EuGH-Urteil zum Anspruch auf Datenkopie nach Art. 15 Abs. 3 DS-GVO
Eine Entscheidung mit weitreichenden Konsequenzen für die Praxis
Nach Art. 15 Abs. 3 DS-GVO hat der Verantwortliche dem Antragsteller im Rahmen des Auskunftsbegehrens „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen.
Im Zusammenhang mit diesem Anspruch auf Datenkopie waren bislang insbesondere die nachfolgenden beiden praxisrelevanten Fragen umstritten:
- Was ist mit dem Begriff der „Kopie“ i.S.v. Art. 15 Abs. 3 DS-GVO gemeint? Ist eine Fotokopie i.S.d. allgemeinen Sprachgebrauchs gemeint, also eine Ablichtung des Originaldokuments? Oder bedarf es einer spezifischen datenschutzrechtlichen Auslegung, die losgelöst ist vom allgemeinen Sprachgebrauch?
- In welchem Verhältnis steht der Anspruch auf Kopie zum allgemeinen Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO? Praktisch bedeutsam ist v.a. die Frage, ob der Antragsteller die Kopie explizit beantragen muss oder er diese automatisch erhält, wenn er Auskunft verlangt.
In der Rechtssache C-487/21, Urt. v. 04.05.2023 (Österreichische Datenschutzbehörde gegen CRIF GmbH) hatte der Europäische Gerichtshof (EuGH) nunmehr Gelegenheit, Art. 15 Abs. 3 der DS-GVO auszulegen und hat sich in diesem Zusammenhang auch zu den eingangs genannten Streitfragen geäußert.
Der EuGH hat in seiner Entscheidung differenziert zwischen einerseits dem Recht auf Kopie der über den Antragsteller verarbeiteten Daten sowie andererseits einem möglichen Recht auf Kopie der Originaldokumente (bzw. Teilen hiervon), in denen diese Daten enthalten sind. Im Grundsatz bezieht sich dabei der Anspruch nach dem EuGH nur darauf, eine originalgetreue und verständliche Reproduktion der verarbeiteten Daten zu erhalten. Das Recht könne allerdings umschlagen in ein Recht auf Reproduktion ganzer Dokumente bzw. Teilen von Dokumenten, sofern dies unerlässlich sei, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind, so der EuGH.
EuGH-Urteil zum Anspruch auf Datenkopie nach Art. 15 Abs. 3 DS-GVO
Nach den Ausführungen des EuGH dürfen über den Antragsteller verarbeitete personenbezogene Daten demnach im Grundsatz auch in einer Tabelle in aggregierter Form übermittelt werden, um der Auskunftsverpflichtung nachzukommen. Das gilt allerdings nur insoweit, wie die tabellarisch bereitgestellten Informationen aus sich heraus leicht verständlich sind und keine Kontextualisierung der verarbeiteten Daten erforderlich ist, um die Verständlichkeit zu gewährleisten (Rn. 41 der Entscheidung). Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn diese auf freien Feldern beruhen, d.h. einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht, sei der Kontext, in dem die Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann, so der EuGH (Rn. 42 der Entscheidung).
Im Rahmen seiner Entscheidung ist der EuGH auch auf das Verhältnis des Anspruchs auf Datenkopie nach Art. 15 Abs. 3 DS-GVO zum allgemeinen Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO eingegangen. Nach den Ausführungen des Gerichts legt Art. 15 Abs. 3 DS-GVO lediglich die „praktischen Modalitäten“ für die Erfüllung der Auskunftspflicht durch den Verantwortlichen fest (Rn. 31 der Entscheidung). Art. 15 DS-GVO könne nicht so ausgelegt werden, dass dieser in seinem Abs. 3 S. 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewähre, so der EuGH (Rn. 32 der Entscheidung). Daraus, dass der EuGH den Anspruch auf Auskunft und Datenkopie als einheitliches Recht interpretiert, ergibt sich zugleich, dass die Erteilung einer Datenkopie von der betroffenen Person nicht explizit beantragt werden muss. Es reicht daher ein allgemeiner Antrag auf Auskunft, um auch eine Kopie i.S.v. Art. 15 Abs. 3 DS-GVO zu erhalten.
Nähere Informationen zum Urteil des EuGH finden Sie auch in der DataAgenda Podcast Folge 39.
(gdd)