Was ist eine Kopie? – der Generalanwalt klärt zur Auslegung von Art. 15 Abs. 3 DSGVO auf

Europäische Datenschützer streiten sich seit langem um die Tragweite einer Kopie im Rahmen im Zusammenhang mit Auskunftsansprüchen. Es geht dabei um mehrere Punkte, unter anderem aber um die Frage, was mit der Kopie von personenbezogenen Daten gemeint ist, die im Zusammenhang mit einem Auskunftsanspruch mitunter bereitzustellen ist. Ein Streit, der nur auf den ersten Blick nach juristischer Haarspalterei klingt, doch tatsächlich erhebliche Auswirkungen auf den Umfang von Auskunftsansprüchen hat und damit für den Aufwand der Verantwortlichen bei der Abhilfe von Auskunftsansprüchen bestimmend ist. Kürzlich hat sich dazu der Generalanwalt am Europäischen Gerichtshof, Giovanni Pitruzzella, mit lesenswerten Schlussanträgen in der Rechtssache C‑487/21– weitgehend – deutlich positioniert.

Zum Hintergrund

Nach Art. 15 Abs. 1 S. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, kann sie Auskunft über verschiedene Umstände im Zusammenhang mit der Verarbeitung verlangen – vor allem über die verarbeiteten personenbezogenen Daten. In diesem Zusammenhang hat der Verantwortliche gemäß Art. 15 Abs. 3 S. 1 DSGVO  eine Kopie der personenbezogenen Daten zur Verfügung zu stellen, die Gegenstand der Verarbeitung sind. Und genau darum drehen sich verschiedene Fragen, mit denen sich der Generalanwalt auseinander zu setzen hatte. Unter anderem steht der Umfang der „Kopie“ im Sinne von Art. 15 Abs. 3 S. 1 DSGVO im Streit. Dahinter steht die Frage, ob eine Kopie des gesamten Dokuments, in dem die personenbezogenen Daten enthalten sind, oder nur die darin verarbeiteten personenbezogenen Daten herauszugeben sind. Hinsichtlich der Abhilfe von Auskunftsgesuchen stellt sich zudem auch die Frage nach der Rechtsnatur von Art. 15 Abs. 3 DSGVO. Ist dies ein eigenständiger Anspruch, der neben den eigentlichen Auskunftsanspruch tritt?

Es sind Kopien von personenbezogenen Daten herauszugeben, die Gegenstand der Verarbeitung sind

In den Schlussanträgen folgert der Generalanwalt zunächst, dass eine Kopie von den personenbezogenen Daten herauszugeben ist, die Gegenstand der Verarbeitung sind. Zwar ist, wie der Generalanwalt feststellt, die Kopie – im Gegensatz zu den Begriffen der personenbezogen Daten und der Verarbeitung - nicht in der DSGVO definiert. Allerdings folge schon aus dem Wortlaut von Art. 15 Abs. 3 DSGVO, dass eine Kopie eine wortgetreue Reproduktion der personenbezogenen Daten enthalten müsse, die es der betroffenen Person ermögliche, „volle Kenntnis von allen Daten zu erlangen, die Gegenstand der Verarbeitung sind“ (Rz. 44 der Schlussanträge). Das Format der Kopie stehe dabei in Abhängigkeit zu den verarbeiteten Daten und könne verschiedene Formen annehmen, wie z. B. Papierformate oder Audio- oder Videoaufzeichnungen. Wichtig sei aber, „dass die Kopie dieser Daten wortgetreu ist und es der betroffenen Person ermöglicht, volle Kenntnis von allen Daten zu erlangen, die Gegenstand der Verarbeitung sind“ (Rz. 44 der Schlussanträge). Der Begriff der personenbezogenen Daten ist nach dem Generalanwalt unter Verweis auf die Rechtsprechung des Europäischen Gerichtshofs („EuGH“) sehr weit auszulegen. Die Kopie umfasse nicht nur die vom Verantwortlichen erhobenen, verarbeiteten und aufbewahrten personenbezogenen Daten, sondern „auch die weiteren Daten“, die „möglicherweise erzeugt“ werden, wenn sie Gegenstand der Verarbeitung sind (Rz. 37 der Schlussanträge).

Kopie regelmäßig wohl nur auf die personenbezogenen Daten beschränkt

Dabei scheint der Generalanwalt recht deutlich davon auszugehen, dass nicht automatisch Kopien von z. B. gesamten Dokumenten herauszugeben sind, sondern regelmäßig wohl nur die darin enthaltenen personenbezogenen Daten. Es bestehe weder ein „allgemeines Recht“ auf „teilweise oder vollständige Kopie des Dokuments, das die betroffenen personenbezogenen Daten enthält“ noch auf den Auszug aus einer Datenbank, sofern die personenbezogenen Daten darin verarbeitet werden (Rz. 70 der Schlussanträge).

Gleichwohl schließt der Generalanwalt die Tür für die Herausgabe ganzer Dokumente nicht ganz, indem er ausführt, dass es nach Art. 15 Abs. 3 DSGVO auch umgekehrt nicht vollends ausgeschlossen sei, dass im Einzelfall dennoch Kopien des (gesamten) Dokuments herauszugeben sind, wenn es „erforderlich ist, um die volle Verständlichkeit der personenbezogenen Daten, die Gegenstand der Verarbeitung sind und zu denen die Auskunft verlangt wird, zu gewährleisten“ (Rz. 70 der Schlussanträge). Wann dies der Fall ist, klärt der Generalanwalt nicht auf. Aus Sicht der Verantwortlichen wird hier – sofern der EuGH diesen Schlussanträgen folgen sollte (dazu s. u.) – behutsames Handeln und genaue Prüfung der Umstände gefragt sein. Denn die Verantwortlichen sind für die Vollständigkeit von Auskunftsansprüchen verantwortlich und müssen diese gewährleisten.
 
Diese „Ausnahme“ könnte bei entsprechend weiter Auslegung dazu angeführt werden, doch die Herausgabe ganzer Dokumente zu verlangen, obwohl dies vom  Generalanwalt eigentlich nicht gewollt ist. 

Daran anknüpfend, aber vom Generalanwalt nicht entscheidend vorangetrieben, stellt sich zudem die Frage, wann ein Dokument insgesamt ein personenbezogenes Datum wird. Dies hatte kürzlich das Bundesverwaltungsgericht etwa für Klausuren in der zweiten juristischen Staatsprüfung angenommen (vgl. Pressemitteilung Nr. 76/2022). Diese Rechtsprechung lässt sich allerdings nicht ohne weiteres auf andere Fälle übertragen.

Rechtsnatur von Art. 15 Abs. 3 DSGVO – kein eigenständiges Recht

Weiterhin arbeitet der Generalanwalt heraus, dass es sich bei Art. 15 Abs. 3 DSGVO seiner Ansicht nach nicht um einen eigenständigen Anspruch handelt. Vielmehr fügt sich Art. 15 Abs. 3 DSGVO in den Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO ein. Art. 15 Abs. 3 DSGVO regele die Modalitäten der Ausübung eines Auskunftsanspruchs und bestimme unter anderem die Form, „in der der für die Verarbeitung Verantwortliche die personenbezogenen Daten der betroffenen Person zur Verfügung zu stellen hat, nämlich in Form einer Kopie und damit einer getreuen Wiedergabe der Daten“ (Rz. 49 der Schlussanträge). Demnach handele es sich bei Art. 15 Abs. 3 DSGVO um eine Konkretisierung des Auskunftsanspruchs.

Ausblick

Was nach einem juristischen Meinungsstreit erster Güteklasse klingt, ist in Wahrheit eine Grundsatzfrage mit großer Auswirkung auf Unternehmen aller Art und Größe. Die Kernfrage, ob „eine Kopie eine Kopie“ ist, oder diese nur die in einem Dokument enthaltenden personenbezogenen Daten umfasst, hat großen Einfluss bei der Abhilfe von Auskunftsansprüchen. Erfahrungsgemäß sind Auskunftssuchende häufig Kunden oder (ehemalige) Mitarbeiter. Nach der weiten Auffassung sind Kopien von sämtlichen Dokumenten herauszugeben. Bei langjährigen Arbeits- oder Geschäftsverhältnissen kann dies tausende, ggf. teilweise schon archivierte und insoweit aufwändig zu beschaffende Dokumente betreffen. Der Aufwand ist in solchen Fällen außerordentlich hoch, gleichsam die Kosten für die betroffenen Unternehmen.

Auch nach der engeren Auffassung hat die Auskunft immer vollständig zu sein, was im vorgenannten Fall zwar auch zu erheblichem Aufwand führen kann, gleichwohl dürfte insbesondere die Kostenbelastung deutlich geringer sein. 

Aus Sicht der Unternehmen gilt es einmal mehr, die Rechtsentwicklung aufmerksam zu verfolgen. Auch wenn der EuGH den Schlussanträgen des Generalanwalts mitunter folgt, ist dies nicht die Regel. Erst die Entscheidung des EuGH wird hier endgültig für Klarheit sorgen. Betroffene Unternehmen sollten daher bis dahin im Einzelfall genaustens abwägen, wie sie sicherstellen, dass sie Auskunftsansprüchen ausreichend abhelfen. 

Wir werden Sie auf dem Laufenden halten.