Das Thema
Art. 15 DSGVO gibt betroffenen Personen (Art. 4 Nr. 1 DSGVO) ein umfassendes Auskunftsrecht. So haben sie das Recht, von dem Verantwortlichen (Art. 4 Nr. 7 DSGVO) eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist das der Fall, hat die betroffene Person das Recht „Auskunft über diese personenbezogenen Daten“ und die in Art. 15 Abs. 1 Buchstabe a) bis h) aufgelisteten Informationen zu bekommen.
Art. 15 Abs. 3 DSGVO gewährt zudem ein Recht auf Kopie. Der in diesem Verfahren entscheidende Satz 1 aus Art. 15 Abs. 3 DSGVO lautet wörtlich:
„Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“
Kopien sämtlicher Dokumente?
Der Kläger beantragte bei dem Verantwortlichen (einer Kreditauskunftei) Auskunft nach Art. 15 DSGVO. Zudem bat er um eine Kopie der Dokumente, nämlich E-Mails und Auszüge aus Datenbanken, die u.a. seine Daten enthalten. Die Auskunftei übermittelte dem Kläger in aggregierter Form eine Liste seiner personenbezogenen Daten. Der Kläger war der Ansicht, dass ihm eine Kopie sämtlicher Dokumente, die seine Daten enthalten, hätte übermittelt werden müssen und legte Beschwerde bei der zuständigen Datenschutzbehörde ein. Die Datenschutzbehörde wies die Beschwerde zurück, da der Verantwortliche das Recht des Klägers aus Art. 15 DSGVO nicht verletzt habe.
Vorlagefragen des BVwG Österreich
Das Verfahren hat die Tragweite von Art. 15 Abs. 3 Satz 1 DSGVO zum Gegenstand. Konkret hat das österreichische Bundesverwaltungsgericht dem EuGH folgende Fragen zur Vorabentscheidung vorgelegt:
- Ist der Begriff der „Kopie“ in Art. 15 Abs. 3 DSGVO dahin gehend auszulegen, dass damit eine Fotokopie bzw. ein Faksimile oder eine elektronische Kopie eines (elektronischen) Datums gemeint ist, oder fällt dem Begriffsverständnis deutscher, französischer und englischer Wörterbücher folgend unter den Begriff auch eine „Abschrift“, ein „double“ („duplicata“) oder ein „transcript“?
- Ist Art. 15 Abs. 3 Satz 1 DSGVO, wonach „der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt, dahin gehend auszulegen, dass darin ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie – auch – gesamter Dokumente enthalten ist, in denen personenbezogene Daten der betroffenen Person verarbeitet werden, bzw. auf Ausfolgung einer Kopie eines Datenbankauszuges bei Verarbeitung der personenbezogenen Daten in einer solchen, oder besteht damit – nur – ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten?
- Für den Fall, dass die Frage 2. dahin gehend beantwortet wird, dass nur ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten besteht, ist Art. 15 Abs. 3 Satz 1 DSGVO dahin gehend auszulegen, dass es bedingt durch die Art der verarbeiteten Daten (zum Beispiel in Bezug auf die im 63. Erwägungsgrund angeführten Diagnosen, Untersuchungsergebnisse, Befunde oder auch Unterlagen im Zusammenhang mit einer Prüfung im Sinne des Urteils des Gerichtshofs der Europäischen Union vom 20. Dezember 2017, Nowak, C-434/16, EU:C:2017:994) und das Transparenzgebot in Art. 12 Abs. 1 DSGVO im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen?
- Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit allein die in Art. 15 Abs. 3 Satz 1 DSGVO genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ gemeint sind?
a) Falls die Frage 4 verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art. 15 Abs. 1 Buchst. a) bis h) DSGVO gemeint sind?
b) Falls auch die Frage 4 a) verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 Buchst. a) bis h) DSGVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?
(vgl. EuGH, Urt. v. 04.05.2023 – C-487/21, Rn. 17)
EuGH: Originalgetreue Reproduktion und alle Arten von Informationen
Zunächst legte der EuGH Art. 15 Abs. 3 Satz 1 DSGVO aus, mit dem Ergebnis, dass „diese Bestimmung der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten im Sinne einer weiten Bedeutung zu erhalten, die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden müssen„ (EuGH v. 04.05.2023 – C-487/21, Rn. 28). Eine allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind oder ein Verweis auf Kategorien personenbezogener Daten entspräche nicht dieser Definition (Rn. 21).
Auch auf den Begriff „personenbezogene Daten“ ging der EuGH ein. Ausgehend von der Legaldefinition in Art. 4 Nr. 1 DSGVO stellte der Gerichtshof fest, dass der Unionsgesetzgeber mit der Verwendung des Begriffs „alle Informationen“ im Zusammenhang mit dem Begriff „personenbezogene Daten“ zum Ausdruck gebracht hat, dass dem Begriff eine weite Bedeutung beizumessen ist. Der Begriff umfasse „potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen“, die sich auf die betroffene Person beziehen.
Allerdings stellte der EuGH auch fest, dass der Wortlaut des Art. 15 Abs. 3 Satz 1 DSGVO keinen Hinweis darauf enthält, ob der betroffenen Person nur eine Kopie der personenbezogenen Daten zur Verfügung gestellt werden muss oder auch eine Kopie von Auszügen aus Dokumenten oder gar ganze Dokumente bzw. Auszügen aus Datenbanken.
Zwei wichtige Feststellungen
Der EuGH traf zwei wichtige Feststellungen, die zumindest für etwas Klarheit sorgen:
- Art. 15 Abs. 3 Satz 1 DSGVO enthält kein anderes Recht als das in Abs. 1 gewährte.
- Der Begriff „Kopie“ bezieht sich nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält.
Art. 15 DSGVO soll der betroffenen Person zweierlei ermöglichen: Sie soll prüfen können, ob die personenbezogenen Daten korrekt sind und ob sie in zulässiger Weise verarbeitet werden. Daraus leitete der Gerichtshof ab, dass die nach Art. 15 Abs. 3 Satz 1 DSGVO zur Verfügung zu stellende Kopie alle Merkmale aufweisen muss, die es der betroffenen Person ermöglichen, ihre Rechte wirksam auszuüben, und dass diese Daten daher vollständig und originalgetreu wiedergegeben werden müssen (Rn. 39).
Zudem verlange Art. 12 Abs. 1 DSGVO, dass die Informationen leicht verständlich sein müssen. Daraus folge, dass „die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind“ unerlässlich sein könne, wenn die Kontextualisierung der verarbeiteten Daten erforderlich sei, um die Verständlichkeit zu gewährleisten.
Genau an dieser zentralen Stelle bleibt der EuGH sehr vage. Es obliegt also dem Rechtsanwender und ggf. den nationalen Gerichten festzustellen, wann es notwendig ist, Auszüge aus Dokumenten, Dokumente oder Auszüge aus Datenbanken in Kopie zur Verfügung zu stellen. Damit bleibt eine zentrale Frage ungeklärt.
Antworten auf die Vorlagefragen
Die ersten drei Vorlagefragen beantwortet der EuGH wie folgt:
„Nach alledem ist auf die erste bis dritte Vorlagefrage zu antworten, dass Art. 15 Abs. 3 Satz 1 DSGVO dahin auszulegen ist, dass das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind.“ (Rn. 45)
Die Antwort auf die vierte Vorlagefrage lautet:
„Nach alledem ist auf die vierte Vorlagefrage zu antworten, dass Art. 15 Abs. 3 Satz 3 DSGVO dahin auszulegen ist, dass sich der im Sinne dieser Bestimmung verwendete Begriff „Informationen“ ausschließlich auf personenbezogene Daten bezieht, von denen der für die Verarbeitung Verantwortliche gemäß Satz 1 dieses Absatzes eine Kopie zur Verfügung stellen muss.“ (Rn. 53)
Fazit und Hinweise für die Praxis
Es ist damit zu rechnen, dass Auskunftsverlangen in Zukunft nicht abnehmen und man sie generell auch mit dem Verlangen nach einer Kopie verknüpft. Das führt Verantwortliche häufig an die Grenzen des Machbaren. Daher sollte man unbedingt intern Prozesse vorsehen, wie bei der Geltendmachung von Auskunftsansprüchen zu verfahren ist, um eine vollständige und fristgerechte Erfüllung des Anspruchs zu ermöglichen.