Eine Bank öffnet versehentlich das falsche Schließfach. Darin: Unterlagen samt Testament. Die Bank übergibt den Inhalt an einen Nachlasspfleger, ohne dass der eigentliche Mieter des Schließfachs davon erfährt. Als er es später merkt, will er wissen: Wer ist dieser Nachlasspfleger? Die Bank verweigert die Auskunft. Die saarländische Datenschutzaufsicht sieht das anders und spricht eine förmliche Warnung aus.
Der Fall: falsches Schließfach, fremde Hand am Testament
Laut dem 34. Tätigkeitsbericht des Unabhängigen Datenschutzzentrums Saarland (Landtagsdrucksache 17/1987, Kapitel 4.1) hatte eine Bank ein Schließfach geöffnet, das nicht geöffnet werden sollte. Den Inhalt, darunter ein Testament, gab sie an einen Nachlasspfleger weiter. Der eigentliche Mieter des Schließfachs bekam davon zunächst nichts mit.
Als er es erfuhr, wollte er wissen, wer dieser Nachlasspfleger ist. Immerhin hatte diese Person Einblick in seine privatesten Unterlagen. Die Bank verweigerte die Auskunft und berief sich auf die Schutzinteressen des Nachlasspflegers.
Ab wann ist jemand „Empfänger“ im Sinne der DSGVO?
Die Aufsicht stellte sich auf die Seite des Betroffenen. Ihre Begründung: Der Nachlasspfleger wurde in dem Moment zum „Empfänger“ im Sinne von Art. 4 Nr. 9 DSGVO, in dem er die Unterlagen tatsächlich einsehen konnte. Ob er die Daten anschließend selbst weiterverarbeitet oder speichert, spielt keine Rolle. Die bloße Möglichkeit der Kenntnisnahme reicht.
Gestützt wird diese Lesart auf ein aktuelles EuGH-Urteil zum Dateisystembegriff (C-740/22, Urteil vom 07.03.2024). Danach gilt die DSGVO bereits, sobald personenbezogene Daten in einem „Dateisystem“ gespeichert sind oder gespeichert werden sollen. Digital oder rein analog in Papierakten, das macht keinen Unterschied. Genauso wenig, ob die Offenlegung mündlich, per Papierunterlagen oder technisch erfolgt.
Für Unternehmen mit gemischten Prozessen, Papierakte neben Datenbank, ist das eine klare Ansage: Der Auskunftsanspruch endet nicht an der Aktenschrank-Tür. Wer personenbezogene Daten weitergibt, egal in welcher Form, muss damit rechnen, dass diese Weitergabe auskunftspflichtig wird.
Die Bank gab nach, ohne die Rechtsauffassung zu teilen
Am Ende kam die Bank der Auskunftsanordnung nach, allerdings „ohne Anerkennung einer Rechtspflicht“. Die Aufsicht sprach trotzdem eine förmliche Warnung nach Art. 58 Abs. 2 lit. a DSGVO aus. Der Grund: Die Bank teilte die Rechtsauffassung der Aufsicht inhaltlich nicht. Eine Warnung nach dieser Vorschrift ist kein Bußgeld, aber ein amtlicher Vermerk, dass ein Verstoß vorlag.
Was heißt das für Sie?
Annahme, über die reine Berichtslage hinaus: Der Fall betrifft konkret die Kreditwirtschaft und einen physischen Datenträger, ein Schließfach. Der zugrunde liegende Rechtsgedanke, wer Zugriff auf personenbezogene Daten bekommt, wird zum Empfänger, unabhängig vom Medium, ist aber allgemein formuliert. Eine höchstrichterliche Bestätigung genau dieser Übertragung auf andere Branchen gibt es nicht. Es handelt sich um eine aufsichtsbehördliche Einzelfallentscheidung, keine Leitentscheidung eines obersten Gerichts.
Wenn Ihr Unternehmen mit sensiblen Kundenunterlagen arbeitet, digital oder auf Papier, ergeben sich daraus zwei Prüfpunkte:
- Wissen Sie jederzeit, wer intern oder extern Zugriff auf welche Kundenunterlagen bekommen hat? Ein interner Fehler wie eine Verwechslung befreit nicht von der Pflicht, die Weitergabe dokumentieren und auf Anfrage offenlegen zu können.
- Ist Ihr Auskunftsprozess auf physische Datenträger vorbereitet? Papierakten, Schließfächer, Aktenschränke, gehören genauso zum Anwendungsbereich der DSGVO wie Datenbanken.
Fazit
Ein einzelner Verwechslungsfehler an einem Schließfach reichte aus, um die Bank in eine aufsichtsbehördliche Warnung zu bringen. Nicht weil die Verwechslung selbst das Problem war, sondern weil die Bank anschließend die Auskunft über den Empfänger verweigerte. Wer personenbezogene Daten weitergibt, auf Papier oder digital, sollte wissen: Der Empfänger-Begriff der DSGVO greift, sobald tatsächliche Kenntnisnahme möglich war. Nicht erst, wenn die Daten aktiv weiterverarbeitet wurden.
Quellen
- Primärquelle: Unabhängiges Datenschutzzentrum Saarland — 34. Tätigkeitsbericht Datenschutz 2025 (Landtagsdrucksache 17/1987, vorgelegt am 18.03.2026), Kapitel 4.1 „Das Auskunftsrecht in der Kreditwirtschaft“, Abschnitt „Auskunft über Datenempfänger nach irrtümlicher Schließfachöffnung“ (S. 47–52). Zum PDF des Berichts
- Art. 4 Nr. 9 DSGVO (Empfänger-Definition) — Volltext: DSGVO Art. 4 im Wiki
- Art. 58 Abs. 2 lit. a DSGVO (Aufsichtsbefugnisse, Warnung) — Volltext: DSGVO Art. 58 im Wiki
- EuGH, Urteil vom 07.03.2024, C-740/22 (Dateisystembegriff, digital wie analog).
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 07.07.2026.