Opfer ./. Land Baden-Württemberg (LfDI)
Aufsichtsverfahren gegen den Landesbeauftragten für den Datenschutz Baden-Württemberg — Verwaltungsgericht Stuttgart. Teilverfahren (DSGVO-Aufsicht) im Komplex Ein ehemaliger Mitarbeiter ./. Atruvia AG. Beigeladene: Atruvia AG. Alle Tatsachenbehauptungen sind durch Originaldokumente belegt.
Journalismus geschützt durch die Pressefreiheit
Unsere Mission ist die transparente Berichterstattung über Rechtsfälle und Tatsachen, wie sie in diesem Verfahren vor dem Verwaltungsgericht Stuttgart stattfinden — mit dem Ziel, Menschen zu helfen, sich bereits vor dem Gespräch mit einer Rechtsanwaltskanzlei sachlich zu informieren. Sollte kurzfristig keine Kanzlei erreichbar sein, soll die hier veröffentlichte Information Betroffenen ermöglichen, ihre Rechte in die eigenen Hände zu nehmen — namentlich zur Wahrung laufender Fristen.
Für wen ist dieser Inhalt relevant?
- Bürgerinnen und Bürger, die eine Auskunft nach Art. 15 DSGVO stellen wollen oder eine erhaltene Auskunft auf Vollständigkeit prüfen
- Beschwerdeführerinnen und Beschwerdeführer vor einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO) — insbesondere in Baden-Württemberg
- Betroffene einer Datenlöschung oder einer KI- oder LLM-basierten Verarbeitung ihrer personenbezogenen Daten
- Kundinnen und Kunden von Volksbanken und Raiffeisenbanken, deren IT-Systeme über die Atruvia AG als zentralen Dienstleister laufen
- Beschäftigte und ehemalige Beschäftigte, deren Gesundheits- oder Kommunikationsdaten von einem Arbeitgeber oder dessen Prozessbevollmächtigten verarbeitet werden
- Journalistinnen und Journalisten, die über Datenschutz-Aufsicht, Klagen gegen öffentliche Stellen oder KI-basierte Datenverarbeitung berichten
- Rechtsanwältinnen, Rechtsanwälte und Studierende, die ein aktuelles Referenzverfahren zur DSGVO-Aufsicht suchen
- Menschen, die kurzfristig keine vertretungsbereite Kanzlei finden und dennoch eine laufende Frist wahren müssen
Wichtiger Hinweis: Die hier veröffentlichten Schriftsätze, Bewertungen und Blaupausen sind journalistische Berichterstattung und Information über den konkreten Fall. Sie stellen keine Rechtsberatung dar und ersetzen keine anwaltliche Beratung im Einzelfall.
Wir brauchen Ihre Unterschrift
Wir bereiten eine Beschwerde wegen Verstoßes gegen das Unionsrecht vor. Ihr Ziel: ein Vertragsverletzungsverfahren gegen Deutschland nach Art. 258 AEUV — weil geltendes EU-Recht hier nicht angewendet, sondern gegen die Bürger gewendet wird.
Warum sollte ich unterschreiben?
Wir betreiben das Einschreiten der Europäischen Kommission in einem Verfahren gegen die Bundesrepublik Deutschland. Geltendes EU-Recht wird hier nicht angewendet, sondern in nationale Regelungen übersetzt, die sich gegen die Rechte der europäischen Bürger richten.
Es geht um die Durchsetzbarkeit Ihrer Rechte als Europäer und um die Bindungskraft der Urteile des Europäischen Gerichtshofs im nationalen Recht. Eine Aufsichtsbehörde, die ein EuGH-Urteil zur Kenntnis nimmt und es dann praktisch unanwendbar macht, untergräbt nicht nur die Rechte eines Einzelnen — sie untergräbt Ihre.
Warum die Unterschriften auch dann nötig sind, wenn wir vor Gericht gewinnen
Nehmen wir an, das Verwaltungsgericht entscheidet zugunsten des Klägers und verpflichtet den LfDI, gegen Atruvia ein Bußgeld zu verhängen und vollständig zu prüfen — einschließlich der Daten, die das Unternehmen für gelöscht erklärt, deren technische Wiederherstellbarkeit es aber selbst einräumt („im 4-Augen-Prinzip rekonstruierbar“; Backups lediglich „nicht produktiv zurückgespielt“).
Selbst dann bliebe alles Wesentliche unverändert. Ein Urteil repariert einen Einzelfall. Es repariert keine Behörde. Was bleibt, ist das Verhalten des LfDI — in dieser Sache, in früheren und in künftigen, gegenüber Menschen, die nicht die Mittel haben, ihn vor Gericht zu ziehen.
Es braucht eine Konsequenz, die wirkt: einen vollständigen Austausch von Leitung und Personal — oder eine andere Maßnahme, die geeignet ist, die Rechte der Bürger zu verteidigen statt sie zu verwalten.
✍ Jetzt unterschreiben
Bestätigen Sie Ihre E-Mail-Adresse
Wir haben einen 6-stelligen Code geschickt an
Sie ist bestätigt und eingetragen. Teilen Sie diese Seite — jede weitere Unterschrift erhöht das Gewicht der Beschwerde bei der Kommission.
Noch ein Schritt — und dieser zählt wirklich
Ihre Unterschrift ist ein Signal. Eine eigene Beschwerde ist ein Vorgang. Die Kommission trägt gleichlautende Beschwerden unter einem Aktenzeichen ein — und zählt die Beschwerdeführer. Zwanzig aus acht Mitgliedstaaten wiegen anders als einer.
Sie zählt jetzt in der Statistik dieser Kampagne. Die Kommission antwortet Ihnen direkt.
Warum betrifft mich das, wenn ich nicht in Deutschland lebe?
Weil die DSGVO ein einziges Gesetz für ganz Europa ist — ihre Durchsetzung aber national. Ihr Recht aus Artikel 15 ist am Ende genau so viel wert wie die schwächste Aufsichtsbehörde der Union.
- Die Bindungskraft der EuGH-Urteile. Der Gerichtshof hat entschieden, dass niemand für eine Auskunft Gründe nennen muss (C-307/22). Eine Behörde, die dieses Urteil ausdrücklich anerkennt und dann die Ablehnung „kein echtes Interesse“ / „exzessiv“ durchgehen lässt, macht es praktisch unanwendbar. Das trifft nicht ein deutsches Urteil — es trifft die Verbindlichkeit des Gerichtshofs in allen Mitgliedstaaten.
- Die federführende Aufsicht (Art. 56 DSGVO). Für ein Unternehmen mit Hauptniederlassung in Deutschland ist die deutsche Behörde zuständig — auch für Sie, wenn Sie in Lissabon, Warschau oder Dublin leben. Sie sind auf eine Behörde angewiesen, die Sie nie gewählt haben und nicht erreichen können.
- Der Präzedenzfall. Setzt sich durch, dass eine Aufsicht ein Verfahren einstellen darf, ohne zu ermitteln, und den Bürger auf den Zivilweg verweist — dann ist das die Blaupause. Behörden schauen aufeinander.
Und: Gegen einen Mitgliedstaat kann nur die Kommission vorgehen (Art. 258 AEUV). Ein einzelner Bürger kann das nicht. Genau dafür brauchen wir die Unterschriften.
Zusammenfassung
Dieser Fall ist kein Einzelfall — er ist ein Angriff auf die Rechtsordnung, die die Bürgerrechte schützen soll. Geführt wird er von genau jener Behörde, die zu diesem Schutz berufen ist.
Seit dem 9. Oktober 2024 verlangt ein Bürger von der Atruvia AG — dem zentralen IT-Dienstleister der genossenschaftlichen FinanzGruppe (u. a. aller Volksbanken und Raiffeisenbanken) — Auskunft nach Art. 15 DS-GVO. Über 21 Monate später liegt keine vollständige Auskunft vor.
Die zuständige Aufsichtsbehörde, der LfDI Baden-Württemberg, hat das Beschwerdeverfahren eingestellt — ohne eigene Ermittlungen, gestützt auf eine dem Bürger nie zugestellte Stellungnahme des Unternehmens, deren Vorwürfe sie sich zu eigen machte. Sie hat die Löschung von Daten selbst mitgeteilt — und zugleich erklärt, sie „könne dem Unternehmen nicht vorgeworfen werden“. Sie hat einen Löschungsstopp verweigert. Sie hat das Recht auf Auskunft in Papierform unter verkürzter Wiedergabe des Gesetzeswortlauts abgesprochen. Und sie hat den Bürger auf den Zivilprozess auf eigene Kosten verwiesen.
Das ist kein Vollzugsdefizit. Das ist eine Rechtsauffassung — und sie wird von der gesamten Leitungsebene getragen: von der sachbearbeitenden Referentin, vom Abteilungsleiter und vom Landesbeauftragten. Dieselben Amtsträger kommentieren das Datenschutzrecht in Fachliteratur und tragen öffentlich dazu vor. (Bewertung des Beschwerdeführers.)
Setzt sich diese Auffassung durch, ist das Auskunftsrecht in Baden-Württemberg praktisch entwertet: Wer Auskunft verlangt, kann als Schikaneur, Geldgieriger oder Know-how-Dieb behandelt werden. Geschäftsgeheimnisse und „unverhältnismäßiger Aufwand“ werden zu Generalschlüsseln der Verweigerung. KI-Verarbeitung müsse angeblich gar nicht beauskunftet werden. Und wer sein Grundrecht durchsetzen will, wird an den Zivilprozess auf eigenes Kostenrisiko verwiesen.
Das betrifft nicht einen Bürger. Es betrifft jeden, der in Baden-Württemberg seine Daten einfordert — und über die Systeme der Atruvia mittelbar die Kundinnen, Kunden und Beschäftigten von rund 780 Banken.
Und es wirft eine Frage auf, die über diesen Fall hinausweist: Wenn die Aufsicht gegenüber einem Beschwerdeführer, der sich wehren kann, so weit geht — wie erging es all jenen, die sich nicht wehren konnten? Wie viele Beschwerden wurden eingestellt, weil den Betroffenen die Information fehlte, die Kraft oder das Kostenrisiko zu hoch war? Diese Zahl ist unbekannt. Sie zu überprüfen, ist überfällig. (Forderung und Bewertung des Beschwerdeführers — keine Tatsachenbehauptung über andere Verfahren.)
Für den Kläger stellte sich die Lage zunehmend so dar, als schütze die Behörde nicht seine Rechte, sondern die wirtschaftlichen Interessen des Unternehmens. (Bewertung des Klägers.)
Dahinter steht eine strukturelle Frage, die er im Verfahren ausdrücklich gestellt hat: Die Atruvia AG unterhält einen ihrer Hauptstandorte samt eines erheblichen Teils der Belegschaft in Baden-Württemberg — also in genau dem Bundesland, dessen Aufsichtsbehörde über sie wacht; eben dieser Bezug begründet deren Zuständigkeit. Zugleich ist sie der zentrale IT-Dienstleister von rund 780 Banken. Wahrt eine Aufsichtsbehörde ihre Unabhängigkeit (Art. 52 Abs. 1 DS-GVO), wenn sie über einen der wirtschaftlich bedeutendsten Akteure ihres eigenen Landes zu entscheiden hat? Das wirtschaftliche und politische Gewicht eines solchen Akteurs ist — so der Kläger — mit dem vergleichbar, das ein Konzern wie Facebook in der US-Politik entfaltet. (Wertung und Vergleich des Klägers.)
Der Kläger erhebt ausdrücklich keinen Korruptionsvorwurf. Er stellt eine Frage der strukturellen Unabhängigkeit — und er hat daraus die prozessuale Konsequenz gezogen: Zunächst beantragte er die Befangenheit der sachbearbeitenden Referentin (26.04.2026). Der Antrag wurde nicht beschieden — die Amtsleitung erklärte, eine Entscheidung könne „dahinstehen“. Nachdem die Akteneinsicht zeigte, dass die Linie von der Referentin über den Abteilungsleiter bis zur Behördenleitung getragen wird, richtete er den Befangenheitsantrag gegen die gesamte Behörde und beantragte beim Gericht, die Sache durch eine Datenschutzaufsicht eines anderen Bundeslandes beurteilen zu lassen — sachfern und unbefangen. → Vorwurf 23
Das Verfahren ist beim Verwaltungsgericht Stuttgart anhängig (Az. 14 K 4946/26; Eilverfahren 14 K 6435/26). Beklagte: Land Baden-Württemberg / LfDI. Beigeladen: Atruvia AG. Eine zivilrechtliche Schadensersatzklage wird vorbereitet.
Stand vom 26. August 2026 · Erwiderung v3 (Präzisierung, Verteidigung, Vorlage an den EuGH)
Fax an das Verwaltungsgericht Stuttgart · Az. 14 K 4946/26 (Hauptsache) · nachrichtlich 14 K 6435/26 (Eilverfahren) · 93 Seiten · vier Ziele.
- Präzisierung der Klageanträge nach mehreren Wochen ausufernder Verteidigungs-Angriffe der Beigeladenen gegen Rechtsstaatlichkeit, Demokratie, Unionsrecht, Menschenrechte, Bürgerrechte und Gerichtsbarkeit.
- Klärung der neuen Social-Media- und sonstigen Vorwürfe.
- Übersicht des heutigen Verfahrensstands — trotz „Masse statt Übersicht" den Fokus auf den Hauptgegenstand wahren.
- Teilentscheidung zur Rolle des LfDI vorab; EuGH-Vorlage zur KI-Auslegung mit Aussetzung im Übrigen.
Vorlage an den Gerichtshof der Europäischen Union (Art. 267 AEUV)
Beantragt wird die Aussetzung des Verfahrens und die Vorlage folgender Frage zur Vorabentscheidung: Erfasst die Auskunftspflicht nach Art. 15 Abs. 1 lit. b, c und h DSGVO in Verbindung mit Art. 4 Nr. 2 DSGVO auch die Verarbeitung personenbezogener Daten in KI- und LLM-basierten Systemen? Konkret betrifft das die bei der Beigeladenen eingesetzten Systeme:
- (i) GenoGPT — unternehmensinterner LLM-Assistent
- (ii) Microsoft 365 Copilot in agree21M365 — LLM mit Zugriff auf E-Mails, Chats, Kalender, SharePoint, Teams, Outlook
- (iii) Microsoft Semantic Index / Microsoft Graph — Vektor-Datenbanken für RAG-basierte Copilot-Bedienung
- (iv) Data Intelligence Platform auf Azure Databricks — Data-Lakehouse mit ML-Pipelines
- (v) IBM-KI-Infrastrukturautomatisierung
- (vi) Unternehmensinterne Chatbots „Botto" und „kiu"
- (vii) Betrugserkennungs-KI und Smart-Data-Analytics für die VR-Banking-App
Nachgewiesen über Wayback-Machine-Zeitstempel (Anlagen K8, K13, A1). Alle lokal oder auf eigenen Servern installierten Anwendungen mit API-Anbindung an die vorgenannten KI-Systeme sind erfasst, weil jede solche Verknüpfung dazu führt, dass personenbezogene Daten fortlaufend an die KI-Systeme übermittelt werden. Angesichts der öffentlichen Erklärung des Legal Counsel Microsoft Frankreich, Anton Carniaux, vom Juni 2025 vor dem französischen Senat — wonach ein US-Behörden-Zugriff auf Daten in Microsoft-Clouds nicht ausgeschlossen werden könne — ist zugleich Art. 48 DSGVO (Übermittlung in Drittländer) berührt.
Warum vorab? Die europäische Auslegung der KI-Auskunftspflicht ist entscheidungserheblich und bislang nicht geklärt. Der EuGH bindet alle nationalen Aufsichtsbehörden und Gerichte — eine Klärung wirkt weit über diesen Einzelfall hinaus.
Die Zahl der geführten Verfahren ist keine Rechtsstreitfreude, sondern die Folge einer Vielzahl paralleler Rechtsverletzungen durch mehrere Verantwortliche im selben Zeitraum. Wer nach § 67 Abs. 4 VwGO ohne Anwaltszwang klagt, macht von einem Bürgerrecht Gebrauch (Art. 47 GRCh · Art. 6 EMRK). Zusatzbegründungen sind entbehrlich: Art. 15 DSGVO verlangt die Angabe von Motiven nicht (EuGH C-307/22).
§ 253 in Verbindung mit § 240 StGB verlangt (i) Drohung mit einem empfindlichen Übel und (ii) Verwerflichkeit der Zweck-Mittel-Relation. Die Ankündigung, sich rechtmäßiger Mittel zu bedienen — Presse- und Öffentlichkeitsarbeit, Strafanzeigen, Zivilklagen, aufsichts- und berufsrechtliche Beschwerden — ist nach ständiger Rechtsprechung keine Drohung mit einem empfindlichen Übel (BGH NJW 1976, 760 · NStZ 1992, 278 · NStZ-RR 2003, 202).
Die Wahrnehmung eines Bürgerrechts (Art. 47 GRCh · Art. 6 EMRK · Art. 5 Abs. 1 GG) ist tatbestandlich weder ein Übel noch ein verwerfliches Mittel. Weder aus eigenen Äußerungen des Klägers noch aus den von der Beigeladenen zur Akte gereichten Drittposts (Anlagenkonvolut vom 13.08.2026) ergibt sich eine Drohung.
Was macht einen Menschen zum Journalisten, dass die Grundgesetze der Meinungs- und Pressefreiheit ihn schützen? Auslöser war der Umgang von Konzernen und Akteuren mit den medizinischen Daten des Bürgers, die ohne Einwilligung gespeichert, verarbeitet und weitergegeben wurden. Die KIERO SOLUTIONS NPO wurde gegründet, um Menschen mit dem verantwortungsvollen Einsatz von KI und dem Engagement freiwilliger Fachleute aller Branchen zu helfen. Auf ihrer Plattform veröffentlicht der Bürger seine Beschwerden, Klagen und Erwiderungen — als Blaupause für andere, die ihre Rechte gegen Konzerne und Behörden durchsetzen wollen.
Die Berichterstattung ist geschützt durch Art. 5 Abs. 1 GG · Art. 11 GRCh · Art. 10 EMRK. Die Inhalte stehen der Öffentlichkeit zur freien Verwendung offen.
Sechs Hauptforderungen — Fundstellen und Rechtsgrundlagen
| # | Hauptforderung | Rechtsgrundlagen |
|---|---|---|
| 1 | Aufhebung des Einstellungs-Bescheids vom 16.03.2026 | Art. 78 Abs. 2 DSGVO · § 113 Abs. 1 VwGO · § 58 Abs. 2 · § 60 Abs. 1 VwGO |
| 2 | Erneute Bescheidung + Feststellung Aufsichtsversagen | Art. 52 · 57 · 58 Abs. 2 DSGVO · Art. 20 Abs. 3 GG · Art. 47 GRCh · EuGH C-768/21 (Land Hessen) |
| 3 | Vollständige Auskunft nach Art. 15 DSGVO + Speicherort-Verzeichnis + Löschprotokoll | Art. 12 · 15 · 5 Abs. 1 lit. e · 44 ff. · 83 Abs. 5 DSGVO · EuGH C-307/22 · C-416/23 · C-203/22 · EDPB 01/2022 Rn. 50 · EDPB Opinion 28/2024 · CNIL 01/2026 |
| 4 | Akteneinsicht in die vollständige Verfahrensakte des Beklagten | § 29 LVwVfG BW · § 100 VwGO · Art. 41 GRCh |
| 5 | Einstweilige Anordnung — Löschverbot + unveränderte Aufbewahrung | Art. 18 · 58 Abs. 2 lit. f · 17 Abs. 3 lit. e DSGVO · Art. 19 Abs. 4 GG · EuGH C-768/21 |
| 6 | Snapshot / Wiederherstellung aus Backups (hilfsweise · Art. 58 II lit. d) | Art. 58 Abs. 2 lit. d · 17 Abs. 3 lit. e DSGVO · VG Düsseldorf 21.01.2026 · 29 K 7470/24 |
Abschließend. Die Einladung der Beigeladenen war ein voller Erfolg. Ohne die von ihr und ihrer Prozessbevollmächtigten offengelegten Informationen — einschließlich der eigenen Widersprüche — wäre ein kurzfristiger Teilerfolg dieses Verfahrens nicht möglich gewesen. Der Bürger bedankt sich ausdrücklich beim LfDI Baden-Württemberg für die durch das Verfahren ausgelöste Initiative — und stellt fest, dass genau dieses Einschreiten der Aufsichtsbehörde notwendig ist: bei einem Konzern der Größe der Atruvia AG, dessen Verstöße Millionen weiterer Bürgerinnen und Bürger betreffen.
Der Rechtsweg — vom Auskunftsersuchen zur EuGH-Vorlage
Die zentralen Meilensteine der Rechtsdurchsetzung — was gefordert, was verweigert, was beantragt und was noch aussteht.
Was die Gegenseite selbst zugegeben hat
Aus den eigenen Schriftsätzen der Beigeladenen und ihrer Prozessbevollmächtigten AWADO — jeweils mit Fundstelle. Diese Selbst-Zugeständnisse sind die tragfähigste Beweisführung, weil sie nicht bestritten werden können.
Von der Beigeladenen im eigenen Schriftsatz eingeräumt (S. 46). Die Löschung erfolgte teils während laufender Auskunftsanfrage — mit unmittelbaren Folgen für die Erfüllbarkeit des Art.-15-Anspruchs und für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Bereits im vorprozessualen AWADO-Schreiben vom 21.08.2025 als „aqua-Löschung Nov 2024" bezeichnet — also mitten in einer offenen Auskunftsanfrage. Im Hauptsache-Schriftsatz wiederholt (S. 32) und in der Stellungnahme im Eilverfahren vom 27.07.2026 erneut bestätigt.
Die AWADO räumt die Übermittlung in ihrem eigenen Schriftsatz ausdrücklich ein. Die Weitergabe erfolgte ohne Einwilligung des Klägers und ohne Datenminimierung — Kern der Art.-77-Beschwerde vom 27.08.2026.
Nach unserer Auffassung geht das aus ihrem eigenen Schriftsatz S. 12–13 hervor. Rechtsfolge: Ohne Kenntnis der eigenen Systemlandschaft ist eine „vollständige Auskunft" strukturell unmöglich (Art. 15 Abs. 1 lit. c DSGVO) — und die Beigeladene verstößt zugleich gegen die Rechenschaftspflicht (Art. 5 Abs. 2, Art. 30 DSGVO).
Ein Vortrag, der die Kenntnis der vorenthaltenen Information voraussetzt und sie zugleich für unmöglich erklärt. Verstoß gegen Art. 15 Abs. 1 lit. d DSGVO (Speicherdauer bzw. Kriterien).
Widerspruch zum Vortrag „nicht mehr vorhanden": Aus demselben Verfahren geht hervor, dass Backups existieren und die Wiederherstellung technisch möglich ist. Das trägt die hilfsweise geforderte Snapshot-/Wiederherstellungsanordnung (Art. 58 Abs. 2 lit. d DSGVO).
Anwendungen, die personenbezogene Daten verarbeiten können
Übersicht der Systeme und Anwendungen, in denen personenbezogene Daten des Klägers verarbeitet werden können — nach dem Vortrag der Beigeladenen und den öffentlich dokumentierten Produkt-Publikationen.
Nach unserer Auffassung hat die Beigeladene selbst eingeräumt, nicht angeben zu können, welche ihrer Anwendungen personenbezogene Daten des Klägers verarbeiten und welche nicht — hergeleitet aus ihrem eigenen Schriftsatz vom 13.08.2026, S. 12–13. Wer nicht weiß, in welchen Systemen die Daten liegen, kann weder vollständige Auskunft erteilen (Art. 15 DSGVO) noch die Rechenschaftspflicht erfüllen (Art. 5 Abs. 2 · Art. 30 DSGVO) noch die Sicherheit gewährleisten (Art. 32).
KI- und LLM-basierte Systeme
- GenoGPT — unternehmensinterner LLM-Assistent
- Microsoft 365 Copilot in agree21M365 — LLM mit Zugriff auf E-Mails, Chats, Kalender, SharePoint, Teams und Outlook
- Microsoft Semantic Index / Microsoft Graph — Vektor-Datenbanken für RAG-basierte Copilot-Bedienung
- Data Intelligence Platform auf Azure Databricks — Data-Lakehouse mit Machine-Learning-Pipelines
- IBM-KI-Infrastrukturautomatisierung
- Unternehmensinterne Chatbots „Botto" und „kiu"
- Betrugserkennungs-KI und Smart-Data-Analytics für die VR-Banking-App
Kernbank- und Kundensysteme
- agree21 — das Kernbanksystem der genossenschaftlichen FinanzGruppe
- agree21M365 — die Microsoft-365-Ausprägung mit Copilot-Integration
- VR-Banking-App — kundennahes Frontend
Datenübermittlungen an Dritte
- An die Prozessbevollmächtigte (AWADO) — von dieser im Schriftsatz vom 13.08.2026, S. 33–34 eingeräumt
- An die Aufsichtsbehörde (LfDI) — Kopien der Gesundheitsdokumente ausweislich Bescheid vom 16.03.2026, S. 1
- Weitere Empfänger — nach Art. 15 Abs. 1 lit. c DSGVO nicht ausgewiesen (vgl. EuGH C-154/21 · RW / Österreichische Post)
Konsequenz: Solange die Verantwortliche selbst nicht angeben kann, welche Anwendung welche Daten verarbeitet, verletzt sie sowohl die Auskunfts- als auch die Rechenschafts- und Sicherheitspflicht. Genau diese Auslegungsfrage — erfasst Art. 15 DSGVO auch die KI- und LLM-basierten Systeme? — wurde mit der Erwiderung v3 vom 26.08.2026 zur Vorlage an den EuGH gebracht (Art. 267 AEUV).
⚠ Warum das jeden Bürger in Europa betrifftEs geht nicht um einen Einzelfall. Wenn eine Aufsichtsbehörde ein europäisches Recht national aushöhlen darf, ist Ihr Recht so viel wert wie die schwächste Behörde der Union.Warum lesen
Warum das jeden Bürger in Europa betrifft
Verhandelt wird hier nicht ein einzelner Auskunftsanspruch. Verhandelt wird, ob europäisches Datenschutzrecht in Deutschland noch durchsetzbar ist — und wer es durchsetzt, wenn die Aufsicht es nicht tut.
Was gilt, wenn diese Rechtsauffassung Bestand hat
- Die Aufsicht teilt dem Bürger mit, seine Daten seien gelöscht — und erklärt zugleich, das könne dem Unternehmen nicht vorgeworfen werden.
- Interne Löschkonzepte („90 Tage“, „technisch nicht umgehbar“) sollen die DS-GVO verdrängen — dann kann jeder Arbeitgeber Ihre Daten vernichten, bevor Sie sie je sehen.
- Wer sein Grundrecht ausübt, wird zum Verdächtigen: Das Auskunftsersuchen selbst gilt als Indiz für Schikane, Geldgier oder Know-how-Diebstahl.
- Zwei-Klassen-Datenschutz: Wer nach dem Job gründet, verliert faktisch Schutz — obwohl das Auskunftsrecht motivunabhängig gilt (EuGH C-307/22).
- Entscheidungen ergehen auf Grundlage von Schriftsätzen, die man nie gesehen hat — und das Nicht-Widersprechen wird einem vorgehalten (Art. 41 GRCh).
- Der Gesetzeswortlaut wird verkürzt wiedergegeben, um ein Recht zu verneinen, das die Norm ausdrücklich gewährt (Art. 15 Abs. 3 S. 3 DS-GVO).
- Geschäftsgeheimnisse und „unverhältnismäßiger Aufwand“ werden zu Generalschlüsseln, mit denen jede Auskunft verweigert werden kann.
- Sie erfahren nie, ob eine KI Ihre Daten verarbeitet hat — nach Auffassung der Behörde muss das nicht beauskunftet werden.
- Ihre Gesundheitsdaten dürfen an externe Anwälte fließen — begründet mit „berechtigtem Interesse“, ohne jede Art.-9-Prüfung.
- Wer sich beschwert, dem droht eine Schadensersatzforderung „in mindestens mittlerer fünfstelliger Höhe“ — abschreckende Wirkung für jeden Nächsten.
- Die Aufsicht verweist Sie auf den Zivilprozess auf eigene Kosten — genau dafür wurde die unabhängige Datenschutzaufsicht aber nicht geschaffen (Art. 57, 58 DS-GVO).
- Ungleiche Durchsetzung: Dieselbe Behörde verhängte gegen die AOK Baden-Württemberg 1,24 Mio. € — gegenüber dem IT-Dienstleister von rund 780 Banken bleibt sie untätig.
Es ist keine Einzelmeinung — die gesamte Leitungsebene trägt es mit
Die Einstellung zeichnet die sachbearbeitende Referentin. Den Befangenheitsantrag dagegen weist der Abteilungsleiter zurück — ohne über die Befangenheit zu entscheiden. Und der Landesbeauftragte leitet die Behörde, die all das trägt. Dieselben Amtsträger kommentieren das Datenschutzrecht in der Fachliteratur und tragen öffentlich dazu vor. Es handelt sich also nicht um den Irrtum einer einzelnen Sachbearbeiterin, sondern um eine getragene Linie. (Bewertung des Beschwerdeführers.)
Die unbekannte Zahl — und warum sie geprüft werden muss
Dieser Beschwerdeführer konnte sich wehren: Er hat Akteneinsicht erstritten, Klage erhoben und einen Eilantrag gestellt. Erst dadurch wurde sichtbar, worauf der Bescheid beruhte — eine Stellungnahme, die ihm nie zugestellt worden war.
Was aber geschah mit jenen, die das nicht konnten? Mit Menschen, denen die Information fehlte, dass ihnen Auskunft zusteht. Mit Menschen, die kein Kostenrisiko tragen konnten. Mit Menschen, die nach Monaten der Zermürbung aufgaben — genau so, wie es die Behörde hier als „geringes Interesse“ gedeutet hätte.
Wenn eine Aufsichtsbehörde gegenüber einem Bürger, der sich wehrt, so weit geht — wie viele Beschwerden wurden dann still eingestellt? Diese Zahl ist unbekannt. Sie zu ermitteln — durch Landtag, Bundesbeauftragte, Europäischen Datenschutzausschuss oder die EU-Kommission — ist überfällig. (Dies ist eine Forderung und Bewertung des Beschwerdeführers, keine Tatsachenbehauptung über andere Verfahren.)
Chronologie
Die Vorwürfe gegen die Aufsichtsbehörde
22 Punkte — im Wortlaut aus den Originalschreiben des LfDI Baden-Württemberg. Unter jedem Punkt: die stützenden Belege aus der 767-seitigen Behördenakte sowie Herkunft, Datum und Verfahrensstand jedes Belegs.
Zeitliche Einordnung für Dritte: Beschwerde beim LfDI 16.07.2025 · Einstellungsbescheid 16.03.2026 · Klageerhebung VG Stuttgart 27.05.2026 (Az. 14 K 4946/26) · Akteneinsicht in die 767-seitige Behördenakte 25.06.2026 · Eilverfahren 14 K 6435/26. Belege aus der Behördenakte stammen aus dem Verwaltungsverfahren, also vor Klageerhebung.
Verspätung weit über die Höchstfrist — ohne jede Sanktion — Der Bürger verlangte am 9. Oktober 2024 vollständige Auskunft nach Art. 15 DS-GVO (konkretisiert am 23.10.2024). Die Frist beträgt einen Monat, äußerstenfalls drei (Art. 12 Abs. 3). Bis heute — über 21 Monate — liegt keine vollständige Auskunft vor. Die Aufsicht sanktioniert diese massive Fristüberschreitung mit nichts: kein Bußgeld, keine Anordnung, keine Frist.
Stütze aus der Behördenakte
Die Auskunft vom 05.12.2025 bestand nur aus einem Download-Link. Das Passwort sollte per Post an eine veraltete Adresse gehen; der Bürger nutzte den Link nicht, weil er die Auskunft ausdrücklich in Papierform verlangt hatte — ob jenes Passwort gültig war, ist bis heute offen. Nachdem die Behörde selbst die Beigeladene gebeten hatte, Link und Passwort erneut zu senden, traf im Mai 2026 ein Passwort ein — und dieses war ungültig. Der Beschwerdeführer wertet die Zeichenfolge zudem als Beschimpfung und hat am 08.06.2026 Strafanzeige erstattet (Art. 177/173/174 StGB; strafrechtlich noch nicht entschieden). Gleichwohl hält die Behörde ihm vor, er habe sich „nicht einmal … nach dem Passwort erkundigt“ — und schließt daraus auf „kein echtes Interesse“.
Herkunft & Verfahrensstand
Auskunftsschreiben der Atruvia vom 05.12.2025 — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Nachgereichtes (ungültiges) Passwort Mai 2026 und Strafanzeige 08.06.2026 — Gerichtsverfahren — nach Klageerhebung.
Verweigerung der Auskunft in Papierform — Der Bürger verlangte die Auskunft ausdrücklich per Post. Die Behörde weist das zurück: „Ein Anspruch auf Erhalt der Auskunft per Post besteht somit nicht“. Damit bleibt ihm der einzige Weg versperrt, auf dem er seine Daten sicher erhalten konnte — und der elektronische Weg scheiterte: das im Mai 2026 nachgereichte Passwort war ungültig.
Stütze aus der Behördenakte
Es ging um Gesundheitsdaten: Die Akte listet „Gesundheitsdaten … (krankheitsbed. Fehlzeiten, ärztliche AU-Bescheinigungen)“. Für Art.-9-Daten verlangt Art. 32 DS-GVO erst recht einen sicheren Übermittlungsweg — keinen Link ins Netz.
Herkunft & Verfahrensstand
LfDI-Schreiben vom 01.04.2026 (Behördenakte Bl. 741–745) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Gesundheitsdaten-Kategorien: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 677 · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Fälschung des Gesetzes — die Behörde zitiert die Norm verkürzt — Zur Begründung stützt sich die Behörde auf Art. 15 Abs. 3 S. 3 DS-GVO — und unterschlägt die entscheidende Klausel. Die Norm ordnet das elektronische Format nur an, „sofern sie nichts anderes angibt“. Der Bürger hatte etwas anderes angegeben: den Postweg. Damit greift die elektronische Regelform gerade nicht. Und Art. 12 Abs. 1 DS-GVO bestimmt ausdrücklich: die Übermittlung erfolgt „schriftlich oder in anderer Form, gegebenenfalls auch elektronisch“ — schriftlich ist der gesetzliche Regelfall, nicht das freie Ermessen des Verantwortlichen.
Stütze aus der Behördenakte
Aus einer Norm, die dem Bürger ein Wahlrecht gibt, macht die Aufsicht eine Norm, die es ihm nimmt. Der Wortlaut ist im Amtsblatt der EU nachprüfbar (VO (EU) 2016/679).
Herkunft & Verfahrensstand
LfDI-Schreiben vom 01.04.2026, S. 2 (Behördenakte Bl. 742) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026).
Diskriminierung als Unternehmer — Die Behörde hält dem Bürger seine Firmengründung entgegen: er betreibe „eine Unternehmung in der Schweiz, die sich auf … ERP-Systeme für Anwaltskanzleien unter Einbeziehung von KI-Lösungen spezialisiert hat, sowie eine Personalvermittlung in Form eines Vereines“. Genau hieraus wird der Verdacht abgeleitet, mit dem die Auskunft verweigert wird. Wer gründet, verliert faktisch sein Grundrecht.
Stütze aus der Behördenakte
Atruvias eigene interne E-Mails hatten die Unternehmung geprüft und gebilligt: „ich kann auch keine Unrechtmäßigkeit erkennen … nicht im Konflikt mit unserem Arbeitsvertrag“.
Herkunft & Verfahrensstand
Interne Atruvia-E-Mails vom Januar 2024 (Behördenakte Bl. 645–646) — entstanden vor dem Auskunftsersuchen und Verwaltungsverfahren — vor Klageerhebung (27.05.2026) · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Vorwurf der Wirtschaftsspionage — „… dass der Verdacht im Raum steht, dass Sie über Ihr Auskunftsersuchen von der Beschwerdegegnerin Know-How erlangen möchten, um dieses für Ihre eigenen Unternehmungen zu nutzen“. Ein Grundrechtsträger wird zum Spionageverdächtigen erklärt — obwohl das Auskunftsrecht motivunabhängig gilt.
Stütze aus der Behördenakte
Der Vorwurf stammt wörtlich aus der Stellungnahme der Beigeladenen. Die Behörde macht ihn sich zu eigen (Schreiben 15.05.2026: sie gebe „ausdrücklich die Einlassung der Beschwerdegegnerin“ wieder).
Herkunft & Verfahrensstand
AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 655–697 — Verwaltungsverfahren — vor Klageerhebung (27.05.2026) · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt. · Bestätigt im LfDI-Schreiben vom 15.05.2026 (Bl. 764–765), Verwaltungsverfahren — vor Klageerhebung (27.05.2026).
Sie übernimmt Atruvias Worte — ohne irgendetwas zu untersuchen — Durchgehend gestützt auf „die von der Beschwerdegegnerin gemachten Angaben“: keine Anwendung enthalte Personenbezug, Tests liefen mit „Dummy-Daten“, es habe „weder eine Übermittlung … in Drittländer … noch [wurden] KI-Systeme verwendet“. Eigene Ermittlungen: keine. Ausdrücklich: „sehen wir von aufsichtsbehördlichen Maßnahmen zur weiteren Sachverhaltsermittlung nach Art. 58 DS-GVO ab“.
Stütze aus der Behördenakte
Die Behörde übernimmt Atruvias Aqua-Darstellung ungeprüft. Die als Auskunft gelieferten 525 Seiten sind reine Anwesenheits-, Urlaubs- und Entgeltdaten — zu keinem der streitigen Systeme ein Treffer.
Herkunft & Verfahrensstand
Einstellungsbescheid vom 16.03.2026 (Bl. 726–729) und LfDI-Schreiben vom 01.04.2026 (Bl. 741–745, insb. Bl. 743) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Die 525-Seiten-Auskunft: Anlagen der Atruvia (Bl. 110–618), Verwaltungsverfahren — vor Klageerhebung (27.05.2026).
Sie akzeptiert das Recht auf Auskunft ohne Angabe von Gründen nicht — Die Behörde verlangt einen Zweck: „Auch ist nicht erkennbar bzw. von Ihnen hierzu etwas vorgetragen, dass sie zur weiteren Rechtsdurchsetzung Ihrerseits … noch weitere Informationen benötigen“. Das Auskunftsrecht besteht jedoch ohne Angabe von Gründen; das Motiv ist rechtlich unerheblich.
Herkunft & Verfahrensstand
Einstellungsbescheid vom 16.03.2026, S. 4 (Behördenakte Bl. 729) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026).
Sie stellt den Bürger schlecht dar — mit unbewiesenen Vermutungen — Ohne einen einzigen Beweis: der Bürger sei „mit der Höhe Ihrer Abfindung unzufrieden“; die KI-Sorge sei „vorgeschoben“; er wolle „eine höhere Abfindung oder die Preisgabe von Geschäftsgeheimnissen … erreichen und handelte damit rechtsmissbräuchlich“ — was „näher zu prüfen wäre“. Der Abteilungsleiter wirft ihm zudem vor, er zitiere „bewusst lückenhaft“.
Stütze aus der Behördenakte
Sämtliche Unterstellungen stammen aus der Sphäre der Beigeladenen und wurden ohne eigene Prüfung übernommen.
Herkunft & Verfahrensstand
Einstellungsbescheid vom 16.03.2026 (Bl. 726–729) · Schreiben vom 15.05.2026 (Bl. 764–765) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Ursprung: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 655–697 · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Keine Sanktion — trotz eingestandener Löschung — Die Behörde teilt die Löschung selbst mit — „Weitere Daten seien gelöscht und könnten daher nicht mehr beauskunftet werden“, „sind diese längst gelöscht“ — und entschuldigt sie: „Dass sie diese Daten … nach 90 Tage gelöscht hat, kann ihr nicht vorgeworfen werden“. Ergebnis: keine Anordnung, kein Bußgeld. „Der Verstoß [wiegt] nicht schwer“.
Stütze aus der Behördenakte
Atruvia räumt ein: das gesamte M365-Postfach werde 90 Tage nach Ausscheiden gelöscht — die Löschung fiel mitten in das seit 09.10.2024 laufende Auskunftsersuchen.
Herkunft & Verfahrensstand
Zitate der Behörde: Einstellungsbescheid 16.03.2026 (Bl. 727) und Schreiben 01.04.2026 (Bl. 743) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Eingeständnis der Atruvia: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 669, 676, 678 · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Kein Löschungsstopp — trotz bereits gelöschter Daten — Obwohl sie die Löschungen selbst bestätigt hat, erklärt sie im Eilverfahren: „Es besteht kein Anlass zu der Vermutung, dass die Beigeladene durch Löschung … dem Prozessverlauf vorgreifen … würde“ — und verweigert die Sicherungsanordnung. Zuvor hatte sie dem Unternehmen am 16.09.2025 selbst mitgeteilt, eine solche Löschung sei unzulässig.
Stütze aus der Behördenakte
Atruvia räumt auf derselben Seite ein, die Sicherung wäre möglich gewesen: man ermögliche „stets auch die kurzfristige Bearbeitung …, wenn eine Löschung von erbetenen Informationen bevorsteht“. Nicht gesichert wurde nur, weil man das Ersuchen für „exzessiv und (damit) rechtsmissbräuchlich“ hielt — eine Entscheidung, keine technische Zwangsläufigkeit.
Herkunft & Verfahrensstand
LfDI-Antragserwiderung vom 08.07.2026 im Eilverfahren 14 K 6435/26 — Gerichtsverfahren — nach Klageerhebung. · Eingeständnis der Atruvia: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 669, 670 — Verwaltungsverfahren — vor Klageerhebung (27.05.2026) · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Geschäftsgeheimnisse als Generalschlüssel — „… nach Art. 15 Abs. 4 DS-GVO nicht verpflichtet, personenbezogene Daten von Ihnen an Sie herauszugeben, wenn diese gleichzeitig Geschäftsgeheimnisse von ihr sind“. Art. 15 Abs. 4 schützt jedoch Rechte anderer Personen — und verlangt Schwärzung statt Totalverweigerung.
Stütze aus der Behördenakte
Atruvia beruft sich pauschal darauf: Know-how in „Produktentwicklung … Entwicklungsmanagement, Organisation und Prozessgestaltung“ überwiege das Auskunftsinteresse.
Herkunft & Verfahrensstand
LfDI-Schreiben vom 01.04.2026, S. 2 (Bl. 742) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Atruvia: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 690 · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Protokolldaten: „unverhältnismäßiger Aufwand“ — Log- und Protokolldaten, die über User-ID, Benutzername oder E-Mail-Adresse eindeutig auf den Bürger verweisen, müssten nicht beauskunftet werden, weil die „Widerherstellung des Personenbezugs … einen unverhältnismäßigen Aufwand erfordern“ würde.
Stütze aus der Behördenakte
Atruvia selbst: der technische User sei „für einen kleinen berechtigten Kreis … im 4-Augen-Prinzip rekonstruierbar“ — die Daten bleiben also personenbezogen (Art. 4 Nr. 5, ErwG 26).
Herkunft & Verfahrensstand
Einstellungsbescheid 16.03.2026 (Bl. 727) und Schreiben 01.04.2026, S. 3 (Bl. 743) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Atruvia: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 671, 689 · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
KI-Verarbeitung müsse nicht beauskunftet werden — „… der Einsatz von KI zur Verarbeitung personenbezogener Daten als solcher [ist] nicht zu beauskunften“. Der Bürger erfährt damit nie, ob eine KI seine Daten verarbeitet hat.
Herkunft & Verfahrensstand
LfDI-Schreiben vom 01.04.2026, S. 4 (Behördenakte Bl. 744) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026).
Gesundheitsdaten an eine externe Kanzlei — ohne Art.-9-Prüfung — Die Weitergabe der Gesundheitsdaten an die AWADO wird allein auf Art. 6 Abs. 1 lit. f („berechtigtes Interesse“) gestützt. Eine Prüfung nach Art. 9 Abs. 2 DS-GVO — zwingend für Gesundheitsdaten — findet nicht statt.
Stütze aus der Behördenakte
Die Kanzlei bestreitet die Weiterleitung nicht, verweigert aber jede Auskunft über Umfang und Erforderlichkeit und benennt selbst die „streitauslösenden … AU-Bescheinigungen“.
Herkunft & Verfahrensstand
Einstellungsbescheid vom 16.03.2026, S. 3 (Bl. 728) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Atruvia/AWADO: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 682–685 · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Datenminimierung — der Umfang der Weitergabe blieb ungeprüft — Die Behörde rechtfertigt die Weitergabe an die Kanzlei pauschal über Art. 6 Abs. 1 lit. f — und prüft mit keinem Wort, wie viel übermittelt wurde. Art. 5 Abs. 1 lit. c DS-GVO verlangt jedoch, dass nur die erforderlichen Daten übermittelt werden. Ob die Kanzlei mehr erhielt, als für die Bearbeitung nötig war — insbesondere Gesundheitsdaten —, hat die Aufsicht nie ermittelt.
Stütze aus der Behördenakte
Die Behörde hatte die Frage selbst gestellt: Mit Schreiben vom 30.10.2025 fragte sie die Kanzlei ausdrücklich, „ob im Rahmen der Verteidigung … Gesundheitsdaten aus dessen Personalakte an Sie weitergeleitet wurden und wenn ja, aus welchem Grund dies für die Wahrnehmung des Mandats erforderlich war“. Eine Antwort auf die Erforderlichkeit blieb aus — das Verfahren wurde dennoch eingestellt.
Herkunft & Verfahrensstand
LfDI-Schreiben an die Kanzlei vom 30.10.2025 und Antwort der Kanzlei in der AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 682–685 — Verwaltungsverfahren — vor Klageerhebung (27.05.2026) · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Welche Daten an die Kanzlei gingen, bleibt bis heute offen — Das Unternehmen bestätigt einen Datenaustausch mit der Kanzlei — verweigert aber die Auskunft darüber, welche Daten konkret übermittelt wurden. Art. 15 Abs. 1 lit. c verlangt die Nennung der Empfänger, Art. 15 Abs. 3 eine Kopie der Daten. Die bloße Bestätigung einer Übermittlung genügt dem Auskunftsanspruch nicht. Die Aufsicht hat das hingenommen.
Stütze aus der Behördenakte
Die Kanzlei bestreitet die Weiterleitung nicht, verweigert aber jede Auskunft über Umfang und Erforderlichkeit — und benennt zugleich selbst die „streitauslösenden … AU-Bescheinigungen“. Auch das Schreiben vom 03.06.2026 bestätigt den Datenaustausch, ohne den Umfang zu nennen.
Herkunft & Verfahrensstand
AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 682–685 — Verwaltungsverfahren — vor Klageerhebung (27.05.2026) · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt. · Schreiben der Kanzlei vom 03.06.2026 — Gerichtsverfahren — nach Klageerhebung.
Die Kanzlei verweigert jede Auskunft — die Aufsicht schreitet nicht ein — Die Kanzlei ist für die bei ihr verarbeiteten Daten selbst Verantwortliche und schuldet dem Betroffenen Auskunft nach Art. 15 DS-GVO. Sie verweigert diese vollständig unter Berufung auf das Mandatsgeheimnis. Das Anwaltsgeheimnis deckt jedoch nicht alles: Es schützt den Inhalt der Mandatskommunikation — nicht die Frage, welche Systeme eingesetzt werden, welche Kategorien von Daten verarbeitet werden, wie lange gespeichert wird und an wen weitergegeben wurde. Wo einzelne Passagen geschützt sind, ist zu schwärzen — nicht total zu verweigern (ErwG 63; BGH VI ZR 405/18). Die Aufsicht hat dagegen nichts unternommen.
Stütze aus der Behördenakte
Die Kanzlei nimmt die Frage der Behörde „mit großem Befremden“ zur Kenntnis und verweigert unter Verweis auf § 29 BDSG jede Auskunft über Umfang und Erforderlichkeit — obwohl die Weiterleitung unstreitig ist.
Herkunft & Verfahrensstand
AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 682–685 — Verwaltungsverfahren — vor Klageerhebung (27.05.2026) · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Beweislast wird dem Bürger aufgebürdet — „Sie haben keine Nachweise vorgelegt“, „haben Sie nicht substantiiert vorgetragen“. Der Bürger soll den Verstoß beweisen — die Rechenschaftspflicht liegt jedoch beim Verantwortlichen.
Herkunft & Verfahrensstand
LfDI-Schreiben vom 01.04.2026, S. 3–4 (Behördenakte Bl. 743–744) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026).
Befangenheitsantrag — gar nicht entschieden — „Mit Blick auf den bereits erfolgten Abschluss des Verwaltungsverfahrens … kann eine Entscheidung hierüber dahinstehen“. Über die gerügte Befangenheit der Sachbearbeiterin wird schlicht nicht entschieden.
Herkunft & Verfahrensstand
LfDI-Schreiben (Abteilungsleiter) vom 15.05.2026 (Behördenakte Bl. 764–765) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026), jedoch bereits nach Einstellung des Verfahrens.
Verletzung des rechtlichen Gehörs — Der Einstellungsbescheid stützt sich auf eine 43-seitige Stellungnahme der Beigeladenen, die dem Bürger nie zugestellt wurde — und ihm wird vorgehalten, er sei ihr „nicht entgegengetreten“.
Stütze aus der Behördenakte
Der gesamte Vorwurfskatalog (ERP/KI, Verein, Know-how, „Lästigkeitsprämie“) steht dort — erst die Akteneinsicht machte das sichtbar.
Herkunft & Verfahrensstand
AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 655–697 — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). Zugestellt wurde sie nie; bekannt erst durch Akteneinsicht am 25.06.2026 (Gerichtsverfahren — nach Klageerhebung).
„Klagen Sie doch selbst.“ — „Schließlich steht Ihnen im Wege der unmittelbaren Klage gegenüber der Beschwerdegegnerin auf Herausgabe eine effektive und zumutbare Abhilfemöglichkeit offen“. Die Aufsichtsbehörde verweist den Bürger auf den Zivilprozess auf eigene Kosten — statt Unionsrecht durchzusetzen.
Stütze aus der Behördenakte
Zugleich kündigt die Beigeladene an, gegen den Bürger Schadensersatz „in mindestens mittlerer fünfstelliger Höhe“ zu prüfen — wer klagt, wird bedroht.
Herkunft & Verfahrensstand
Einstellungsbescheid vom 16.03.2026, S. 4 (Bl. 729) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Schadensersatzdrohung: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 681 · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Selbstwiderspruch bei „Aqua“ — Die Behörde stellt selbst fest: „Wenn die Wiederherstellung des Personenbezugs möglich bleibt, sind die personenbezogenen Daten nicht gelöscht und auch nicht anonymisiert“. Die Daten sind also weiterhin personenbezogen und damit auskunftspflichtig — dennoch wird das Verfahren eingestellt.
Stütze aus der Behördenakte
Atruvia bestätigt die Rekonstruierbarkeit — die Behörde widerlegt damit ihre eigene Einstellung.
Herkunft & Verfahrensstand
LfDI-Schreiben vom 01.04.2026, S. 3 (Behördenakte Bl. 743) — Verwaltungsverfahren — vor Klageerhebung (27.05.2026). · Atruvia: AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 671, 689 · dem Bürger nie zugestellt, erst durch Akteneinsicht am 25.06.2026 bekannt.
Strukturelle Befangenheit — die Aufsicht wacht über einen der größten Arbeitgeber im eigenen Land — Die Atruvia AG unterhält einen ihrer Hauptstandorte samt eines erheblichen Teils der Belegschaft in Baden-Württemberg; eben dieser Bezug begründet die Zuständigkeit des LfDI. Zugleich ist sie der zentrale IT-Dienstleister von rund 780 Banken. Der Kläger fragt, ob eine Aufsichtsbehörde die nach Art. 52 Abs. 1 DS-GVO gebotene völlige Unabhängigkeit wahren kann, wenn sie über einen der wirtschaftlich bedeutendsten Akteure ihres eigenen Landes zu entscheiden hat. Er erhebt ausdrücklich keinen Korruptionsvorwurf — er rügt eine strukturelle Nähe.
Stütze aus der Behördenakte
Der Befangenheitsantrag gegen die sachbearbeitende Referentin (26.04.2026) wurde nicht beschieden: „kann eine Entscheidung hierüber dahinstehen“. Nach Akteneinsicht richtete der Kläger den Antrag gegen die gesamte Behörde und beantragte, die Sache durch eine Datenschutzaufsicht eines anderen Bundeslandes beurteilen zu lassen.
Herkunft & Verfahrensstand
Nichtbescheidung: LfDI-Schreiben vom 15.05.2026 (Behördenakte Bl. 764–765) — Verwaltungsverfahren, vor Klageerhebung. · Befangenheitsantrag gegen die gesamte Behörde und Antrag auf auswärtige Aufsicht: Schriftsatz des Klägers vom 25.06.2026 — Gerichtsverfahren, nach Klageerhebung.
Rechtsschutzverkürzung — die Klagefrist lief, bevor die Gründe bekannt waren — Die Behörde hält dem Bürger entgegen, er habe zu spät reagiert. Der Vorwurf setzt voraus, dass er wusste, wogegen er sich wehrt. Genau das hatte sie verhindert. Der Bescheid vom 16.03.2026, mit dem die Klagefrist zu laufen begann, stützte sich tragend auf eine 43-seitige Stellungnahme der Beigeladenen vom 19.12.2025, die dem Bürger nie zugestellt wurde. Die inhaltliche Ablehnung — mit den erstmals genannten Tatsachen — folgte erst am 01.04.2026. Die Frist lief also aus einem Bescheid, dessen Begründung erst danach offengelegt wurde, und über Akten, die der Bürger erst mit der Akteneinsicht am 25.06.2026 — 767 Blatt — überhaupt zu Gesicht bekam. Wer die Grundlagen seiner Entscheidung zurückhält und anschließend auf den Fristablauf verweist, gewährt keinen Rechtsschutz, sondern verkürzt ihn. Hinzu kommt: Der gerügte Verstoß ist nicht abgeschlossen, sondern dauert an — die Auskunft ist bis heute unvollständig, die Löschfristen laufen weiter. Ein Dauerverstoß kann nicht dadurch bestandskräftig werden, dass eine Frist verstreicht.
Stütze aus der Behördenakte
Das Schreiben vom 01.04.2026 — also nach dem fristauslösenden Bescheid — enthält erstmals die tragenden Tatsachen: die 90-Tage-Löschung von Testdaten, die behauptete Pseudonymisierung im System „Aqua", das Bestreiten von Drittlandübermittlung und KI-Verarbeitung sowie die Verweigerung der Papierform unter verkürzter Wiedergabe des Normtextes (Art. 15 Abs. 3 S. 3 DS-GVO ohne den Halbsatz „sofern sie nichts anderes angibt"). Erst diese Angaben machten den Streitgegenstand überhaupt angreifbar. Sie sind in der Dokumenten-Galerie unten im Original nachlesbar.
Herkunft & Verfahrensstand
Fristauslösender Bescheid: 16.03.2026. Tragende, nie zugestellte Stellungnahme: 19.12.2025 (Behördenakte Bl. 627–670). Inhaltliche Ablehnung mit neuen Tatsachen: 01.04.2026. Akteneinsicht: 25.06.2026. — Der Einwand ist Gegenstand des laufenden Gerichtsverfahrens (14 K 4946/26); über ihn ist noch nicht entschieden.
Das Kostenrisiko als Zugangssperre — die Aufsicht lässt sich ihr eigenes Versäumnis vom Bürger bezahlen — Art. 57 Abs. 3 DS-GVO bestimmt: Die Erfüllung der Aufgaben der Aufsichtsbehörde ist für die betroffene Person unentgeltlich. Das ist keine Höflichkeit, sondern die Bauart des Systems: Der Beschwerdeweg ist der niedrigschwellige, kostenfreie Weg; der Gang vor Gericht ist die Ausnahme. Hier ist es umgekehrt. Um eine Ermittlung zu erhalten, zu der die Behörde ohnehin verpflichtet ist (Art. 57 Abs. 1 lit. f, Art. 58 DS-GVO), musste der Bürger Verpflichtungsklage erheben — und trägt seither das volle Kostenrisiko eines Verfahrens, das es nur gibt, weil die Behörde nicht ermittelt hat. Sie selbst hatte ihn dorthin verwiesen, den Zivilweg als „effektive und zumutbare Abhilfemöglichkeit" bezeichnet — und beantragt nun, den Antrag kostenpflichtig abzuweisen.
Wer den kostenfreien Weg verschließt und den kostenpflichtigen zur einzigen Option macht, hebt Art. 57 Abs. 3 DS-GVO auf und macht Art. 77 zur Dekoration. Es fehlt ein Mechanismus, der ein Tätigwerden der Aufsicht ohne Gerichtsverfahren garantiert — erst recht dort, wo der Verstoß aus der Akte offen zutage liegt. Ein Gerichtsverfahren darf kein Instrument sein, mit dem der Zugang zur DS-GVO-Auskunft erschwert und mit Risiko belegt wird.
Stütze aus der Behördenakte
Einstellungsbescheid vom 16.03.2026: Verweis auf die unmittelbare Klage gegen die Beigeladene als „effektive und zumutbare Abhilfemöglichkeit". — Antragserwiderung vom 08.07.2026: Antrag auf kostenpflichtige Abweisung des Eilantrags. Der Bürger trägt damit das Kostenrisiko für beide Verfahren (14 K 4946/26 und 14 K 6435/26).
Herkunft & Verfahrensstand
Verweis auf den Zivilweg: Bescheid 16.03.2026 — Verwaltungsverfahren, vor Klageerhebung. · Kostenantrag: 08.07.2026 — Gerichtsverfahren, noch nicht entschieden.
Die Einschüchterung lag in der Akte — und die Aufsicht schwieg — In demselben Schriftsatz, auf den die Behörde ihren Einstellungsbescheid stützte, teilte die Kanzlei der Beigeladenen der Behörde mit, das Unternehmen prüfe Schadensersatzansprüche „in mindestens mittlerer fünfstelliger Höhe" — ausdrücklich „aufgrund des exzessiven Vorgehens des Beschwerdeführers". Also wegen der Ausübung seines Auskunftsrechts. Sie fügte hinzu, es gebe „Anhaltspunkte" dafür, dass sogar sein Vortrag im Behördenverfahren die höchstrichterliche Grenze der Privilegierung überschreite, und schloss: man sehe „dem weiteren Verfahrensverlauf mit Interesse entgegen".
Art. 12 DS-GVO und Erwägungsgrund 63 verbieten es, jemandem aus der Ausübung eines Betroffenenrechts einen Nachteil erwachsen zu lassen. Eine fünfstellige Geldforderung, die ausdrücklich an eben diese Ausübung anknüpft, ist genau das. Und der Zusatz zum „Vortrag im behördlichen Verfahren" richtet sich gegen das, was er der Aufsicht schreibt — er zielt also auf das Beschwerderecht selbst (Art. 77 DS-GVO).
Dieser Absatz stand nicht in einem Brief an den Bürger. Er stand in dem Schriftsatz, den die Behörde erhielt — und der dem Bürger nie zugestellt wurde. Eine Behörde kann der Kanzlei keinen Schadensersatz zusprechen; dort hatte die Passage keine rechtliche Funktion. Sie war für den Bürger bestimmt, und die Kanzlei durfte damit rechnen, dass er sie erhält: Das rechtliche Gehör verlangt die Zustellung — und die Behörde selbst hielt ihm später vor, er sei der Einlassung „nicht entgegengetreten". Sie ging also davon aus, dass er sie kannte. Er erfuhr davon erst am 25.06.2026, bei der Akteneinsicht.
Die Aufsichtsbehörde hatte diese Passage in ihrer eigenen Akte. Sie hat sie nicht zugestellt, nicht gewürdigt, nicht beanstandet — und das Verfahren zugunsten des Unternehmens eingestellt. Eine Aufsicht, die eine Einschüchterung des Beschwerdeführers in der Akte liegen sieht und schweigt, schützt nicht den Bürger.
Und es hört nicht auf. Am 08.07.2026 — vor dem Verwaltungsgericht — drängt die Behörde den Bürger erneut auf den Zivilweg: er habe „die Möglichkeit, zivilgerichtlich direkt gegen die Beigeladenen vorzugehen", das sei „effektiv und zumutbar"; im Schriftsatz vom 25.06.2026 habe er angegeben, „dieses Vorgehen zu beabsichtigen". In derselben Akte liegt die Ankündigung der Gegenseite, ihn für genau diesen Schritt mit einer fünfstelligen Forderung zu überziehen. Die Behörde erwähnt sie mit keinem Wort. Sie schickt ihn in ein Verfahren, gegen das die Gegenseite ihn — aktenkundig — bedroht hat.
Stütze aus der Behördenakte
„Der Beschwerdeführer mag tun, was er nicht lassen kann. […] Wir können allerdings mitteilen, dass unsere Mandantin aktuell Schadenersatzansprüche in mindestens mittlerer fünfstelliger Höhe aufgrund des exzessiven Vorgehens des Beschwerdeführers wegen Verletzung nacharbeitsvertraglicher Pflichten und Kreditgefährdung prüft. Wir sehen mögliche Anhaltspunkte dafür, dass der restriktive höchstrichterliche Maßstab des Bundesgerichtshof […] an den Vortrag im Rahmen behördlicher Verfahren in diesem Fall überschritten ist. Vor diesem Hintergrund sehen wir dem weiteren Verfahrensverlauf mit Interesse entgegen."
— AWADO-Schriftsatz vom 19.12.2025, Seite 27 von 43 · Behördenakte Bl. 681.
Herkunft & Verfahrensstand
AWADO-Schriftsatz vom 19.12.2025 (43 S., Az. 1672/25 JS56-ab) — Behördenakte Bl. 681 — Verwaltungsverfahren, vor Klageerhebung. Dem Bürger nie zugestellt; erstmals bekannt durch die Akteneinsicht am 25.06.2026. Eine Strafanzeige ist in Vorbereitung; über sie ist nicht entschieden. Die Beigeladene bestreitet den Vorwurf.
Die Originaldokumente der Aufsichtsbehörde
23 Seiten — alle vier Schreiben des LfDI Baden-Württemberg an den Bürger, im Original.
Zur Schwärzung: Geschwärzt sind ausschließlich der Vorname und die Anschriften des Bürgers (Wohnanschrift und eine frühere Adresse). Der Nachname bleibt sichtbar — der Kläger tritt unter seinem Namen auf. Die Dokumente sind als Bilddateien veröffentlicht — die Textebene ist dabei entfernt, die Schwärzung ist damit nicht rückgängig zu machen. Der Inhalt der Schreiben ist unverändert.
Einstellungsbescheid vom 16.03.2026
Frau Dr. Skobel · 4 Seiten · Az. LfDIAbt4-4400-225/169 · Verwaltungsverfahren (vor Klageerhebung)
Belegt Vorwurf 6 · Vorwurf 9 · Vorwurf 11 · Vorwurf 12 · Vorwurf 14 · Vorwurf 15 · Vorwurf 16 · Vorwurf 20 · Vorwurf 21
📄 Dokument ansehen (4 Seiten)
🇬🇧 Read transcript in English by Claude
Working translation — AI-assisted (Claude). Provided for international readers. The German original above is authoritative; this is not a certified translation. Emphasis added. Passages in square brackets are summarised.
Decision closing the complaint procedure — 16 March 2026
State Commissioner for Data Protection and Freedom of Information Baden-Württemberg · Dr. Skobel, Officer, Division 4 · Ref. LfDIAbt4-4400-225/169
Re: Your complaint of 16 July 2025
The respondent's statement is now available. It included a disclosure of 16.10.2024 (copies of all health documents and interim references), a further disclosure received by you on 05.12.2025, and copies of the data provided: an extract from your personnel file, two lists of personal data stored in the ATLASSIAN applications (Jira and Confluence), an overview of data stored in BITBUCKET, and a ZIP folder with e-mails. With the disclosure letter of 05.12.2025 you also received a link to further documents. However, the password required for this could not be delivered to the address “[redacted]”. You did not react to the disclosure letter of 05.12.2025, although the use of that address for sending the password had been announced to you.
The respondent further submitted:
- Your access request is abusive within the meaning of Art. 12(5) GDPR. Your aim is to harass the respondent because you are dissatisfied with the amount of your severance payment. Your concern about processing by AI applications is a pretext, since you know that the respondent does not use such systems, let alone for processing personnel data, and does not intend to.
- The respondent has a high interest in protecting its business secrets and the contact details of its employees from you, because you operate a company in Switzerland specialising in the deployment and development of ERP systems for law firms including AI solutions, as well as a recruitment agency in the form of an association. The respondent fears that you would use its business secrets / know-how for these ventures and contact its employees.
- The applications you named (Aqua, SAGA including NordShop, SüdShop/eShop, Camunda, SAP, Visio, JIRA, Confluence, Bitbucket) contain no content relating to your person. Information on software testing and product development are, moreover, business secrets of the respondent. Insofar as a personal reference of log data results from linkage with your user ID, username or e-mail address, disclosure is not required under § 34(1) no. 2 BDSG: restoring the personal reference for the purpose of disclosure would require disproportionate effort.
- As regards further e-mail correspondence, overriding interests of employees under Art. 15(4) GDPR preclude disclosure.
- Further data have been deleted and can therefore no longer be disclosed.
As to your objection to the transfer of your health data to the law firm AWADO: the health data from your personnel file were the subject of your access request. Personal data that are the subject of an access request may be used to process it and transmitted to the lawyers instructed. This follows from Art. 6(1)(1)(f) GDPR. There is a legitimate interest in instructing a law firm to handle an access request and any related disputes.
We hereby close the proceedings. We draw your attention to your rights under Art. 78 GDPR. In the exercise of our dutiful discretion we refrain from supervisory measures for further investigation of the facts under Art. 58 GDPR. We justify this on the ground that comprehensive information has already been provided to you. Continuing the proceedings and investigating whether a data-protection infringement exists, or whether information you seek was rightly withheld, would cause a high effort which would not be proportionate.
[The decision then quotes VG Stuttgart, judgment of 27.04.2023, 11 K 1873/21, on the exercise of discretion.]
Applying those standards, it is not an error of discretion to make no further investigations and, as a result, take no remedial measures: establishing whether further personal data of yours would have to be disclosed would require extensive further investigation. Further, the infringement is not serious. At most individual items of data may not yet have been disclosed in breach of Art. 15(3) GDPR. Nor is it apparent — nor have you submitted anything on this — that, after the disclosures already given, you need further information for the further enforcement of your rights. You did not even ask the respondent for the password in order to retrieve further personal data made available by it (e-mail hits, HR/payroll data, personnel file extracts, logs of technical facilities). This indicates a low interest in obtaining your personal data and indicates that the respondent's submission — that through your extensive access requests you ultimately sought a higher severance payment or the disclosure of business secrets and personal data of third parties, and thus acted abusively — would merit closer examination. Finally, a direct action against the respondent for disclosure is an effective and reasonable remedy available to you.
Legal remedy: action before the Administrative Court of Stuttgart within one month.
Schreiben vom 01.04.2026
Frau Dr. Skobel · 5 Seiten · Antwort auf den Widerspruch · Verwaltungsverfahren (vor Klageerhebung)
Belegt Vorwurf 2 · Vorwurf 3 · Vorwurf 8 · Vorwurf 13 · Vorwurf 18 · Vorwurf 22
📄 Dokument ansehen (5 Seiten)
🇬🇧 Read transcript in English by Claude
Working translation — AI-assisted (Claude). Provided for international readers. The German original above is authoritative; this is not a certified translation. Emphasis added. Passages in square brackets are summarised.
Letter of 1 April 2026 · Dr. Skobel, Officer, Division 4 · Ref. LfDIAbt4-4400-225/169
Re: Your complaint of 16 July 2025 — reply to your e-mail of 21 March 2026
- You were indeed not obliged to ask the respondent, in response to its e-mail of 05.12.2025, to send the password for the link to your current address. That you did not do so is, however, an indication that you have no genuine interest in obtaining your personal data. Access requests which a data subject makes without any actual interest in obtaining the data, merely in order to harass the controller or its employees, without pursuing any purpose other than causing disruption, need not be answered under Art. 12(5) GDPR (see EDPB Guidelines 01/2022 on data subject rights, 28.03.2023, para. 190).
- [The letter then quotes the complainant's e-mail of 06.12.2025 demanding delivery by German postal service and states that this was not a comprehensible request to send the password to his Swiss address.]
- We point out that under Art. 12(1) GDPR it is generally at the controller's dutiful discretion in which form (written or electronic) it provides information under Art. 15 GDPR. Only Art. 15(3) sentence 3 GDPR makes an exception to this. Under that provision the information is to be made available in a commonly used electronic format where the data subject makes the request electronically and does not indicate otherwise. There is therefore no right to receive the information by post.
- As already stated in our decision of 16.03.2026, the applications you named contain — according to the information given by the respondent — no content relating to your person. The entry of personal data was at no time necessary for testing purposes; tests are typically populated with dummy data. In addition, test data are stored for a maximum of 90 days according to the respondent. So if personal data of yours used for testing were in fact stored in the respondent's systems, they are long since deleted and can therefore no longer be disclosed at all. Moreover, under Art. 15(4) GDPR the respondent is not obliged to release personal data of yours to you if these are at the same time business secrets of the respondent. This applies particularly against the background that the suspicion stands in the room that you wish, via your access request, to obtain know-how from the respondent in order to use it for your own ventures.
- Your personal data in “Aqua” were not deleted. That your username has, according to the respondent, meanwhile been replaced by a technical user constitutes, according to the respondent, a pseudonymisation which does not remove the personal reference. The technical dummy designation replacing user ID and name can be re-assigned to the user for verification/audit purposes. If restoration of the personal reference remains possible, the personal data are neither deleted nor anonymised. Insofar as personal data of yours were deleted from Aqua or other systems because — on your account — you used personal data of your own for testing, this is firstly no longer ascertainable. You have submitted no evidence that you did so, and the respondent disputes it. That it deleted these data after 90 days in the course of its regular processes cannot be held against it.
- That neither a transfer of your personal data to third countries took place nor AI systems were used by the respondent was already communicated to you in the disclosure of 05.12.2025.
- Insofar as you still seek information on the extent to which your personal data were processed with Microsoft Copilot, we point out that the use of AI for the processing of personal data as such is not subject to disclosure (citing the resolution of the German Data Protection Conference of 12.12.2025). Only whether automated decision-making including profiling under Art. 22(1) and (4) GDPR took place must be disclosed (Art. 15(1)(h)). You have not submitted that such occurred with Microsoft Copilot. That the use of MS 365 / Microsoft Copilot led to a transfer of your personal data to the USA you have not substantiated.
- [The letter closes with an argument that no hearing was required under § 28 LVwVfG.]
Schreiben vom 15.05.2026
Abteilungsleiter Schweizer · 2 Seiten · Befangenheitsantrag · Verwaltungsverfahren (vor Klageerhebung)
Belegt Vorwurf 8 · Vorwurf 19 · Vorwurf 20
📄 Dokument ansehen (2 Seiten)
🇬🇧 Read transcript in English by Claude
Working translation — AI-assisted (Claude). Provided for international readers. The German original above is authoritative; this is not a certified translation. Emphasis added. Passages in square brackets are summarised.
Letter of 15 May 2026 · Head of Division “Schweizer” · Ref. LfDIAbt4-4400-225/169
Re: Your motion of bias of 26 April 2026
By e-mail of 26.04.2026 you filed a motion of bias against Regierungsdirektorin Dr. Skobel and sought her further exclusion from the administrative proceedings. In view of the already completed administrative proceedings and the court proceedings 14 K 4946/26 now pending, a decision on this can be left open.
Purely as a precaution I point out that no concern of bias within the meaning of § 21 VwVfG is apparent here. Insofar as you essentially rely on an alleged accusation of criminal conduct on page 3 of the letter of 01.04.2026 by the case-handling officer, you either quote deliberately incompletely or are subject to a misunderstanding. The full sentence you refer to reads:
“This applies particularly against the background that the suspicion stands in the room that you wish, via your access request, to obtain know-how from the respondent in order to use it for your own ventures.” (emphasis added here)
This evidently refers to the following statements on page 2 of the decision of 16.03.2026, with which the submission of the respondent is expressly reproduced:
“The respondent has a high interest in protecting business secrets and the contact details of its employees from you, because you operate a company in Switzerland specialising in the deployment and development of ERP systems for law firms including AI solutions, as well as a recruitment agency in the form of an association. The respondent fears that you would use its business secrets / know-how for these ventures and contact its employees in connection with those activities.”
It should be noted in this connection that, as far as can be seen, you have not so far contested this submission of the respondent.
[The letter continues regarding the complainant's assertion that the officer's conduct fulfils the offence of defamation (§ 186 StGB) / insult.]
Antragserwiderung vom 08.07.2026
Dr. Eva Skobel · 12 Seiten · Eilverfahren 14 K 6435/26 · Gerichtsverfahren (nach Klageerhebung)
Belegt Vorwurf 9 · Vorwurf 10
📄 Dokument ansehen (12 Seiten)
🇬🇧 Read transcript in English by Claude
Working translation — AI-assisted (Claude). Provided for international readers. The German original above is authoritative; this is not a certified translation. Emphasis added. Passages in square brackets are summarised.
Reply to the interim-relief application — 8 July 2026 · LfDI Baden-Württemberg, Dr. Eva Skobel · Ref. LfDIAbt4-0532.3-24/2
Transmitted via the Administrative Court of Stuttgart · Case 14 K 6435/26 (application under § 123 VwGO)
The respondent requests that the application be dismissed with costs.
I. Facts. The applicant is the claimant in case 14 K 4946/26. He originally applied, by pleading of 08.06.2026, for a securing order requiring the joined party (the company) to retain all his personal data unchanged until a final decision and to refrain from any further deletion, alteration or anonymisation. The court then informed him that such an application was probably inadmissible, since an interim order can only bind the respondent authority, not a joined party. He therefore amended his application and now seeks an order obliging the respondent, within its supervisory powers (Art. 58 GDPR), to ensure that the joined party retains all his data unchanged and refrains from deletion, alteration or anonymisation until a final decision.
II. Legal assessment.
1. Admissibility of the amendment. Whether the amendment is expedient is for the court to decide (§ 91 VwGO applied by analogy); the respondent leaves this to the court's discretion. The respondent further notes that the application has not previously been made to it. Since the joined party has had over a year and a half since the first access request in which to delete, alter or anonymise the applicant's personal data, and has not indicated that any such processing is imminent, no exception is apparent which would make a prior application to the authority dispensable on grounds of urgency.
2. Merits. The application is unfounded. The applicant seeks an order under Art. 58(2)(f) GDPR, i.e. the imposition of a temporary ban on certain processing operations (deletion, alteration or anonymisation of his personal data). Under § 123 VwGO an application is well-founded only if both a claim to the order and a ground for the order (urgency) exist, and both must be substantiated.
In the present case there is no ground for the order. There is no reason to assume that the joined party, by deleting, anonymising or altering the applicant's personal data, would pre-empt the course of the proceedings and frustrate a right of access should the court establish one.
The respondent had already informed the joined party by letter of 16 September 2025:
“Personal data that have already been deleted or anonymised cannot and need not be disclosed. However, it would be inadmissible for the controller to delete personal data in view of the access request in order not to have to disclose them. Rather, he is obliged to reflect, as far as possible, the state of the personal data existing at the time the access request was received (see EDPB Guidelines 01/2022 on the rights of the data subject — right of access, 28 March 2023, p. 21 f., para. 37 ff.).”
The joined party stated on this in its statement of 19 December 2025:
“We clarify that at no time has there been an intentional deletion of data aimed at withholding stored data from the complainant. Atruvia does, however, have for the entirety of all information-technology systems, applications and tools available to the employees of an IT service company a works agreement governing their use, including the processing of employee data. This contains, in particular, fixed requirements for the handling and, in particular, the deletion of such data after employees leave. These deletion periods are firmly agreed between the workforce and our client and cannot be circumvented technically either. The parties thereby comply with their obligation under Art. 88(2) GDPR … in accordance with the case law of the CJEU on Art. 88(2) GDPR (CJEU, judgment of 19.12.2024 — C-65/23 (MK/K GmbH), para. 37 ff.).”
Accordingly, the deletions carried out so far were based on the expiry of deletion periods and not on a wish to withhold data from the applicant. Further deletions would only be expected if further deletion periods arising from statutes, works agreements or deletion concepts expire before the end of the court proceedings. The applicant has submitted nothing on this. Nor is the respondent aware how long the joined party still retains which personal data of the applicant. For individual data, retention periods were communicated which have either already expired (e.g. 90 days after leaving, seven days after deletion of a user, nine months after leaving), whose expiry is not imminent (e.g. 10 years after deactivation of the user; six or ten years from the end of the calendar year of the last payroll), or whose expiry date is unclear (including retention obligations derived from the joined party's position as a service provider to the financial industry under § 25b KWG, § 26 ZAG in conjunction with Art. 28 ff. DORA and the NIS-2 implementing act).
As regards the claim to the order, such a claim exists only if the conditions of Art. 58(2)(f) GDPR are met and the respondent's discretion is reduced to zero. An order under Art. 58(2)(f) presupposes that the controller concretely intends a processing operation infringing the GDPR; it would not be sensible or proportionate to prohibit processing which is not intended.
[The pleading then sets out that, once personal data are recognisably covered by a pending access request and necessary to answer it, they must be secured until the request is answered, while all other personal data are deleted in accordance with the deletion concept.]
Selbst betroffen?
Atruvia ist der zentrale IT-Dienstleister aller Volksbanken und Raiffeisenbanken. Stelle deinen eigenen DSGVO-Auskunftsantrag — kostenlos, ohne Angabe von Gründen.
DSGVO-Antrag erstellen →Verifizierte Belege
Alle Normen, auf die sich die 24 Vorwürfe stützen.
Das Auskunftsrecht 8
Grundsätze und besondere Daten 6
Pflichten der Aufsichtsbehörde 7
Verfahren und Rechtsschutz 8
Berichterstattung und Berufsfreiheit 4
Gegen den Kläger angeführt — und bestritten 4
Zusammenfassungstabelle · 24.08.2026
Kartierung der Positionen: Hauptforderungen · Dokumenten-Chronik · Katalog der Nebenkriegsschauplätze und Video-Beleg (falsches Passwort Atruvia · 05.12.2025) — ausgeliefert als ASIC-E-Container (Associated Signature Container · ETSI TS 102 918), zusätzlich AES-256-verschlüsselt.
fc189162c9551866…515f4b249b5ababc38f1def2…b1aed90cBehördenbewertung
Über 21 Monate. Beschwerde ohne inhaltliche Würdigung eingestellt; Vorwürfe der Beigeladenen ohne eigene Prüfung übernommen.
Eigene Bewertung einreichen →Zusammenhängende Verfahren
Alle Verfahren entstammen demselben Sachverhalt. Scheitert eines, stärkt es die anderen — weil dieselben Dokumente und Zeugenaussagen verknüpft sind.
Schlichtungsgesuch gegen die Atruvia AG wegen unbefugter Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 82 DSGVO · Art. 28 ZGB). Az. OL 26 729/730 FUI · immat. Genugtuung mind. CHF 150 000 + materieller Schaden.
laufend · URP-Beschwerde beim Obergericht BernEin weiteres, aus demselben Sachverhalt entstammendes Verfahren wurde eingereicht. Aus strategischen Gründen (Zustellung noch nicht abgeschlossen) werden Gegner, Aktenzeichen und Streitgegenstand erst nach Eingangsbestätigung veröffentlicht.
eingereicht · nicht öffentlichWeiteres, aus demselben Sachverhalt entstammendes Verfahren — inhaltlich unabhängige Anspruchsgrundlage. Details folgen nach förmlichem Eingang bei der zuständigen Stelle.
eingereicht · nicht öffentlichDie Rechtsschutzversicherung verweigert die Deckungszusage für die Verfahren aus dem Atruvia-Komplex. Deckungs- und Schadensersatzklage.
in VorbereitungAuch die zweite Rechtsschutzversicherung erteilt keine Deckungszusage. Ohne Deckung trägt der Bürger die Prozesskosten vorläufig selbst — für die meisten Betroffenen ist genau hier das Verfahren zu Ende.
in Vorbereitung