Herzlich willkommen!
Im Workplace Blog schreiben wir über Themen aus der Workplace Law und HR Welt: Wir besprechen wichtige Gerichtsentscheidungen, nehmen uns Glaubenssätze vor, geben praktische Tipps und vieles mehr…
Unser Workplace Blog lebt von Ihren Kommentaren und Feedback. In diesem Sinne freuen wir uns auf den Austausch mit Ihnen!
Ihr PWWL-Redaktionsteam
Art. 15 DS-GVO – das Auskunftsrecht der betroffenen Person oder wie es in der englischen Version heißt “right of access” ist Gegenstand einer Vielzahl von Auseinandersetzungen zwischen Verantwortlichen (Art. 4 Nr. 7 DS-GVO) und betroffenen Personen im Sinne von Art. 4 Nr. 1 DS-GVO.
Auch ich habe mich in vielen Beiträgen hierzu geäußert.
Am 4. Mai 2023 hat der EuGH sein Urteil in der Rechtssache C-487/21 verkündet. Sind damit nun alle Streitigkeiten geklärt? Mit Sicherheit nein! Bei genauerer Betrachtung der Urteilsgründe herrscht nicht einmal in dem konkreten Verfahren Klarheit für die Parteien.
Der Kläger beantragte bei dem Verantwortlichen (einer Kreditauskunftei) Auskunft nach Art. 15 DS-GVO. Zudem bat er um eine Kopie der Dokumente, nämlich E-Mails und Auszüge aus Datenbanken, die u.a. seine Daten enthalten.
Der Verantwortliche übermittelte dem Kläger in aggregierter Form eine Liste seiner personenbezogenen Daten. Der Kläger war der Ansicht, dass ihm eine Kopie sämtlicher Dokumente, die seine Daten enthalten, hätte übermittelt werden müssen und legte Beschwerde bei der zuständigen Datenschutzbehörde ein.
Die Datenschutzbehörde wies die Beschwerde zurück, da der Verantwortliche das Recht des Klägers aus Art. 15 DS-GVO nicht verletzt habe.
Gegenstand des Verfahrens ist die Tragweite von Art. 15 Abs. 3 Satz 1 DS-GVO.
Konkret hat das Bundesverwaltungsgericht (Österreich) dem EuGH folgende Fragen zur Vorabentscheidung vorgelegt:
a) Falls die Frage 4 verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art. 15 Abs. 1 Buchst. a) bis h) DSGVO gemeint sind?
b) Falls auch die Frage 4 a) verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 Buchst. a) bis h) DS-GVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?
(Vgl. EuGH, Urteil vom 04.05.2023 – Rs. C-487/21 Rn. 17)
Art. 15 DS-GVO gibt betroffenen Personen ein umfassendes Auskunftsrecht. Zunächst haben sie das Recht von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Die Antwort lautet “ja” oder “nein”.
Lautet die Antwort “ja”, so hat die betroffene Person das Recht “Auskunft über diese personenbezogenen Daten” und die in Art. 15 Abs. 1 Buchstabe a) bis h) aufgelisteten Informationen zu bekommen.
Art. 15 Abs. 3 DS-GVO gewährt zudem ein Recht auf Kopie. Der in diesem Verfahren entscheidende Satz 1 aus Art. 15 Abs. 3 DS-GVO lautet wörtlich:
“Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.”
Der EuGH legt zunächst Art. 15 Abs. 3 S. 1 DS-GVO aus und kommt zu dem Ergebnis, dass “diese Bestimmung der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten im Sinne einer weiten Bedeutung zu erhalten, die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden müssen” (EuGH, Urteil vom 04.05.2023 – Rs. C-487/21 Rn. 28). Eine allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind oder ein Verweis auf Kategorien personenbezogener Daten entspräche nicht dieser Definition (Rn. 21).
Der EuGH geht auch auf den Begriff “personenbezogene Daten” ein. Ausgehend von der Legaldefinition in Art. 4 Nr. 1 DS-GVO stellt der EuGH fest, dass der Unionsgesetzgeber mit der Verwendung des Begriffs “alle Informationen” im Zusammenhang mit dem Begriff “personenbezogene Daten” zum Ausdruck gebracht hat, dass dem Begriff eine weite Bedeutung beizumessen ist. Der Begriff umfasst “potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen”, die sich auf die betroffene Person beziehen.
Allerdings stellt der EuGH sodann auch fest, dass der Wortlaut des Art. 15 Abs. 3 S. 1 DS-GVO keinen Hinweis darauf enthält, ob der betroffenen Person nur eine Kopie der personenbezogenen Daten zur Verfügung zu stellen ist oder auch eine Kopie von Auszügen aus Dokumenten oder gar ganzen Dokumente oder Auszügen aus Datenbanken.
Im Folgenden trifft der EuGH zwei wichtige Feststellungen, die zumindest für etwas Klarheit sorgen:
Art. 15 DS-GVO soll der betroffenen Person zweierlei ermöglichen:
Daraus leitet der EuGH ab, dass die nach Art. 15 Abs. 3 S. 1 DS-GVO zur Verfügung zu stellende Kopie alle Merkmale aufweisen muss, die es der betroffenen Person ermöglichen, ihre Rechte wirksam auszuüben, und dass diese Daten daher vollständig und originalgetreu wiedergegeben werden müssen (Rn. 39).
Art. 12 Abs. 1 DS-GVO verlangt zudem, dass die Informationen leicht verständlich sein müssen. Daraus folgt, dass “die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind” unerlässlich sein kann, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um die Verständlichkeit zu gewährleisten.
Und genau an dieser sehr zentralen Stelle bleibt der EuGH sehr vage. Es obliegt also dem Rechtsanwender und ggf. den nationalen Gerichten festzustellen, wann es notwendig ist, Auszüge aus Dokumenten, Dokumente oder Auszüge aus Datenbanken in Kopie zur Verfügung zu stellen. Damit bleibt eine der zentralen Fragen ungeklärt.
Die ersten drei Vorlagefragen beantwortet der EuGH daher wie folgt:
“Nach alledem ist auf die erste bis dritte Vorlagefrage zu antworten, dass Art. 15 Abs. 3 Satz 1 DS-GVO dahin auszulegen ist, dass das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind.” (Rn. 45)
Die Antwort auf die vierte Vorlagefrage lautet:
“Nach alledem ist auf die vierte Vorlagefrage zu antworten, dass Art. 15 Abs. 3 Satz 3 DS-GVO dahin auszulegen ist, dass sich der im Sinne dieser Bestimmung verwendete Begriff „Informationen“ ausschließlich auf personenbezogene Daten bezieht, von denen der für die Verarbeitung Verantwortliche gemäß Satz 1 dieses Absatzes eine Kopie zur Verfügung stellen muss.” (Rn. 53)
Es ist damit zu rechnen, dass die Auskunftsverlangen in Zukunft nicht abnehmen werden und standardmäßig auch mit dem Verlangen nach einer Kopie verknüpft werden. Das führt Verantwortliche häufig an die Grenzen des Machbaren. Es ist daher wichtig, intern Prozesse vorzusehen, wie bei der Geltendmachung von Auskunftsansprüchen verfahren wird, um eine vollständige und fristgerechte Erfüllung des Anspruchs zu ermöglichen.
