DSGVO

Die DSGVO nennt keine Größe. Artikel 37 knüpft die Pflicht an die Tätigkeit: Behörde, umfangreiche regelmäßige und systematische Überwachung oder umfangreiche Verarbeitung besonderer Datenkategorien. Die Zahl steht im deutschen Recht – § 38 Absatz 1 BDSG verlangt eine Benennung, sobald in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen, denn der Wortlaut spricht von Personen. Unabhängig von jeder Zahl greift die Pflicht, sobald eine Datenschutz-Folgenabschätzung ansteht.

Artikel 82 DSGVO gibt jeder betroffenen Person einen Anspruch auf Ersatz des materiellen und des immateriellen Schadens. Der Bundesgerichtshof hat am 18. November 2024 entschieden, dass bereits der Verlust der Kontrolle über die eigenen Daten ein solcher Schaden ist – ohne Missbrauch und ohne weitere spürbare Folgen (VI ZR 10/24). Als Größenordnung nannte er 100 Euro, die Vorinstanz hatte 250 Euro zugesprochen. Dieser Anspruch geht an die Person, das Bußgeld an die Staatskasse.

Sobald sie Daten anderer Personen öffentlich zugänglich macht oder erhebt, ja. Artikel 2 Absatz 2 Buchstabe c nimmt nur Verarbeitungen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten aus; Erwägungsgrund 18 nennt dafür Schriftverkehr und Adressverzeichnisse. Der Europäische Gerichtshof hat am 6. November 2003 entschieden, dass eine Veröffentlichung im Internet nicht darunter fällt, weil die Daten einer unbegrenzten Zahl von Personen zugänglich werden (C-101/01, Randnummer 47). Ein Kontaktformular genügt dafür.

Wenn drei Voraussetzungen zusammen erfüllt sind. Der Gerichtshof der Europäischen Union hat sie am 4. Oktober 2024 geordnet (C-621/22): ein nicht gesetzeswidriges Interesse, wobei auch ein rein wirtschaftliches genügt; eine Verarbeitung, die dafür erforderlich ist; und eine Abwägung, in der die Interessen der betroffenen Person nicht überwiegen – maßgeblich sind deren vernünftige Erwartungen. Die Abwägung gehört dokumentiert, weil sie im Prüffall vorzulegen ist. Für Gesundheitsdaten und andere Kategorien nach Artikel 9 trägt sie nicht.

Für die erste Kopie nicht. Artikel 12 Absatz 5 stellt Auskünfte unentgeltlich. Die Beweggründe des Antrags spielen dabei keine Rolle, auch nicht die Absicht, Haftungsansprüche zu prüfen – so der Europäische Gerichtshof am 26. Oktober 2023 (C-307/22). Für weitere Kopien erlaubt Artikel 15 Absatz 3 ein angemessenes Entgelt auf Grundlage der Verwaltungskosten. Nur bei offenkundig unbegründeten oder exzessiven Anträgen darf die Auskunft entgeltlich sein oder unterbleiben; den Nachweis trägt das Unternehmen.