IT/Datenschutz

Stärkung der betroffenen Rechte – Der EuGH bezieht klar Stellung zum Inhalt und Umfang des Auskunftsanspruchs aus Art. 15 DS-GVO.

Art. 15 DS-GVO ist immer wieder Gegenstand datenschutzrechtlicher Diskussionen, deren Mittelpunkt häufig zwei Grundsatzfragen bilden.

Dabei handelt es sich zunächst um die praxisrelevante Frage, nach der Rechtsnatur des Art. 15 Abs. 3 DS-GVO. Konkret, ob das Recht auf Kopie als eigenständiger Anspruch zu behandeln ist, der neben den eigentlichen Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO tritt. Zum anderen besteht in der Fachwelt immer wieder Uneinigkeit über Inhalt und Umfang des Rechts auf Kopie nach Art. 15 DSGVO.

Das Urteil des EuGH (Urteil C-487/21 vom 04.05.2023) ist in diesem Zusammenhang besonders bemerkenswert, da es gleich zu beiden Fragen klar Stellung bezieht und so deutlich mehr Rechtssicherheit aber auch Aufwand für die Verantwortlichen schafft.   

1.  Sachverhalt

In dem Fall, der dieser Entscheidung zugrunde liegt, beantragte ein Kunde bei der CRIF, einer Kreditauskunftei, Auskunft über die ihn betreffenden personenbezogenen Daten.

Darüber hinaus verlangte er eine Kopie aller Dokumente, die sich auf seine personenbezogenen Daten beziehen (z.B. E-Mails und Auszüge aus Datenbanken), in einem gängigen technischen Format. Die CRIF übermittelte dem Kunden daraufhin eine aggregierte Liste seiner personenbezogenen Daten. Der Kunde empfand dies als unzureichende Achtung seines Auskunftsrechts und reichte bei der österreichischen Datenschutzbehörde Beschwerde ein.

Die Behörde wies die Beschwerde jedoch mit der Begründung ab, dass die Auskunftei das Auskunftsrecht des Kunden nicht verletzt habe. Gegen diesen Bescheid legte der Kunde Beschwerde beim Bundesverwaltungsgericht (Österreich) ein.

Das Bundesverwaltungsgericht (Österreich), das mit der Klage des Ausgangsverfahrens gegen den ablehnenden Bescheid befasst war, hatte das Verfahren ausgesetzt und die beiden Fragen im Rahmen einer Vorlage zur Vorabentscheidung dem EuGH vorgelegt.

2.  Rechtsnatur des Art. 15 Abs. 3 DS-GVO

Der EUGH stellte nun fest, dass entgegen der weitvertretenen Ansicht, Art. 15 Abs. 3 DS-GVO keinen eigenständigen Anspruch auf Erhalt einer Kopie darstellt, sondern dass der Kopieanspruch bereits in Art. 15 Abs. 1 DS-GVO enthalten ist. Art. 15 Abs. 3 DS-GVO regelt somit lediglich die Einzelheiten der Ausübung des Auskunftsrechts und ist eine Konkretisierung des Auskunftsrechts nach Art. 15 Abs. 1 DS-GVO. Daher könne Art. 15 DS-GVO nicht so ausgelegt werden, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Damit schließt sich der EuGH der Ansicht des Europäischen Datenschutzausschusses an, der diese Rechtsauslegung bereits in seiner Guidelines 01/2022 on data subject rights - Right of access vertreten hat.

3.  Umfang des Rechts auf Kopie nach Art. 15 Abs. 3 S. 1 DS-GVO

In seinem Urteil hat der EuGH zudem den Inhalt und den Umfang des Rechts einer betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten präzisiert. Das Recht auf Erhalt einer Kopie dieser Daten umfasst demnach die Aushändigung einer originalgetreuen und verständlichen Wiedergabe aller Daten an die betroffene Person.

Das Recht, eine Kopie dieser Daten zu erhalten, beinhaltet eine „originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten“. Der EuGH kommt damit zu dem weitreichenden Schluss, dass betroffene Personen berechtig sind, Auszüge aus Dokumenten aber auch ganze Dokumente sowie Auszüge aus Datenbanken, zu erhalten, sofern dies zur Ausübung ihrer Betroffenenrechte aus der DS-GVO erforderlich ist.

Dabei seien zwar auch die Rechte und Freiheiten anderer Personen zu berücksichtigen, womit im Streitfall zwischen dem Recht der betroffenen Person auf umfassende Information und den Rechten oder Freiheiten anderer Personen abgewogen werden müsse. Dies dürfe jedoch nicht dazu führen, betroffenen Personen jegliche Auskunft über die sie betreffenden personenbezogenen Daten zu verweigern.

4.  Auswirkungen auf die Praxis

Die Tatsache, dass es sich bei Art. 15 Abs.1 und Abs. 3 um einen eigenständigen Anspruch handelt, führt nun dazu, dass ein Anspruch auf Kopie nicht mehr gesondert geltend gemacht werden muss. Verantwortliche müssen somit in Zukunft immer auch eine Kopie zur Verfügung stellen.

Des Weiteren wird durch die Anforderung an die Kopie, als eine originalgetreue Reproduktion der nach Art. 15 Abs. 1 DS-GVO zu beauskunftenden personenbezogenen Daten, eine reine Auflistung der personenbezogenen Daten für die Erfüllung des Kopieanspruchs nun nicht mehr genügen.

Durch die Entscheidung des EuGH wird für die Adressaten eines Auskunftsersuchens nach Art. 15 Abs. 3 DS-GVO mehr Klarheit über den Umfang der herauszugebenden Daten geschaffen. Allerdings bedeutet dies für sie auch ein deutliches Mehr an Arbeitsaufwand, um der weiten Auslegung des EuGH in Bezug auf Art. 15 DS-GVO gerecht werden zu können. Es ist abzuwarten, wie die Praxis mit diesem Mehraufwand künftig umgehen wird. Es bleibt also auch weiterhin spannend um das Auskunftsrecht des Art. 15 DS-GVO.