenschutz geht. Gleichzeitig stellt der EuGH klar: Art. 82 Abs. 1 DSGVO gewährt Schadensersatz für Verletzungen des Auskunftsrechts auch dann, wenn keine konkrete unrechtmäßige Datenverarbeitung nachgewiesen wird, sofern ein konkreter Schaden belegt ist. Die Ablehnungsmöglichkeit bei Missbrauch ist also die Ausnahme, keine allgemeine Abwehrstrategie, und wer zu Unrecht ablehnt, haftet trotzdem.
Die zwölf Urteile im Überblick
| Datum | Gericht | Az. | Kernaussage |
|---|---|---|---|
| 14.01.2025 | BFH | IX R 25/22 | Unverhältnismäßiger Aufwand rechtfertigt keine Auskunftsverweigerung, kein pauschales Exzessiv |
| 11.03.2025 | BFH | IX R 23/22 | Anspruch auch gegenüber oberster Landesbehörde, unabhängig von Aktenführung |
| 11.03.2025 | BFH | IX R 24/22 | Umfasst interne Vermerke, Notizen, interne Kommunikation mit Personenbezug |
| 08.04.2025 | BFH | IX R 22/22 | Betroffenenschreiben vollständig erfasst, Behörden-Rechtsanalyse selbst nicht |
| 08.04.2025 | BFH | IX R 8/24 | Wechsel Akteneinsicht → Auskunftsanspruch im Klageverfahren = Klageänderung |
| 08.04.2025 | BFH | IX R 27/22 | Kein allgemeiner Akteneinsichtsanspruch aus Art. 15 DSGVO |
| 15.07.2025 | BFH | IX R 25/24 | Kein Anspruch auf Identität eines anonymen Anzeigenden, Steuergeheimnis § 30 AO schützt |
| 15.06.2021 | BGH | VI ZR 576/19 | Weiter Datenbegriff, interne Vermerke erfasst, reine Rechtsbewertungen nicht |
| 04.05.2023 | EuGH | C-487/21 (CRIF) | Kopie muss originalgetreue, verständliche Reproduktion sein |
| 27.09.2023 | BGH | IV ZR 177/22 | Begründungsschreiben zu Prämienanpassungen sind keine personenbezogenen Daten, kein Anspruch aus Art. 15 DSGVO |
| 16.04.2024 | BGH | VI ZR 223/21 | Anspruch betrifft Kopie der Daten, nicht pauschal Dokumentkopie |
| 19.03.2026 | EuGH | C-526/24 (Brillen Rottler) | Antrag kann bei Missbrauch exzessiv sein, Schadensersatz auch ohne bewiesene Datenverarbeitung |
Was für die Geschäftsführung zählt: Ein Auskunftsersuchen nach Art. 15 DSGVO ist kein Freibrief für den kompletten Aktenschrank, aber auch keine Formalie, die man mit einer kurzen Standardantwort abtun kann. Interne Vermerke, Notizen und Kommunikation mit Personenbezug gehören dazu, reine interne Rechtsbewertungen nicht. Der Aufwand allein ist kein Ablehnungsgrund. Nur wenn ein Antrag erkennbar missbraucht wird, um sich einen DSGVO-fremden Vorteil zu verschaffen, etwa in einem laufenden Rechtsstreit, kommt eine Ablehnung als exzessiv in Betracht, und selbst dann bleibt das Haftungsrisiko bei einer falschen Einschätzung hoch.
Was für die Technik zählt: Ein sauberer Auskunftsprozess muss in der Lage sein, personenbezogene Daten aus internen Notizen, E-Mails und Vermerken systematisch zu identifizieren, nicht nur aus den offensichtlichen Stammdatenfeldern. Die Antwort muss originalgetreu und verständlich sein, das kann eine strukturierte Zusammenstellung sein, muss aber im Einzelfall ganze Dokumente umfassen, wenn ohne sie die Auskunft nicht nachvollziehbar wäre. Ein Prozess, der pauschal „wir geben nur eine Zusammenfassung raus“ oder pauschal „wir geben alle Dokumente raus“ vorsieht, hält keiner der zwölf Entscheidungen in voller Breite stand, hier zählt die Einzelfallprüfung.
Diese Serie wird fortgesetzt: der verbleibende Cluster (DSA-Plattformpflichten) aus dem laufenden Content-Plan ist als Backlog dokumentiert und wird produziert, sobald der Cliffhanger-Slot bestätigt weiterläuft.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 20.07.2026.