Umfang des Auskunftsanspruch nach Art. 15 DSGVO

Der EuGH (C-307/22) hat klargestellt, dass Art. 15 Abs. 3 Satz 1 DSGVO dahin auszulegen ist, dass im Rahmen eines Arzt-Patienten-Verhältnisses das Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, umfasst, dass der betroffenen Person eine originalgetreue und verständliche Wiedergabe aller dieser Daten zur Verfügung gestellt wird.

Dazu: Art. 15 Abs. 1 DSGVO räumt der betroffenen Person gegenüber dem Verantwortlichen (Art. 4 Nr. 7 DSGVO) ein Auskunftsrecht über die Verarbeitung personenbezogener Daten ein. Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen über eine bestimmte oder bestimmbare natürliche Person („betroffene Person“). Nach der Rechtsprechung des Gerichtshofs der Europäischen Union ist dieser Begriff weit zu verstehen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, sofern sie sich auf die betroffene Person beziehen. Letzteres ist der Fall, wenn die Information nach Inhalt, Zweck oder Wirkung einen Bezug zu einer bestimmten Person aufweist (BGH, VI ZR 62/23).

Dieses Recht schließt das Recht ein, eine vollständige Kopie der in der Patientenakte enthaltenen Dokumente zu erhalten, die unter anderem diese Daten enthalten, wenn die Bereitstellung einer solchen Kopie erforderlich ist, um die betroffene Person in die Lage zu versetzen, die Richtigkeit und Vollständigkeit der Daten zu überprüfen, und um sicherzustellen, dass die Daten verständlich sind. Der EuGH fasst die wesentlichen Erwägungen hierzu aus seiner eigenen Rechtsprechung wie folgt zusammen:

Zunächst hat der Gerichtshof entschieden, dass Art. 15 Abs. 3 Satz 1 DSGVO seinem Wortlaut nach der betroffenen Person das Recht verleiht, eine wahrheitsgetreue Wiedergabe ihrer personenbezogenen Daten zu erhalten, denen eine erhebliche Bedeutung beizumessen ist und die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für die Verarbeitung Verantwortlichen einzustufen sind (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 28).
Artikel 15 DSGVO kann daher nicht dahin ausgelegt werden, dass er in Absatz 3 Satz 1 ein anderes Recht als in Absatz 1 gewährt. Im Übrigen bezieht sich der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die darin enthaltenen personenbezogenen Daten, die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 32).
Was schließlich die mit Artikel 15 DSGVO verfolgten Ziele anbelangt, so sollen mit der DSGVO die Rechte der betroffenen Personen gestärkt und präzisiert werden. So soll die betroffene Person durch die Ausübung des in dieser Bestimmung vorgesehenen Auskunftsrechts in die Lage versetzt werden, nicht nur die Richtigkeit der sie betreffenden Daten, sondern auch deren rechtmäßige Verarbeitung zu überprüfen. Außerdem muss die Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind und die der Verantwortliche nach Art. 15 Abs. 3 Satz 1 DSGVO zur Verfügung stellen muss, alle Merkmale aufweisen, die es der betroffenen Person ermöglichen, ihre Rechte aus dieser Verordnung wirksam auszuüben, und somit diese Daten vollständig und wahrheitsgetreu wiedergeben (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 33, 34 und 39).
Um insbesondere zu gewährleisten, dass die vom für die Verarbeitung Verantwortlichen erteilten Informationen leicht verständlich sind, wie es Art. 12 Abs. 1 im Lichte des 58. Erwägungsgrundes der DSGVO verlangt, kann nämlich die Wiedergabe von Auszügen aus Dokumenten oder sogar von ganzen Dokumenten, die u. a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, unzulässig sein. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihr Verständnis zu gewährleisten (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 41).
Folglich bedeutet das Recht, von dem für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten zu erhalten, die Gegenstand der Verarbeitung sind, dass der betroffenen Person eine originalgetreue und verständliche Wiedergabe aller dieser Daten zur Verfügung gestellt wird. Dieses Recht schließt das Recht ein, eine Kopie von Auszügen aus Dokumenten oder sogar ganze Dokumente zu erhalten, die u. a. diese Daten enthalten, wenn die Bereitstellung einer solchen Kopie unerlässlich ist, damit die betroffene Person die ihr durch diese Verordnung verliehenen Rechte wirksam ausüben kann (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 45).

In Bezug auf die Gesundheitsdaten der betroffenen Person umfasst dieses Recht in jedem Fall das Recht, eine Kopie der Daten zu erhalten, die in der Patientenakte enthalten sind und Informationen wie Diagnosen, Untersuchungsergebnisse, Feststellungen der behandelnden Ärzte und Angaben zu den an der betroffenen Person vorgenommenen Behandlungen oder Eingriffen enthalten.