EuGH, Urt. 4.5.2023 - C-487/21
Umfang des Rechts auf Datenkopie
Autor: RA, FA IT-Recht Dr. Aegidius Vogt, Herberger Vogt von Schoeler, München – www.hvs-rechtsanwaelte.de
Aus: IT-Rechtsberater, Heft 09/2023
Aus: IT-Rechtsberater, Heft 09/2023
Eine „Kopie der personenbezogenen Daten“ i.S.v. Art. 15 Abs. 3 Satz 1 DSGVO muss es Betroffenen ermöglichen, ihre Rechte aus der DSGVO wirksam auszuüben. Es ist daher eine originalgetreue und verständliche Reproduktion aller dieser Daten herauszugeben. Wenn es für die wirksame Ausübung der Betroffenenrechte unerlässlich ist, sind auch Kopien von Dokumenten oder Auszüge aus Datenbanken auszuhändigen. Eine Schranke besteht, wenn dadurch Rechte und Freiheiten anderer Personen beeinträchtigt werden.
AEUV Art. 267; DSGVO Art. 4 Nr. 1, Art. 12 Abs. 1, Art. 15 Abs. 1, Abs. 3 Satz 1, Abs. 4
Kopie: Eine Definition des in Art. 15 Abs. 3 Satz 1 DSGVO enthaltenen Begriffs „Kopie“ enthalte die DSGVO nicht. Der gewöhnliche Sinn dieses Begriffs sei die originalgetreue Reproduktion oder Abschrift. Eine rein allgemeine Beschreibung der verarbeitungsgegenständlichen Daten oder ein Verweis auf Kategorien personenbezogener Daten entsprächen daher nicht diesem Verständnis.
Personenbezogene Daten: In der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Definition des Begriffs „personenbezogene Daten“ in Art. 4 Nr. 1 DSGVO komme das Ziel des Gesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen, die potentiell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasse. Voraussetzung sei lediglich, dass es sich um Informationen „über“ die in Rede stehende Person handle (vgl. EuGH v. 20.12.2017 – C-434/16, NJW 2018, 767). Nach dieser weiten Definition seien nicht nur die von dem Verantwortlichen erhobenen und auf Vorrat gespeicherten Daten umfasst, sondern auch alle Informationen über eine identifizierte oder identifizierbare Person, die aus einer Datenverarbeitung resultieren, wie etwa die Beurteilung ihrer Zahlungsfähigkeit.
Umfang des Auskunftsanspruchs: Aus den Zielen der DSGVO, ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten und folglich die Rechte Betroffener zu stärken und präzise festzulegen, lasse sich zudem entnehmen, dass Betroffenen neben der Überprüfung der Richtigkeit ihrer Daten auch ermöglicht werden müsse, die Zulässigkeit der Verarbeitung zu prüfen. Das Auskunftsrecht sei insb. erforderlich, um den Betroffenen die Ausübung ihrer Rechte aus Art. 16 bis 18 DSGVO, Art. 21 DSGVO sowie Art. 79 und 82 DSGVO zu ermöglichen. Zudem erfordere der in Art. 12 Abs. 1 DSGVO verankerte Transparenzgrundsatz, dass eine für Betroffene bestimmte Information präzise, leicht zugänglich, verständlich sowie in klarer und einfacher Sprache abgefasst sein müsse.
Verständlichkeit der Auskunft: Daraus folge letztlich, dass auch Reproduktionen von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. personenbezogene Daten enthielten, herausverlangt werden könnten, wenn die Kontextualisierung der verarbeiteten Daten erforderlich sei, um ihre Verständlichkeit zu gewährleisten. Insb. wenn personenbezogene Daten aus anderen Daten generiert würden oder aus fehlenden Angaben hervorgingen, sei der Kontext der Datenverarbeitung unerlässlich, damit Betroffene eine transparente Auskunft und eine verständliche Darstellung der Daten erhielten.
Schranken des Auskunftsrechts: Nach Art. 15 Abs. 4 DSGVO dürfe das Recht auf Kopie die Rechte und Freiheiten anderer Personen aber nicht beeinträchtigen. Hierzu zählten namentlich Geschäftsgeheimnisse oder Rechte des geistigen Eigentums, insb. das Urheberrecht an Software. Im Fall eines solchen Konflikts seien die fraglichen Rechtspositionen gegeneinander abzuwägen. Wie sich aus Erwgrd. 63 ergebe, seien nach Möglichkeit Modalitäten der Auskunftserteilung zu wählen, welche die Rechte anderer nicht verletzten. Diese Erwägungen dürften indes nicht zu einer gänzlichen Auskunftsverweigerung führen.
AEUV Art. 267; DSGVO Art. 4 Nr. 1, Art. 12 Abs. 1, Art. 15 Abs. 1, Abs. 3 Satz 1, Abs. 4
Das Problem
Ein Betroffener verlangte von einer Kreditauskunftei Auskunft sowie Kopien der Dokumente, die seine personenbezogenen Daten enthalten (u.a. E‑Mails, Datenbankauszüge). Die Auskunftei übermittelte daraufhin lediglich eine Liste der verarbeitungsgegenständlichen Daten in aggregierter Form. Die daraufhin vom Betroffenen bei der österreichischen Datenschutzbehörde eingelegte Beschwerde wurde abgewiesen. Das hiergegen angerufene österreichische BVerwG hatte das Verfahren ausgesetzt und dem EuGH Fragen zur Auslegung des Umfangs des Auskunftsanspruchs aus Art. 15 DSGVO vorgelegt. Der EuGH hatte im Wesentlichen zu klären, ob eine „Kopie“ der personenbezogenen Daten nur die Auflistung der verarbeiteten Daten oder auch Dokumente und Auszüge aus Datenbanken umfasst, die diese Daten beinhalten.Die Entscheidung des Gerichts
Der EuGH spricht den Betroffenen – mit Einschränkungen – ein sehr umfangreiches Recht auf Datenkopie zu.Kopie: Eine Definition des in Art. 15 Abs. 3 Satz 1 DSGVO enthaltenen Begriffs „Kopie“ enthalte die DSGVO nicht. Der gewöhnliche Sinn dieses Begriffs sei die originalgetreue Reproduktion oder Abschrift. Eine rein allgemeine Beschreibung der verarbeitungsgegenständlichen Daten oder ein Verweis auf Kategorien personenbezogener Daten entsprächen daher nicht diesem Verständnis.
Personenbezogene Daten: In der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Definition des Begriffs „personenbezogene Daten“ in Art. 4 Nr. 1 DSGVO komme das Ziel des Gesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen, die potentiell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasse. Voraussetzung sei lediglich, dass es sich um Informationen „über“ die in Rede stehende Person handle (vgl. EuGH v. 20.12.2017 – C-434/16, NJW 2018, 767). Nach dieser weiten Definition seien nicht nur die von dem Verantwortlichen erhobenen und auf Vorrat gespeicherten Daten umfasst, sondern auch alle Informationen über eine identifizierte oder identifizierbare Person, die aus einer Datenverarbeitung resultieren, wie etwa die Beurteilung ihrer Zahlungsfähigkeit.
Umfang des Auskunftsanspruchs: Aus den Zielen der DSGVO, ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten und folglich die Rechte Betroffener zu stärken und präzise festzulegen, lasse sich zudem entnehmen, dass Betroffenen neben der Überprüfung der Richtigkeit ihrer Daten auch ermöglicht werden müsse, die Zulässigkeit der Verarbeitung zu prüfen. Das Auskunftsrecht sei insb. erforderlich, um den Betroffenen die Ausübung ihrer Rechte aus Art. 16 bis 18 DSGVO, Art. 21 DSGVO sowie Art. 79 und 82 DSGVO zu ermöglichen. Zudem erfordere der in Art. 12 Abs. 1 DSGVO verankerte Transparenzgrundsatz, dass eine für Betroffene bestimmte Information präzise, leicht zugänglich, verständlich sowie in klarer und einfacher Sprache abgefasst sein müsse.
Verständlichkeit der Auskunft: Daraus folge letztlich, dass auch Reproduktionen von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. personenbezogene Daten enthielten, herausverlangt werden könnten, wenn die Kontextualisierung der verarbeiteten Daten erforderlich sei, um ihre Verständlichkeit zu gewährleisten. Insb. wenn personenbezogene Daten aus anderen Daten generiert würden oder aus fehlenden Angaben hervorgingen, sei der Kontext der Datenverarbeitung unerlässlich, damit Betroffene eine transparente Auskunft und eine verständliche Darstellung der Daten erhielten.
Schranken des Auskunftsrechts: Nach Art. 15 Abs. 4 DSGVO dürfe das Recht auf Kopie die Rechte und Freiheiten anderer Personen aber nicht beeinträchtigen. Hierzu zählten namentlich Geschäftsgeheimnisse oder Rechte des geistigen Eigentums, insb. das Urheberrecht an Software. Im Fall eines solchen Konflikts seien die fraglichen Rechtspositionen gegeneinander abzuwägen. Wie sich aus Erwgrd. 63 ergebe, seien nach Möglichkeit Modalitäten der Auskunftserteilung zu wählen, welche die Rechte anderer nicht verletzten. Diese Erwägungen dürften indes nicht zu einer gänzlichen Auskunftsverweigerung führen.