26. Oktober 2026 · 27 Min. Lesezeit · Datenschutz

DSGVO-Reform: Was das Ratsmandat zum Digital Omnibus für den Auskunftsanspruch nach Art. 15 DSGVO bedeutet

DSGVOAuskunftsanspruchDigital OmnibusProzessrechtDatenschutz

Am 21. Oktober 2026 haben die Ständigen Vertreter der Mitgliedstaaten das Verhandlungsmandat des Rates zum Digital Omnibus beschlossen, dem Paket, das unter anderem die DSGVO ändern soll (1). Für Prozessanwältinnen und Prozessanwälte zählt vor allem eine Änderung. Die Kommission wollte Verantwortlichen erlauben, einen Auskunftsantrag abzulehnen, wenn die betroffene Person ihre Rechte „zu anderen Zwecken als dem Schutz ihrer Daten missbraucht“ (2). Damit wäre ein Weg verbaut worden, den deutsche Kanzleien seit Jahren gehen: Art. 15 DSGVO als Informationsquelle vor und im Prozess, ob im Streit um Beitragsanpassungen der privaten Krankenversicherung, im Arbeitsrecht oder in der Anlageberaterhaftung. Der Rat hat diesen Halbsatz gestrichen (3).

An seine Stelle setzt er die Missbrauchsabsicht, die der Verantwortliche nachweisen muss. Der Begriff stammt aus der Rechtsprechung des Gerichtshofs der Europäischen Union, der im März 2026 in Brillen Rottler entschieden hat, dass schon ein erster Auskunftsantrag als exzessiv abgelehnt werden kann (4). Beim Beweismaß bleibt der Ratstext allerdings hinter dem Urteil zurück. Die Berichterstatterinnen des Europäischen Parlaments wollen weiter gehen als der Rat; ihre Ausschüsse haben noch nicht abgestimmt (5) (6).

Die kurze Antwort: Geändert hat sich noch nichts. Es gilt die DSGVO, wie der Gerichtshof sie auslegt: Ein Auskunftsantrag muss nicht begründet werden, und nach dem BGH steht es dem Anspruch nicht entgegen, dass er einen Prozess gegen den Verantwortlichen vorbereiten soll. Als exzessiv ablehnen darf der Verantwortliche schon einen ersten Antrag, aber nur, wenn er eindeutig nachweist, dass die betroffene Person etwa die Voraussetzungen für einen Schadensersatzanspruch künstlich schaffen wollte. Der Rat will diese Missbrauchsabsicht in Art. 12 Abs. 5 DSGVO festschreiben; das Parlament hat noch keine Position.

Art. 15 DSGVO als Informationsquelle vor und im Prozess

Art. 15 DSGVO gibt jeder Person das Recht zu erfahren, ob ein Verantwortlicher sie betreffende Daten verarbeitet, und wenn ja, eine Kopie dieser Daten mit Angaben zu Zwecken, Empfängern, Herkunft und Speicherdauer zu erhalten. Die erste Kopie ist unentgeltlich, die Antwortfrist beträgt einen Monat und lässt sich bei komplexen oder zahlreichen Anträgen um zwei Monate verlängern, und eine Ablehnung ist zu begründen (Art. 12 Abs. 3 und 4 DSGVO). Einen allgemeinen Grund, den Antrag als solchen abzulehnen, enthält die DSGVO nur in Art. 12 Abs. 5: Bei „offenkundig unbegründeten“ oder „exzessiven“ Anträgen kann der Verantwortliche ein Entgelt verlangen oder sich weigern, tätig zu werden, und er „hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen“ (7).

Im deutschen Zivilprozess wirkt dieses Recht besonders stark, weil das Prozessrecht keine Discovery kennt. Wer Urkunden des Gegners braucht, muss sie nach §§ 142, 421 ff. ZPO genau bezeichnen und schlüssig zu den Tatsachen vortragen, die sie belegen sollen. Der Bundesgerichtshof hat das 2014 für das Einsichtsrecht nach § 810 BGB und die Vorlageanordnung nach § 142 ZPO zusammengefasst: Kein schutzwürdiges Interesse hat, wer Einsicht nur verlangt, „um erst durch die Einsicht Anhaltspunkte für eine spätere Rechtsverfolgung zu gewinnen“, und das Gericht darf die Vorlegung „nicht zum Zwecke bloßer Informationsgewinnung“ anordnen (8). Auskunftsansprüche aus Treu und Glauben nach § 242 BGB bestehen nur „ausnahmsweise“, wenn der Berechtigte in entschuldbarer Weise über Bestehen und Umfang seines Rechts im Ungewissen ist (9).

Art. 15 DSGVO verlangt nichts davon. Die betroffene Person muss weder ein rechtliches Interesse darlegen noch Unterlagen bezeichnen, die Kopie ist kostenlos, und die Frist läuft kraft Gesetzes. Erfasst sind alle personenbezogenen Daten, also auch Gesprächsnotizen, interne Vermerke und Korrespondenz, soweit sie Informationen über die Person enthalten. Der Auskunftsanspruch ist deshalb zu einem gängigen Mittel geworden, die Informationslücke vor einer Klage zu schließen. Die Fälle, die BGH und BAG erreicht haben, zeigen das Muster: ein Versicherungsnehmer, der neben der Prämienrückzahlung eine vollständige Datenauskunft einklagt (10); eine Anlegerin, die ihre Schadensersatzklage gegen ihre Finanzberaterin um Kopien von Telefonnotizen und Aktenvermerken erweitert (11); ein Koch, dessen Anwalt in einem Schreiben Versetzung und Abmahnung zurückweist und zugleich verlangt, über die Betriebsratsanhörung sei „vollumfänglich Auskunft nach Art. 15 DSGVO zu erteilen“ (12). Auch die Grundsatzfrage, die der Gerichtshof 2023 beantwortet hat, kam aus Karlsruhe: Ein Patient wollte eine Kopie seiner Patientenakte, um Haftungsansprüche gegen seine Zahnärztin geltend zu machen (13) (14).

Verantwortliche halten dem entgegen, ein Datenschutzrecht werde so zum Ausforschungsinstrument. Die Kommission hat sich dieser Sicht angeschlossen; ihre Begründung spricht von betroffenen Personen, „die das Auskunftsrecht für andere Zwecke als den Schutz ihrer personenbezogenen Daten missbrauchen“ (2). Der Bundesgerichtshof, die Aufsichtsbehörden und die Berichterstatterinnen des Parlaments sehen das anders.

Was deutsche Gerichte zu „datenschutzfremden Zwecken“ entschieden haben

Die Linie des Bundesgerichtshofs

Reichweite (VI ZR 576/19, Juni 2021). Schreiben der betroffenen Person und interne Vermerke über sie, die das Landgericht ausgenommen hatte, können nicht kategorisch vom Auskunftsanspruch ausgeschlossen werden; er setzt „weder nach seinem Wortlaut noch nach Sinn und Zweck voraus, dass die fraglichen Daten extern zugänglich sind“ (Rn. 24 bis 27). Rechtliche Bewertungen als solche sind keine personenbezogenen Daten (Rn. 28). Den Einwand datenschutzfremder Zwecke konnte der Senat mangels Feststellungen nicht prüfen; als Maßstab nannte er Art. 12 Abs. 5 Satz 2, Art. 15 Abs. 4 DSGVO und Art. 23 Abs. 1 DSGVO in Verbindung mit § 29 Abs. 1 Satz 2 BDSG (Rn. 33) (10).
Vorlage (VI ZR 1352/20, März 2022). Im Zahnarztfall legte derselbe Senat die Frage vor, ob die erste Kopie verweigert werden darf, wenn die betroffene Person einen anderen als den in Erwägungsgrund 63 genannten Zweck verfolgt. Die damals verbreitete Gegenauffassung in Literatur und Instanzrechtsprechung hielt solche Anträge für rechtsmissbräuchlich, weil Art. 15 nicht der Vorbereitung von Arzthaftungsklagen diene (Rn. 15). Der Senat fügte hinzu: „Der Senat hat jedoch Zweifel, ob diese Sichtweise zutreffend ist.“ (Rn. 16) (13)
Offengelassen (IV ZR 177/22, September 2023). Einen Monat vor der Antwort aus Luxemburg entschied der IV. Zivilsenat über die Auskunft zu Beitragsanpassungen in der privaten Krankenversicherung. Aus Art. 15 Abs. 1 und 3 DSGVO folge „grundsätzlich kein Anspruch auf Abschriften der Begründungsschreiben zu den Prämienanpassungen samt Anlagen“ (Leitsatz 2). Ob der Versicherungsnehmer ausgeschlossen wäre, „weil er datenschutzfremde Zwecke verfolgt“, ließ der Senat ausdrücklich dahinstehen (Rn. 56) (9). Als Beleg für einen Missbrauchseinwand taugt die Entscheidung deshalb nicht.
Angewendet (VI ZR 330/21, März 2024). Nach dem EuGH-Urteil stellte der VI. Zivilsenat fest, dass die Kopie auch dann geschuldet ist, „wenn mit dem Antrag andere als die in Satz 1 Erwägungsgrund 63 DSGVO genannten Zwecke verfolgt werden“ (Rn. 20) (11).
Entschieden (I ZR 115/25, Dezember 2025). Ein privat Krankenversicherter verlangte Angaben zum Verlauf seiner Beiträge, um einen Rückforderungsprozess vorzubereiten. Der I. Zivilsenat hielt fest, dass es dem Anspruch „nicht entgegensteht, dass er damit den Zweck verfolgt, Informationen zur Vorbereitung eines beabsichtigten Rückforderungsprozesses gegenüber der Beklagten zu erlangen“ (Rn. 16). Ob neben Art. 12 Abs. 5 DSGVO ein allgemeiner Rechtsmissbrauchseinwand besteht, ließ er offen (Rn. 18). Aufgehoben und an das Landgericht Leipzig zurückverwiesen hat er gleichwohl, weil nicht festgestellt war, dass alle verlangten Angaben zum Beitragsverlauf überhaupt personenbezogene Daten sind (Rn. 21 ff.) (15).

Für die Praxis heißt das: Der Einwand, der Anspruchsteller wolle mit der Auskunft nur einen Prozess vorbereiten, trägt vor dem BGH nicht. Gestritten wird seither vor allem über den Gegenstand, also darüber, was personenbezogene Daten sind und in welcher Form sie herauszugeben sind.

Wo der Anspruch an Grenzen stößt

Kopie heißt nicht Aktenkopie. Unter Berufung auf das EuGH-Urteil vom 4. Mai 2023 (C-487/21) hat der IV. Zivilsenat festgehalten, dass sich die Kopie auf die personenbezogenen Daten bezieht und nicht auf Dokumente als solche; ganze Dokumente sind nur herauszugeben, wenn die Kontextualisierung für die Verständlichkeit der Daten unerlässlich ist (Rn. 54 f.) (9).
Bestimmtheit und Stufenklage. Ein Klageantrag auf Kopien von E-Mails ist nach dem BAG unzulässig, wenn die E-Mails nicht so genau bezeichnet sind, dass im Vollstreckungsverfahren klar ist, worauf sich die Verurteilung bezieht. Wer sie nicht bezeichnen kann, ist „gehalten, sein Begehren mittels einer Stufenklage (§ 254 ZPO) durchzusetzen“ (Rn. 20) (16).
Abtretung an Forderungskäufer. Ein Schweizer Forderungskäufer klagte Auskunftsansprüche von sechs Versicherten gegen einen Krankenversicherer ein. Das Landgericht sah darin eine ausschließlich datenschutzfremde und damit missbräuchliche Verfahrensweise, das Oberlandesgericht hielt den Anspruch für höchstpersönlich. Der BGH ließ die Abtretbarkeit offen, weil die Auskunftsansprüche gar nicht abgetreten worden waren (Rn. 20), und verneinte eine gewillkürte Prozessstandschaft (17). Auskunftsansprüche sollten deshalb im Namen der betroffenen Person geltend gemacht werden.

Schadensersatz wegen verspäteter oder verweigerter Auskunft

Das Bundesarbeitsgericht geht mit Schadensersatzforderungen wegen verspäteter Auskunft streng um. Im Fall des Kochs verneinte der Achte Senat einen immateriellen Schaden: Der Kontrollverlust, der darin liegt, dass die Rechtmäßigkeit der Verarbeitung nicht überprüft werden kann, gehe „mit jeder Verletzung des Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO zwingend einher“ und könne deshalb keinen eigenständigen Schaden begründen (Rn. 18) (12). Im Februar 2025 bekräftigte er, eine „nur verspätete Auskunft“ begründe für sich genommen keinen Kontrollverlust im Sinne einer Gefahr missbräuchlicher Verwendung (Rn. 17); bloßer Ärger über den Aufwand der Rechtsverfolgung sei ebenfalls kein Schaden (Rn. 26) (18).

Brillen Rottler setzt hier einen etwas anderen Akzent. Der Gerichtshof bestätigt, dass Art. 82 Abs. 1 DSGVO auch den Schaden aus einer Verletzung des Auskunftsrechts erfasst (Rn. 55), und versteht unter immateriellem Schaden ausdrücklich auch den Verlust der Kontrolle oder die Ungewissheit darüber, ob Daten verarbeitet wurden, sofern der Schaden tatsächlich entstanden ist und das eigene Verhalten der Person nicht die entscheidende Ursache war (Rn. 64 und 67). Eine bloß behauptete Befürchtung reicht weiterhin nicht (Rn. 63) (4). Ob die Begründung des BAG, der Kontrollverlust sei jeder Auskunftsverletzung immanent, damit vereinbar bleibt, ist offen; eine Entscheidung des BAG nach März 2026 dazu haben wir nicht gefunden.

Brillen Rottler: Missbrauch schon beim ersten Antrag

Was der Gerichtshof bis 2026 entschieden hatte

FT, Oktober 2023. Auf die Vorlage des BGH entschied der Gerichtshof, dass weder Art. 12 Abs. 5 noch Art. 15 Abs. 1 und 3 DSGVO die erste Kopie von einer Begründung abhängig machen; der Verantwortliche darf keine verlangen (Rn. 38). Erwägungsgrund 63 kann nicht so ausgelegt werden, dass ein Antrag zurückzuweisen ist, „wenn mit ihm ein anderer Zweck verfolgt wird als der, von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen“ (Rn. 43). Die Ablehnungsgründe des Art. 12 Abs. 5 beziehen sich auf „Fälle von Rechtsmissbrauch“ (Rn. 31) (14). Dass die erste Kopie auch bei einem anderen als dem in Erwägungsgrund 63 Satz 1 genannten Zweck geschuldet ist, bestätigte der Gerichtshof im Mai 2024 in Addiko Bank durch Beschluss nach Art. 99 seiner Verfahrensordnung, also als Frage, deren Antwort sich klar aus der bisherigen Rechtsprechung ergibt (19).

Österreichische Datenschutzbehörde, Januar 2025. Zu Beschwerden bei einer Aufsichtsbehörde entschied der Gerichtshof, dass ihre Zahl allein sie nicht exzessiv macht. Die Behörde muss „eine Missbrauchsabsicht der betroffenen Person“ anhand aller Umstände feststellen (Rn. 50), etwa einen „anderen Zweck, der in keinem Zusammenhang mit diesem Schutz steht“ (Rn. 56). Verankert ist die Ausnahme in dem allgemeinen Grundsatz, dass sich niemand in betrügerischer oder missbräuchlicher Weise auf das Unionsrecht berufen darf (Rn. 49) (20).

Das Urteil vom 19. März 2026

Ein in Österreich wohnender Mann abonnierte im März 2023 den Newsletter eines familiengeführten Optikers in Arnsberg und richtete nach der Sachverhaltsdarstellung des Gerichtshofs 13 Tage später einen Auskunftsantrag an das Unternehmen. Der Optiker lehnte den Antrag als missbräuchlich ab und stützte sich vor Gericht auf Medienberichte, Blogbeiträge und Berichte von Rechtsanwälten, nach denen der Mann nach dem Muster vorgehe, sich zu einem Newsletter anzumelden, dann Auskunft zu beantragen und schließlich Schadensersatz zu fordern; der Mann verlangte mindestens 1.000 Euro (Rn. 12 bis 16). Der Gerichtshof hat entschieden (4):

Auch ein erster Auskunftsantrag kann „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO sein. Weil der Begriff eng auszulegen ist, kann sich der Verantwortliche darauf aber „nur ausnahmsweise“ berufen, und die Maßstäbe müssen hoch sein (Rn. 35).
Rechtsmissbrauch setzt ein objektives Element voraus, die formale Einhaltung der Voraussetzungen bei Verfehlung des Regelungsziels, und ein subjektives, die Absicht, sich einen Vorteil aus der Unionsregelung zu verschaffen, „indem die Voraussetzungen für seine Erlangung künstlich geschaffen werden“ (Rn. 36).
Dem Verantwortlichen obliegt „der eindeutige Nachweis“, dass die betroffene Person nicht von der Verarbeitung Kenntnis nehmen, sondern künstlich die Voraussetzungen für Schadensersatz schaffen wollte (Rn. 41). Zu berücksichtigen sind insbesondere, ob die Daten freiwillig bereitgestellt wurden, zu welchem Zweck, die Zeit bis zum Antrag und das Verhalten der Person (Rn. 42).
Öffentliche Informationen über ein systematisches Vorgehen dürfen herangezogen werden, „sofern er durch andere relevante Anhaltspunkte bestätigt wird“ (Rn. 43).
Die Verletzung des Auskunftsrechts kann einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO begründen (Rn. 55); der Kausalzusammenhang ist aber unterbrochen, wenn das Verhalten der Person die entscheidende Ursache des Schadens ist (Rn. 65 bis 67).

Wie weit reicht Randnummer 40?

Ein Satz des Urteils dürfte künftig vielen prozessvorbereitenden Auskunftsersuchen entgegengehalten werden. Nach Rn. 40 kann eine Missbrauchsabsicht festgestellt werden, „wenn diese Person den Antrag zu einem anderen Zweck stellt als dem, sich der Datenverarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen, um anschließend ihre Rechte aus der DSGVO schützen zu können“ (4). Isoliert gelesen könnte das die gekündigte Arbeitnehmerin erfassen, die ihre Personalakte für den Kündigungsschutzprozess will, oder den Versicherungsnehmer, der Beitragserhöhungen angreifen möchte.

Im Zusammenhang gelesen trägt die Randnummer das nicht. Der Gerichtshof verlangt beide Elemente des Missbrauchs, beschreibt den erstrebten Vorteil als einen aus der Unionsregelung, dessen Voraussetzungen künstlich geschaffen werden, betont die enge Auslegung und die hohen Maßstäbe und stellt FT nirgends in Frage. Die Arbeitnehmerin hat die Verarbeitung ihrer Daten nicht herbeigeführt, um sich darüber zu beschweren; die Daten existieren wegen des Arbeitsverhältnisses. Brillen Rottler betrifft den inszenierten Anspruch: eine freiwillig eingegangene Beziehung, ein Antrag nach wenigen Tagen, ein Muster gegenüber vielen Verantwortlichen. Das ist unsere Lesart. Sie steht im Einklang mit dem Urteil des I. Zivilsenats, das allerdings vor Brillen Rottler ergangen ist (15); eine höchstrichterliche Entscheidung, die sich mit Rn. 40 befasst, haben wir nicht gefunden. Verantwortliche werden die Gegenlesart vortragen.

Das Folgeurteil des Amtsgerichts Arnsberg

Am 1. Juli 2026 hat das Amtsgericht Arnsberg die Widerklage auf Auskunft und Entschädigung abgewiesen. Der Optiker sei „gem. Art. 12 Abs. 5 lit. b) DSGVO berechtigt, die Anfrage des Beklagten als exzessiv abzulehnen“ (Rn. 33). Die Missbrauchsabsicht stützte das Gericht auf Indizien (Rn. 39 bis 48): mehr Daten bei der Anmeldung als nötig; kein erkennbares Interesse eines in Österreich Wohnenden an Rabattinformationen für die regionalen Filialen eines Optikers, der nicht nach Österreich versendet; ein sehr kurzer Abstand bis zum Antrag; Berichte über massenhafte Abmahnungen, die durch diese Umstände bestätigt wurden; ein Prozessbevollmächtigter, der zur Zahl ähnlicher Fälle nichts sagen wollte. Dass der Anfragende neben Schadensersatz auch die Auskunft selbst einklagte, ändere daran nichts (Rn. 49). Ein Schadensersatzanspruch scheitere schon mangels Verstoßes und jedenfalls am unterbrochenen Kausalzusammenhang (Rn. 55) (21).

Zwei Punkte verdienen Aufmerksamkeit. Erstens hat das Amtsgericht auch als Indiz gewertet, dass sich der Anfragende nicht bei der Aufsichtsbehörde beschwert hatte; dieser Weg wäre bei echtem Aufklärungsinteresse „der effektivere gewesen“ (Rn. 45). Das ist eine Erwägung des Amtsgerichts, nicht des Gerichtshofs. Auf Auskunftsersuchen, die einen Prozess vorbereiten sollen, lässt sie sich nicht übertragen; die DSGVO stellt Beschwerde und gerichtlichen Rechtsbehelf ausdrücklich nebeneinander (Art. 79 Abs. 1 DSGVO) (7). Zweitens ist das Urteil nicht rechtskräftig; nach der Rechtsprechungsdatenbank der Justiz Nordrhein-Westfalen wird das Berufungsverfahren beim Landgericht Arnsberg unter dem Aktenzeichen I-10 S 71/26 geführt (21). Soweit ersichtlich ist es bislang die einzige veröffentlichte Entscheidung eines deutschen Gerichts, die Brillen Rottler anwendet.

Die nächste Vorlage aus Karlsruhe: provozierte Verstöße

Hinter Brillen Rottler steht ein Phänomen, das deutsche Gerichte seit Jahren beschäftigt: Datenschutzverstöße, die gezielt gesucht oder herbeigeführt werden, um Forderungen zu stellen. Im August 2025 hat der VI. Zivilsenat dem Gerichtshof einen Fall aus der Welle der Google-Fonts-Abmahnungen vorgelegt. Der Abmahnende hatte mit einem eigens programmierten Webcrawler eine Vielzahl von Websites automatisiert auf die dynamische Einbindung von Google Fonts geprüft, die Übermittlung seiner IP-Adresse an Google dokumentiert und Zahlungen verlangt; ein Websitebetreiber verlangt das Gezahlte zurück. Der BGH fragt unter anderem, ob ein immaterieller Schaden vorliegen kann, wenn die betroffene Person den Verstoß bewusst und allein herbeiführt, um ihn geltend zu machen, und ob das auch gilt, „wenn gleichartige Verstöße in großer Zahl in automatisierter Weise provoziert werden“ (22). Nach dem Rechtsprechungsportal des Bundes ist das Verfahren beim Gerichtshof als C-654/25 anhängig.

Wo die DSGVO-Reform steht

Die Kommission hat den Digital Omnibus am 19. November 2025 vorgelegt (2). Vorgeschlagen ist eine einzige Verordnung, die neben der DSGVO unter anderem die Datenschutzverordnung für die Organe der Union, die ePrivacy-Richtlinie, den Data Act und die Meldepflichten der NIS-2-Richtlinie ändert. Der parallel vorgelegte Omnibus zur KI-Verordnung war ein eigener Vorschlag und wurde nach Angaben des Rates bereits am 29. Juni 2026 angenommen (1). Der Datenteil mit den DSGVO-Änderungen steckt noch im Gesetzgebungsverfahren:

10. Februar 2026: Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) nehmen eine gemeinsame Stellungnahme an. Sie lehnt die engere Definition personenbezogener Daten ab und billigt zwar das Ziel, Missbrauch des Auskunftsrechts klarer zu fassen, nicht aber die Anknüpfung an den Zweck des Antrags (23).
25. Februar 2026: Der Ausschuss für Industrie, Forschung und Energie (ITRE) und der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) bestellen in gemeinsamer Federführung Aura Salla (EVP) und Marina Kaljurand (S&D) zu Berichterstatterinnen (6).
27. März 2026: Der Bundesrat beschließt seine Stellungnahme nach dem EUZBLG (24).
22. Juni 2026: Die Berichterstatterinnen legen ihren Berichtsentwurf vor; Änderungsanträge weiterer Abgeordneter folgen am 27. Juli (5) (6).
21. Oktober 2026: Der Ausschuss der Ständigen Vertreter (AStV) beschließt unter irischem Vorsitz das Verhandlungsmandat des Rates, das am Folgetag als Ratsdokument 14756/26 veröffentlicht wird (3).

Als Nächstes müssen ITRE und LIBE abstimmen; dann braucht das Parlament sein Mandat, und erst danach beginnen die Trilogverhandlungen. Am 26. Oktober 2026 lautete der Stand der Verfahrensakte im Parlament „Awaiting committee decision“ (6). Die Organe haben sich vorgenommen, alle Vereinfachungspakete bis Ende 2027 abzuschließen (1).

Bis eine Verordnung angenommen und im Amtsblatt veröffentlicht ist, bindet weder das Ratsmandat noch der Berichtsentwurf irgendjemanden. Kommt sie, gilt sie aber schnell: Nach dem Text des Rates tritt die Verordnung am dritten Tag nach der Veröffentlichung in Kraft, und die DSGVO-Änderungen gelten ab diesem Tag ohne Übergangsfrist. Ausgenommen sind die neuen Regeln zur Meldung von Datenschutzverletzungen, die 18 Monate später gelten sollen, und die Meldung über nationale Zugangsstellen nach 30 Monaten (3).

Die drei Entwürfe zu Art. 12 Abs. 5 DSGVO im Vergleich

Der Digital Omnibus würde Art. 12 Abs. 5 DSGVO und den zugehörigen Erwägungsgrund ändern; Art. 15 DSGVO selbst ändern weder Kommission noch Rat. Das Ratsmandat liegt nur auf Englisch vor, der Berichtsentwurf des Parlaments wurde in der englischen Fassung gelesen; Zitate aus beiden sind unsere Übersetzung.

Der Vorschlag der Kommission (November 2025)

Tatbestand: Entgelt oder Weigerung bei offenkundig unbegründeten oder exzessiven Anträgen, zusätzlich bei Anträgen nach Art. 15, „wenn die betroffene Person die ihr durch diese Verordnung verliehenen Rechte zu anderen Zwecken als dem Schutz ihrer Daten missbraucht“ (2).
Beweislast: abgesenkt. Der Verantwortliche muss die offenkundige Unbegründetheit nachweisen; für den exzessiven Charakter genügt, dass „hinreichende Gründe für die Annahme bestehen, dass der Antrag exzessiv ist“.
Erwägungsgrund 35: Die betroffene Person sollte „so spezifisch wie möglich sein“; „Zu weit gefasste und undifferenzierte Auskunftsverlangen sind ebenfalls als exzessiv anzusehen.“ Beispiele für Missbrauch sind die Absicht, eine Ablehnung zu provozieren, um eine Entschädigung zu verlangen, die übermäßige Nutzung in der alleinigen Absicht, zu schaden, und ein Antrag, der gegen einen Vorteil zurückgezogen werden soll.

Das Mandat des Rates (Oktober 2026)

Tatbestand: Die Zweckklausel ist gestrichen. Entgelt oder Weigerung sind bei einem Antrag nach Art. 15 möglich, „wenn eine Missbrauchsabsicht der betroffenen Person, die diese Anträge stellt, nachgewiesen werden kann“ (3).
Beweislast: beim Verantwortlichen, aber die Formel der Kommission bleibt und wird erweitert. Er muss nachweisen, dass der Antrag offenkundig unbegründet ist oder dass hinreichende Gründe für die Annahme bestehen, dass er „unter Berücksichtigung aller relevanten Umstände des Einzelfalls“ exzessiv ist oder eine Missbrauchsabsicht vorliegt.
Begründung und Entgelt: Eine Weigerung ist der betroffenen Person zu begründen; das Entgelt muss den Verwaltungskosten angemessen sein.
Erwägungsgrund 35: Wiederholte Anträge sind „nicht automatisch exzessiv“, können aber auf eine Missbrauchsabsicht hindeuten. Gestrichen sind die Sätze zur Spezifizierung und zu weit gefassten Anträgen sowie die Begründung der abgesenkten Beweislast. Beispiele einer Missbrauchsabsicht: eine übermäßige Zahl gleicher oder weitgehend gleicher Anträge in der alleinigen Absicht, zu schaden; ein Antrag mit dem Angebot, ihn gegen einen Vorteil zurückzuziehen; ein Antrag „allein zu dem Zweck, eine Entschädigung für einen angeblichen Verstoß zu erlangen, den die betroffene Person bewusst herbeigeführt hat“; die Absicht, Behörden zu belasten, „etwa durch den Einsatz von KI-Agenten für böswillige automatisierte Anträge“.
Aufsichtsbehörden: Ein neu gefasster Art. 57 Abs. 4 DSGVO mit Erwägungsgrund 35a erlaubt auch der Aufsichtsbehörde, Anfragen und Beschwerden bei nachweisbarer Missbrauchsabsicht abzulehnen. Die Beweislast trägt die Behörde, und zwar ohne die Formel der hinreichenden Gründe für die Annahme.

Der Berichtsentwurf der Berichterstatterinnen (Juni 2026)

Tatbestand: Die Zweckklausel entfällt ersatzlos. Bei offenkundig unbegründeten oder exzessiven Anträgen soll der Verantwortliche der betroffenen Person die Wahl lassen, ein angemessenes Entgelt zu zahlen oder die Ablehnung hinzunehmen (5).
Beweislast: beim Verantwortlichen, ohne die Formel der hinreichenden Gründe für die Annahme.
Erwägungsgrund: Die Nutzung der DSGVO-Rechte „als Mittel zur Verwirklichung anderer Rechte oder anderer legitimer Ziele“ soll nicht als missbräuchlich, unbegründet oder exzessiv gelten; ein weit gefasster Antrag wird dadurch nicht exzessiv; für die betroffene Person gilt die Vermutung vernünftiger Zwecke, „sofern der Verantwortliche nicht eindeutig eine Missbrauchsabsicht nachweist“.
Stand: ein Entwurf der beiden Berichterstatterinnen, im Ausschuss noch nicht abgestimmt. Die Einschränkung des Auskunftsrechts halten sie zur Vereinfachung weder für erforderlich noch für verhältnismäßig.

Zwei Forderungen der Aufsichtsbehörden hat der Rat übernommen: Missbrauch an eine Missbrauchsabsicht zu knüpfen, etwa eine offensichtliche Schädigungsabsicht, statt an den Zweck, und keine Regel gegen weit gefasste Anträge. Nicht gefolgt ist er ihnen bei der Beweislast; sie wollten die Formel der hinreichenden Gründe für die Annahme streichen und die geltende Regel beibehalten. Auch ihr Vorschlag einer dokumentierten Prüfung, vor deren Abschluss die betroffene Person ihren Antrag klarstellen kann, findet sich in Art. 12 Abs. 5 und Erwägungsgrund 35 des Ratstexts nicht (23).

Unsere Einschätzung: Rat, Berichterstatterinnen und Gerichtshof sind sich inzwischen einig, dass der Zweck einer Auskunft für sich genommen kein Ablehnungsgrund ist; nur der Kommissionsvorschlag knüpft noch daran an. Streitig ist, wie viel der Verantwortliche beweisen muss. Nach Brillen Rottler obliegt ihm „der eindeutige Nachweis“ der Missbrauchsabsicht. Hinreichende Gründe für die Annahme sind eine niedrigere Schwelle, und sollte die Formel Gesetz werden, werden Verantwortliche argumentieren, der Gesetzgeber habe den Maßstab des Gerichtshofs bewusst abgesenkt. Diese Formulierung verdient in den Trilogverhandlungen mehr Aufmerksamkeit als jede andere. Für die Beratung heißt das auch: Abläufe für Auskunftsersuchen nicht am Kommissionsvorschlag ausrichten, dessen Kern der Rat gestrichen hat und den auch die Berichterstatterinnen ablehnen.

Deutsche Stellungnahmen zur Reform

Bundesrat. In seiner Stellungnahme vom 27. März 2026 begrüßt der Bundesrat, dass Verantwortliche Auskunftsansprüche „bei exzessiven Anträgen der Betroffenen“ verweigern können sollen. Zugleich fordert er die Kommission auf, Art. 15 DSGVO auf weitergehende Vereinfachungen zu überprüfen, und nennt als Möglichkeiten einen nur einmal in zwei Jahren kostenfreien Antrag und die Herausnahme von Daten und Schreiben, die die betroffene Person selbst übermittelt hat (Ziff. 16). Art. 12 Abs. 5 DSGVO soll um weitere Beispiele exzessiver Anträge ergänzt werden (Ziff. 35), und Art. 15 DSGVO sei „über die Vorschläge der Kommission hinaus einzuschränken“ (Ziff. 36): Die Kopie soll nur die verarbeiteten Daten umfassen, und die Rechte Dritter, ausdrücklich auch die des Verantwortlichen, sollen auch der Auskunft nach Abs. 1 und 2 entgegenstehen. Aufsichtsbehörden sollen rechtsmissbräuchliche Anfragen ablehnen (Ziff. 42) und Beschwerden bei parallelen Gerichtsverfahren zurückstellen können (Ziff. 43) (24). Die Kommission antwortete im Juli 2026: „Mit der Änderung von Artikel 12 soll der Missbrauch des Auskunftsrechts bekämpft werden.“ (25) Im Ratsmandat finden sich die Vorschläge des Bundesrates zu Art. 15 nicht wieder; es ändert Art. 15 DSGVO nicht (3). Mit einem kostenfreien Antrag nur alle zwei Jahre sollte in der Beratung deshalb niemand planen; diese Idee steht in keinem der drei Texte.
Bundesregierung. Eine veröffentlichte Position der Bundesregierung zu den Auskunftsregeln haben wir nicht gefunden; das Ratsmandat enthält keine Erklärungen einzelner Mitgliedstaaten.
Datenschutzaufsicht. Die Datenschutzkonferenz verweist auf die gemeinsame Stellungnahme von EDSA und EDSB, an der die deutschen Behörden mitgewirkt haben. Ihr Vorsitzender, der baden-württembergische Landesbeauftragte Tobias Keber, kritisierte unter anderem die geplante Änderung der Begriffsbestimmungen: „Rechtssicherheit schafft man nicht durch das Verändern zentraler Begriffsbestimmungen.“ (26)
Deutscher Anwaltverein. Der Ausschuss Informationsrecht des DAV schlägt eine Begründungspflicht vor: „Zielführend dürfte eine Begründungspflicht bei Auskunftsanträgen sein, da ohne eine solche Begründung eine Missbrauchskontrolle oft kaum möglich sein wird.“ Er fragt zugleich, ob ein laufender Kündigungsschutzprozess oder ein Vergleichsangebot mit Gesamterledigung, das auch den offenen Auskunftsanspruch umfasst, einen Antrag missbräuchlich machen würde (27). Eine Begründungspflicht sieht keiner der drei Texte vor, und nach geltendem Recht darf der Verantwortliche keine Begründung verlangen (14).
Bundesrechtsanwaltskammer. Die Stellungnahme der BRAK vom Januar 2026 befasst sich mit der Rechtsgrundlage für KI-Verarbeitungen, nicht mit dem Auskunftsrecht (28).

Was Kanzleien jetzt tun sollten

Wenn Sie für Mandanten Auskunft verlangen

Nach geltendem Recht handeln. Eine Begründung ist nicht erforderlich. Wer freiwillig einen Prozesszweck nennt, liefert dem Verantwortlichen nur Stoff für ein Argument aus Rn. 40 von Brillen Rottler; dass die Auskunft einen Prozess vorbereiten soll, steht ihr nach FT und dem Urteil des I. Zivilsenats nicht entgegen. Der Antrag betrifft die eigenen Daten der Mandantin oder des Mandanten und wird in ihrem Namen gestellt.
Nie mit einem Vergleichsangebot verbinden. Ein Antrag mit dem Angebot, ihn gegen einen Vorteil zurückzuziehen, ist im Text der Kommission wie des Rates ein Beispiel für Missbrauch. Auskunftsersuchen und Verhandlungen gehören in getrennte Schreiben, und das eine darf nicht vom anderen abhängen. Auch bei einem Gesamtvergleich im laufenden Prozess sollte erkennbar sein, dass der Auskunftsanspruch nicht als Verhandlungsmasse gestellt wurde.
Das Profil des inszenierten Anspruchs meiden. Die Indizien aus Rn. 42 des Urteils und aus dem Arnsberger Urteil sind das, worauf ein Verantwortlicher seine Ablehnung stützen wird. Ein Antrag, der aus einer echten Vertrags- oder Arbeitsbeziehung folgt, ist nicht gefährdet; eine Serie gleichlautender Anträge schon.
Konkret fragen und vollstreckbar beantragen. Systeme, Zeiträume und Personen zu benennen beschleunigt die Antwort und nimmt dem Einwand des exzessiven Antrags die Grundlage. Im Prozess ist ein Antrag auf Kopien sämtlicher E-Mails ohne nähere Bezeichnung unzulässig; die Stufenklage ist der sichere Weg.
Den Schadensersatz sorgfältig begründen. Nach der Rechtsprechung des BAG genügt die Verspätung allein nicht. Nach Brillen Rottler kann Ungewissheit über die Verarbeitung ein Schaden sein, muss aber tatsächlich entstanden und dargelegt sein; ein selbst herbeigeführter Kontrollverlust zählt nicht.

Wenn Sie den Verantwortlichen beraten

Nicht nach dem Grund fragen. Der Verantwortliche darf die Auskunft nicht von einer Begründung abhängig machen. Ein drohender oder laufender Prozess ist kein Ablehnungsgrund.
Fristgerecht und vollständig antworten. Der beste Schutz gegen Schadensersatzforderungen ist eine vollständige Antwort innerhalb eines Monats oder eine begründete Fristverlängerung. Einen Verweigerungsgrund dafür, dass die Auskunft die eigene Position im Zivilprozess schwächen würde, sieht das BDSG nach unserer Lesart nicht vor: § 34 Abs. 1 Nr. 1 BDSG verweist nur auf § 33 Abs. 1 Nr. 1, Nr. 2 lit. b und Abs. 3 BDSG, nicht auf die Ausnahme für die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche in § 33 Abs. 1 Nr. 2 lit. a BDSG, die damit nur die Informationspflicht nach Art. 14 DSGVO einschränkt (29) (30). Zurückhalten lassen sich Daten, soweit Rechte Dritter nach Art. 15 Abs. 4 DSGVO oder eine Geheimhaltungspflicht nach § 29 Abs. 1 Satz 2 BDSG entgegenstehen; das ist in der Antwort zu benennen und intern zu dokumentieren.
Nur mit Belegen ablehnen. Wer einen Antrag für missbräuchlich hält, sollte die Akte vor der Ablehnung aufbauen: wie und wann die Daten bereitgestellt wurden, der zeitliche Abstand, gleichartige Anträge bei anderen Unternehmen, ein Angebot, gegen Geld zurückzunehmen. Öffentliche Berichte allein genügen nicht. Die Ablehnung ist zu begründen und muss auf das Beschwerderecht und den gerichtlichen Rechtsbehelf hinweisen (Art. 12 Abs. 4 DSGVO).
An die zweite Front denken. Die herausgegebenen Unterlagen liest später die Gegenseite. Die Auskunft sollte deshalb wie eine Offenlegung im Prozess geprüft werden, mit Blick auf Geheimhaltungspflichten, Geschäftsgeheimnisse und Daten Dritter, nicht als Routineaufgabe des Datenschutzes.

Wenn das Auskunftsersuchen die eigene Kanzlei erreicht

Kanzleien sind selbst Verantwortliche. Ein Auskunftsersuchen kann von einem früheren Mandanten, einer früheren Mitarbeiterin oder von der Gegenpartei kommen, über die die Kanzlei im Mandat Daten verarbeitet. Art. 23 Abs. 1 DSGVO erlaubt den Mitgliedstaaten Beschränkungen unter anderem zum „Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen“ (lit. i) (7). Für Geheimhaltungspflichten hat der deutsche Gesetzgeber davon in § 29 Abs. 1 Satz 2 BDSG Gebrauch gemacht: Das Auskunftsrecht besteht nicht, „soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen“ (31).

Wie das gegenüber der Gegenseite wirkt, zeigt ein Hinweisbeschluss des Oberlandesgerichts Brandenburg vom September 2025. Eine Frau verlangte von der Rechtsanwältin, die ihren früheren Lebensgefährten im Streit um Kindes- und Betreuungsunterhalt vertreten hatte, Auskunft und eine Kopie nach Art. 15 DSGVO sowie mindestens 10.000 Euro Schadensersatz. Der Senat kündigte an, die Berufung gegen das klageabweisende Urteil des Landgerichts Potsdam nach § 522 Abs. 2 ZPO zurückzuweisen. Einen Rechtsmissbrauch nach Art. 12 Abs. 5 DSGVO sah er nicht; die Auskunft scheitere, soweit sie nicht ohnehin erteilt war, am Berufsgeheimnis: „Der aus dem Mandatsverhältnis zu sichernde Geheimnisschutz erweist sich als vorrangig“, gestützt auf Art. 23 Abs. 1 DSGVO in Verbindung mit § 29 Abs. 1 Satz 2 BDSG und § 43a Abs. 2 BRAO. Die Verschwiegenheitspflicht erfasse alles, was der Anwältin im Mandat bekannt geworden ist, auch durch eigene Recherche. Die Abwägungsklausel, auf die sich die Klägerin berief, gelte nach § 29 Abs. 2 BDSG nur für die Informationspflicht des Mandanten nach Art. 13 DSGVO, nicht für den Auskunftsanspruch (32). Eine höchstrichterliche Entscheidung zur Auskunft gegenüber der gegnerischen Kanzlei gibt es, soweit ersichtlich, nicht.

Für die eigene Praxis folgt daraus: Auch ein Ersuchen der Gegenseite ist fristgerecht zu beantworten und zu erfüllen, soweit keine Verschwiegenheit entgegensteht. Was ihr unterliegt, darf und muss zurückgehalten werden; die Kanzlei sollte die Ablehnung auf § 29 Abs. 1 Satz 2 BDSG stützen und die Gründe dokumentieren. Offenkundige Tatsachen und solche, die ihrer Bedeutung nach keiner Geheimhaltung bedürfen, nimmt § 43a Abs. 2 BRAO von der Verschwiegenheit aus. Anders liegt es unseres Erachtens bei früheren Mandanten und eigenen Beschäftigten; Rechtsprechung dazu haben wir nicht gefunden. Die Verschwiegenheit dient dem Schutz des Mandanten, der über seine eigenen Geheimnisse verfügen kann. Ihm gegenüber lässt sie sich für seine eigenen Angelegenheiten nicht einwenden, wohl aber für Geheimnisse anderer Mandanten und Dritter. Gegenüber eigenen Beschäftigten trägt sie nur, soweit Mandatsgeheimnisse berührt sind, etwa in E-Mails aus Mandaten, nicht für Personalakte und Gehaltsdaten. Für Daten Dritter in einer Kopie gilt zusätzlich Art. 15 Abs. 4 DSGVO.

Weitere DSGVO-Änderungen, die der Rat will

Das Mandat enthält weitere Änderungen, die Kanzleien als Verantwortliche und ihre Mandanten betreffen. Auch sie sind Position des Rates, nicht geltendes Recht.

Personenbezug und Pseudonymisierung

Die Kommission wollte die Definition in Art. 4 Nr. 1 DSGVO relativieren: Informationen sollten für eine Stelle keine personenbezogenen Daten sein, wenn sie die Person mit den ihr vernünftigerweise zur Verfügung stehenden Mitteln nicht identifizieren kann. Davon hatten die Aufsichtsbehörden nachdrücklich abgeraten (23), und der Bundesrat sah darin die Gefahr erhöhter Rechtsunsicherheit, gerade bei arbeitsteiliger Verarbeitung (Ziff. 13) (24). Der Rat behält nach eigenen Angaben die geltende Definition bei (1) und schlägt stattdessen einen neuen Art. 25a zur Pseudonymisierung vor: Pseudonymisierte Daten sind für einen Dritten, der die Person nicht identifizieren kann, keine personenbezogenen Daten; für Auftragsverarbeiter und für jeden Empfänger, der identifizieren kann, bleiben sie es (3). Das entspricht weitgehend dem Urteil EDSB/SRB vom September 2025, wonach pseudonymisierte Daten „nicht in jedem Fall und für jede Person“ als personenbezogen zu betrachten sind (33). Für Datenräume und ausgelagerte Dokumentenprüfung gäbe das eine klarere Grundlage, sofern der Empfänger tatsächlich nicht re-identifizieren kann. Wessen Wissen für die Identifizierbarkeit zählt, liegt dem Gerichtshof zudem in der Google-Fonts-Vorlage des BGH erneut vor (22).

Entwicklung und Betrieb von KI

Nach einem neuen Artikel, im Mandat 88 bis (bei der Kommission 88c), können Verarbeitungen bei Entwicklung und Betrieb von KI-Systemen und KI-Modellen auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Der Rat stellt klar, dass die Pflicht zur Wahl der richtigen Rechtsgrundlage unberührt bleibt und Garantien in jedem Fall gelten, einschließlich des Widerspruchsrechts nach Art. 21 (3); die Kommission hatte noch „ein bedingungsloses Recht auf Widerspruch“ vorgesehen (2). Ein neuer Art. 9 Abs. 2 lit. k soll die unbeabsichtigte Verarbeitung von Restdaten besonderer Kategorien in diesem Zusammenhang erlauben. Erkannte Daten dieser Art sind unverzüglich zu löschen; ist das technisch unmöglich oder unverhältnismäßig aufwendig, sind sie gegen Weiterverarbeitung, Verwendung für Ausgaben und Offenlegung zu schützen (3).

Automatisierte Entscheidungen

Die Kommission hatte Art. 22 DSGVO als Erlaubnisnorm gefasst und vertragliche Automatisierung auch dann zugelassen, wenn die Entscheidung ebenso gut von Menschen getroffen werden könnte. Der Rat kehrt zum Recht zurück, keiner solchen Entscheidung unterworfen zu werden, streicht den Zusatz und schreibt die Garantien ausdrücklich fest: menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung (3). Der Bundesrat hatte der menschlichen Aufsicht über automatisierte Vertragsentscheidungen eine hohe Bedeutung beigemessen (24).

Datenpannen, Folgenabschätzung, Informationspflichten, Cookies

Datenpannen: Meldung an die Aufsichtsbehörde nur noch bei voraussichtlich hohem Risiko, unverzüglich und möglichst binnen 96 Stunden, über eine nationale Zugangsstelle statt des von der Kommission vorgeschlagenen zentralen EU-Portals. Der EDSA soll Listen von Situationen mit und ohne hohes Risiko veröffentlichen. Die neuen Regeln sollen 18 Monate nach Inkrafttreten gelten (3).
Datenschutz-Folgenabschätzung: Der EDSA soll unionsweite Listen der Verarbeitungen erstellen, die eine Folgenabschätzung erfordern oder nicht erfordern; die nationalen Listen gelten bis dahin fort (3).
Informationspflicht: Keine Information nach Art. 13 DSGVO, soweit hinreichende Gründe für die Annahme bestehen, dass die Person Identität des Verantwortlichen und Zwecke schon kennt, und die Verarbeitung voraussichtlich kein hohes Risiko birgt; nicht bei komplexen Verarbeitungen, großen Datenmengen oder Daten nach Art. 9 und 10 (3).
Cookies: Der Rat belässt die Regeln in der ePrivacy-Richtlinie, statt sie in die DSGVO zu verschieben, und erweitert die einwilligungsfreien Zwecke, etwa Reichweitenmessung und Gerätesicherheit (1).

Was LexVera abdeckt und was nicht

LexVera ist für den niederländischen Rechtsmarkt konzipiert. Nach § 4 unserer Nutzungsbedingungen („Abgedeckte Rechtsordnung“) erfasst es niederländisches Recht sowie Unionsrecht und Materialien zur Europäischen Menschenrechtskonvention, soweit sie in den Niederlanden Anwendung finden, und keine andere Rechtsordnung. Die deutsche Seite dieses Beitrags, also BGH, BAG, BDSG, BRAO und ZPO, liegt damit außerhalb des Umfangs. Die DSGVO und die Rechtsprechung des Gerichtshofs gehören zum erfassten Unionsrecht; für eine Angelegenheit unter deutschem Recht darf sich nach den Nutzungsbedingungen aber niemand ohne unabhängige Überprüfung anhand des deutschen Rechts auf ein Ergebnis verlassen.

Wo LexVera eine Frage zum geltenden Recht beantwortet, zeigt es die Fundstelle; lesen muss man sie trotzdem selbst, bevor sich ein Schriftsatz darauf stützt. Für den Stand der Reform sind die Dokumente von Kommission, Rat und Parlament maßgeblich, auf die dieser Beitrag verweist. Reicht ein Mandat in die Niederlande, lässt sich niederländische Gesetzgebung in der Fassung lesen, die am Tag des Sachverhalts galt. Die Dokumente einer Kanzlei bleiben in ihrem Arbeitsbereich, unter den Zugriffsregeln, die sie festlegt. Was davon als Rat an Mandanten geht, entscheidet eine zugelassene Anwältin oder ein zugelassener Anwalt, wie unsere Redaktionsrichtlinie festhält.

Häufig gestellte Fragen

Hat sich die DSGVO schon geändert?

Nein. Der Digital Omnibus ist noch im Gesetzgebungsverfahren. Der Rat hat sein Verhandlungsmandat am 21. Oktober 2026 beschlossen, das Europäische Parlament hat noch keine Position, und die Trilogverhandlungen haben nicht begonnen. Bis eine Verordnung angenommen und veröffentlicht ist, gilt die DSGVO unverändert, so wie der Gerichtshof sie auslegt.

Darf ein Unternehmen die Auskunft verweigern, weil sie einen Prozess vorbereiten soll?

Nein, nicht aus diesem Grund. Nach dem EuGH (FT, C-307/22) muss ein Auskunftsantrag nicht begründet werden und kann nicht deshalb abgelehnt werden, weil er einen anderen Zweck verfolgt als die Kontrolle der Verarbeitung. Der Bundesgerichtshof hat im Urteil vom 18. Dezember 2025 (I ZR 115/25) entschieden, dass die Vorbereitung eines Rückforderungsprozesses gegen den Verantwortlichen dem Anspruch nicht entgegensteht. Als exzessiv ablehnen kann der Verantwortliche einen Antrag nur, wenn er eine Missbrauchsabsicht eindeutig nachweist. Gesetzliche Ausnahmen, etwa für Rechte Dritter oder Berufsgeheimnisse nach § 29 Abs. 1 Satz 2 BDSG, bleiben unberührt.

Was hat der EuGH in Brillen Rottler entschieden?

Am 19. März 2026 hat der Gerichtshof in der Rechtssache C-526/24 entschieden, dass auch ein erster Auskunftsantrag als exzessiv abgelehnt werden kann, aber nur ausnahmsweise und nach hohen Maßstäben. Der Verantwortliche muss eindeutig nachweisen, dass die Person künstlich die Voraussetzungen für einen Schadensersatzanspruch schaffen wollte. Öffentliche Berichte über ein systematisches Vorgehen dürfen herangezogen werden, wenn andere Anhaltspunkte sie bestätigen. Das Amtsgericht Arnsberg hat die Widerklage des Anfragenden am 1. Juli 2026 abgewiesen. Das Urteil ist nicht rechtskräftig; das Berufungsverfahren wird beim Landgericht Arnsberg geführt.

Was ändert das Ratsmandat beim Auskunftsanspruch?

Der Rat streicht den Vorschlag der Kommission, Anträge zu anderen Zwecken als dem Schutz der eigenen Daten abwehren zu können. Stattdessen soll der Verantwortliche bei einem Antrag nach Art. 15 DSGVO ein Entgelt verlangen oder die Auskunft verweigern können, wenn eine Missbrauchsabsicht nachgewiesen werden kann; die Weigerung ist zu begründen. Die Beweislast bleibt beim Verantwortlichen, doch der Rat behält die niedrigere Schwelle hinreichender Gründe für die Annahme bei und erstreckt sie auf die Missbrauchsabsicht. Der Gerichtshof verlangt dagegen einen eindeutigen Nachweis. Art. 15 DSGVO selbst ändert der Rat nicht.

Muss eine Kanzlei der Gegenseite Auskunft erteilen?

Sie muss das Ersuchen fristgerecht beantworten, darf aber zurückhalten, was der anwaltlichen Verschwiegenheit unterliegt. Nach § 29 Abs. 1 Satz 2 BDSG besteht das Auskunftsrecht nicht, soweit Informationen offenbart würden, die nach einer Rechtsvorschrift geheim zu halten sind. Das Oberlandesgericht Brandenburg hat in einem Hinweisbeschluss vom 11. September 2025 (1 U 16/25) keinen Rechtsmissbrauch angenommen, den Geheimnisschutz aus § 43a Abs. 2 BRAO gegenüber der Gegenpartei aber als vorrangig angesehen. Eine Entscheidung des BGH zu dieser Konstellation ist nicht bekannt.

Wann würden die Änderungen gelten?

Erst wenn Rat und Parlament sich auf einen Text geeinigt haben und er im Amtsblatt veröffentlicht ist. Nach dem Ratsmandat gelten die meisten DSGVO-Änderungen, auch die zum Auskunftsrecht, ab dem Inkrafttreten am dritten Tag nach der Veröffentlichung ohne Übergangsfrist. Die neuen Meldepflichten bei Datenpannen sollen 18 Monate nach dem Inkrafttreten gelten. Die Organe wollen alle Vereinfachungspakete bis Ende 2027 abschließen.

Quellen und Methodik

Dieser Beitrag gibt den Stand der unten aufgeführten Quellen am 26. Oktober 2026 wieder. Die DSGVO, der Kommissionsvorschlag und die Urteile des Gerichtshofs werden nach ihrer amtlichen deutschen Fassung zitiert; den Beschluss Addiko Bank geben wir nach der französischen Fassung wieder, weil eine deutsche Fassung nicht abrufbar war. Das Mandat des Rates (Ratsdokument 14756/26, mit gekennzeichneten Änderungen gegenüber dem Kommissionsvorschlag) liegt nur auf Englisch vor, ebenso die gemeinsame Stellungnahme von EDSA und EDSB; der Berichtsentwurf des Parlaments wurde in der englischen Fassung gelesen. Zitate aus diesen Texten sind unsere Übersetzung. Die Entscheidungen von BGH, BAG, OLG Brandenburg und AG Arnsberg, die Stellungnahme des Bundesrates, die Antwort der Kommission und die Stellungnahmen von DSK, DAV und BRAK wurden im Volltext gelesen. Aussagen dazu, wie Texte und Urteile zu lesen sind, sind unsere Einschätzung. Der Beitrag ist eine allgemeine fachliche Information und keine Beratung im Einzelfall.

DSGVO-Reform: Was das Ratsmandat zum Digital Omnibus für den Auskunfts­anspruch nach Art. 15 DSGVO bedeutet