Das Auskunftsrecht nach Art. 15 DSGVO gehört zu den am häufigsten geltend gemachten Betroffenenrechten. Unternehmen stehen dabei regelmäßig vor der Herausforderung, Auskunftsersuchen effizient, fristgerecht und zugleich datenschutzkonform zu bearbeiten. Eine aktuelle Entscheidung des österreichischen Bundesverwaltungsgerichts (BVwG) vom 30. Januar 2026 (W176 2288586-1) bringt dabei mehr Klarheit für die Praxis: Die Erfüllung des Auskunftsanspruchs kann grundsätzlich auch über ein Self-Service-Portal erfolgen.
Der Sachverhalt
Ausgangspunkt des Verfahrens war ein Auskunftsersuchen eines Bankkunden nach Art. 15 DSGVO. Die betroffene Bank stellte die angeforderten Informationen nicht per E-Mail oder Post zur Verfügung, sondern über das bestehende Online-Banking-Portal. Dort konnte der Kunde die bereitgestellten Daten einsehen und als PDF-Datei herunterladen.
Der Betroffene sah hierin keine ausreichende Erfüllung seines Auskunftsanspruchs und wandte sich an die Datenschutzbehörde. Nachdem diese die Beschwerde abgewiesen hatte, beschäftigte sich schließlich das BVwG mit dem Fall.
Auskunft über ein Kundenportal als zulässige Erfüllung des Art. 15 DSGVO
Das Gericht bestätigte die Auffassung der Datenschutzbehörde und stellte fest, dass die Bereitstellung personenbezogener Daten über ein sicheres Kundenportal grundsätzlich eine zulässige Form der Auskunftserteilung darstellen kann.
Nach Auffassung des BVwG kommt es nicht entscheidend darauf an, auf welchem technischen Weg die Informationen übermittelt werden. Maßgeblich ist vielmehr, dass die betroffene Person tatsächlich Zugang zu den Informationen erhält und diese in einem gängigen elektronischen Format speichern und weiterverwenden kann.
Die Möglichkeit, die Daten über das Online-Portal abzurufen und als PDF herunterzuladen, erfüllte diese Anforderungen nach Ansicht des Gerichts.
Erwägungsgrund 63 DSGVO stärkt digitale Lösungen
Besonders interessant ist der Verweis auf Erwägungsgrund 63 DSGVO. Dort wird ausdrücklich erwähnt, dass Verantwortliche nach Möglichkeit einen Fernzugriff auf ein sicheres System bereitstellen können, das betroffenen Personen einen unmittelbaren Zugang zu ihren personenbezogenen Daten ermöglicht.
Die Entscheidung des BVwG greift diesen Gedanken auf und bestätigt, dass moderne Self-Service-Lösungen mit den Vorgaben der DSGVO vereinbar sein können. Dies ist insbesondere für Unternehmen relevant, die Betroffenenrechte über Kundenkonten, Mitarbeiterportale oder andere digitale Plattformen abwickeln.
Grenzen von Self-Service-Angeboten
Die Entscheidung bedeutet jedoch nicht, dass jedes Portal automatisch den Anforderungen des Art. 15 DSGVO genügt.
Unternehmen müssen weiterhin sicherstellen, dass sämtliche Informationen nach Art. 15 DSGVO vollständig bereitgestellt werden. Dazu gehören insbesondere:
- die verarbeiteten personenbezogenen Daten,
- die Verarbeitungszwecke,
- die Kategorien personenbezogener Daten,
- die Empfänger oder Empfängerkategorien,
- die Speicherdauer beziehungsweise deren Kriterien,
- Informationen zu weiteren Betroffenenrechten sowie
- gegebenenfalls Informationen über automatisierte Entscheidungen.
Darüber hinaus müssen die Daten leicht zugänglich, verständlich und in einem gebräuchlichen elektronischen Format verfügbar sein.
Bedeutung für die Praxis
Die Entscheidung ist ein positives Signal für Unternehmen, die auf digitale Datenschutzprozesse setzen. Gerade bei einer hohen Anzahl von Auskunftsersuchen können Self-Service-Portale erhebliche organisatorische und wirtschaftliche Vorteile bieten.
Gleichzeitig zeigt die Entscheidung, dass die technische Umsetzung sorgfältig geplant werden muss. Ein Portal allein genügt nicht – entscheidend ist, ob die konkrete Lösung die gesetzlichen Anforderungen des Art. 15 DSGVO vollständig erfüllt.
Unternehmen sollten daher regelmäßig überprüfen, ob ihre Auskunftsprozesse sowohl technisch als auch rechtlich den aktuellen Anforderungen entsprechen.
Bedeutung für Unternehmen in Deutschland
Auch wenn es sich um eine Entscheidung des österreichischen Bundesverwaltungsgerichts handelt, dürfte sie für Unternehmen in Deutschland von erheblichem Interesse sein. Die zugrunde liegenden Vorschriften des Art. 15 DSGVO gelten unionsweit und sind in allen Mitgliedstaaten identisch anzuwenden. Zwar sind deutsche Gerichte und Aufsichtsbehörden nicht an die Entscheidung gebunden, die Argumentation des BVwG knüpft jedoch unmittelbar an Erwägungsgrund 63 DSGVO an, der ausdrücklich einen sicheren Fernzugriff auf personenbezogene Daten als mögliche Form der Auskunftserteilung erwähnt. Die Entscheidung liefert daher ein weiteres Argument dafür, dass Auskunftsersuchen auch in Deutschland über Kunden-, Mitarbeiter- oder Self-Service-Portale erfüllt werden können, sofern die betroffene Person einen einfachen, sicheren und vollständigen Zugang zu den Informationen erhält. Für Unternehmen, die ihre Prozesse zur Bearbeitung von Betroffenenanfragen digitalisieren möchten, bietet die Entscheidung damit eine wertvolle Orientierungshilfe bei der Ausgestaltung DSGVO-konformer Self-Service-Lösungen
Fazit
Mit seiner Entscheidung stärkt das österreichische Bundesverwaltungsgericht den Einsatz digitaler Self-Service-Lösungen bei der Umsetzung von Auskunftsersuchen nach Art. 15 DSGVO. Werden personenbezogene Daten über ein sicheres Portal bereitgestellt und können Betroffene die Informationen in einem gängigen Format herunterladen, kann dies eine ordnungsgemäße Erfüllung des Auskunftsanspruchs darstellen.
Die Entscheidung bietet Unternehmen zusätzliche Rechtssicherheit bei der Digitalisierung ihrer Datenschutzprozesse. Dennoch bleibt eine sorgfältige rechtliche und technische Gestaltung unerlässlich, um die Anforderungen der DSGVO vollständig zu erfüllen.
Sie möchten Ihre Prozesse zur Bearbeitung von Betroffenenanfragen rechtssicher gestalten oder prüfen lassen, ob Ihr Kunden- oder Mitarbeiterportal den Anforderungen des Art. 15 DSGVO entspricht? Unsere Datenschutzexpertinnen und Datenschutzexperten beraten Sie gerne bei der Umsetzung effizienter und DSGVO-konformer Auskunftsprozesse. Nehmen Sie gerne Kontakt mit uns auf.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
