Der Europäische Gerichtshof konkretisiert den Umfang des Auskunftsrechts

Mit Urteil vom 4. Mai 2023 (Rs. C-487/21) konkretisierte der Europäische Gerichtshof („EuGH“)  die Tragweite des Rechts auf eine „Kopie“ von personenbezogenen Daten im Rahmen des Auskunftsanspruchs. Der EuGH entschied, dass der betroffenen Person mit der Kopie eine originalgetreue und verständliche Reproduktion aller personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen ist. Dies hat zur Folge, dass Auszüge aus Dokumenten oder komplette Dokumente oder ggf. auch Auszüge aus Datenbanken übermittelt werden müssen, wenn und soweit dies für die wirksame Ausübung der Betroffenenrechte erforderlich ist. Verantwortliche müssen dies nun bei der Auskunftserteilung berücksichtigen und entsprechende Kapazitäten schaffen.

Sachverhalt

Zu dem Sachverhalt berichteten wir bereits mit dem Update Datenschutz Nr. 129 zu den Schlussanträgen des Generalanwalts am Europäischen Gerichtshof („Generalanwalt“), Giovanni Pitruzzella, in diesem Verfahren.

Zusammengefasst gesagt liegt dem Urteil ein Vorabentscheidungsverfahren zu Grunde, mit dem das vorlegende Bundesverwaltungsgericht (Österreich) im Wesentlichen zum Inhalt und Umfang des Rechts auf eine Kopie der personenbezogenen Daten im Rahmen des Auskunftsanspruchs nach Art. 15 Abs. 3 S. 1 DSGVO Fragen stellte. Maßgeblich fragte es sich, ob der Anspruch bereits erfüllt sei, wenn der Verantwortliche die personenbezogenen Daten als Tabelle in aggregierter Form übermittelt, oder ob der Anspruch auch eine Kopie der Auszüge aus Dokumenten oder gar eine Kopie von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, umfasst.

Entscheidung des EuGH

Der EuGH entschied, dass das Recht auf eine Kopie nach Art. 15 Abs. 3 Satz 1 DSGVO so zu verstehen ist, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller personenbezogenen Daten zur Verfügung zu stellen ist, die Gegenstand der Verarbeitung sind. Dies könne eine Kopie von Dokumenten oder Auszügen daraus oder auch von Auszügen aus Datenbanken umfassen, sofern dies unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die DSGVO verliehenen Rechte zu ermöglichen. Dabei seien allerdings auch die Rechte und Freiheiten anderer zu berücksichtigen.

Im Rahmen der Urteilsbegründung stellte der EuGH zunächst fest, dass der Begriff der "Kopie" nicht in der DSGVO definiert sei. Dem „gewöhnlichen Sinn“ des Begriffs der Kopie entspringe das Verständnis einer originalgetreuen Reproduktion oder Abschrift, so dass eine allgemeine Beschreibung der personenbezogenen Daten oder ein Verweis auf die Kategorien personenbezogener Daten der Definition nicht entspräche (vgl. Rz. 21). Nach dem Wortlaut sei auch klar, dass sich die Auskunft auf die personenbezogenen Daten beziehe, die Gegenstand der Verarbeitung sind (vgl. Rz. 21).

Weiterhin klärte der EuGH den Kontext des Rechts auf Kopie im Zusammenhang mit dem Auskunftsanspruch an und für sich. Danach regele Art. 15 Abs. 1 DSGVO den Gegenstand und Anwendungsbereich des Auskunftsrecht, während Art. 15 Abs. 3 DSGVO die praktischen Modalitäten der Auskunftserteilung bestimme. So bestimme z. B. Art. 15 Abs. 3 S. 1 DSGVO die Form der Auskunftserteilung (die "Kopie"). Der Anspruch auf eine Kopie nach Art. 15 Abs. 3 DSGVO regele damit keinen anderen Anspruch als in Art. 15 Abs. 1 DSGVO festgelegt, sondern lediglich die Form der nach Art. 15 Abs. 1 DSGVO zu erteilenden Auskunft (vgl. Rz. 30ff.).

Der EuGH argumentiert weiter, dass sich der Begriff "Kopie" nicht auf ein bestimmtes Dokument beziehe, sondern auf die darin enthaltenen personenbezogenen Daten; die Kopie müsste daher vollständig alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind. Wie schon der Generalanwalt mit seinen Schlussanträgen, argumentiert der EuGH hier mit dem Zweck des Auskunftsrechts. Dieses diene der Stärkung der Rechte der betroffenen Person. Neben der Überprüfungsmöglichkeit, ob die personenbezogenen Daten richtig seien, solle eine Möglichkeit zur Überprüfung bestehen, ob deren personenbezogene Daten in zulässiger Weise verarbeitet werden. Dieses Auskunftsrecht ist nach Ansicht des EuGH nötig, um dem Betroffenen die weitergehenden Betroffenenrechte (z. B. Recht auf Berichtung (Art. 16 DSGVO) oder Löschung (Art. 17 DSGVO) zu ermöglichen.

Der EuGH greift zudem ein Argument auf, das schon der Generalanwalt in seinen Schlussanträgen nannte: Aus Erwägungsgrund 58 DSGVO und Art. 12 Abs. 1 DSGVO folge, dass die personenbezogenen Daten vollständig und originalgetreu wiedergegeben werden müssten. Denn nach Art. 12 Abs. 1 DSGVO müsse der Verantwortliche geeignete Maßnahmen ergreifen, um dem Betroffenen die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache übermitteln (vgl. Rz. 38).

Der EuGH leitet – in Übereinstimmung mit den Schlussanträgen des Generalanwalts – daraus ab, dass eine Reproduktion von Auszügen aus Dokumenten bzw. ganzen Dokumenten oder auch von Auszügen von Datenbanken erforderlich seien kann. Dies sei der Fall, wenn die „Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten“ (Rz. 41). Namentlich ist dies nach dem EuGH der Fall, wenn personenbezogene Daten „aus anderen Daten generiert werden“ oder „auf freien Feldern beruhen, d. h. einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht“; in solchen Fällen sei der Kontext, für eine transparente Auskunft entscheidend (Rz. 42).

Naturgemäß kann es bei der Auskunftserteilung auf diesem Wege auch zu einem Konflikt mit den Rechten oder Freiheiten anderer Betroffener kommen. Der EuGH löst dieses Problem, indem er urteilt, dass in einem solchen Konfliktfall eine Abwägung zwischen dem Recht auf vollständige und umfassende Auskunft und den entgegenstehenden Rechten oder Freiheiten anderer Personen erfolgen müsse. Es solle ein Weg gewählt werden, der die Rechte oder Freiheiten anderer Personen nicht verletze, ohne jedoch der betroffenen Person jede Auskunft zu verweigern.

Das vorlegende Gericht hatte sich zudem gefragt, was mit „Informationen“ nach Art. 15 Abs. 3 S. 3 DSGVO gemeint sei. Nach Art. 15 Abs. 3 S. 3 DSGVO sind im Fall eines elektronischen Auskunftsbegehrens die „Informationen“ grundsätzlich in einem gängigen elektronischen Format zur Verfügung zu stellen. Der EuGH stellt klar, dass von Informationen in diesem Zusammenhang ausschließlich personenbezogene Daten umfasst seien. Nur von diesen müsse der Verantwortliche gemäß Art. 15 Abs. 3 Satz 1 DSGVO eine Kopie zur Verfügung stellen (vgl. Rz. 46ff.).

Ausblick

Der EuGH klärt wichtige Fragen mit dem Urteil. Die Kopie bezieht sich nicht auf ein bestimmtes Dokument, sondern auf die darin enthaltenen personenbezogenen Daten. Das Recht auf Kopie umfasst die originalgetreue Reproduktion der verarbeiteten personenbezogenen Daten, wenn dies für das Verständnis des Kontexts unerlässlich ist. Wann dies der Fall ist, ist allerdings ein Stück weit offengeblieben. Der EuGH gibt zwar Beispiele (vgl. Rz. 42); diese sind allerdings nur bedingt aufschlussreich. Verantwortliche sollten den Grundsatz zugrunde legen, dass den betroffenen Personen mit der Auskunftserteilung ermöglicht werden muss, sowohl die Richtigkeit der verarbeiteten Daten als auch die Rechtmäßigkeit der Verarbeitung zu überprüfen.

Nicht außer Acht zu lassen sind zudem die wichtig zu beachtenden, zahlreichen weiteren Anforderungen an die Auskunftserteilung. Beispielsweise hat der EuGH entschieden, dass grundsätzlich auch die konkreten Empfänger von personenbezogenen Daten der Betroffenen in der Auskunft zu benennen sind (wir berichteten mit unserem Update Datenschutz Nr. 133). Fehler bei der Auskunftserteilung können auch einen (bußgeldbewehrten) Datenschutzverstoß begründen. Auskunftsansprüche sollten daher stets sorgsam geprüft werden und nicht auf die „leichte Schulter“ genommen werden. Insbesondere ist Unternehmen anzuraten, wirksame Prozesse zum Umgang mit Betroffenenrechten zu implementieren