Art. 15 DS-GVO gegen Sportwettanbieter in Malta: Warum das Auskunftsrecht oft ins Leere läuft
Viele Spieler wollen Sportwettenverluste aus der Zeit vor dem Glücksspielstaatsvertrag 2021 zivilrechtlich zurückfordern. Dafür brauchen sie eine Transaktionshistorie und versuchen, diese über das datenschutzrechtliche Auskunftsrecht nach Art. 15 DS-GVO zu erlangen. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) hat erläutert, warum diese Strategie an zwei Grenzen stößt: an der Zuständigkeit und am Rechtsmissbrauch.
Hintergrund: Glücksspielstaatsvertrag 2021 und Rückforderungsansprüche
Bis zum Inkrafttreten des Glücksspielstaatsvertrags 2021, in Hessen ratifiziert am 1. Juli 2021, hatten zahlreiche Online-Wettanbieter keine Lizenz zum Betrieb in Deutschland. Nach vielfacher obergerichtlicher Rechtsprechung sind Spielverträge, die vor diesem Zeitpunkt geschlossen wurden, nichtig. Daraus folgen Rückforderungsansprüche der Spieler auf ihre Verluste. Einige Anwaltskanzleien und klagenfinanzierende Investoren machen diese Ansprüche geltend, verlangen dafür aber eine genaue Übersicht über die entstandenen Verluste. Wer diese Daten nicht mehr selbst hat, versucht sie per Auskunftsantrag nach Art. 15 DS-GVO beim jeweiligen Wettanbieter zu erhalten.
Mehr als 100 Beschwerden beim HBDI
Im Berichtsjahr gingen beim HBDI mehr als 100 Beschwerden gegen ein einzelnes Unternehmen ein, das Internetplattformen für Sportwetten betreibt und seinen Sitz in Malta hat. Der Vorwurf war in allen Fällen derselbe: Das Unternehmen beantworte Auskunftsersuchen nach Art. 15 DS-GVO entweder gar nicht oder so, dass eine Übersicht über Ein- und Auszahlungen sowie Spielverluste fehlt. Das Unternehmen beruft sich dabei auf die maltesische Subsidiary Legislation 586.09, Regulation 4(e), aus der es ein Auskunftsverweigerungsrecht ableitet, wenn eine Auskunft zum Zweck der Einleitung eines Gerichtsverfahrens beantragt wird.
Zuständigkeit liegt in Malta: Rolle des IDPC
Da der Sitz des Unternehmens in Malta liegt, ist nicht der HBDI die federführende Aufsichtsbehörde, sondern der maltesische Information and Data Protection Commissioner (IDPC). Der HBDI leitet alle eingehenden Beschwerden nach Art. 56 DS-GVO und den Kooperationsregeln der Art. 60 ff. DS-GVO an den IDPC weiter, der die Verfahren auch tatsächlich bearbeitet.
Der IDPC teilt die Rechtsauffassung des Wettanbieters zur Auskunftsverweigerung nicht. Er hat bereits Bescheide erlassen, die das Unternehmen zur Auskunftserteilung verpflichten. Das Unternehmen hat gegen diese Bescheide jedoch Rechtsbehelfe eingelegt. Der IDPC wartet den Ausgang dieser Verfahren ab, bevor er weitere Maßnahmen ergreift. Wann eine endgültige Entscheidung vorliegen wird, ist offen. Der HBDI rechnet mit Monaten bis Jahren.
Neues Problem: Zivilgerichte werten Auskunftsersuchen als rechtsmissbräuchlich
Parallel zur aufsichtsbehördlichen Diskussion hat sich eine zivilgerichtliche Rechtsprechung entwickelt, die den Ansatz der Auskunftsersuchen grundsätzlich in Frage stellt. Das Landgericht Dortmund hat mit Urteil vom 8. April 2025 (Az. 5 O 162/24) entschieden, dass Anträge auf Auskunft nach Art. 15 DS-GVO mit dem Ziel, eine Übersicht über Wetttransaktionen und insbesondere Verluste zu erlangen, rechtsmissbräuchlich sind. In diesen Fällen stehe dem Verantwortlichen ein Auskunftsverweigerungsrecht nach Art. 12 Abs. 5 Satz 2 DS-GVO zu.
Die Begründung: Betroffene Spieler müssten über ihre eigenen Transaktionsdaten im Grundsatz selbst verfügen und diese im Zivilprozess eigenständig vortragen und belegen. Das Auskunftsrecht nach Art. 15 DS-GVO dient dem Datenschutz, nicht der zivilprozessualen Beweisbeschaffung. Ein Auskunftsersuchen, das primär darauf abzielt, Beweise für einen Rückforderungsanspruch zu konstruieren, widerspricht dem Beibringungsgrundsatz im Zivilprozess und ist deshalb als Ausforschungsbeweis unzulässig. Das Gericht stützt sich dabei auch auf die EuGH-Rechtsprechung (EuGH, Urteil vom 26. Oktober 2023, Rs. C-307/22) und stellt fest, dass es den Betroffenen in diesen Fällen anders als in der zitierten EuGH-Rechtssache an einem eigenständigen Rechtsschutzbedürfnis fehle.
Laufende Abstimmung zwischen den Aufsichtsbehörden
Der HBDI arbeitet mit den anderen deutschen Datenschutzaufsichtsbehörden daran, eine einheitliche Rechtsauffassung zu diesen Fragen zu entwickeln. Die Frage, ob und unter welchen Bedingungen ein Auskunftsersuchen nach Art. 15 DS-GVO rechtsmissbräuchlich ist, wenn es primär der Beweisbeschaffung für ein Zivilverfahren dient, ist datenschutzrechtlich noch nicht abschließend geklärt und verdient nach Einschätzung des HBDI eine kritische und differenzierte Betrachtung. [INTERNER LINK: Auskunftsrecht nach Art. 15 DS-GVO]
Unsere Empfehlungen
Unternehmen und KMU
Wenn Sie als Unternehmen Auskunftsersuchen erhalten, die offensichtlich allein der Vorbereitung einer zivilrechtlichen Klage dienen, können Sie das als möglichen Missbrauchsfall nach Art. 12 Abs. 5 Satz 2 DS-GVO einordnen und rechtlich prüfen lassen. Pauschale Auskunftsverweigerungen sind jedoch riskant. Holen Sie im Zweifel datenschutzrechtliche Beratung ein, bevor Sie ein Auskunftsersuchen ablehnen. [INTERNER LINK: Betroffenenrechte beantworten: Pflichten und Fristen]
Behörden und öffentliche Stellen
Der Fall zeigt exemplarisch, wie das One-Stop-Shop-Prinzip der DS-GVO in der Praxis funktioniert: Der HBDI ist für Beschwerden gegen ein in Malta ansässiges Unternehmen nicht federführend, leitet aber weiter und koordiniert. Öffentliche Stellen sollten wissen, dass bei grenzüberschreitenden Datenverarbeitungen der Behördensitz des Verantwortlichen entscheidet, welche Aufsichtsbehörde federführt.
Gesundheitseinrichtungen
Für Gesundheitseinrichtungen ist dieser Fall weniger unmittelbar relevant, aber das Grundproblem ist übertragbar: Wenn Patienten Auskunftsersuchen stellen, die erkennbar nicht dem Datenschutzrecht dienen, sondern der Vorbereitung eines Schadensersatzverfahrens, sollten Sie den Vorgang rechtlich prüfen lassen, bevor Sie Auskunft erteilen oder verweigern.
Kanzleien und Freiberufler
Wenn Sie Mandanten vertreten, die Sportwettenverluste zurückfordern wollen, sollten Sie über den Stand der Rechtsprechung zur Rechtsmissbräuchlichkeit von Art. 15 DS-GVO-Auskunftsersuchen informiert sein. Das LG-Dortmund-Urteil und die laufende Koordinierung der Aufsichtsbehörden können die Erfolgsaussichten dieser Strategie erheblich beeinflussen. Eine direkte zivilrechtliche Klage oder die Nutzung eigener Kontounterlagen ist oft der bessere Weg.
Quelle: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI), 54. Tätigkeitsbericht zum Datenschutz, Kapitel 13.2
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks