Mit dem Auskunftsanspruch nach Art. 15 Datenschutzgrundverordnung (DSGVO) hat der europäische Gesetzgeber betroffenen Personen ein mächtiges Instrument in die Hand gegeben. Allerdings kann die Erfüllung dieses Anspruchs für Verantwortliche ein organisatorischer Kraftakt sein. In diesem Zusammenhang stellte sich kürzlich die Frage zu dessen Grenzen in einem Fall, in dem eine betroffene Person Einsicht in den Vertrag über die Auftragsverarbeitung (AV-Vertrag) zwischen dem Verantwortlichen und einem externen Dienstleister verlangte. Der Verwaltungsgerichtshof (VGH) in München hat nun mit Urteil vom 21.02.2025 (7 ZB 24.651) entschieden, dass ein Recht auf Einsicht in den Auftragsverarbeiter-Vertrag nicht besteht.
Zugrundeliegender Fall
Gegenstand des Verfahrens war ein Rechtsstreit zwischen einer betroffenen Person und dem Bayerischen Rundfunk. Letzterer hatte ein Inkassounternehmen mit dem Einzug offener Rundfunkbeiträge beauftragt. Der Kläger wollte in diesem Zusammenhang den geschlossenen AV-Vertrag zwischen dem Rundfunkanbieter und dem Dienstleister einsehen – mit der Begründung, er müsse selbst prüfen können, ob ein den Gesetzesvorgaben entsprechender Vertrag existiert. Bereits in erster Instanz hatte das Verwaltungsgericht München diese Forderung zurückgewiesen. Der VGH hat diese Entscheidung nun bestätigt.
Rechtliche Einordnung: Auskunftsanspruch und Auftragsverarbeitung
Das Auskunftsrecht nach Art. 15 DSGVO ist ein zentraler Eckpfeiler des Datenschutzes. Es ermöglicht Individuen, Einblick in die Verarbeitung ihrer Daten zu erhalten – auch mittels Kopien – und gegebenenfalls Korrekturen oder Löschungen zu fordern. Zudem verhängen europäische Datenschutzbehörden bei Missachtung regelmäßig empfindliche Bußgelder.
Ein Auftragsverarbeiter ist nach Art. 28 DSGVO eine Person oder Organisation, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Nach Abs. 3 muss die Verarbeitung auf der Grundlage eines Vertrags oder einer anderen Rechtsgrundlage beruhen, die den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet. Hierin müssen der Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sein.
Keine Grundlage im Rundfunkrecht oder in der DSGVO
Zunächst stellte das Gericht in seinem Urteil fest, dass sich weder aus dem speziellen Rundfunkbeitragsrecht (§ 11 Abs. 8 Satz 1 RBStV) noch aus der DSGVO selbst ein Anspruch auf Einsichtnahme in den AV-Vertrag ergibt. Weder der Zweck des AV-Vertrags noch die Systematik der DSGVO würden eine Offenlegung gegenüber der betroffenen Person rechtfertigten. Das Gericht lehnte sogar die Annahme eines „berechtigten Interesses“ ab, wie es der Kläger ins Feld geführt hatte.
Warum Betroffene die Rechtmäßigkeit nicht selbst prüfen dürfen
Besonders deutlich wird das Gericht in seiner Begründung, warum eine betroffene Person nicht berechtigt ist, die Wirksamkeit eines AV-Vertrags selbst zu überprüfen. Diese Kontrolle, so das Gericht, obliege ausschließlich der zuständigen Datenschutzaufsichtsbehörde nach Art. 51 Abs. 1 DSGVO. Die Rolle der betroffenen Person beschränke sich hingegen auf den Auskunftsanspruch über die Verarbeitung ihrer personenbezogenen Daten – etwa darüber, dass eine Datenverarbeitung durch einen Auftragsverarbeiter erfolgt. Eine rechtliche Überprüfung dieser Datenverarbeitung und insbesondere der vertraglichen Grundlagen zwischen Verantwortlichem und Dienstleister sei dagegen Sache der Aufsichtsbehörde, nicht der betroffenen Person.
Verweis auf das Beschwerderecht statt Einsicht in interne Verträge
Das Gericht fügt hinzu, dass Betroffene, wenn sie trotz Auskunftsrecht Zweifel an der Einhaltung von Datenschutzrecht haben, sie auf ihr Beschwerderecht nach Art. 77 DSGVO zurückgreifen können. Hiermit könnten sich Betroffene an die zuständige Datenschutzaufsichtsbehörde wenden. Diese ist gesetzlich verpflichtet, möglichen Verstößen nachzugehen und bei Bedarf die in Art. 58 DSGVO vorgesehenen Maßnahmen zu ergreifen. Ein Anspruch auf eine konkrete Maßnahme besteht allerdings nicht.
Fazit
Die Entscheidung des VGH München zur Einsicht in den Auftragsverarbeiter-Vertrag entlastet Unternehmen erheblich. Bereits jetzt sind Verantwortliche mit umfangreichen Nachweis- und Dokumentationspflichten konfrontiert. Die Pflicht, betroffenen Personen auf Anfrage zusätzlich interne AV-Verträge offenzulegen, hätte nicht nur den Schutz von Geschäftsgeheimnissen schwächen, sondern auch zu erheblichem Mehraufwand führen können. Dass das Gericht diesen Versuch einer „Privataufsicht“ zurückweist, stärkt den Grundsatz der Verhältnismäßigkeit in der Datenschutzpraxis.
