EuGH: Tragweite des DSGVO-Auskunftsanspruchs auf Übermittlung einer Kopie

Nach Art. 15 DSGVO steht einer betroffenen Person das Recht zu, neben einer Datenauskunft auch eine „Kopie“ ihrer konkret verarbeiteten Klardaten zu erhalten. Ob eine in aggregierter Form übermittelte Liste der personenbezogenen Daten, die Gegenstand der Verarbeitung wurden, den Auskunftsanspruch der betroffenen Person erfüllt, oder ob auch ein Anspruch auf Übermittlung von Dokument- und Datenbankauszügen mit enthaltenen Daten besteht, klärte nun der EuGH. Lesen Sie im Folgenden mehr zur Entscheidung.

I. Der Sachverhalt

Die Kreditauskunftei CRIF liefert auf Verlangen von Kunden Informationen über die Zahlungsfähigkeit Dritter. Zu diesem Zweck verarbeitete sie auch die persönlichen Daten des Klägers des Ausgangsverfahrens, bei dem es sich um eine Privatperson handelte.

Dieser beantragte unter Berufung auf Art. 15 DSGVO Auskunft über die ihn betreffenden personenbezogenen Daten. Des Weiteren erbat er, dass ihm die Dokumente, d.h. E-Mails und Auszüge aus Datenbanken, die u.a. seine Daten enthielten, „in einem technisch üblichen Format“ zur Verfügung gestellt würden.

CRIF reagierte mit der Übermittlung einer aggregierten Liste der personenbezogenen Daten des Klägers, die Gegenstand der Verarbeitung waren.

Der Kläger war jedoch der Ansicht, dass CRIF ihm eine Kopie sämtlicher Dokumente wie E-Mails und Auszüge aus Datenbanken mit enthaltenen Daten zu seiner Person hätte übermitteln müssen. Er brachte deshalb bei der Österreichischen Datenschutzbehörde eine Beschwerde ein, die jedoch abgewiesen wurde. Als Begründung führte die Datenschutzbehörde auf, dass keine Verletzung des Auskunftsrechts über die personenbezogenen Daten durch CRIF vorliege.

Mit der Klage des Klägers des Ausgangsverfahrens gegen den ablehnenden Bescheid beschäftigte sich das Bundesverwaltungsgericht Österreich. In diesem Zusammenhang tat sich diesem die Frage nach der Tragweite der in Art. 15 Abs. 3 S. 1 DSGVO verankerten Verpflichtung auf, der betroffenen Person eine „Kopie“ ihrer personenbezogenen Daten zur Verfügung zu stellen, die Gegenstand der Verarbeitung sind.

Insbesondere stellte sich das österreichische Bundesverwaltungsgericht die Frage, ob diese Verpflichtung durch Übermittlung der personenbezogenen Daten als Tabelle in aggregierter Form durch den für die Verarbeitung Verantwortlichen bereits erfüllt sei. Ferner war unklar, wie der Begriff „Informationen“ in Art. 15 Abs. 3 S. 3 DSGVO und dessen Umfang auszulegen seien.

Im Wege eines Vorabentscheidungsersuchens rief das Gericht den EuGH an, um diese grundsätzlichen Fragen rechtsverbindlich zu beantworten.

II. Die Entscheidung

Der EuGH legte mit Urteil vom Urteil vom 04.05.2023 (Az. C-487/21) den Inhalt und den Umfang des Auskunftsrechts der betroffenen Person über ihre personenbezogenen Daten, die Gegenstand der Verarbeitung sind, dar.

Dabei vertrat er die Auffassung, dass das Recht, vom für die Verarbeitung Verantwortlichen eine „Kopie“ der verarbeiteten personenbezogenen Daten zu erhalten, nach Art. 15 Abs. 3 S. 3 DSGVO Folgendes bedeute: der betroffenen Person müsse eine originalgetreue und verständliche Reproduktion aller dieser Daten zur Verfügung gestellt werden.

Dieses Recht setze das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder ganzen Dokumenten oder von Auszügen aus Datenbanken, die u.a. diese Daten enthalten, zur Verfügung gestellt zu bekommen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, damit der betroffenen Person die wirksame Ausübung der ihr durch die DSGVO zustehenden Rechte ermöglicht werden kann. Die Rechte und Freiheiten Anderer sind dabei zu berücksichtigen.

Bezüglich des Begriffs „Informationen“ im Sinne des Art. 15 Abs. 3 S. 3 DSGVO stellte der EuGH fest, dass sich dieser ausschließlich auf personenbezogene Daten beziehe, von denen der für die Verarbeitung Verantwortliche gemäß Art. 15 Abs. 3 S. 1 DSGVO eine Kopie zur Verfügung stellen müsse.

III. Fazit

Das Recht der betroffenen Person auf eine „Kopie“ ihrer verarbeiteten personenbezogenen Daten meint die Zurverfügungstellung einer originalgetreuen und verständlichen Reproduktion all dieser Daten.

Dieses Recht inkludiert das Recht auf Ausstellung einer Kopie von Auszügen aus Dokumenten oder von ganzen Dokumenten oder von Auszügen aus Datenbanken, die diese Daten enthalten, wenn dies unerlässlich ist, um der betroffenen Person die wirksame Ausübung ihrer Rechte aus der DSGVO zu gewährleisten.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.