Der Europäische Gerichtshof (EuGH) erläutert das datenschutzrechtliche Recht auf Kopie nach Art. 15 Abs. 3 DSGVO und klärt Fragen zu Inhalt und Umfang des Betroffenenrechts. Der Richterspruch hat umfassende Konsequenzen für Verantwortliche (Urteil vom 4. Mai 2023, Az.: C-487/21).
Hintergrund der Entscheidung
Im Mittelpunkt der Entscheidung des EuGHs steht CRIF, eine Kreditauskunftei, die Informationen über die Zahlungsfähigkeit von Dritten bereitstellt. Der Kläger in diesem Rechtsstreit beantragte im Dezember 2018 gemäß Art. 15 DSGVO Auskunft über seine personenbezogenen Daten bei CRIF. Neben einer allgemeinen Auflistung seiner Daten forderte er auch Kopien von Dokumenten, darunter E-Mails und Datenbankauszüge, die seine Daten enthielten, und dies in einem „üblichen technischen Format“.
CRIF reagierte, indem sie dem Kläger eine aggregierte Liste seiner personenbezogenen Daten zur Verfügung stellte. Der Kläger war jedoch der Ansicht, dass CRIF ihm eine Kopie aller Dokumente, die seine Daten enthielten, bereitstellen müsse, und legte bei der Datenschutzbehörde eine Beschwerde ein. Die Datenschutzbehörde wies diese Beschwerde mit der Begründung ab, dass CRIF das Recht des Klägers auf Auskunft nach Art. 15 DSGVO nicht verletzt habe.
Das vom Kläger angerufene Bundesverwaltungsgericht in Österreich sah sich daraufhin mit entscheidenden Fragen konfrontiert, die die Reichweite von Art. 15 Abs. 3 der DSGVO betreffen. Insbesondere, ob die Verpflichtung, eine „Kopie“ der personenbezogenen Daten bereitzustellen, erfüllt ist, wenn die Daten in aggregierter Tabellenform übermittelt werden – oder, ob diese Verpflichtung auch die Bereitstellung von Auszügen aus Dokumenten oder gar von ganzen Dokumenten sowie von Auszügen aus Datenbanken umfasst.
Die zentrale Frage, die das Gericht klären musste, war, ob Art. 15 Abs. 3 der DSGVO lediglich die Form der Bereitstellung von Informationen gemäß Art. 15 Abs. 1 DSGVO regelt oder, ob er ein eigenständiges Recht der betroffenen Person auf Zugang zu Informationen über den Kontext, in dem ihre Daten verarbeitet werden, in Form von Kopien von Auszügen aus Dokumenten oder Datenbanken begründet.
Zusätzlich musste das Gericht klären, ob der Begriff „Informationen“ in Art. 15 Abs. 3 DSGVO neben den in Art. 15 Abs. 1 DSGVO genannten Informationen auch zusätzliche Informationen wie Metadaten umfasst oder, ob er sich nur auf die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ bezieht.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Vorlagefragen an den EuGH
Infolgedessen sah sich das Bundesverwaltungsgericht in Österreich gezwungen, den EuGH anzurufen und folgende Fragen zur Vorabentscheidung vorzulegen:
- Wie ist der Begriff „Kopie“ in Art. 15 Abs. 3 DSGVO auszulegen?
- Enthält Art. 15 Abs. 3 S. 1 DSGVO ein allgemeines Recht der betroffenen Person auf die Herausgabe von Kopien ganzer Dokumente oder Datenbankauszüge, in denen ihre Daten verarbeitet werden, oder beschränkt sich dieses Recht auf die originalgetreue Reproduktion der personenbezogenen Daten gemäß Art. 15 Abs. 1 DSGVO?
- Unter welchen Umständen kann es erforderlich sein, Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen, insbesondere im Hinblick auf die Art der verarbeiteten Daten und das Transparenzgebot in 12 Abs. 1 DSGVO?
- Was beinhaltet der Begriff „Informationen“ gemäß Art. 15 Abs. 3 S. 3 DSGVO, insbesondere wenn die Antragstellung elektronisch erfolgt?
Der Richterspruch
Umfang des Rechts auf Datenkopien
Im Hinblick auf die ersten drei Vorlagefragen befanden die Richter eindeutig: Das Recht auf eine Datenkopie gemäß Art. 15 Abs 3 S. 1 DSGVO beinhaltet das Recht auf eine originalgetreue und verständliche Reproduktion aller personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Falls dies zur wirksamen Ausübung der Rechte gemäß der DSGVO notwendig ist, umfasst es auch das Recht auf Kopien von Dokumentenauszügen, ganzen Dokumenten oder Auszügen aus Datenbanken. Dies sollte sicherstellen, dass die betroffene Person ihre Rechte aus der DSGVO, wie zum Beispiel das Recht auf Löschung (Art. 17 DSGVO), effektiv ausüben kann, wobei jedoch auch die Rechte und Freiheiten anderer Personen zu berücksichtigen sind, um etwaige Konflikte aufzulösen.
Diese Auslegung des EuGH basiert auf dem klaren Wortlaut und den Zielen der DSGVO, insbesondere dem Transparenzgrundsatz. Es soll sichergestellt werden, dass betroffene Personen präzise, leicht zugängliche und verständliche Informationen über die Verarbeitung ihrer personenbezogenen Daten erhalten können. In Fällen, in denen die Kontextualisierung der Daten erforderlich ist, um ihre Verständlichkeit sicherzustellen, können Kopien von Dokumentenauszügen oder ganzen Dokumenten unerlässlich sein.
Gemäß Art. 15 Abs. 4 der DSGVO im Vermessen mit den Erläuterungen im Erwägungsgrund 63 sollte das Recht auf Erhalt einer Kopie gemäß Abs. 3 die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Dies schließt den Schutz von Geschäftsgeheimnissen, geistigem Eigentum und insbesondere dem Urheberrecht ein.
Infolgedessen, und wie der Generalanwalt am EuGH bereits in seinen Schlussanträgen hervorgehoben hat, sind im Falle eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft über personenbezogene Daten einerseits und den Rechten oder Freiheiten anderer Personen andererseits, die betreffenden Rechte sorgfältig abzuwägen. Es ist ratsam, Modalitäten zur Bereitstellung der personenbezogenen Daten zu wählen, die die Rechte oder Freiheiten anderer Personen so weit wie möglich schützen, ohne die Ausübung des Auskunftsrechts zu beeinträchtigen. Es ist jedoch wichtig, festzuhalten, dass diese Abwägungen keinesfalls dazu führen dürfen, dass der betroffenen Person grundsätzlich jegliche Auskunft verweigert wird.
Auslegung des Begriffs „Informationen“
Auch zur vierten Frage äußerten sich der EuGH eindeutig: Der Begriff „Informationen“ in Art. 15 Abs. 3 DSGVO bezieht sich ausschließlich auf personenbezogene Daten, von denen der für die Verarbeitung Verantwortliche gemäß Art. 15 Abs. 3 S. 1 eine Kopie bereitzustellen hat. Dies ergibt sich aus dem Kontext der DSGVO und den darin verfolgten Zielen. Das Recht der betroffenen Person ist darauf ausgerichtet, eine verständliche und originalgetreue Reproduktion ihrer personenbezogenen Daten zu erhalten, um ihre Rechte gemäß der DSGVO wirksam ausüben zu können. Die Form, in der der Antrag gestellt wird, hat keinen Einfluss auf dieses Recht.
Ferner ist zu beachten, dass gemäß Art. 12 Abs. 3 der DSGVO die Informationen, die in Art. 15 aufgeführt sind, einschließlich der in Art. 15 Abs. 1 lit. a) – h) genannten Informationen, elektronisch übermittelt werden, wenn die betroffene Person ihren Antrag elektronisch stellt, es sei denn, sie gibt ausdrücklich an, dass sie dies nicht wünscht.
Datenschutzrechtliche Einschätzung
Der EuGH setzt erneut strenge Maßstäbe in der Auslegung von Datenschutzbestimmungen, um das hohe Schutzniveau des Rechts auf informationelle Selbstbestimmung zu gewährleisten. Dieses Urteil ist eine Fortführung der bereits im Januar 2023 getroffenen Entscheidung zur Offenlegung konkreter Empfänger personenbezogener Daten im Rahmen des Auskunftsrechts gemäß Art. 15 DSGVO, die aufgrund des Transparenzgrundsatzes eine großzügige Auslegung erhielt. In der hier diskutierten Entscheidung im Rahmen von Art. 15 Abs. 3 DSGVO betont der EuGH erneut die Bedeutung des Transparenzgebots. Dies unterstreicht die konsequente Herangehensweise des Gerichts, um die Rechte Betroffener zu schützen.
Zudem wird in diesem Urteil die klare Pflicht der Verantwortlichen hervorgehoben, alle erforderlichen Schritte zu unternehmen, um sicherzustellen, dass die bereitgestellten Informationen präzise, transparent, leicht zugänglich und in klarer und einfacher Sprache sind. Dies schließt die umfassende Offenlegung von Daten ein, einschließlich Auszügen aus Dokumenten, Datenbanken oder ganzen Dokumenten, um sicherzustellen, dass die verarbeiteten Informationen im notwendigen Kontext verstanden werden können. Eine solche Transparenz fördert das Verständnis und ermöglicht es den betroffenen Personen, ihre Datenschutzrechte effektiv auszuüben.
Die Entscheidung des EuGH, das Recht auf Auskunft weit auszulegen, erinnert in gewisser Weise an das Prinzip der Akteneinsicht im juristischen Kontext. Ähnlich wie bei der Akteneinsicht, bei der eine Person das Recht hat, alle relevanten Informationen und Beweismittel einzusehen, um ihre Position zu stärken, bestätigt dieses Urteil, dass Betroffene ein umfassendes Verständnis aller sie betreffenden personenbezogenen Daten benötigen, um ihre Datenschutzrechte effektiv auszuüben.
Fazit
Die Auslegung von Artikel 15 der DSGVO durch den EuGH in Bezug auf das Recht auf Erhalt einer Kopie personenbezogener Daten hat wichtige Implikationen für den Datenschutz und die Rechte der betroffenen Personen.
Die Auslegung des EuGHs betont die Bedeutung der Transparenz und legt nahe, dass bei Datenschutzfragen eine sorgfältige Abwägung zwischen den Rechten betroffener Personen und den Rechten und Freiheiten anderer, wie Geschäftsgeheimnissen oder geistigem Eigentum, erfolgen muss. Dies dient dem Ziel, ein ausgewogenes Verhältnis zwischen dem Recht auf Auskunft und dem Schutz der Interessen Dritter zu gewährleisten.
Aus dem Urteil ist herauszulesen, dass es dem EuGH nicht so sehr um den Wortsinn, sondern vielmehr um das Ziel der Verordnung geht. Daher wird man das Auskunftsrecht konsequenterweise nicht in zwei separate Ansprüche aufteilen können. Dogmatisch sind Art. 15 Abs. 1 und Abs. 3 keine für sich genommenen Ansprüche eigener Art, sondern ein einziges umfangreiches Auskunftsrecht, dass sowohl Informationen über die Verarbeitung als auch die Daten der Verarbeitung selbst, zum Gegenstand hat. Das macht es für Verantwortliche künftig nicht einfacher. Jeder Auskunftsanspruch muss hiernach als vollumfängliches Recht nach Art. 15 ausgelegt werden.
Zusammenfassend zeigt diese Auslegung, dass die DSGVO darauf abzielt, betroffenen Personen die volle Kontrolle über ihre personenbezogenen Daten zu geben und gleichzeitig sicherzustellen, dass sie die Rechtmäßigkeit der Verarbeitung überprüfen können. Das Recht auf Auskunft nach Art. 15 DSGVO dürfte als eines der am häufigsten wahrgenommenen Betroffenenrechte auch weiterhin für Diskussionsstoff bei dem EuGH sorgen und Bestandteil weiterer Entscheidungen sein.
