01.11.2026 · Datenspur

Wer hat unsere Fahrzeugdaten abgerufen? Das KBA sagt es nicht

Wir wollten vom Kraftfahrt-Bundesamt wissen, welche Stellen unsere Daten aus dem Fahrzeug-, Fahreignungs- und Führerscheinregister abgerufen haben. Das Amt bestätigt das Auskunftsrecht und verweigert die Auskunft trotzdem. Warum wir die Begründung für nicht tragfähig halten und was Sie selbst tun können.

Für Datenspur testen wir selbst, wie Behörden auf Auskunftsersuchen nach Art. 15 DSGVO reagieren. Beim Kraftfahrt-Bundesamt in Flensburg ging es uns um eine besondere Frage. Jeder Abruf aus dem Zentralen Fahrzeugregister, dem Fahreignungsregister („Punkte in Flensburg“) und dem Zentralen Fahrerlaubnisregister wird automatisch protokolliert. Wir wollten wissen, wann welche Stelle zu welchem Zweck Daten zu unserer Person oder unserem Fahrzeug abgefragt hat.

Was das KBA antwortet

Mit Bescheid vom 30. Oktober 2026 lehnt das Amt diesen Teil ab. Bemerkenswert ist schon der erste Satz: „Grundsätzlich besteht ein Auskunftsrecht des Betroffenen über die Verarbeitung seiner personenbezogenen Daten nach Artikel 15 DSGVO.“ Das Recht wird also nicht bestritten.

Begründet wird die Ablehnung mit den Öffnungsklauseln der DSGVO und mit Art. 23 DSGVO, der den Mitgliedstaaten erlaubt, Betroffenenrechte durch Gesetz zu beschränken. Eine solche Beschränkung sieht das KBA im Straßenverkehrsgesetz, in den Vorschriften darüber, an wen Registerdaten übermittelt werden dürfen (§ 35, §§ 30a, 30b und § 53 StVG). Dazu kommt die Zweckbindung: Die Protokolle dürften nur zur Kontrolle verwendet werden, ob eine Übermittlung zulässig war. Wörtlich heißt es: „Die Kontrolle einer unzulässigen Übermittlung steht bei dem hier zugrundeliegenden Sachverhalt nicht im Raum.“

Warum wir die Begründung nicht teilen

Art. 23 DSGVO lässt Beschränkungen nur durch eine Rechtsvorschrift zu, die bestimmte Mindestangaben enthält, etwa zum Zweck, zum Umfang der Beschränkung und zu Garantien gegen Missbrauch. Die genannten Vorschriften des StVG regeln, wer Registerdaten bekommen darf. Zum Auskunftsrecht der betroffenen Person sagen sie nichts. Dass ein Gesetz ein Recht nicht erwähnt, ist noch keine Beschränkung dieses Rechts.

Auch die Zweckbindung spricht aus unserer Sicht eher für die Auskunft als dagegen. Die Protokolle dienen der Kontrolle, ob Abrufe rechtmäßig waren. Genau das ist der Sinn des Auskunftsrechts: Die betroffene Person soll prüfen können, ob mit ihren Daten rechtmäßig umgegangen wurde. Ob ein Abruf unzulässig war, kann man aber erst beurteilen, wenn man weiß, dass es ihn gab.

Der Gerichtshof der Europäischen Union hat dazu mehrfach entschieden. Protokolldaten über Abfragen der eigenen Daten fallen unter das Auskunftsrecht. Man kann Zeitpunkt und Zweck der Abfragen erfahren (Urteil vom 22.06.2023, C-579/21). Die Empfänger der Daten sind grundsätzlich konkret zu benennen, also die Stellen, die abgerufen haben (Urteil vom 12.01.2023, C-154/21). Einen Grund für das Auskunftsersuchen muss niemand angeben (Urteil vom 26.10.2023, C-307/22). Die Namen einzelner Sachbearbeiter dagegen gehören in der Regel nicht dazu, und um die geht es uns auch nicht.

Was das KBA richtig gemacht hat

Fairerweise: Unserem Antrag nach Art. 18 DSGVO, die Protokolldaten zu sperren, hat das Amt entsprochen. Die Protokolle werden damit nicht nach Ablauf der gesetzlichen Fristen gelöscht und bleiben erhalten, bis über die Auskunft entschieden ist. Ohne diesen Antrag wäre die Frage womöglich bald erledigt gewesen, weil es die Daten nicht mehr gibt.

Braucht man dafür einen Anlass?

Nein. Diese Frage kam nach unserem Beitrag in den sozialen Netzwerken am häufigsten. Das Auskunftsrecht setzt keine Begründung voraus. Anlass zum Nachfragen gibt es trotzdem genug: Auf Registerdaten greifen Polizei, Bußgeldstellen, Zulassungsbehörden und Versicherer zu, und über die einfache Registerauskunft nach § 39 StVG kann bei berechtigtem Interesse auch ein privater Parkplatzbetreiber die Halteranschrift erfahren. Immer wieder berichten Datenschutzbeauftragte zudem über Bedienstete, die Daten aus privaten Gründen abgefragt haben. Aufdecken lässt sich so etwas nur, wenn Betroffene die Abrufe sehen können.

Auch der Einwand, solche Anfragen belasteten die Verwaltung, überzeugt uns nicht. Die Protokolle liegen ohnehin digital vor. Dass es einfacher geht, zeigt Estland: Dort können Bürger im Staatsportal für viele staatliche Register selbst nachsehen, welche Behörde ihre Daten abgerufen hat. Mehr Aufwand als die Herausgabe erzeugt eine Ablehnung, gegen die dann Widerspruch eingelegt wird.

Wie es weitergeht

Wir haben am 31. Oktober 2026 Widerspruch eingelegt und eine vollständige Aufstellung der Abrufe mit abrufender Stelle, Datum und Zweck verlangt. Für jede weiter verweigerte Angabe soll das Amt die konkrete Rechtsvorschrift und eine auf den Einzelfall bezogene Begründung nennen. Die Auskunft zu den gespeicherten Registerdaten selbst steht ebenfalls noch aus. Hilft das Amt dem Widerspruch nicht ab, bleiben die Beschwerde bei der Bundesbeauftragten für den Datenschutz und die Klage beim Verwaltungsgericht. Wir berichten, wie es ausgeht.

Was Sie selbst tun können

Fragen Sie beim KBA nach den zu Ihnen gespeicherten Daten und ausdrücklich auch nach den Protokolldaten der Abrufe. Unser Muster enthält beides.
Beantragen Sie gleich mit, die Protokolle nach Art. 18 DSGVO zu sperren. Sonst können sie gelöscht sein, bevor über Ihre Anfrage entschieden ist. Ergänzen Sie dazu im Muster etwa diesen Satz: „Zugleich beantrage ich nach Art. 18 Abs. 1 Buchst. c DSGVO, die Protokolldaten über Abrufe meiner Daten bis zum Abschluss dieses Auskunftsverfahrens nicht zu löschen, sondern in der Verarbeitung einzuschränken.“
Lehnt das Amt ab, haben Sie einen Monat Zeit für den Widerspruch. Die Frist steht in der Rechtsbehelfsbelehrung des Bescheids.

Weiter zum Thema

Quellen

Allgemeine Information, keine Rechtsberatung. Rechtliche Hinweise