Auskunft nach Art. 15 DSGVO abtretbar? BGH verneint automatischen Übergang

Der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DSGVO ist in den letzten Jahren zu einem der wichtigsten Instrumente im Datenschutzrecht geworden. Betroffene nutzen ihn, um Klarheit über gespeicherte Daten zu erhalten. Unternehmen sehen sich mit umfangreichen Auskunftsverlangen konfrontiert. Prozessvertreter versuchen immer wieder, über Art. 15 DSGVO an Informationen zu gelangen, die anschließend für Zahlungs- oder Rückforderungsansprüche verwendet werden können.

Genau an dieser Schnittstelle setzt das Urteil des BGH vom 24.02.2026 – VI ZR 430/24 an. Die Entscheidung ist für die Praxis deshalb besonders relevant, weil sie zwei Fragen trennt, die häufig vorschnell vermischt werden:

• Geht ein Auskunftsanspruch nach Art. 15 DSGVO automatisch als Nebenrecht mit über, wenn eine andere Forderung abgetreten wird?
• Ist ein solcher Anspruch überhaupt wirksam abtretbar?

Die Antwort des BGH ist klarer, als es auf den ersten Blick wirkt, aber sie ist nicht grenzenlos. Ein automatischer Übergang als bloßes Nebenrecht scheidet nach der Entscheidung aus. Zugleich hat der BGH die grundsätzliche Frage der Abtretbarkeit gerade nicht abschließend entschieden. Genau diese Differenz ist für die anwaltliche Beratung, für Legal-Tech-Modelle und für die Vertragsgestaltung von erheblicher Bedeutung.

Die Kernaussagen der Entscheidung im Überblick

• Der DSGVO-Auskunftsanspruch nach Art. 15 geht nicht automatisch analog § 401 BGB mit abgetretenen Zahlungs- oder Schadensersatzansprüchen auf einen Dritten über.
• Art. 15 DSGVO ist nach Auffassung des BGH kein bloßes Hilfsrecht zur Durchsetzung einer Hauptforderung.
• Fehlt eine klare vertragliche Abtretung, kann ein Dritter den Anspruch jedenfalls nicht aus eigenem Recht geltend machen.
• Eine bloße Bevollmächtigung verschafft dem Dritten keine eigene Anspruchsinhaberschaft. Für eine Geltendmachung im eigenen Namen genügt sie ohne klare Abtretung oder hinreichende Ermächtigung zur Prozessstandschaft nicht.
• Auch eine hilfsweise Geltendmachung im Wege der gewillkürten Prozessstandschaft scheiterte im konkreten Fall, weil es an einer hinreichenden Ermächtigung fehlte.
• Ob Art. 15 DSGVO generell abtretbar ist, hat der BGH ausdrücklich offengelassen.

Worum ging es in dem Verfahren?

Das Geschäftsmodell der Klägerin

Dem Verfahren lag ein Modell zugrunde, das in der Praxis durchaus attraktiv erscheint: Eine Gesellschaft lässt sich Ansprüche von Versicherungsnehmern gegen deren private Krankenversicherung übertragen, bündelt diese Ansprüche und setzt sie im eigenen Namen durch. Ziel war hier, mögliche Rückforderungsansprüche wegen vermeintlich unwirksamer Beitragserhöhungen aus den Jahren 2010 bis 2018 zu prüfen und später durchzusetzen.

Dafür benötigte die Klägerin Informationen. Diese Informationen sollten ihr unter anderem dabei helfen, zu beurteilen, ob und in welchem Umfang Beitragserhöhungen möglicherweise angreifbar waren.

Was in den Verträgen tatsächlich geregelt war

Der entscheidende Punkt lag nicht nur im Datenschutzrecht, sondern bereits im Vertragswortlaut.

Nach den mit den Versicherungsnehmern geschlossenen Vereinbarungen waren ausdrücklich abgetreten:

• Erstattungsansprüche
• Schadensersatzansprüche

Hinsichtlich der Auskunfts- und Datenübertragungsansprüche war dagegen gerade keine eindeutige Abtretung vorgesehen. Vielmehr war insoweit nur eine Bevollmächtigung zur Geltendmachung aufgenommen worden. Zusätzlich enthielt der Vertrag eine eher allgemein formulierte, „rein hilfsweise“ gedachte Ermächtigung, bestimmte Ansprüche im eigenen Namen durchzusetzen.

Genau an dieser Unterscheidung hat der BGH die Sache aufgehängt.

Der Weg durch die Instanzen

Bereits die Vorinstanzen standen dem Begehren der Klägerin kritisch gegenüber.

• Das LG Münster wies die Klage teilweise als unzulässig und im Übrigen als unbegründet ab.
• Das OLG Hamm bestätigte die Entscheidung.
• Das OLG ging davon aus, dass der Auskunftsanspruch nach der DSGVO höchstpersönlichen Charakter habe und deshalb weder abgetreten noch im eigenen Namen geltend gemacht werden könne.

Der BGH hat die Revision zurückgewiesen, dabei aber einen methodisch sauberen und für die Praxis sehr lehrreichen Weg gewählt.

Was der BGH tatsächlich entschieden hat

Keine wirksame vertragliche Abtretung von Art. 15 DSGVO

Der erste und wichtigste Befund lautet: Im konkreten Fall lag schon keine ausdrückliche Abtretung der DSGVO-Auskunftsansprüche vor.

Das ist mehr als eine Formalie. Der BGH hat den Vertrag nicht großzügig oder wirtschaftlich erweitert ausgelegt, sondern sich eng am Wortlaut orientiert. Wenn in einer Klausel nur von Erstattungs- und Schadensersatzansprüchen die Rede ist, dann umfasst das eben nicht automatisch auch Auskunfts- und Datenübertragungsansprüche.

Für die Praxis folgt daraus sofort:

• Wer die Abtretung eines datenschutzrechtlichen Anspruchs behauptet, muss sie im Vertrag klar abbilden.
• Allgemeine Formulierungen reichen regelmäßig nicht aus, wenn andere Anspruchsgruppen ausdrücklich genannt und Auskunftsansprüche getrennt behandelt werden.
• Eine spätere wirtschaftliche Zweckargumentation ersetzt keinen eindeutigen Abtretungswillen.

Gerade bei Forderungskaufmodellen, Legal-Tech-Strukturen und Sammelverfolgungen ist das von erheblicher Tragweite. Viele Vertragsmuster arbeiten mit weiten Zweckklauseln, aber unpräzisen Anspruchsdefinitionen. Nach der Linie des BGH dürfte das riskant sein.

Kein automatischer Übergang als Nebenrecht

Besonders wichtig ist der zweite Baustein der Entscheidung. Der BGH verneint, dass der Auskunftsanspruch nach Art. 15 DSGVO als bloßes Nebenrecht zusammen mit anderen Ansprüchen auf den Erwerber übergeht.

Im Zivilrecht ist anerkannt, dass bestimmte Hilfsrechte mit einer Hauptforderung mitwandern können. Das ist etwa dann naheliegend, wenn ein Auskunfts- oder Rechnungslegungsanspruch ausschließlich dazu dient, Gegenstand oder Höhe einer Forderung zu bestimmen. In solchen Konstellationen wird an einen Übergang analog § 401 BGB gedacht.

Genau diese Einordnung lehnt der BGH für Art. 15 DSGVO ab.

Der Grund ist dogmatisch überzeugend: Der datenschutzrechtliche Auskunftsanspruch ist nicht geschaffen worden, um eine Zahlungsforderung vorzubereiten oder deren Durchsetzung zu erleichtern. Sein eigentlicher Zweck liegt vielmehr darin, dass die betroffene Person nachvollziehen kann,

• ob überhaupt personenbezogene Daten verarbeitet werden
• welche Daten betroffen sind
• zu welchen Zwecken die Verarbeitung erfolgt
• ob die Verarbeitung rechtmäßig ist

Damit ist Art. 15 DSGVO nach der Entscheidung kein bloß akzessorisches Hilfsrecht, sondern ein eigenständiges Betroffenenrecht mit eigenem Schutz- und Kontrollzweck.

Das ist der eigentliche Kern des Urteils. Wer Art. 15 nur als Informationsbeschaffungsinstrument für spätere Geldforderungen versteht, greift zu kurz.

Der BGH hat die generelle Abtretbarkeit gerade nicht entschieden

Hier liegt der Punkt, an dem viele erste Zusammenfassungen zu grob werden. Der BGH hat nicht entschieden, dass Art. 15 DSGVO generell unabtretbar ist. Er hat nur entschieden, dass der Anspruch im konkreten Fall nicht wirksam abgetreten war und auch nicht automatisch als Nebenrecht mit übergegangen ist.

Das bedeutet:

• Die generelle Abtretbarkeit von Art. 15 DSGVO bleibt offen.
• Der BGH musste diese Frage nicht entscheiden, weil es bereits an der Vertragslage scheiterte.
• Wer aus dem Urteil ein generelles Abtretungsverbot ableiten will, liest mehr hinein, als der BGH ausgesprochen hat.

Gleichzeitig wäre es falsch, das Urteil kleinzureden. Denn auch wenn die Grundsatzfrage offen bleibt, ist die Hürde für eine erfolgreiche Drittgeltendmachung durch die Entscheidung deutlich höher geworden.

Auch die hilfsweise Prozessstandschaft half der Klägerin nicht

Die Klägerin hatte sich zusätzlich darauf berufen, sie dürfe die Ansprüche jedenfalls im eigenen Namen für die betroffenen Versicherungsnehmer geltend machen.

Auch das hat der BGH nicht durchgehen lassen.

Entscheidend war erneut die Vertragsauslegung:

• Die vertragliche Ermächtigung bezog sich nach der Auslegung des BGH nicht auf die DSGVO-Auskunftsansprüche in der erforderlichen Klarheit.
• Die Formulierung „rein hilfsweise“ sprach eher für ein abgestuftes Modell als für eine sofortige, eindeutige Ermächtigung zur Geltendmachung im eigenen Namen.
• Zudem war aus dem Vertrag nicht hinreichend erkennbar, wann der Fall dieser hilfsweisen Ermächtigung überhaupt eintreten sollte.

Für die Praxis ist das besonders lehrreich. Prozessstandschaft lässt sich nicht mit pauschalen Formulierungen sauber konstruieren. Wer fremde Datenschutzrechte im eigenen Namen geltend machen will, muss die Ermächtigung präzise, widerspruchsfrei und belastbar regeln.

Warum Art. 15 DSGVO kein gewöhnlicher Auskunftsanspruch ist

Der Schutzgedanke steht im Vordergrund

Das Urteil macht deutlich, dass Art. 15 DSGVO nicht einfach mit zivilrechtlichen Nebenrechten gleichgesetzt werden kann. Das Auskunftsrecht dient dem Schutz der betroffenen Person. Sie soll verstehen können, was mit ihren Daten geschieht, und die Datenverarbeitung kontrollieren können.

Deshalb ist Art. 15 DSGVO rechtlich anders gelagert als ein klassischer Anspruch auf Rechnungslegung oder Belegvorlage.

Bei einem klassischen Nebenrecht steht regelmäßig die Vorbereitung oder Bezifferung eines Vermögensanspruchs im Vordergrund. Bei Art. 15 DSGVO geht es demgegenüber vorrangig um:

• Transparenz
• Kontrolle
• Überprüfung der Rechtmäßigkeit der Verarbeitung
• effektive Wahrnehmung weiterer Datenschutzrechte

Diese Funktion erklärt, warum der BGH einen automatischen Übergang abgelehnt hat.

Art. 15 DSGVO ist kein bloßes Werkzeug für Zahlungsprozesse

In der Praxis wird Art. 15 DSGVO häufig strategisch eingesetzt. Dagegen ist zunächst nichts einzuwenden. Ein Anspruch verliert seinen Charakter nicht schon deshalb, weil er auch prozesstaktisch nützlich ist.

Der BGH macht aber deutlich, dass der Anspruch rechtlich nicht auf diese Funktion reduziert werden darf. Wer ihn allein als Annex zu Rückforderungs- oder Schadensersatzansprüchen begreift, verkennt seinen unionsrechtlichen Zweck.

Das hat praktische Folgen:

• Eine wirtschaftliche Nähe zu Zahlungsansprüchen genügt nicht für einen automatischen Rechtsübergang.
• Auch ein erheblicher praktischer Nutzen für die Vorbereitung einer Leistungsklage macht Art. 15 noch nicht zu einem Nebenrecht.
• Die datenschutzrechtliche Eigenständigkeit des Anspruchs begrenzt seine Instrumentalisierung.

Ist der Anspruch nach Art. 15 DSGVO nun abtretbar?

Was sich sicher sagen lässt

Nach der BGH-Entscheidung lässt sich mit Sicherheit festhalten:

• Ohne klare vertragliche Abtretung kann ein Dritter Art. 15 DSGVO jedenfalls nicht aus eigenem Recht herleiten.
• Der Anspruch geht nicht automatisch mit anderen Ansprüchen über.
• Eine bloße Vollmacht oder eine unklare Mischkonstruktion aus Abtretung und Ermächtigung genügt im Regelfall nicht.

Was offen bleibt

Nicht geklärt ist weiterhin, ob eine klar und ausdrücklich erklärte Abtretung des Anspruchs nach Art. 15 DSGVO überhaupt wirksam wäre.

Hierfür lassen sich Argumente in beide Richtungen anführen.

Für eine Abtretbarkeit könnte sprechen:

• dass das Gesetz kein ausdrückliches Abtretungsverbot enthält
• dass nicht jeder datenschutzrechtliche Anspruch zwingend rein höchstpersönlich verstanden werden muss
• dass in der Privatrechtsordnung die Übertragbarkeit von Rechten grundsätzlich eher der Regelfall ist, sofern keine besonderen Hinderungsgründe bestehen

Gegen eine Abtretbarkeit könnte sprechen:

• dass Art. 15 DSGVO an die Stellung als betroffene Person anknüpft
• dass der Anspruch dem Schutz der Persönlichkeit und der informationellen Selbstbestimmung dient
• dass sein Zweck gerade in der persönlichen Kontrolle der eigenen Datenverarbeitung liegt
• dass eine Übertragung auf gewerbliche Dritte die Schutzrichtung des Betroffenenrechts möglicherweise verschieben würde

Die Rechtsprechung bleibt zurückhaltend

Der BGH hat die Grundsatzfrage offengelassen. Unabhängig davon zeigt die bisherige Rechtsprechung außerhalb des BGH eine eher zurückhaltende Tendenz. Schon deshalb sollte derzeit niemand mit der Annahme arbeiten, die Abtretbarkeit sei praktisch gesichert.

Deshalb sollte derzeit niemand mit der Annahme arbeiten, die Abtretbarkeit sei praktisch gesichert. Das ist sie nach dem Stand der Rechtsprechung gerade nicht.

Was bedeutet das Urteil für die Vertragsgestaltung?

Präzision schlägt wirtschaftlichen Zweck

Verträge, mit denen Ansprüche gebündelt oder durch Dritte verfolgt werden sollen, müssen sprachlich sauber sein. Das Urteil zeigt sehr deutlich, dass Gerichte gerade in sensiblen Konstellationen nicht bereit sein dürften, unklare Formulierungen im Sinne eines weit verstandenen Geschäftsmodells zu retten.

Wer in Verträgen unterschiedliche Anspruchsgruppen regelt, sollte sauber trennen zwischen:

• Abtretung von Zahlungsansprüchen
• Abtretung von Schadensersatzansprüchen
• Vollmacht zur außergerichtlichen Geltendmachung
• Ermächtigung zur gerichtlichen Geltendmachung im eigenen Namen
• datenschutzrechtlichen Betroffenenrechten

Sobald diese Ebenen vermischt werden, entstehen Auslegungsrisiken.

Prozessstandschaft muss klar geregelt sein

Wer nicht auf eine Abtretung setzt, sondern mit Prozessstandschaft arbeiten will, sollte besonders vorsichtig formulieren.

Erforderlich ist regelmäßig:

• eine eindeutige Ermächtigung zur Geltendmachung im eigenen Namen
• eine klare Bestimmung, welche Ansprüche genau erfasst sind
• eine nachvollziehbare Regelung, unter welchen Voraussetzungen die Ermächtigung greifen soll
• eine widerspruchsfreie Einbettung in das übrige Vertragsgefüge

Gerade Begriffe wie „hilfsweise“, „soweit erforderlich“ oder „alle notwendigen Ansprüche“ wirken auf den ersten Blick weit. In der gerichtlichen Auslegung können sie sich aber als überraschend eng oder unbestimmt erweisen.

Datenschutzrecht ist kein gewöhnliches Forderungsmanagement

Das Urteil ist auch eine Warnung an Modelle, die Betroffenenrechte in ein standardisiertes Forderungsmanagement überführen wollen. Solche Modelle sind nicht ausgeschlossen. Sie bewegen sich aber in einem Bereich, in dem Persönlichkeitsschutz, unionsrechtlicher Normzweck und zivilrechtliche Durchsetzungsmechanismen sorgfältig aufeinander abgestimmt werden müssen.

Die praktischen Folgen für Betroffene, Unternehmen und Berater

Für Betroffene

Wenn Sie selbst einen Auskunftsanspruch nach Art. 15 DSGVO durchsetzen wollen, bleibt der sicherste Weg regelmäßig, den Anspruch im eigenen Namen geltend zu machen oder sich bei der Geltendmachung anwaltlich vertreten zu lassen.

Das Urteil zeigt:

• Die Einschaltung eines Dritten ersetzt nicht ohne Weiteres Ihre eigene Rechtsposition.
• Wer Ansprüche übertragen will, sollte die vertragliche Gestaltung sehr genau prüfen lassen.
• Unklare Abtretungsmodelle können dazu führen, dass am Ende weder die Auskunft noch die anschließende Anspruchsdurchsetzung sauber funktioniert.

Für Unternehmen und Versicherer

Verantwortliche Unternehmen können sich in vergleichbaren Fällen nicht darauf verlassen, dass jeder Dritte automatisch aktivlegitimiert ist, nur weil er wirtschaftliche Ansprüche erworben haben will.

In der Prüfungspraxis wird künftig noch stärker darauf zu achten sein:

• Ist der Anspruchsteller überhaupt betroffene Person?
• Liegt eine eindeutige Abtretung gerade des Art.-15-Anspruchs vor?
• Wird lediglich eine Vollmacht behauptet?
• Ist eine Prozessstandschaft schlüssig und wirksam dargelegt?

Die Entscheidung bietet Unternehmen damit keine generelle Abwehrmöglichkeit gegen Auskunftsansprüche, wohl aber eine belastbare Grundlage gegen unscharf konstruierte Drittmodelle.

Für Rechtsanwälte und Legal-Tech-Anbieter

Für die Beratungspraxis ist das Urteil in mehrfacher Hinsicht wichtig:

• Die dogmatische Einordnung von Art. 15 DSGVO muss sauber von vermögensrechtlichen Ansprüchen getrennt werden.
• Vertragsmuster für Forderungskauf oder Anspruchsbündelung gehören auf den Prüfstand.
• Prozessstrategien, die auf einem automatischen Übergang von Betroffenenrechten beruhen, sind deutlich riskanter geworden.
• Die offene Grundsatzfrage der Abtretbarkeit bleibt ein Feld mit erheblichem Streitpotenzial.

Typische Fehlvorstellungen rund um Art. 15 DSGVO

„Wenn die Hauptforderung abgetreten ist, geht die DSGVO-Auskunft automatisch mit“

Das ist nach der Entscheidung gerade nicht richtig. Der BGH lehnt einen automatischen Übergang als Nebenrecht ab.

„Eine Vollmacht reicht schon irgendwie aus“

Auch das ist zu pauschal. Eine Bevollmächtigung kann je nach Ausgestaltung für bestimmte Handlungen genügen. Sie ersetzt aber nicht automatisch eine Abtretung und begründet auch nicht ohne Weiteres eine tragfähige Prozessstandschaft im eigenen Namen.

„Der BGH hat entschieden, dass Art. 15 DSGVO niemals abtretbar ist“

Nein. So weit geht das Urteil nicht. Die generelle Abtretbarkeit wurde gerade nicht abschließend entschieden.

„Art. 15 DSGVO ist nur ein Werkzeug, um spätere Geldforderungen vorzubereiten“

Auch das greift zu kurz. Der Anspruch hat einen eigenen datenschutzrechtlichen Schutzzweck und ist deshalb nicht bloß ein Annex zu Zahlungsansprüchen.

Einordnung für die anwaltliche Praxis

Die Entscheidung stärkt die Eigenständigkeit des Betroffenenrechts

Aus anwaltlicher Sicht ist das Urteil bemerkenswert, weil es die eigenständige Struktur des Art. 15 DSGVO betont. Der BGH rückt den datenschutzrechtlichen Schutzzweck wieder in den Vordergrund und begrenzt damit Versuche, das Auskunftsrecht in allgemeine zivilrechtliche Forderungsmechanik einzuordnen.

Das ist dogmatisch stimmig und praktisch relevant. Denn gerade im Datenschutzrecht besteht häufig die Tendenz, Betroffenenrechte vor allem danach zu bewerten, welchen wirtschaftlichen Nutzen sie im Folgeprozess entfalten können. Der BGH setzt hier einen wichtigen Gegenakzent.

Die Entscheidung ist keine Entwarnung für Verantwortliche

Unternehmen sollten das Urteil nicht missverstehen. Es besagt nicht, dass Auskunftsansprüche nach Art. 15 DSGVO künftig leichter zurückgewiesen werden könnten. Wer als betroffene Person selbst auftritt oder wirksam vertreten wird, behält seinen Anspruch grundsätzlich.

Die Entscheidung betrifft vielmehr die prozessuale und materielle Legitimation eines Dritten, der den Anspruch für sich reklamieren will.

Für künftige Verfahren bleibt Streitstoff vorhanden

Gerade weil der BGH die Grundsatzfrage der Abtretbarkeit offenlässt, ist mit weiterer Rechtsprechung zu rechnen. Denkbar sind Konstellationen, in denen:

• der Auskunftsanspruch ausdrücklich und isoliert abgetreten wird
• die Prozessstandschaft deutlich präziser geregelt ist
• Gerichte die unionsrechtliche Frage dem EuGH vorlegen
• zwischen verschiedenen DSGVO-Rechten stärker differenziert wird

Die Rechtslage ist also in einem zentralen Punkt weiterhin offen, aber die Richtung der Entscheidung ist klar genug, um bestehende Modelle bereits jetzt kritisch zu hinterfragen.

Was sollten Sie bei Abtretungs- oder Bündelungsmodellen beachten?

Sie sollten insbesondere prüfen lassen:

• welche Ansprüche genau abgetreten werden sollen
• ob Betroffenenrechte ausdrücklich genannt sind
• ob statt einer Abtretung nur eine Vollmacht geregelt ist
• ob eine Prozessstandschaft eindeutig und wirksam ausgestaltet wurde
• ob das Modell mit dem Schutzzweck der DSGVO vereinbar erscheint

Fazit: Der BGH zieht klare Grenzen, lässt die letzte Grundsatzfrage aber offen

Das Urteil des BGH vom 24.02.2026 ist für das Datenschutzrecht und für die Anspruchsdurchsetzung durch Dritte von großer Bedeutung. Klar entschieden ist, dass der Auskunftsanspruch nach Art. 15 DSGVO nicht automatisch als Nebenrecht mit abgetretenen Erstattungs- oder Schadensersatzansprüchen übergeht. Ebenso klar ist, dass eine unklare Vertragsgestaltung und eine bloße Bevollmächtigung den Anspruch nicht ohne Weiteres in die Hand eines Dritten legen.

Offen bleibt jedoch die größere Grundsatzfrage, ob Art. 15 DSGVO bei eindeutiger Gestaltung überhaupt wirksam abgetreten werden kann. Genau deshalb wird die Entscheidung die Diskussion nicht beenden, sondern vermutlich erst richtig vertiefen.

Für die Praxis heißt das:

• Art. 15 DSGVO ist dogmatisch ernst zu nehmen und nicht bloß als Annex zu Zahlungsansprüchen zu behandeln.
• Vertragsklauseln zur Anspruchsbündelung müssen äußerst präzise formuliert werden.
• Die Aktivlegitimation eines Dritten sollte in künftigen Verfahren besonders sorgfältig geprüft werden.
• Wer sich auf eine Abtretung oder Prozessstandschaft stützen will, darf sich auf pauschale Formulierungen nicht verlassen.

Gerade im Datenschutzrecht zeigt sich damit erneut: Der juristisch entscheidende Unterschied liegt oft nicht im wirtschaftlichen Ziel, sondern in der sauberen dogmatischen Einordnung und in der präzisen Vertragsgestaltung.