Mit Urteil vom 13.01.2026 (Az. 7 A 6/24) hat das Verwaltungsgericht Osnabrück den Fristbeginn für einen Auskunftsanspruch nach Art. 15 DSGVO konkretisiert und wichtige Klarstellungen zum Umgang mit Auskunftsersuchen getroffen.
Insbesondere stellte das Gericht heraus, dass der Eingang des Auskunftsantrags beim Verantwortlichen grundsätzlich als maßgeblicher Zeitpunkt für den Beginn der Monatsfrist nach Art. 12 Abs. 3 DSGVO anzusehen ist. Die Nennung eines Stichtags durch den Antragsteller für die Erteilung des Auskunftsanspruchs ist gerade keine Voraussetzung für den Fristbeginn. Zudem wies das Gericht den Vorwurf des Rechtsmissbrauchs bei wiederholten Auskunftsersuchen zurück und verdeutlichte die potenziellen Risiken bei Fristversäumnissen.
A. Sachverhalt
Die Beteiligten des Rechtsstreits haben sich über die Frage gestritten, ob dem Kläger eine datenschutzrechtliche Auskunft gemäß Art. 15 DSGVO fristgerecht erteilt wurde.
Der Kläger ist Inhaber eines Unternehmens, das auf sprengstoffrechtlicher Grundlage explosionsgefährliche Stoffe vertreibt. Aufgrund von Sicherheitsbedenken (Einbruchsgefahr, mögliche Entführungen) hat er Auskunftssperren in verschiedenen Registern, wie dem Fahrzeug- und Melderegister, erwirkt. Vor diesem Hintergrund ist ihm die Kontrolle über die Verarbeitung seiner personenbezogenen Daten besonders wichtig. Der Kläger stellt regelmäßig – in jährlichem Abstand – entsprechende Auskunftsersuchen an die Beklagte.
Im Ausgangspunkt stellte der Kläger mit Schreiben vom 20.11.2023 – eingegangen bei der Beklagten am 22.11.2023 – einen Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO hinsichtlich seiner personenbezogenen Daten beim Rechtsamt der Stadtverwaltung. Er verlangte Auskunft in schriftlicher Form sowie zusätzlich Ablichtungen nach Art. 15 Abs. 3 DSGVO. Daraufhin bat die Beklagte den Kläger – mit Schreiben vom 12.12.2023 – den Stichtag zu benennen, zu dem die Auskunft erfolgen sollte. Der Kläger hielt die Nachfrage für unverständlich. Zudem verwies er mit Schreiben vom 18.12.2023 – bei der Beklagten am Folgetag eingegangen – darauf, dass in dem Antrag kein spezielles Datum genannt worden sei und damit das Eingangsdatum zu berücksichtigen wäre. Letztlich teilte die Beklagte dem Kläger mit einem vom 03.01.2024 datierten Schreiben mit, dass in ihrem Rechtsamt keine personenbezogenen Daten des Klägers gespeichert seien und auch keine verarbeitet würden.
Den aufgezeigten Sachverhalt nahm der Kläger zum Anlass eine Feststellungsklage i.S.v. § 43 Abs. 1 VwGO zu erheben, um festzustellen, dass die Beklagte die Datenschutzauskunft nicht fristgemäß nach Art. 12 Abs. 3 DSGVO erteilt hat. Streitgegenständlich war die Frage, ob aus der Nachfrage nach dem Stichtag für die Auskunftserteilung eine Verlängerung der Bearbeitungsfrist i.S.v. Art. 12 Abs. 3 DSGVO resultiert. Das Feststellungsinteresse des Klägers ergab sich aus der Wiederholungsgefahr – er plant, auch künftig regelmäßig Auskunftsersuchen zu stellen – sowie aus einem parallel beim Landgericht anhängigen Schadenersatzverfahren wegen früherer verspäteter Auskünfte.
B. Entscheidung
Das VG Osnabrück hat entschieden, dass die Beklagte die Auskunft i.S.d. Art. 15 Abs. 1 DSGVO auf den Antrag des Klägers vom 20.11.2023 nicht fristgemäß nach Art. 12 Abs. 3 DSGVO erteilt hat.
I. Fristbeginn
Ausgehend vom Wortlaut des Art. 12 Abs. 3 DSGVO stellte das Gericht zunächst im Grundsatz fest, dass der Verantwortliche (hier: die Beklagte) der betroffenen Person (hier: dem Kläger) Informationen über die auf Antrag gemäß den Art. 15 bis 22 DSGVO ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellen muss.
Als fristauslösendes Ereignis sah das Gericht ausdrücklich den Eingang des Auskunftsantrags gemäß Art. 15 DSGVO bei dem Verantwortlichen an.
Gegebenenfalls sei davon abweichend auf die Feststellung der Identität nach Art. 12 Abs. 6 DSGVO abzustellen. Bei anwaltlicher Vertretung des Betroffenen beginne die Frist erst mit Vorlage der Originalvollmacht zu laufen, sofern der Verantwortliche eine solche verlangt.
Gerade keine Voraussetzung für den Beginn der Frist ist nach dem Gericht demgegenüber die Nennung eines Stichtags für die Auskunftserteilung durch den Antragsteller. Ein solches Erfordernis würden Art. 12 und Art. 15 DSGVO nicht vorsehen.
Zwar wird darauf hingewiesen, dass das Auskunftsrecht auch Datenverarbeitungen in der Vergangenheit umfasst. Allerdings komme es bei einem insoweit nicht spezifiziertem Auskunftsantrag auf eine Auslegung nach den §§ 133, 157 BGB analog an. Nach einer solchen Auslegung beziehe sich ein unspezifischer Auskunftsantrag grundsätzlich auf den Zeitpunkt seines Eingangs, also erfasst der Auskunftsanspruch nach Ansicht des Gerichts alle bis zu diesem Zeitpunkt stattgefundenen Datenverarbeitungen.
Als Begründung werden die Zwecke des Auskunftsanspruchs angeführt: Diese sollen es der betroffenen Person ermöglichen, von einer Verarbeitung der ihn betreffenden personenbezogenen Daten Kenntnis zu erhalten (Transparenz) sowie die Rechtmäßigkeit der Verarbeitung zu überprüfen (Erleichterung der Kontrolle). Vor diesem Hintergrund sei es nach dem Gericht offenkundig, dass der betroffenen Person daran gelegen ist, ein möglichst vollständiges Bild der Verarbeitung seiner personenbezogenen Daten zu erhalten. Eine zeitliche Begrenzung der Anfrage auf einen bestimmten Zeitraum ist vielmehr die Ausnahme und dient regelmäßig allein der Arbeitserleichterung des Verantwortlichen. Denn wird dem Betroffenen eine vollständige Auskunft erteilt, kann er selbst entscheiden, welche Teile der Auskunft für ihn von Relevanz sind – über die Vollständigkeit der Auskunft kann nur die betroffene Person, nicht aber der Verantwortliche entscheiden.
Zudem lagen keine Anhaltspunkte dafür vor, dass der Kläger sein Auskunftsersuchen zeitlich näher eingrenzen wollte. Eine Nachfrage hinsichtlich eines Stichtags zur Auskunftserteilung war damit gerade nicht angezeigt.
Im Ergebnis war der Eingang des Antrags bei der Beklagten am 22.11.2023 somit als fristauslösendes Ereignis anzusehen.
II. Fristberechnung
Die Fristberechnung erfolgt nach Ansicht des Gerichts nach der Verordnung (EWG, Euratom) Nr. 1182/71 des Rates vom 3. Juni 1971 zur Festlegung der Regeln für die Fristen, Daten und Termine („Fristen-VO“). Die Monatsfrist des Art. 12 Abs. 3 S. 1 DSGVO endete nach Art. 3 Abs. 2 lit. c Fristen-VO mithin am 22.12.2023. Es wurde, ausweislich der gerichtlichen Feststellung, keine Fristverlängerung nach Art. 12 Abs. 3 S. 2 und S. 3 DSGVO durch die Beklagte ausgesprochen – weder wurde eine Verlängerung erklärt noch wurden die Gründe für eine etwaige Verzögerung mitgeteilt. Damit lag ein Fristversäumnis durch die Beklagte mit Blick auf den Auskunftsanspruch i.S.v. Art. 15 DSGVO vor.
III. Kein Rechtsmissbrauch durch wiederholte Auskunftsersuchen
Ein zentraler Aspekt der Entscheidung betrifft die Frage, ob wiederholte Auskunftsersuchen rechtsmissbräuchlich sein können. Die Beklagte argumentierte, der Kläger mache von seinem Auskunftsrecht exzessiv Gebrauch, da er regelmäßig entsprechende Anträge stelle. Zudem sei sein eigentliches Ziel die Geltendmachung von Schadenersatzansprüchen, was sich aus dem parallel beim Landgericht anhängigen Verfahren ergebe, in dem der Kläger für verspätete Auskünfte aus früheren Jahren Schadenersatz nach Art. 82 DSGVO fordere.
Das Gericht wies diesen Einwand zurück: Die wiederholte Geltendmachung von Auskunftsansprüchen – selbst in Verbindung mit parallellaufenden Schadenersatzverfahren – stellt für sich genommen keinen Rechtsmissbrauch dar. Betroffene Personen dürfen ihre gesetzlichen Rechte auch dann ausüben, wenn sie sich bereits in der Vergangenheit gerichtlich mit dem Verantwortlichen auseinandergesetzt haben.
Die Beklagte hatte sich zudem während des Verwaltungsverfahrens zu keinem Zeitpunkt auf einen möglichen Rechtsmissbrauch berufen, sondern die Auskunft letztlich erteilt – was gegen ihre eigene Rechtsmissbrauchsargumentation sprach. Erst im gerichtlichen Verfahren wurde dieser Einwand vorgebracht, was nach Ansicht des Gerichts zu spät war.
C. Bedeutung für die Praxis
Für die Praxis bleibt festzuhalten, dass bei Art. 12 Abs. 3 DSGVO grundsätzlich der Antragseingang beim Verantwortlichen als fristauslösender Moment für einen Auskunftsanspruch gemäß Art. 15 DSGVO anzusehen ist. Die konkrete Benennung eines Stichtags durch den Betroffenen, zu dem die Auskunft erfolgen soll, ist nicht notwendig.
Vielmehr ist ein nicht spezifizierter Antrag regelmäßig so zu verstehen, dass er sämtliche bis zum Antragseingang erfolgten Datenverarbeitungen erfasst. Insofern führt die Nachfrage nach einem Stichtag für den Auskunftsanspruch durch den Verantwortlichen zu keiner Verlängerung der ihr obliegenden Bearbeitungsfrist nach Art. 12 Abs. 3 DSGVO.
Praktische Folgen verspäteter Auskunftserteilung
Die Nichteinhaltung der Monatsfrist kann erhebliche rechtliche Konsequenzen nach sich ziehen. Im vorliegenden Fall hatte der Kläger bereits ein Schadenersatzverfahren beim Landgericht anhängig gemacht, in dem er für jeden Monat verspäteter Auskunftserteilung auf frühere Anträge (vom 01.07.2020 und 01.09.2021) Schadenersatz nach Art. 82 DSGVO geltend machte. Dies verdeutlicht: Eine Fristüberschreitung ist nicht nur formell problematisch, sondern kann zu Haftungsrisiken führen.
Zudem kann eine verspätete Auskunft dazu führen, dass Betroffene ihre weiteren Rechte (z.B. Berichtigung, Löschung) erst verzögert ausüben können. Im konkreten Fall konnte der Kläger seinen Auskunftsantrag beim Hauptamt der Beklagten erst am 10.01.2024 stellen, nachdem die verspätete Auskunft des Rechtsamts vorlag – die Verzögerung pflanzte sich also fort.
Key Takeaways
Für die Praxis können folgende Key Takeaways festgehalten werden:
- Der Verantwortliche kann bei begründeten Zweifeln an der Identität des Antragstellers nach Art. 12 Abs. 6 DSGVO weitere Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind. Die Frist beginnt in diesem Falle erst ab Klärung der Identität zu laufen.
- Hinsichtlich einer anwaltlichen Vertretung des Betroffenen beginnt die Frist unter Bezugnahme auf Art. 12 Abs. 6 DSGVO erst mit Vorlage der Originalvollmacht, sofern der Verantwortliche die Vorlage einer solchen Vollmacht von der betroffenen Person verlangt.
- Die konkrete Fristberechnung erfolgt nach der Fristen-VO.
- Eine Fristverlängerung nach Art. 12 Abs. 3 S. 2 DSGVO kann um weitere zwei Monate erfolgen, wenn dies unter Berücksichtigung der Komplexität und Anzahl von Anträgen erforderlich ist. Entscheidend ist jedoch: Eine solche Fristverlängerung muss dem Betroffenen innerhalb der ursprünglichen Monatsfrist zusammen mit den Gründen für die Verzögerung mitgeteilt werden (Art. 12 Abs. 3 S. 3 DSGVO). Eine bloße Nachfrage nach einem Stichtag rechtfertigt weder eine Fristverlängerung noch verschiebt sie den Fristbeginn.
- Wiederholte Auskunftsersuchen sind grundsätzlich nicht rechtsmissbräuchlich, selbst wenn der Betroffene parallel Schadenersatzansprüche geltend macht. Der Einwand des Rechtsmissbrauchs erfordert besondere Umstände und muss bereits im Verwaltungsverfahren geltend gemacht werden – eine erstmalige Berufung im gerichtlichen Verfahren kommt zu spät.
- Eine Fristüberschreitung kann Schadenersatzansprüche nach Art. 82 DSGVO begründen. Verantwortliche sollten daher sicherstellen, dass Auskunftsersuchen systematisch erfasst und fristgerecht bearbeitet werden.
- Für die gerichtliche Geltendmachung einer bereits erledigten Rechtsverletzung (die Auskunft wurde schließlich erteilt) steht Betroffenen die Feststellungsklage nach § 43 Abs. 1 VwGO offen, sofern ein Feststellungsinteresse besteht. Ein solches liegt insbesondere bei Wiederholungsgefahr oder zur Vorbereitung eines Schadenersatzanspruchs vor.
VG Osnabrück, Urteil vom 13.01.2026 – 7 A 6/24
