Recht auf Kopie – Umfang – Vorlage von Dokumenten, Auszügen aus Dokumenten oder Datenbanken
Art. 15 DS-GVO – das Auskunftsrecht der betroffenen Person oder wie es in der englischen Version heißt “right of access” ist Gegenstand einer Vielzahl von Auseinandersetzungen zwischen Verantwortlichen (Art. 4 Nr. 7 DS-GVO) und betroffenen Personen im Sinne von Art. 4 Nr. 1 DS-GVO.
Auch ich habe mich in vielen Beiträgen hierzu geäußert.
Am 4. Mai 2023 hat der EuGH sein Urteil in der Rechtssache C-487/21 verkündet. Sind damit nun alle Streitigkeiten geklärt? Mit Sicherheit nein! Bei genauerer Betrachtung der Urteilsgründe herrscht nicht einmal in dem konkreten Verfahren Klarheit für die Parteien.
Sachverhalt
Der Kläger beantragte bei dem Verantwortlichen (einer Kreditauskunftei) Auskunft nach Art. 15 DS-GVO. Zudem bat er um eine Kopie der Dokumente, nämlich E-Mails und Auszüge aus Datenbanken, die u.a. seine Daten enthalten.
Der Verantwortliche übermittelte dem Kläger in aggregierter Form eine Liste seiner personenbezogenen Daten. Der Kläger war der Ansicht, dass ihm eine Kopie sämtlicher Dokumente, die seine Daten enthalten, hätte übermittelt werden müssen und legte Beschwerde bei der zuständigen Datenschutzbehörde ein.
Die Datenschutzbehörde wies die Beschwerde zurück, da der Verantwortliche das Recht des Klägers aus Art. 15 DS-GVO nicht verletzt habe.
Vorlagefragen
Gegenstand des Verfahrens ist die Tragweite von Art. 15 Abs. 3 Satz 1 DS-GVO.
Konkret hat das Bundesverwaltungsgericht (Österreich) dem EuGH folgende Fragen zur Vorabentscheidung vorgelegt:
- Ist der Begriff der „Kopie“ in Art. 15 Abs. 3 DSGVO dahin gehend auszulegen, dass damit eine Fotokopie bzw. ein Faksimile oder eine elektronische Kopie eines (elektronischen) Datums gemeint ist, oder fällt dem Begriffsverständnis deutscher, französischer und englischer Wörterbücher folgend unter den Begriff auch eine „Abschrift“, ein „double“ („duplicata“) oder ein „transcript“?
- Ist Art. 15 Abs. 3 Satz 1 DSGVO, wonach „der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt, dahin gehend auszulegen, dass darin ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie – auch – gesamter Dokumente enthalten ist, in denen personenbezogene Daten der betroffenen Person verarbeitet werden, bzw. auf Ausfolgung einer Kopie eines Datenbankauszuges bei Verarbeitung der personenbezogenen Daten in einer solchen, oder besteht damit – nur – ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten?
- Für den Fall, dass die Frage 2. dahin gehend beantwortet wird, dass nur ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten besteht, ist Art. 15 Abs. 3 Satz 1 DSGVO dahin gehend auszulegen, dass es bedingt durch die Art der verarbeiteten Daten (zum Beispiel in Bezug auf die im 63. Erwägungsgrund angeführten Diagnosen, Untersuchungsergebnisse, Befunde oder auch Unterlagen im Zusammenhang mit einer Prüfung im Sinne des Urteils des Gerichtshofs der Europäischen Union vom 20. Dezember 2017, Nowak, C-434/16, EU:C:2017:994) und das Transparenzgebot in Art. 12 Abs. 1 DSGVO im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen?
- Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit allein die in Art. 15 Abs. 3 Satz 1 DSGVO genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ gemeint sind?
a) Falls die Frage 4 verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art. 15 Abs. 1 Buchst. a) bis h) DSGVO gemeint sind?
b) Falls auch die Frage 4 a) verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 Buchst. a) bis h) DS-GVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?
(Vgl. EuGH, Urteil vom 04.05.2023 – Rs. C-487/21 Rn. 17)
Art. 15 DS-GVO
Art. 15 DS-GVO gibt betroffenen Personen ein umfassendes Auskunftsrecht. Zunächst haben sie das Recht von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Die Antwort lautet “ja” oder “nein”.
Lautet die Antwort “ja”, so hat die betroffene Person das Recht “Auskunft über diese personenbezogenen Daten” und die in Art. 15 Abs. 1 Buchstabe a) bis h) aufgelisteten Informationen zu bekommen.
Art. 15 Abs. 3 DS-GVO gewährt zudem ein Recht auf Kopie. Der in diesem Verfahren entscheidende Satz 1 aus Art. 15 Abs. 3 DS-GVO lautet wörtlich:
“Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.”
Entscheidung des EuGH
Der EuGH legt zunächst Art. 15 Abs. 3 S. 1 DS-GVO aus und kommt zu dem Ergebnis, dass “diese Bestimmung der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten im Sinne einer weiten Bedeutung zu erhalten, die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden müssen” (EuGH, Urteil vom 04.05.2023 – Rs. C-487/21 Rn. 28). Eine allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind oder ein Verweis auf Kategorien personenbezogener Daten entspräche nicht dieser Definition (Rn. 21).
Der EuGH geht auch auf den Begriff “personenbezogene Daten” ein. Ausgehend von der Legaldefinition in Art. 4 Nr. 1 DS-GVO stellt der EuGH fest, dass der Unionsgesetzgeber mit der Verwendung des Begriffs “alle Informationen” im Zusammenhang mit dem Begriff “personenbezogene Daten” zum Ausdruck gebracht hat, dass dem Begriff eine weite Bedeutung beizumessen ist. Der Begriff umfasst “potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen”, die sich auf die betroffene Person beziehen.
Allerdings stellt der EuGH sodann auch fest, dass der Wortlaut des Art. 15 Abs. 3 S. 1 DS-GVO keinen Hinweis darauf enthält, ob der betroffenen Person nur eine Kopie der personenbezogenen Daten zur Verfügung zu stellen ist oder auch eine Kopie von Auszügen aus Dokumenten oder gar ganzen Dokumente oder Auszügen aus Datenbanken.
Im Folgenden trifft der EuGH zwei wichtige Feststellungen, die zumindest für etwas Klarheit sorgen:
- Art. 15 Abs. 3 S. 1 DS-GVO enthält kein anderes Recht als das in Abs. 1 gewährte.
- Der Begriff “Kopie” bezieht sich nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält.
Art. 15 DS-GVO soll der betroffenen Person zweierlei ermöglichen:
- Sie soll prüfen können, ob die personenbezogenen Daten korrekt sind und
- ob sie in zulässiger Weise verarbeitet werden.
Daraus leitet der EuGH ab, dass die nach Art. 15 Abs. 3 S. 1 DS-GVO zur Verfügung zu stellende Kopie alle Merkmale aufweisen muss, die es der betroffenen Person ermöglichen, ihre Rechte wirksam auszuüben, und dass diese Daten daher vollständig und originalgetreu wiedergegeben werden müssen (Rn. 39).
Art. 12 Abs. 1 DS-GVO verlangt zudem, dass die Informationen leicht verständlich sein müssen. Daraus folgt, dass “die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind” unerlässlich sein kann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um die Verständlichkeit zu gewährleisten.
Und genau an dieser sehr zentralen Stelle bleibt der EuGH sehr vage. Es obliegt also dem Rechtsanwender und ggf. den nationalen Gerichten festzustellen, wann es notwendig ist, Auszüge aus Dokumenten, Dokumente oder Auszüge aus Datenbanken in Kopie zur Verfügung zu stellen. Damit bleibt eine der zentralen Fragen ungeklärt.
Die ersten drei Vorlagefragen beantwortet der EuGH daher wie folgt:
“Nach alledem ist auf die erste bis dritte Vorlagefrage zu antworten, dass Art. 15 Abs. 3 Satz 1 DS-GVO dahin auszulegen ist, dass das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind.” (Rn. 45)
Die Antwort auf die vierte Vorlagefrage lautet:
“Nach alledem ist auf die vierte Vorlagefrage zu antworten, dass Art. 15 Abs. 3 Satz 3 DS-GVO dahin auszulegen ist, dass sich der im Sinne dieser Bestimmung verwendete Begriff „Informationen“ ausschließlich auf personenbezogene Daten bezieht, von denen der für die Verarbeitung Verantwortliche gemäß Satz 1 dieses Absatzes eine Kopie zur Verfügung stellen muss.” (Rn. 53)
Auswirkungen für die Praxis
Es ist damit zu rechnen, dass die Auskunftsverlangen in Zukunft nicht abnehmen werden und standardmäßig auch mit dem Verlangen nach einer Kopie verknüpft werden. Das führt Verantwortliche häufig an die Grenzen des Machbaren. Es ist daher wichtig, intern Prozesse vorzusehen, wie bei der Geltendmachung von Auskunftsansprüchen verfahren wird, um eine vollständige und fristgerechte Erfüllung des Anspruchs zu ermöglichen.