Buchen Sie Ihren Wunschtermin!
Jetzt online Termin vereinbarenUnter bestimmten Voraussetzungen können Informationen aus technischen Protokollen dem Auskunftsrecht nach Art. 15 DSGVO unterliegen. Ein allgemeiner Anspruch auf vollständige Herausgabe sämtlicher interner Logdateien besteht jedoch nicht.
Ob entsprechende Informationen herauszugeben sind, hängt insbesondere davon ab, ob personenbezogene Daten verarbeitet wurden und gesetzliche Ausnahmen eingreifen. Eine pauschale Auskunftspflicht über sämtliche internen Sicherheitsmechanismen besteht nicht.
Allein dieser Zweck rechtfertigt grundsätzlich keine Ablehnung. Der EuGH hat mit Urteil vom 26. Oktober 2023 – C-307/22 – klargestellt, dass das Auskunftsrecht auch für andere rechtliche Zwecke genutzt werden kann.
Nein. Art. 15 DSGVO vermittelt grundsätzlich einen Anspruch auf personenbezogene Daten, nicht auf sämtliche internen Dokumente. Dokumente oder Auszüge können allerdings erforderlich sein, wenn die Daten andernfalls nicht verständlich wiedergegeben werden können.
Mit Urteil vom 30. September 2026 – 211 C 30/26 – lehnte das Gericht unter anderem die umfassende Herausgabe interner Bankunterlagen nach Art. 15 DSGVO ab. Die Begründung zum Zweck des Auskunftsrechts ist im Hinblick auf die EuGH-Rechtsprechung umstritten.
Ja. Bei nicht autorisierten Zahlungsvorgängen können insbesondere Ansprüche nach § 675u BGB bestehen. Die Nachweisanforderungen bei streitiger Autorisierung ergeben sich unter anderem aus § 675w BGB.
Grundsätzlich einen Monat. Unter bestimmten Voraussetzungen kann die Frist um bis zu zwei weitere Monate verlängert werden.
Nach einem Betrugsfall möchten Geschädigte häufig wissen, warum ihre Bank verdächtige Überweisungen nicht verhindert hat.
Dabei geht es nicht nur um die eigentlichen Kontoauszüge.
Von Interesse können auch interne Aufzeichnungen sein, beispielsweise technische Protokolle, Informationen über Sicherheitsprüfungen oder Hinweise aus automatisierten Betrugserkennungssystemen.
Mit einem solchen Fall beschäftigte sich das Amtsgericht Charlottenburg.
Mit Urteil vom 30. September 2026 – 211 C 30/26 – wies das Gericht die Klage einer Bankkundin ab.
Die Klägerin war Opfer eines mutmaßlichen Kryptowährungs-Anlagebetrugs geworden.
Sie hatte über soziale Medien Kontakt zu einer vermeintlichen Anlageplattform aufgenommen.
Auf deren Veranlassung überwies sie im Mai 2025 mehrfach Geld auf ein Konto bei einem Kryptowährungsdienstleister in Malta.
Von dort wurden die Beträge in Kryptowährungen umgewandelt und an Wallets der mutmaßlichen Betrüger weitergeleitet.
Die Klägerin erhielt ihr Geld nicht zurück.
Sie verlangte deshalb Schadensersatz von ihrer Bank.
Zusätzlich wollte sie erfahren, welche Informationen die Bank intern über die Überweisungen gespeichert hatte.
Die Klägerin verlangte unter Berufung auf Art. 15 DSGVO unter anderem Auskunft über folgende Informationen:
Sie wollte damit insbesondere prüfen, ob die Bank ungewöhnliche Zahlungsvorgänge erkannt hatte und ob daraus mögliche Warnpflichten entstanden waren.
Die Bank lehnte die geltend gemachten Ansprüche ab.
Das Amtsgericht Charlottenburg gab ihr im Ergebnis recht.
Dabei beschäftigte sich das Gericht sowohl mit möglichen Warnpflichten bei Überweisungen als auch mit dem datenschutzrechtlichen Auskunftsanspruch.
Das Gericht stellte darauf ab, dass die Klägerin mit ihrem Auskunftsbegehren Informationen zur Vorbereitung beziehungsweise Begründung eines Schadensersatzanspruchs erhalten wollte.
Nach Auffassung des Amtsgerichts dient Art. 15 DSGVO nicht dazu, einen möglichen Prozessgegner umfassend auszuforschen.
Die Klägerin könne deshalb nicht verlangen, dass ihr die Bank sämtliche internen Vermerke, Systemprotokolle und Bearbeitungsunterlagen zur Verfügung stellt.
Das Gericht sah darin eine unzulässige Erweiterung des datenschutzrechtlichen Auskunftsanspruchs.
Diese Begründung ist allerdings nicht unumstritten.
Denn der Europäische Gerichtshof hat bereits mehrfach klargestellt, dass das Recht auf Auskunft über personenbezogene Daten grundsätzlich weit auszulegen ist.
Insbesondere darf die Ausübung des Auskunftsrechts nicht ohne Weiteres davon abhängig gemacht werden, aus welchem Grund eine Person die Informationen benötigt.
Besonders wichtig ist das Urteil des Europäischen Gerichtshofs vom 26. Oktober 2023 – C-307/22.
In diesem Verfahren ging es um einen Patienten, der eine Kopie seiner Behandlungsunterlagen verlangte.
Er wollte damit mögliche Behandlungsfehler überprüfen und gegebenenfalls Schadensersatzansprüche geltend machen.
Der EuGH entschied, dass der Patient grundsätzlich Anspruch auf eine erste kostenlose Kopie seiner personenbezogenen Daten hat.
Dabei stellte das Gericht ausdrücklich klar, dass ein Auskunftsantrag nicht deshalb abgelehnt werden darf, weil der Betroffene damit andere rechtliche Ziele verfolgt.
Das Auskunftsrecht besteht grundsätzlich auch dann, wenn die Informationen zur Vorbereitung eines Schadensersatzprozesses benötigt werden.
Dieser Grundsatz ist nicht auf medizinische Behandlungsunterlagen beschränkt.
Er betrifft die Auslegung der Datenschutz-Grundverordnung und kann deshalb auch für andere Verantwortliche relevant sein.
Dazu gehören grundsätzlich auch Banken.
Das bedeutet allerdings nicht, dass Bankkunden automatisch sämtliche internen Unterlagen verlangen dürfen.
Entscheidend ist weiterhin, ob es sich um personenbezogene Daten handelt und welchen Umfang das Auskunftsrecht im konkreten Fall hat.
Art. 15 DSGVO gibt betroffenen Personen das Recht, von einem Verantwortlichen Auskunft darüber zu verlangen, ob personenbezogene Daten verarbeitet werden.
Ist dies der Fall, umfasst das Auskunftsrecht grundsätzlich auch Informationen über die verarbeiteten Daten.
Dazu gehören beispielsweise die Zwecke der Verarbeitung, die Kategorien personenbezogener Daten und bestimmte Angaben über deren Empfänger.
Außerdem besteht nach Art. 15 Abs. 3 DSGVO grundsätzlich ein Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind.
Für Bankkunden können solche Informationen besonders interessant sein.
Banken verarbeiten regelmäßig umfangreiche personenbezogene Daten im Zusammenhang mit der Kontoführung und dem Zahlungsverkehr.
Dazu können beispielsweise Kontoinformationen, Transaktionsdaten und bestimmte technische Informationen gehören.
Ob auch einzelne Ergebnisse einer internen Betrugsprüfung oder Risikobewertung personenbezogene Daten darstellen, muss anhand ihres konkreten Inhalts untersucht werden.
Wichtig ist die Unterscheidung zwischen einem Anspruch auf personenbezogene Daten und einem Anspruch auf vollständige interne Dokumente.
Art. 15 DSGVO begründet kein allgemeines Recht, sämtliche Geschäftsunterlagen einer Bank einzusehen.
Besonders relevant ist eine weitere Entscheidung des Europäischen Gerichtshofs.
Mit Urteil vom 22. Juni 2023 – C-579/21 (Pankki S) beschäftigte sich der EuGH ausdrücklich mit Datenverarbeitungen innerhalb einer Bank.
In dem Verfahren wollte ein Bankkunde erfahren, wann und aus welchen Gründen Beschäftigte der Bank auf seine personenbezogenen Daten zugegriffen hatten.
Der EuGH entschied, dass Informationen über den Zeitpunkt und die Zwecke solcher Datenabfragen grundsätzlich vom Auskunftsrecht erfasst sein können.
Dass der Verantwortliche eine Bank ist, ändert daran nichts.
Allerdings besteht nicht automatisch ein Anspruch darauf, die Identität sämtlicher beteiligter Bankmitarbeiter zu erfahren.
Die Entscheidung zeigt einen wichtigen Grundsatz:
Auch Informationen aus technischen Protokollen einer Bank können personenbezogene Daten sein, über die Auskunft erteilt werden muss.
Daraus folgt jedoch noch kein allgemeiner Anspruch auf Offenlegung sämtlicher technischen Sicherheitsmechanismen.
Diese Frage lässt sich nicht pauschal beantworten.
Banken setzen unterschiedliche Systeme ein, um ungewöhnliche Transaktionen und mögliche Betrugsversuche zu erkennen.
Solche Systeme werden häufig als Fraud-Monitoring bezeichnet.
Dabei können beispielsweise Transaktionsmuster, ungewöhnliche Zahlungsempfänger oder andere Risikomerkmale berücksichtigt werden.
Ob Informationen aus diesen Systemen dem Auskunftsrecht nach Art. 15 DSGVO unterliegen, hängt insbesondere davon ab, ob sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Eine personenbezogene Risikobewertung kann grundsätzlich einen entsprechenden Bezug aufweisen.
Daraus ergibt sich aber nicht zwangsläufig ein Anspruch auf Herausgabe der vollständigen technischen Erkennungslogik.
Insbesondere können Rechte Dritter, Geschäftsgeheimnisse und gesetzliche Beschränkungen zu berücksichtigen sein.
Bei Informationen aus der Geldwäscheprävention können außerdem besondere gesetzliche Auskunftsbeschränkungen relevant werden.
Dazu gehört insbesondere § 11a Abs. 2 Geldwäschegesetz.
Deshalb sollte ein Auskunftsbegehren möglichst präzise formuliert werden.
Nicht unbedingt.
Der Europäische Gerichtshof hat mit Urteil vom 4. Mai 2023 – C-487/21 erläutert, was unter einer Kopie personenbezogener Daten zu verstehen ist.
Danach müssen die betreffenden Daten vollständig und verständlich wiedergegeben werden.
Unter bestimmten Voraussetzungen kann dafür auch die Herausgabe von Auszügen aus Dokumenten oder sogar vollständigen Dokumenten erforderlich sein.
Das gilt insbesondere dann, wenn die betroffene Person ihre Daten andernfalls nicht nachvollziehen kann.
Allerdings besteht kein allgemeiner Anspruch auf sämtliche Dokumente, in denen irgendwo personenbezogene Daten vorkommen.
Für Bankkunden bedeutet das:
Ein Anspruch auf bestimmte personenbezogene Informationen aus einer Logdatei kann bestehen, ohne dass die Bank deshalb zwingend die gesamte technische Datei herausgeben muss.
Entscheidend ist, welche Daten verarbeitet wurden und in welcher Form eine vollständige und verständliche Auskunft möglich ist.
Bei klassischen Phishing-Fällen kann die technische Rekonstruktion des Zahlungsvorgangs besonders wichtig sein.
Häufig bestreitet der Bankkunde, eine Überweisung autorisiert zu haben.
Die Bank verweist dagegen auf eine angeblich ordnungsgemäße Anmeldung oder Freigabe.
In solchen Fällen müssen zwei unterschiedliche rechtliche Fragen geprüft werden.
Erstens: Welche Beweise muss die Bank im Streit über die Autorisierung einer Zahlung vorlegen?
Hier sind insbesondere die Vorschriften des Zahlungsdiensterechts relevant.
Nach § 675w BGB muss der Zahlungsdienstleister bei streitiger Autorisierung bestimmte Nachweise zur Authentifizierung und ordnungsgemäßen Ausführung erbringen.
Die technische Aufzeichnung der Nutzung eines Zahlungsinstruments reicht dabei nicht notwendigerweise aus, um eine wirksame Autorisierung oder grobe Fahrlässigkeit nachzuweisen.
Zweitens: Welche personenbezogenen Daten kann der Bankkunde unabhängig davon nach Art. 15 DSGVO verlangen?
Diese Frage richtet sich nach dem Datenschutzrecht.
Beide Anspruchsgrundlagen verfolgen unterschiedliche Zwecke.
Sie sollten deshalb auch getrennt geprüft werden.
Ein datenschutzrechtlicher Auskunftsantrag kann zusätzliche Informationen liefern.
Er ersetzt jedoch nicht die Prüfung der eigentlichen Erstattungs- oder Schadensersatzansprüche.
Besonders wichtig ist die Unterscheidung zwischen autorisierten und nicht autorisierten Zahlungen.
Bei einer nicht autorisierten Zahlung kann grundsätzlich ein Erstattungsanspruch nach § 675u BGB bestehen.
Hat der Bankkunde dagegen eine Überweisung selbst wirksam autorisiert, führt der spätere Verlust des Geldes durch einen Anlagebetrug nicht automatisch zu einer Haftung der Bank.
Genau diese Unterscheidung spielte auch im Verfahren vor dem Amtsgericht Charlottenburg eine Rolle.
Die Klägerin hatte die Überweisungen selbst veranlasst.
Das Gericht sah keine besonderen Umstände, aus denen sich eine Pflicht der Bank ergeben hätte, die Zahlungen zu stoppen oder vor ihnen zu warnen.
Für andere Betrugsfälle kann die rechtliche Bewertung allerdings anders ausfallen.
Die Entscheidung enthält zwei unterschiedliche Aussagen.
Zum einen verneint das Gericht eine besondere Warnpflicht der Bank bei den konkret ausgeführten Überweisungen.
Zum anderen lehnt es den geltend gemachten Auskunftsanspruch nach Art. 15 DSGVO ab.
Gerade die zweite Begründung ist kritisch zu betrachten.
Denn der EuGH hat in der Rechtssache C-307/22 ausdrücklich klargestellt, dass ein Auskunftsbegehren grundsätzlich auch anderen Zwecken dienen darf.
Dass ein Bankkunde Informationen benötigt, um mögliche Schadensersatzansprüche zu prüfen, rechtfertigt deshalb für sich genommen noch keine Ablehnung.
Andererseits bleibt der Gegenstand des Auskunftsrechts auf personenbezogene Daten begrenzt.
Das Urteil des Amtsgerichts sollte daher nicht so verstanden werden, dass Banken sämtliche Auskunftsanträge im Zusammenhang mit einem Rechtsstreit verweigern dürfen.
Eine abschließende höchstrichterliche Klärung der konkret betroffenen Bankunterlagen ist mit dieser amtsgerichtlichen Entscheidung nicht verbunden.
Ob das Urteil rechtskräftig ist, lässt sich der veröffentlichten Entscheidungsfassung nicht entnehmen.
Wer nach einem Bankbetrug Auskunft über gespeicherte personenbezogene Daten verlangt, sollte sein Anliegen möglichst konkret beschreiben.
Sinnvoll kann es beispielsweise sein, den Zeitraum der streitigen Zahlungen genau zu benennen.
Auch die betroffenen Konten und Transaktionen sollten eindeutig bezeichnet werden.
Dabei kann ausdrücklich um Auskunft über personenbezogene Daten gebeten werden, die im Zusammenhang mit der Verarbeitung und Prüfung der betreffenden Zahlungsvorgänge gespeichert wurden.
Hierzu können insbesondere bestimmte technische Zugriffs- und Verarbeitungsinformationen gehören.
Es sollte jedoch vermieden werden, das Auskunftsrecht mit einem unbegrenzten Anspruch auf sämtliche internen Dokumente gleichzusetzen.
Darüber hinaus kann es sinnvoll sein, die Bank ausdrücklich zur Sicherung möglicherweise beweisrelevanter Daten aufzufordern.
Ein Auskunftsantrag garantiert allerdings nicht, dass sämtliche Daten dauerhaft aufbewahrt werden müssen.
Deshalb sollte bei größeren Schäden frühzeitig geprüft werden, welche weiteren Möglichkeiten zur Beweissicherung bestehen.
Nach Art. 12 Abs. 3 DSGVO muss der Verantwortliche grundsätzlich unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags über die ergriffenen Maßnahmen informieren.
Bei komplexen oder zahlreichen Anträgen kann diese Frist unter den gesetzlichen Voraussetzungen um bis zu zwei weitere Monate verlängert werden.
Darüber muss die betroffene Person innerhalb eines Monats unter Angabe der Gründe informiert werden.
Wird die Auskunft verweigert, muss die Bank die Ablehnung rechtlich begründen.
Unter bestimmten Voraussetzungen kann der Betroffene eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einreichen.
Auch eine gerichtliche Durchsetzung kann in Betracht kommen.
Ob dies wirtschaftlich sinnvoll ist, hängt vom konkreten Sachverhalt ab.
Grundsätzlich ja.
Die Bedeutung des Auskunftsrechts hängt nicht unmittelbar von der Höhe des Schadens ab.
Bei einem größeren finanziellen Verlust kann die Beschaffung und Sicherung technischer Informationen allerdings besonders wichtig sein.
Beispielsweise kann bei einem Schaden von 50.000 Euro oder mehr ein erhebliches Interesse daran bestehen, die Hintergründe ungewöhnlicher Transaktionen möglichst genau aufzuklären.
Dabei ist jedoch zu berücksichtigen, dass die Bank nicht automatisch für jeden Betrug haftet.
Entscheidend sind insbesondere die Autorisierung der Zahlungen, mögliche Pflichtverletzungen und die jeweils geltenden gesetzlichen Haftungsregeln.
Ein Auskunftsanspruch nach Art. 15 DSGVO kann die rechtliche Aufarbeitung unterstützen.
Er führt aber nicht automatisch zu einem Erstattungsanspruch.
Das Urteil des Amtsgerichts Charlottenburg vom 30. September 2026 zeigt, dass die Herausgabe interner Bankdaten nach einem Betrugsfall rechtlich umstritten sein kann.
Das Gericht hat den umfassenden Auskunftsantrag einer Bankkundin abgelehnt.
Daraus folgt jedoch nicht, dass Banken generell keine personenbezogenen Informationen aus ihren technischen Systemen offenlegen müssen.
Der Europäische Gerichtshof hat in mehreren Entscheidungen betont, dass Art. 15 DSGVO ein weitreichendes Auskunftsrecht gewährt.
Insbesondere kann ein Antrag grundsätzlich auch dazu dienen, mögliche Schadensersatzansprüche vorzubereiten.
Für Betroffene ist deshalb entscheidend, zwischen personenbezogenen Daten, vollständigen internen Dokumenten und den gesonderten Beweispflichten der Bank zu unterscheiden.
Wer nach Phishing oder Online-Banking-Betrug eine Erstattung verlangt, sollte prüfen lassen, welche Informationen die Bank offenlegen muss und welche weiteren rechtlichen Möglichkeiten bestehen.
Wenn Sie durch Phishing, manipulierte Überweisungen oder einen Missbrauch Ihres Online-Bankings Geld verloren haben, sollten mögliche Ansprüche gegen Ihre Bank sorgfältig geprüft werden.
Die Anwaltskanzlei Lenné in Leverkusen unterstützt Betroffene bei der rechtlichen Aufarbeitung von Bankbetrug.
Wir prüfen insbesondere, ob die streitigen Zahlungen autorisiert waren, welche gesetzlichen Erstattungsansprüche bestehen und welche Informationen die Bank zur Aufklärung des Sachverhalts bereitstellen muss.
Dazu gehört gegebenenfalls auch die Prüfung datenschutzrechtlicher Auskunftsansprüche.
Unsere Unterstützung umfasst die Prüfung der Unterlagen, die Korrespondenz mit Banken und Zahlungsdienstleistern, außergerichtliche Verhandlungen und erforderlichenfalls die gerichtliche Durchsetzung Ihrer Rechte.
Unsere telefonische Erstberatung ist kostenlos.
Wenn Sie regelmäßig über aktuelle Urteile, neue Betrugsmaschen und Ihre Rechte als Bankkunde informiert werden möchten, abonnieren Sie gerne unseren kostenlosen Newsletter.
Rechtsanwalt aus der Anwaltskanzlei Lenné.
Rechtsanwalt Guido Lenné ist auch Fachanwalt für Bank- und Kapitalmarktrecht.
Wir helfen Ihnen gerne! Kontaktieren Sie uns. Oder vereinbaren Sie hier online einen Termin für eine telefonische kostenfreie Erstberatung.