EuGH zu DSGVO-Auskunft

„Kopie“ kann auch Dokumente oder Auszüge aus Datenbanken umfassen

Das DSGVO-Auskunftsrecht benennt auch Kopien. Davon seien Reproduktionen von Dokumenten oder Auszüge aus Datenbanken umfasst, so der EuGH.

09.05.2023Rechtsprechung

Der Europäische Gerichtshof (EuGH) hat den Inhalt und Umfang des Rechts auf Auskunft nach Art. 15 Datenschutzgrundverordnung (DSGVO) konkretisiert: Der Begriff der „Kopie“ in Art. 15 Abs. 3 DSGVO erfasse originalgetreue und verständliche Reproduktionen aller personenbezogener Daten eines Betroffenen. Davon sei auch das Recht umfasst, eine Kopie von Auszügen aus Dokumenten bzw. gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu erlangen, wenn dies unerlässlich sei, um Betroffenen die wirksame Ausübung ihrer Rechte aus der DSGVO zu ermöglichen (Urt. v. 04.05.2023, Rs. C-487/21).

Ein Österreicher verlangte von der Auskunftei CRIF eine Auskunft über die dort über ihn verarbeiteten personenbezogenen Daten. Außerdem bat er um eine Kopie von E-Mails und Auszügen aus Datenbanken zu seiner Person „in einem üblichen technischen Format“. Er erhielt jedoch lediglich eine Liste seiner Daten in „aggregierter“ Form, in welcher der Kontext der Datenverarbeitung fehlte. Er brachte eine Beschwerde bei der österreichischen Datenschutzbehörde, weil er eine tatsächliche Kopie sämtlicher Dokumente wünschte. Weil die Behörde sein Begehren ablehnte, klagte er gegen sie bis zum Bundesverwaltungsgericht Österreich. Dieses stellte dem EuGH folgende entscheidungsrelevante Fragen, die nun beantwortet wurden:

EuGH konkretisiert das Recht auf Auskunft nach Art. 15 DSGVO

Ist das Recht auf Auskunft erfüllt, wenn die personenbezogenen Daten nur als Tabelle in aggregierter Form übermittelt werden? Oder umfasst das Recht auf Auskunft auch die Übermittlung von Auszügen aus Dokumenten bzw. ganzen Dokumenten sowie von Auszügen aus Datenbanken?

Zunächst stellt der EuGH auf den Wortlaut von Art. 15 Abs. 3 S. 1 DSGVO ab, in dem steht: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“ Daraus folgert der EuGH, mit der „Kopie“ sei „eine originalgetreue und verständliche Reproduktion“ aller die Person betreffenden Daten gemeint. Betroffene Personen hätten daher recht, eine Kopie von Auszügen aus Dokumenten bzw. ganzen Dokumenten oder von Auszügen aus Datenbanken zu erlangen – unter der Voraussetzung, dass eine solche Kopie unerlässlich sei, um der betroffenen Person die wirksame Ausübung ihrer Rechte aus der DSGVO zu ermöglichen. Dabei seien die Rechte und Freiheiten anderer zu berücksichtigen.

Im Fall eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft zum einen und den Rechten oder Freiheiten anderer Personen zum anderen seien die fraglichen Rechte und Freiheiten gegeneinander abzuwägen. Außerdem seien bei der Übermittlung der personenbezogenen Daten Modalitäten zu wählen, welche die Rechte oder Freiheiten anderer Personen nicht verletzten. Dies dürfe aber nicht dazu führen dürfen, dass der betroffenen Person jegliche Auskunft verweigert werde.

Eine allgemeine Beschreibung der verarbeiteten Daten oder ein Verweis auf Kategorien personenbezogener Daten entspreche hingegen nicht der Definition des Gesetzes. Damit erteilte der EuGH den Auffassungen der österreichischen Behörde sowie der Auskunftei eine Absage.

Zur Begründung seiner Auffassung führt der EuGH weiter aus: Betroffenen müsse es aufgrund der Auskunft möglich sein, zu überprüfen, ob sie betreffende personenbezogene Daten richtig sind und zudem auch in zulässiger Weise verarbeitet werden. Zudem müssten alle Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache zu übermittelt werden. Auf Verlangen müsse diese Übermittlung schriftlich oder in anderer Form, gegebenenfalls auch elektronisch, erfolgen. Daraus folge, dass die Kopie diese Daten vollständig und originalgetreu wiedergeben müsse. Zu diesen Zwecken könne sich eine Reproduktion als unerlässlich erweisen, um den Kontext der Verarbeitung zu verstehen. Dies sei insbesondere dann relevant, wenn Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, weil bei letzterem nicht klar werde, woher eine Information über die betroffene Person stammt.

Außerdem stellt der EuGH klar, dass Art. 15 Abs. 3 DSGVO lediglich die Konkretisierung des bestehenden Anspruchs aus Art. 15 Abs. 1 DSGVO sei, nicht hingegen ein eigenständiges Recht.

Was genau umfasst der Begriff „Informationen“ in Art. 15 Abs. 3 S. 3 DSGVO?

Der Wortlaut des Art. 15 Abs. 3 Satz 3 DSGVO lautet: „Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.“ Hierzu stellte der EuGH fest, der Begriff „Informationen“ beziehe sich ausschließlich auf personenbezogene Daten, von denen der Verantwortliche gemäß Art. 15 Abs. 3 Satz 1 eine Kopie zur Verfügung stellen müsse.