Urteil des Gerichtshofs (Dritte Kammer) vom 5. November 2026. – Joachim Lindenberg gegen Bayerisches Landesamt für Datenschutzaufsicht.

1

Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 4 Nrn. 7 und 21 sowie der Art. 15, 23 und 77 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO).

2

Es ergeht im Rahmen eines Rechtsstreits zwischen Herrn Joachim Lindenberg und dem Bayerischen Landesamt für Datenschutzaufsicht (Deutschland) (im Folgenden: Landesamt) wegen dessen Weigerung, Herrn Lindenberg auf der Grundlage von Art. 15 DSGVO Einsicht in seine Akte im Rahmen eines Verfahrens zu gewähren, das auf eine von ihm beim Landesamt gegen einen Dritten eingelegte Beschwerde hin eingeleitet wurde.

3

In den Erwägungsgründen 1, 10 und 63 der DSGVO heißt es:

…

…

4

Art. 1 DSGVO sieht vor:

„(1)   Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten.

(2)   Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

(3)   Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.“

5

In Art. 4 („Begriffsbestimmungen“) Nrn. 1, 2, 7 und 21 DSGVO heißt es:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

…

…

…“

6

Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) DSGVO bestimmt:

„(1)   Personenbezogene Daten müssen

(2)   Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“

7

Art. 12 („Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person“) Abs. 5 DSGVO sieht vor:

„Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.“

8

Art. 15 („Auskunftsrecht der betroffenen Person“) DSGVO bestimmt:

„(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

…

(3)   Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4)   Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

9

Art. 23 („Beschränkungen“) DSGVO sieht vor:

„(1)   Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:

(2)   Jede Gesetzgebungsmaßnahme im Sinne des Absatzes 1 muss insbesondere gegebenenfalls spezifische Vorschriften enthalten zumindest in Bezug auf

10

In Art. 51 („Aufsichtsbehörde“) DSGVO heißt es:

„(1)   Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden ‚Aufsichtsbehörde‘).

(2)   Jede Aufsichtsbehörde leistet einen Beitrag zur einheitlichen Anwendung dieser Verordnung in der gesamten Union. …

…“

11

Art. 52 („Unabhängigkeit“) DSGVO bestimmt:

„(1)   Jede Aufsichtsbehörde handelt bei der Erfüllung ihrer Aufgaben und bei der Ausübung ihrer Befugnisse gemäß dieser Verordnung völlig unabhängig.

(2)   Das Mitglied oder die Mitglieder jeder Aufsichtsbehörde unterliegen bei der Erfüllung ihrer Aufgaben und der Ausübung ihrer Befugnisse gemäß dieser Verordnung weder direkter noch indirekter Beeinflussung von außen und ersuchen weder um Weisung noch nehmen sie Weisungen entgegen.

(3)   Das Mitglied oder die Mitglieder der Aufsichtsbehörde sehen von allen mit den Aufgaben ihres Amtes nicht zu vereinbarenden Handlungen ab und üben während ihrer Amtszeit keine andere mit ihrem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit aus.

(4)   Jeder Mitgliedstaat stellt sicher, dass jede Aufsichtsbehörde mit den personellen, technischen und finanziellen Ressourcen, Räumlichkeiten und Infrastrukturen ausgestattet wird, die sie benötigt, um ihre Aufgaben und Befugnisse auch im Rahmen der Amtshilfe, Zusammenarbeit und Mitwirkung im Ausschuss effektiv wahrnehmen zu können.

(5)   Jeder Mitgliedstaat stellt sicher, dass jede Aufsichtsbehörde ihr eigenes Personal auswählt und hat, das ausschließlich der Leitung des Mitglieds oder der Mitglieder der betreffenden Aufsichtsbehörde untersteht.

(6)   Jeder Mitgliedstaat stellt sicher, dass jede Aufsichtsbehörde einer Finanzkontrolle unterliegt, die ihre Unabhängigkeit nicht beeinträchtigt[,] und dass sie über eigene, öffentliche, jährliche Haushaltspläne verfügt, die Teil des gesamten Staatshaushalts oder nationalen Haushalts sein können.“

12

Art. 57 („Aufgaben“) DSGVO sieht vor:

„(1)   Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet

…

…

…

(2)   Jede Aufsichtsbehörde erleichtert das Einreichen von in Absatz 1 Buchstabe f genannten Beschwerden durch Maßnahmen wie etwa die Bereitstellung eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.

…“

13

In Art. 58 („Befugnisse“) Abs. 1 und 2 DSGVO heißt es:

„(1)   Jede Aufsichtsbehörde verfügt über sämtliche folgenden Untersuchungsbefugnisse, die es ihr gestatten,

(2)   Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

14

Art. 77 („Recht auf Beschwerde bei einer Aufsichtsbehörde“) DSGVO bestimmt:

„(1)   Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

(2)   Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.“

15

Art. 78 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde“) DSGVO sieht vor:

„(1)   Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.

…

(3)   Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat.

…“

16

Gemäß Art. 18 des Bayerischen Datenschutzgesetzes vom 15. Mai 2018 (im Folgenden: BayDSG) ist das Landesamt Aufsichtsbehörde für nicht öffentliche Stellen.

17

Art. 20 BayDSG sieht vor:

„(1)   Jeder kann sich an die Aufsichtsbehörden mit dem Vorbringen wenden, bei der Verarbeitung seiner personenbezogenen Daten in seinen Rechten verletzt worden zu sein. Durch die Anrufung der Aufsichtsbehörden dürfen der betroffenen Person keine Nachteile entstehen.

(2)   Auskunfts- oder Einsichtsrechte hinsichtlich Akten und Dateien der Aufsichtsbehörden bestehen nicht.“

18

In der Gesetzesbegründung zu Art. 20 Abs. 2 BayDSG heißt es insbesondere, dass diese Vorschrift zur Anwendung kommt und ein Auskunftsrecht nach Art. 15 DSGVO vollständig ausschließt, wenn ein solches Recht gegenüber dem Landesamt in Bezug auf seine Akten und Dateien geltend gemacht wird.

19

Herr Lindenberg ist Journalist und betreibt einen Blog, der sich u. a. mit dem Datenschutz beschäftigt. Seit 2021 hatte er beim Landesamt mehrere Beschwerdeverfahren eingeleitet.

20

Nachdem Herr Lindenberg am 13. Mai 2022 eine Datenschutzbeschwerde beim Landesamt eingereicht hatte, leitete dieses ein aufsichtliches Beschwerdeverfahren gegen einen Dritten ein. Das Landesamt informierte Herrn Lindenberg mit E‑Mail vom 11. Oktober 2022, dass es Datenschutzverstöße dieses Dritten festgestellt habe und dass nach Ablauf der Umsetzungsfrist hierfür bei erneuten Verstößen des Dritten eine kostenpflichtige Verwarnung ausgesprochen werde. Mit E‑Mail vom selben Tag begehrte Herr Lindenberg die Mitteilung weiterer Details hinsichtlich der vom Landesamt ergriffenen Maßnahmen. Nachdem das Landesamt diesem Begehren nicht nachkam, beantragte Herr Lindenberg mit E‑Mail vom 11. Oktober 2022 eine vollständige Auskunft nach Art. 15 Abs. 1 und 3 DSGVO.

21

Mit Bescheid vom 20. Oktober 2022 lehnte das Landesamt den Antrag auf Auskunft gemäß Art. 15 Abs. 1 und Abs. 3 DSGVO ab. Die Ablehnung begründete das Landesamt damit, dass gemäß Art. 20 Abs. 2 BayDSG Auskunfts- oder Einsichtsrechte hinsichtlich Akten und Dateien der Aufsichtsbehörden nicht bestünden.

22

Am 6. Dezember 2022 erhob Herr Lindenberg beim Bayerischen Verwaltungsgericht Ansbach (Deutschland), dem vorlegenden Gericht, Klage gegen diesen Bescheid und beantragte, das Landesamt zu verpflichten, ihm eine Kopie aller Daten in der Akte des am 13. Mai 2022 eingeleiteten Beschwerdeverfahrens zur Verfügung zu stellen.

23

Am 23. Februar 2024 gewährte das Landesamt – allerdings ohne Anerkennung einer entsprechenden Rechtspflicht – elektronisch Einsicht in diese Akte.

24

Herr Lindenberg beantragt jedoch noch die Feststellung, dass der in Rn. 21 des vorliegenden Urteils genannte Bescheid des Landesamts vom 20. Oktober 2022 rechtswidrig gewesen sei.

25

Das vorlegende Gericht bemerkt, dass, wenn eine Person nach Art. 77 DSGVO ein Beschwerdeverfahren bei dem Landesamt einleite, das Landesamt dieser Person als Aufsichtsbehörde im Sinne von Art. 4 Nr. 21 DSGVO gegenübertrete. Das Landesamt macht geltend, dass eine solche Aufsichtsbehörde im Verhältnis zu dieser Person nicht als „Verantwortlicher“ im Sinne von Art. 15 in Verbindung mit Art. 4 Nr. 7 DSGVO anzusehen sei, wodurch zwingend ausgeschlossen sei, dass diese Person über ein Auskunftsrecht gegen die Aufsichtsbehörde verfüge, das sich auf sie betreffende personenbezogene Daten beziehe, die im Beschwerdeverfahren verarbeitet worden seien.

26

Das vorlegende Gericht tendiert hingegen zu der Auffassung, dass eine Aufsichtsbehörde gleichzeitig Aufsichtsbehörde im Sinne von Art. 4 Nr. 21 DSGVO und Verantwortlicher im Sinne von Art. 15 in Verbindung mit Art. 4 Nr. 7 DSGVO sein könne.

27

Nach Ansicht des vorlegenden Gerichts stellt sich, sofern dies tatsächlich der Fall ist, die Frage, ob ein derart pauschaler Ausschluss des Auskunftsrechts hinsichtlich Akten und Dateien der Aufsichtsbehörde, wie ihn Art. 20 Abs. 2 BayDSG vorsieht, den Voraussetzungen von Art. 23 DSGVO genügt.

28

Unter diesen Umständen hat das Bayerische Verwaltungsgericht Ansbach beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

29

Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 4 Nr. 7 in Verbindung mit Art. 15 DSGVO dahin auszulegen ist, dass eine Aufsichtsbehörde im Sinne von Art. 4 Nr. 21 DSGVO im Rahmen eines Verfahrens, das eine von einer betroffenen Person nach Art. 77 DSGVO eingelegte Beschwerde zum Gegenstand hat, als „Verantwortlicher“ einzustufen und daher grundsätzlich verpflichtet ist, dieser Person Auskunft über die sie betreffenden personenbezogenen Daten und die in Art. 15 DSGVO aufgeführten Informationen zu gewähren.

30

Zunächst ist erstens darauf hinzuweisen, dass nach Art. 4 Nr. 1 DSGVO als „personenbezogene Daten“„alle Informationen“ zu verstehen sind, „die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, … insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind“, wobei eine solche Person als „betroffene Person“ bezeichnet wird.

31

Zweitens ist unter „Verarbeitung“ nach Art. 4 Nr. 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten zu verstehen wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

32

Drittens umfasst nach Art. 4 Nr. 7 DSGVO der Begriff „Verantwortlicher“ natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden. Diese Bestimmung besagt auch, dass, wenn die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben sind, der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden können.

33

Angesichts der weiten Definition des Begriffs „Verantwortlicher“ in dieser Bestimmung kann die Vorgabe der Zwecke und Mittel der Verarbeitung und gegebenenfalls die Benennung des Verantwortlichen durch das Unionsrecht nicht nur explizit, sondern auch implizit erfolgen. Im letzteren Fall ist es jedoch erforderlich, dass sich diese Vorgabe mit hinreichender Bestimmtheit aus der Rolle, dem Auftrag und den Aufgaben der betroffenen Person oder Einrichtung ergibt. Dies ist der Fall, wenn sich diese Zwecke und Mittel im Wesentlichen aus den Bestimmungen des Unionsrechts ergeben, die die Tätigkeit dieser Person oder dieser Stelle regeln (vgl. entsprechend Urteil vom 27. Februar 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, Rn. 28 und 37).

34

Um die Eigenschaft einer Stelle als Verantwortlicher im Sinne von Art. 4 Nr. 7 zweiter Halbsatz DSGVO festzustellen, ist es im Übrigen nicht erforderlich, dass diese Stelle einen Einfluss auf die Entscheidung über die Zwecke und Mittel dieser Verarbeitung ausübt. Eine solche Stelle, die nach dem Unionsrecht oder nationalem Recht als Verantwortlicher benannt ist, muss daher nicht selbst über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden, um als Verantwortlicher Anfragen beantworten zu müssen, die betroffene Personen aufgrund ihrer Rechte aus der DSGVO an sie richten (vgl. in diesem Sinne Urteil vom 27. Februar 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, Rn. 44 und 45).

35

Nach diesen Vorbemerkungen ist als Erstes darauf hinzuweisen, dass die Aufsichtsbehörden gemäß Art. 8 Abs. 3 der Charta sowie Art. 4 Nr. 21, Art. 51 Abs. 1 und Art. 57 Abs. 1 Buchst. a DSGVO die Einhaltung der Unionsvorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu überwachen haben (vgl. in diesem Sinne Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 55 und die dort angeführte Rechtsprechung).

36

Insbesondere ist jede Aufsichtsbehörde nach Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet, sich in ihrem Hoheitsgebiet mit Beschwerden zu befassen, die jede Person gemäß Art. 77 Abs. 1 DSGVO einlegen kann, wenn sie der Ansicht ist, dass eine Verarbeitung sie betreffender personenbezogener Daten gegen diese Verordnung verstößt, und den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen. Die Aufsichtsbehörde, die nach Art. 58 Abs. 1 und 2 DSGVO mit Untersuchungs- und Abhilfebefugnissen ausgestattet ist, muss eine solche Beschwerde mit aller gebotenen Sorgfalt bearbeiten (vgl. in diesem Sinne Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, EU:C:2023:958, Rn. 56 und 57 und die dort angeführte Rechtsprechung).

37

Aus den ihr somit durch das Unionsrecht zuerkannten Befugnissen ergibt sich, dass eine mit einer Beschwerde befasste Aufsichtsbehörde selbst im Sinne von Art. 4 Nr. 2 DSGVO die personenbezogenen Daten des Beschwerdeführers als betroffene Person zu verarbeiten hat. Denn in diesem Rahmen werden solche Daten von dieser Behörde nämlich erfasst, abgefragt, gespeichert und verwendet.

38

Außerdem ergeben sich die Zwecke und Mittel der Verarbeitung personenbezogener Daten, die von einer mit einer solchen Beschwerde befassten Aufsichtsbehörde vorgenommen werden kann, im Wesentlichen aus den Bestimmungen des Unionsrechts, die die Tätigkeit dieser Behörde regeln.

39

Daraus folgt, dass eine Aufsichtsbehörde als für die Verarbeitung der personenbezogenen Daten des Beschwerdeführers „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO anzusehen ist.

40

Diese Auslegung wird durch das Ziel dieser Bestimmung bestätigt, das darin besteht, durch die weite Definition des Begriffs „Verantwortlicher“ einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten (vgl. in diesem Sinne Urteil vom 11. Januar 2024, État belge [Von einem Amtsblatt verarbeitete Daten], C‑231/22, EU:C:2024:7, Rn. 28 und die dort angeführte Rechtsprechung).

41

Würde eine Aufsichtsbehörde, die über eine Beschwerde entscheidet, nicht als „Verantwortlicher“ eingestuft, würden dem Beschwerdeführer in Bezug auf die Verarbeitung seiner Daten durch diese Behörde jedoch sämtliche in Kapitel III der DSGVO aufgeführten Rechte vorenthalten, wie u. a. das Recht betroffener Personen auf Transparenz der Informationen und der Kommunikation, das Recht auf Information, wenn personenbezogene Daten bei ihnen erhoben werden oder nicht, das Recht auf Auskunft über die sie betreffenden personenbezogenen Daten, das Recht auf Berichtigung dieser Daten, das Recht auf Löschung oder auch das Recht auf Einschränkung der Verarbeitung nach den Art. 12 bis 18 DSGVO. Darüber hinaus unterlägen die Aufsichtsbehörden weder den Grundsätzen für die Verarbeitung personenbezogener Daten nach Art. 5 DSGVO, wie insbesondere den Grundsätzen der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben, der Transparenz, der Zweckbindung, der Datenminimierung oder auch der Richtigkeit, noch den Regeln zur Sicherheit personenbezogener Daten in Kapitel IV Abschnitt 2 der DSGVO.

42

In diesem Zusammenhang kann auch das Argument des Landesamtes, wonach einige Bestimmungen der DSGVO notwendigerweise eine strikte Unterscheidung zwischen Aufsichtsbehörde einerseits und „Verantwortlichem“ andererseits voraussetzten, keinen Erfolg haben. Wie der Generalanwalt in Nr. 52 seiner Schlussanträge ausführt, beziehen sich diese Bestimmungen ausschließlich auf den vom Unionsgesetzgeber ins Auge gefassten grundsätzlichen Fall, dass beide Rollen nicht miteinander verschmelzen. Sie schließen es jedoch nicht aus, dass eine Aufsichtsbehörde unter bestimmten Umständen gleichzeitig die Voraussetzungen für eine Einstufung als „Verantwortlicher“ erfüllen kann.

43

Insoweit ist hinzuzufügen, dass es für eine Aufsichtsbehörde durchaus möglich ist, ihre interne Organisation anzupassen, damit die Handlungen, die sie als Verantwortlicher für die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durchführt, selbst Gegenstand einer unabhängigen Kontrolle durch eine andere Stelle innerhalb dieser Behörde gemäß den einschlägigen Bestimmungen der DSGVO sein können.

44

Als Zweites muss, wenn eine mit einer Beschwerde befasste Aufsichtsbehörde als „Verantwortlicher“ hinsichtlich der personenbezogenen Daten des Beschwerdeführers einzustufen ist, diesem nach Art. 15 Abs. 1 DSGVO u. a. das Recht auf Auskunft über diese Daten zustehen.

45

Insoweit ist darauf hinzuweisen, dass Art. 15 Abs. 1 eine derjenigen Bestimmungen darstellt, die die Transparenz der Art und Weise der Verarbeitung personenbezogener Daten gegenüber der betroffenen Person gewährleisten sollen. Ohne diese Transparenz wäre die betroffene Person weder in der Lage, sich zu vergewissern, dass ihre personenbezogenen Daten richtig sind und rechtmäßig verarbeitet werden, noch könnte sie die u. a. in den Art. 16 bis 18, 21, 79 und 82 DSGVO vorgesehenen Befugnisse wahrnehmen (Urteile vom 22. Juni 2023, Pankki S, C‑579/21, EU:C:2023:501, Rn. 59, und vom 27. Februar 2025, Dun & Bradstreet Austria u. a., C‑203/22, EU:C:2025:117, Rn. 53).

46

Es ist jedoch darauf hinzuweisen, dass Art. 15 Abs. 1 DSGVO ausschließlich ein Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten und ein Recht auf Information über die Verarbeitung dieser Daten begründet. Hingegen begründet diese Bestimmung weder ein allgemeines Auskunftsrecht hinsichtlich der Verwaltungsakte noch ein Einsichtsrecht hinsichtlich aller Unterlagen, die sich im Besitz der staatlichen Stelle in ihrer Eigenschaft als Verantwortliche befinden.

47

Nach alledem ist auf die erste Frage zu antworten, dass Art. 4 Nr. 7 in Verbindung mit Art. 15 DSGVO dahin auszulegen ist, dass eine Aufsichtsbehörde im Sinne von Art. 4 Nr. 21 DSGVO im Rahmen eines Verfahrens, das eine von einer betroffenen Person nach Art. 77 DSGVO eingelegte Beschwerde zum Gegenstand hat, als „Verantwortlicher“ einzustufen und daher grundsätzlich verpflichtet ist, dieser Person Auskunft über die sie betreffenden personenbezogenen Daten und die in Art. 15 DSGVO aufgeführten Informationen zu gewähren.

48

Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 23 DSGVO dahin auszulegen ist, dass er einer nationalen Bestimmung entgegensteht, nach der ein Beschwerdeführer kein Recht auf Auskunft nach Art. 15 DSGVO über die ihn betreffenden personenbezogenen Daten hat, die sich im Besitz einer Aufsichtsbehörde im Sinne von Art. 4 Nr. 21 DSGVO, wie etwa dem Landesamt, befinden.

49

Insoweit ist anzumerken, dass die DSGVO auf dem Bestehen eines jeder natürlichen Person zuerkannten Rechts auf Schutz bei der Verarbeitung der sie betreffenden personenbezogenen Daten beruht. Dieser Schutz ist ein Grundrecht, das in Art. 8 Abs. 1 der Charta, auf den der erste Erwägungsgrund dieser Verordnung verweist, verankert ist. Das Ziel, die Wirksamkeit dieses Grundrechts zu gewährleisten, indem in allen Mitgliedstaaten ein hohes und gleichwertiges Schutzniveau gewährleistet wird, liegt, wie sich aus Art. 1 und dem zehnten Erwägungsgrund der DSGVO ergibt, der Anwendung dieser Verordnung zugrunde (Urteil vom 4. September 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, Rn. 38 und die dort angeführte Rechtsprechung).

50

Gerade zur Erreichung dieses Ziels gewährleistet Art. 15 Abs. 1 DSGVO der betroffenen Person ein Recht auf Auskunft über ihre personenbezogenen Daten (Urteil vom 26. Oktober 2023, FT [Kopien der Patientenakte], C‑307/22, EU:C:2023:811, Rn. 48).

51

Das Recht auf Schutz der personenbezogenen Daten ist gleichwohl kein uneingeschränktes Recht. Es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden (vgl. in diesem Sinne Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C‑154/21, EU:C:2023:3, Rn. 47).

52

Nach Art. 23 Abs. 1 DSGVO können somit im Wege von Gesetzgebungsmaßnahmen Beschränkungen der u. a. in Art. 15 DSGVO vorgesehenen Pflichten und Rechte festgelegt werden, um bestimmte in diesem Art. 23 Abs. 1 aufgeführte, dem Gemeinwohl dienende Ziele zu gewährleisten, sofern solche Beschränkungen den Wesensgehalt der Grundrechte und Grundfreiheiten achten und in einer demokratischen Gesellschaft notwendig und verhältnismäßig sind, um diese Ziele zu gewährleisten.

53

Aus dem Vorlagebeschluss geht hervor, dass die Gesetzesbegründung des BayDSG zwar ausdrücklich Art. 23 DSGVO als Rechtsgrundlage für Art. 20 Abs. 2 BayDSG nennt, sich aber nicht auf ein dort aufgeführtes Ziel bezieht. Das vorlegende Gericht weist allerdings darauf hin, dass diese Regelung nach den vom Landesamt im Ausgangsverfahren eingereichten Erklärungen in Wirklichkeit zwei Hauptziele verfolge, nämlich einerseits die Sicherung der Vertraulichkeit personenbezogener Daten Dritter sowie andererseits die Gewährleistung des ordnungsgemäßen Funktionierens und der Unabhängigkeit der Aufsichtsbehörden. Darüber hinaus habe diese Regelung auch das Ziel, die öffentliche Sicherheit aufrechtzuerhalten. Diese Ziele fielen unter Art. 23 Abs. 1 Buchst. c, e, h und i DSGVO.

54

Was als Erstes das Ziel der Sicherung der Vertraulichkeit der personenbezogenen Daten Dritter angeht, ist darauf hinzuweisen, dass nach Art. 23 Abs. 1 Buchst. i DSGVO die Pflichten und Rechte gemäß Art. 15 DSGVO beschränkt werden können, um die Rechte und Freiheiten anderer Personen zu schützen.

55

Außerdem sollte gemäß dem 63. Erwägungsgrund der DSGVO das Auskunftsrecht der betroffenen Person hinsichtlich der sie betreffenden erhobenen personenbezogenen Daten, die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Urteil vom 27. Februar 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, Rn. 69).

56

Diese Erwägungen dürfen jedoch nicht dazu führen, dass, wie dies in Art. 20 BayDSG vorgesehen ist, der betroffenen Person jegliche Auskunft verweigert wird.

57

Wie nämlich in Rn. 52 des vorliegenden Urteils in Erinnerung gerufen wurde, sieht Art. 23 Abs. 1 DSGVO vor, dass eine Beschränkung des Umfangs der u. a. in Art. 15 DSGVO vorgesehenen Pflichten und Rechte nur möglich ist, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die den Schutz der Rechte und Freiheiten anderer Personen sicherstellt (Urteil vom 27. Februar 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, Rn. 70). Diese Bestimmung ist im Licht von Art. 8 Abs. 2 Satz 2 der Charta auszulegen, in dem der Grundsatz aufgestellt wird, nach dem „[j]ede Person … das Recht [hat], Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken“.

58

Wie der Gerichtshof entschieden hat, sind im Fall eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft über die personenbezogenen Daten zum einen und den Rechten oder Freiheiten anderer Personen zum anderen die fraglichen Rechte gegeneinander abzuwägen. Nach Möglichkeit sind Modalitäten der Übermittlung der personenbezogenen Daten zu wählen, die die Rechte oder Freiheiten anderer Personen nicht verletzen, wobei diese Erwägungen nicht dazu führen dürfen, dass der betroffenen Person jegliche Auskunft verweigert wird, wie sich aus dem 63. Erwägungsgrund der DSGVO ergibt (vgl. in diesem Sinne Urteil vom 27. Februar 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, Rn. 72 und die dort angeführte Rechtsprechung).

59

Daher sind angepasste Modalitäten wie u. a. die Schwärzung oder Anonymisierung von personenbezogenen Daten Dritter geeignet, die betroffenen Interessen miteinander in Einklang zu bringen, ohne das Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten vollständig zu beseitigen.

60

Somit steht Art. 23 Abs. 1 Buchst. i DSGVO einer nationalen Bestimmung entgegen, nach der der Verantwortliche verpflichtet ist, einer betroffenen Person jegliche Auskunft hinsichtlich der sie betreffenden personenbezogenen Daten zu verweigern, ohne eine Abwägung der in Rede stehenden Interessen vornehmen zu können.

61

Was als Zweites das Ziel der Gewährleistung des ordnungsgemäßen Funktionierens und der Unabhängigkeit der Aufsichtsbehörden angeht, ist darauf hinzuweisen, dass Art. 52 DSGVO die völlige Unabhängigkeit einer solchen Aufsichtsbehörde gewährleistet und jedem Mitgliedstaat auferlegt sicherzustellen, dass jede Aufsichtsbehörde mit den personellen, technischen und finanziellen Ressourcen ausgestattet wird, die sie benötigt, um ihre Aufgaben und Befugnisse effektiv wahrnehmen zu können. Im Übrigen hat der Gerichtshof betont, dass das Ziel, ein gleichmäßiges und hohes Schutzniveau für natürliche Personen in der Union sicherzustellen, die Gewährleistung des ordnungsgemäßen Funktionierens der Aufsichtsbehörden verlangt (Urteil vom 9. Januar 2025, Österreichische Datenschutzbehörde [Exzessive Anfragen], C‑416/23, EU:C:2025:3, Rn. 40).

62

Daher stellt das Ziel, das ordnungsgemäße Funktionieren und die Unabhängigkeit der Aufsichtsbehörden zu wahren, ein legitimes Ziel im Hinblick auf Art. 23 Abs. 1 Buchst. h DSGVO dar, das es grundsätzlich erlaubt, Beschränkungen u. a. des in Art. 15 DSGVO gewährleisteten Auskunftsrechts vorzusehen.

63

Wie allerdings auch der Generalanwalt im Wesentlichen in Nr. 86 seiner Schlussanträge ausführt, ist nicht ersichtlich, inwiefern die Ausübung dieses Auskunftsrechts die unabhängige Wahrnehmung der Aufgaben der Aufsichtsbehörden beeinträchtigen könnte.

64

Das Gleiche gilt in Bezug auf die Gewährleistung der effizienten Wahrnehmung dieser Aufgaben. Eine gesetzliche Regelung, die der betroffenen Person generell und abstrakt ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die sich im Besitz einer Aufsichtsbehörde befinden, verwehrt, verfolgt ein solches Ziel nämlich nicht in verhältnismäßiger Weise.

65

In dieser Hinsicht ist im Übrigen darauf hinzuweisen, dass, selbst wenn der mit der Bearbeitung von Auskunftsanträgen nach Art. 15 DSGVO verbundene Verwaltungsaufwand gegebenenfalls nicht vernachlässigbar sein sollte, jeder Mitgliedstaat sicherstellt, wie in Rn. 61 des vorliegenden Urteils in Erinnerung gerufen wird, dass jede Aufsichtsbehörde mit den personellen, technischen und finanziellen Ressourcen ausgestattet wird, die sie benötigt, um ihre Aufgaben und Befugnisse effektiv wahrnehmen zu können.

66

Darüber hinaus erlaubt Art. 12 Abs. 5 DSGVO dem Verantwortlichen im Fall eines offenkundig unbegründeten oder exzessiven Auskunftsantrags entweder ein angemessenes Entgelt zu verlangen, bei dem die Verwaltungskosten für die Unterrichtung berücksichtigt werden, oder sich zu weigern, aufgrund solcher Anträge tätig zu werden.

67

Daher kann das Recht auf Auskunft einer betroffenen Person hinsichtlich der sie betreffenden personenbezogenen Daten nicht generell ausgeschlossen werden, um das ordnungsgemäße Funktionieren und die Unabhängigkeit der Aufsichtsbehörden nach Art. 23 Abs. 1 Buchst. h DSGVO sicherzustellen.

68

Was als Drittes das Ziel des Schutzes der öffentlichen Sicherheit betrifft, ist festzustellen, dass dieses Ziel nach Art. 23 Abs. 1 Buchst. c DSGVO eine Beschränkung des in Art. 15 Abs. 1 DSGVO vorgesehenen Rechts auf Auskunft der betroffenen Person hinsichtlich der sie betreffenden personenbezogenen Daten rechtfertigen kann. Eine solche Beschränkung kann ein Mitgliedstaat allerdings nur geltend machen, wenn eine tatsächliche und hinreichend schwere Gefährdung vorliegt, die ein Grundinteresse der Gesellschaft berührt (vgl. entsprechend Urteil vom 13. November 2025, Kommission/Ungarn [Baumaterialien für kritische Infrastrukturen], C‑499/23, EU:C:2025:875, Rn. 41). Aus der dem Gerichtshof vorliegenden Akte geht dies jedoch nicht hervor.

69

Nach alledem ist auf die zweite Frage zu antworten, dass Art. 23 Abs. 1 Buchst. c, h und i DSGVO dahin auszulegen ist, dass er einer nationalen Bestimmung entgegensteht, nach der ein Beschwerdeführer kein Recht auf Auskunft über die ihn betreffenden personenbezogenen Daten, wie es in Art. 15 DSGVO vorgesehen ist, hat, die sich im Besitz einer Aufsichtsbehörde im Sinne von Art. 4 Nr. 21 DSGVO befinden.

70

Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Dritte Kammer) für Recht erkannt: