DATENSCHUTZ-GRUNDVERORDNUNG: Das Recht, eine „Kopie“ der personenbezogenen Daten zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Wiedergabe aller dieser Daten ausgehändigt wird – so nun der EUGH (C-487/21).
Dieses Recht beinhaltet mit dem EUGH das Recht, eine Kopie von Auszügen aus Dokumenten oder sogar von ganzen Dokumenten oder von Auszügen aus Datenbanken, die diese Daten enthalten, zu erhalten, wenn dies unerlässlich ist, damit die betroffene Person die ihr durch die DSGVO gewährten Rechte wirksam ausüben kann.
Das Fazit des EUGH
In seinem Urteil präzisiert der Gerichtshof Inhalt und Umfang des Auskunftsrechts der betroffenen Person über ihre personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Dabei vertritt er die Auffassung, dass das Recht, von dem für die Verarbeitung Verantwortlichen eine „Kopie“ der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, nach Art. 15 Abs. 3 Satz 3 DSGVO bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Wiedergabe aller dieser Daten ausgehändigt wird.
Dieses Recht schließt das Recht ein, eine Kopie von Auszügen aus Dokumenten oder sogar von ganzen Dokumenten oder von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erhalten, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die DSGVO verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer Personen zu berücksichtigen sind. Im Übrigen stellt der Gerichtshof klar, dass der in Art. Art. 15 Abs. 3 Satz 3 DSGVO verwendete Begriff „Information“ ausschließlich auf die personenbezogenen Daten bezieht, von denen der für die Verarbeitung Verantwortliche nach Satz 1 dieses Absatzes eine Kopie zur Verfügung stellen muss.
Was war der Sachverhalt
CRIF ist eine Kreditauskunftei, die auf Anfrage ihrer Kunden Informationen über die Zahlungsfähigkeit Dritter erteilt. Zu diesem Zweck verarbeitete sie die personenbezogenen Daten des Klägers des Ausgangsverfahrens, einer natürlichen Person. Dieser beantragte bei CRIF auf der Grundlage der Datenschutz-Grundverordnung Auskunft über die ihn betreffenden personenbezogenen Daten.
Darüber hinaus beantragte er, ihm eine Kopie von Dokumente, nämlich E-Mails und Auszüge aus Datenbanken, die u. a. seine Daten enthalten, „in einem üblichen technischen Format“ zur Verfügung zu stellen.
Daraufhin übermittelte CRIF dem Kläger des Ausgangsverfahrens in aggregierter Form eine Liste seiner personenbezogenen Daten, die Gegenstand der Verarbeitung waren. Da der Kläger des Ausgangsverfahrens Kläger des Ausgangsverfahrens der Ansicht war, dass CRIF ihm eine Kopie aller Dokumente, die seine Daten enthielten, wie E-Mails und Auszüge aus hätte übermitteln müssen, reichte er bei der österreichischen Datenschutzbehörde eine Beschwerde ein. Diese Behörde wies die Beschwerde mit der Begründung zurück, dass CRIF das Recht des Klägers des Ausgangsverfahrens auf Zugang zu seinen personenbezogenen Daten nicht verletzt habe.
Die Frage des vorlegenden Gerichts
Das Bundesverwaltungsgericht (Österreich), bei dem die Klage des Klägers des Ausgangsverfahrens gegen die ablehnende Entscheidung dieser Behörde anhängig ist, wirft im Zuge eines Vorabentscheidungsersuchens die Frage nach der Tragweite der in Art. 15 Abs. 3 Satz 1 DSGVO vorgesehenen Verpflichtung auf, der betroffenen Person eine „Kopie“ der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Insbesondere möchte es wissen, ob diese Verpflichtung erfüllt ist, wenn der für die Verarbeitung Verantwortliche die personenbezogenen Daten in Form einer Tabelle in aggregierter Form übermittelt, oder ob sie auch die Übermittlung von Auszügen aus Dokumenten oder sogar ganzer Dokumente sowie von Auszügen aus Datenbanken, in denen diese Daten enthalten sind, umfasst. Das vorlegende Gericht bittet auch um Klarstellung, was genau der Begriff „Informationen“ in Art. 15 Abs. 3 Satz 3 DSGVO umfasst.
Würdigung durch den Gerichtshof
In einem ersten Schritt nimmt der Gerichtshof eine grammatikalische, systematische und teleologische Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO vor, der das Recht der betroffenen Person vorsieht, eine Kopie der sie betreffenden personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten.
Zum Wortlaut des Art. 15 Abs. 3 Satz 1 DSGVO stellt der Gerichtshof fest, dass diese Vorschrift zwar keine eine Definition des Begriffs „Kopie“ enthält, dass aber die gewöhnliche Bedeutung dieses Begriffs zu berücksichtigen ist, der die originalgetreue Reproduktion oder eine originalgetreue Wiedergabe oder Abschrift bezeichnet, so dass eine rein allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind, oder eine Daten, die Gegenstand der Verarbeitung sind, oder eine Bezugnahme auf Kategorien personenbezogener Definition entsprechen würde.
Darüber hinaus ergibt sich aus dem Wortlaut dieser Bestimmung, dass sich die Mitteilungspflicht sich auf die personenbezogenen Daten bezieht, die Gegenstand der Verarbeitung sind. Nach der Nach der grammatikalischen Auslegung dieser Bestimmung geht der Gerichtshof davon aus, dass diese Bestimmung dem der betroffenen Person das Recht verleiht, eine wahrheitsgetreue Wiedergabe ihrer personenbezogenen Daten zu erhalten in einem weiten Sinne zu erhalten, die Gegenstand von Handlungen sind, die als Verarbeitung durch den für die Verarbeitung Verantwortlichen zu qualifizieren sind.
Zum Kontext, in dem Art. 15 Abs. 3 Satz 1 DSGVO steht, stellt der Gerichtshof fest, dass Art. 15 Abs. 1 DSGVO Gegenstand und Umfang des Auskunftsrechts der betroffenen Person festlegt.
Art. 15 Abs. 3 DSGVO legt die praktischen Modalitäten für die Erfüllung der dem Verantwortlichen obliegenden Verpflichtung fest, indem er u.a. in Satz 1 bestimmt, in welcher Form der Verantwortliche die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen hat, nämlich in Form einer „Kopie“. Art. 15 DSGVO kann daher nicht dahin ausgelegt werden, dass er in Abs. 3 Satz 1 ein anderes Recht als das in Abs. 1 vorgesehene gewährt. Der Gerichtshof führt weiter aus, dass sich der Begriff „Kopie“ nicht auf ein Dokument als solches Dokument als solches bezieht, sondern auf die darin enthaltenen personenbezogenen Daten, die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind.
In Bezug auf die mit Art. 15 DSGVO verfolgten Ziele weist der Gerichtshof darauf hin, dass die betroffene Person durch die Ausübung des in diesem Artikel vorgesehenen Auskunftsrechts nicht nur in die Lage versetzt werden soll, die Richtigkeit der sie betreffenden personenbezogenen Daten zu überprüfen, sondern auch, ob diese Daten rechtmäßig verarbeitet werden.
Darüber hinaus ergibt sich nach Auffassung des Gerichtshofs aus der DSGVO, dass der für die Verarbeitung Verantwortliche geeignete Maßnahmen zu treffen hat, um der betroffenen Person alle Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, und dass diese Informationen schriftlich oder in einer anderen Form, gegebenenfalls auch elektronisch, zu übermitteln sind, es sei denn, die betroffene Person verlangt, dass sie ihr die Informationen mündlich erteilt.
Daraus folgt, dass die Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, die der für die Verarbeitung Verantwortliche zur Verfügung stellt, alle Merkmale aufweisen muss, die es der betroffenen Person ermöglichen, die betroffene Person in die Lage versetzt, ihre Rechte aus der DSGVO wirksam auszuüben, und dass diese Daten daher vollständig und wahrheitsgetreu sein muss.
Um sicherzustellen, dass die auf diese Weise erteilten Informationen leicht verständlich sind, kann es sich daher als unerlässlich erweisen, Auszüge aus Dokumenten oder sogar ganze Dokumente oder Auszüge aus Datenbanken wiederzugeben, die unter anderem personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind.
Insbesondere dann, wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf leeren Feldern beruhen, d. h. auf einer fehlenden Angabe, aus der Informationen über die betroffene Person hervorgehen. die betroffene Person ergibt, ist die Angabe des Kontextes, in dem diese Daten verarbeitet werden, unerlässlich, damit die betroffene Person eine transparente Information und eine verständliche Darstellung dieser Daten erhalten kann.
Im Falle eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Information über die personenbezogenen Daten einerseits und den Rechten oder Freiheiten anderer Personen andererseits die betroffenen Rechte und Freiheiten gegeneinander abgewogen werden. Soweit die Rechte oder Freiheiten anderer Personen nicht beeinträchtigt werden. Freiheiten anderer Personen nicht beeinträchtigen, wobei diese Erwägungen nicht dazu führen dürfen, dass der betroffenen Person der betroffenen Person jegliche Information verweigert wird.
In einem zweiten Schritt wendet sich der Gerichtshof der Frage zu, was unter dem Begriff der „Information“ im Sinne von Art. 15 Abs. 3 Satz 2 EGV zu verstehen ist. Art. 15 Abs. 3 Satz 3 DSGVO fällt. Diese Vorschrift erläutert zwar nicht, was unter dem Begriff „Informationen zu verstehen ist, doch ergibt sich aus ihrem Kontext, dass die von dieser Bestimmung erfassten „Informationen notwendigerweise den personenbezogenen Daten entsprechen, die der Verantwortliche nach Art. 15 Abs. 3 Satz 1 DSGVO eine Kopie zur Verfügung stellen muss. (Quelle: Pressemitteilung des Gerichts)
Unsere Kanzlei ist spezialisiert auf Starke Strafverteidigung, seriöses Wirtschaftsstrafrecht, Arbeitsrecht und IT-Recht / Technologierecht.