Was umfasst das Recht auf eine Kopie im Rahmen des DS-GVO-Anspruchs auf Auskunft über verarbeitete personenbezogene Daten? Der Europäische Gerichtshof hat entschieden, dass es auch das Recht auf eine Kopie von solche Daten enthaltenden Dokumentenauszügen oder auch ganzen Dokumenten impliziere, wenn dies unerlässlich sei, um der betroffenen Person die wirksame Ausübung der ihr durch die DS-GVO verliehenen Rechte zu ermöglichen.
Der Europäische Gerichtshof (EuGH) hat den Inhalt und Umfang des Rechts auf Auskunft nach Art. 15 Datenschutzgrundverordnung (DS-GVO) (entspricht § 17 Abs. 3 KDG) konkretisiert: Der Begriff der „Kopie“ in Art. 15 Abs. 3 DS-GVO erfasse originalgetreue und verständliche Reproduktionen aller personenbezogener Daten eines Betroffenen. Davon sei auch das Recht umfasst, eine Kopie von Auszügen aus Dokumenten, von ganzen Dokumenten oder auch von Auszügen aus Datenbanken zu erlangen, wenn dies unerlässlich sei, um Betroffenen die wirksame Ausübung ihrer Rechte aus der DS-GVO zu ermöglichen (Urteil vom 04.05.2023, Rs. C-487/21).
Hintergrund der Entscheidung war folgender Sachverhalt.
Ein Österreicher verlangte von einer Auskunftei eine Auskunft über die dort über ihn verarbeiteten personenbezogenen Daten. Er bat zudem um eine Kopie von E-Mails und Auszügen aus Datenbanken zu seiner Person „in einem üblichen technischen Format“. Er erhielt jedoch lediglich eine Liste seiner Daten in „aggregierter“ Form, in welcher der Kontext der Datenverarbeitung fehlte.
Er beschwerte sich daraufhin bei der österreichischen Datenschutzbehörde, da er eine Kopie sämtlicher Dokumente wünschte. Da diese sein Begehren ablehnte, reichte er Klage ein. Das Verfahren führte bis zum Bundesverwaltungsgericht Österreichs. Dieses stellte dem EuGH folgende entscheidungsrelevante Fragen:
Ist das Recht auf Auskunft erfüllt, wenn die personenbezogenen Daten nur als Tabelle in aggregierter Form übermittelt werden? Oder umfasst das Recht auf Auskunft auch die Übermittlung von Auszügen aus Dokumenten bzw. ganzen Dokumenten sowie von Auszügen aus Datenbanken?
Der EuGH stellte zunächst auf den Wortlaut von Art. 15 Abs. 3 S. 1 DS-GVO ab, in dem steht: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“ Daraus schlussfolgerte der EuGH, mit „Kopie“ sei „eine originalgetreue und verständliche Reproduktion“ aller die Person betreffenden Daten gemeint. Betroffene Personen hätten daher ein Recht, Kopien von Auszügen aus Dokumenten bzw. ganze Dokumente oder von Auszügen aus Datenbanken zu erlangen – unter der Voraussetzung, dass eine solche Kopie unerlässlich sei, um der betroffenen Person die wirksame Ausübung ihrer Rechte aus der DS-GVO zu ermöglichen. Dabei seien aber auch die Rechte und Freiheiten anderer zu berücksichtigen.
Der EuGH führte aus, im Fall eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft zum einen und den Rechten oder Freiheiten anderer Personen zum anderen seien die fraglichen Rechte und Freiheiten gegeneinander abzuwägen. Auch seien bei der Übermittlung der personenbezogenen Daten Modalitäten zu wählen, welche die Rechte oder Freiheiten anderer Personen nicht verletzten. Die Abwägung dürfe aber nicht dazu führen, betroffenen Person jegliche Auskunft zu verweigern.
Nach Ansicht des Gerichts genügt eine allgemeine Beschreibung der verarbeiteten Daten oder ein Verweis auf Kategorien personenbezogener Daten nicht. Betroffenen müsse es aufgrund der Auskunft möglich sein, zu überprüfen, ob sie betreffende personenbezogene Daten richtig sind und zudem auch in zulässiger Weise verarbeitet werden. Darüber hinaus müssten alle Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache übermittelt werden. Auf Verlangen müsse diese Übermittlung schriftlich oder in anderer Form, gegebenenfalls auch elektronisch, erfolgen. Die Kopie dieser Daten müssen daher vollständig und originalgetreu wiedergeben.
Der EuGH stellt auch klar, dass Art. 15 Abs. 3 DS-GVO lediglich die Konkretisierung des bestehenden Anspruchs aus Art. 15 Abs. 1 DS-GVO sei, nicht hingegen ein eigenständiges Recht.
Schließlich erläutert der EuGH noch, dass der Begriff "Informationen" in Art. 15 Abs. 3 Satz 3 DS-GVO nur die personenbezogenen Daten erfasse, von denen der für die Verarbeitung Verantwortliche gemäß Art. 15 Abs. 3 Satz 1 DS-GVO eine Kopie zur Verfügung stellen müsse.
Fazit
Der EuGH hat damit klar zum Ausdruck gebracht, dass betroffene Personen ein Recht auf Kopien haben -dies jedoch nur unter der Voraussetzung, dass diese Kopien unerlässlich seien, um der betroffenen Person die wirksame Ausübung ihrer Rechte aus der DS-GVO zu ermöglichen.