Umfang des Auskunftsrechts betroffener Personen nach der DSGVO
EuGH, Urteil vom 4. Mai 2023 - C‑487/21
In dem zu entscheidenden Rechtsstreit ging es um eine Partei, die von der beklagten Partei die Übermittlung von Dokumentkopien und Auszüge aus deren Datenbanken verlangte, die unter anderem seine personenbezogenen Daten enthalten und Gegenstand von Datenverarbeitungen sind. Die beklagte Partei überließ dem Kläger eine Liste seiner personenbezogenen Daten, die Gegenstand der Verarbeitung waren. Allerdings war der Kläger der Ansicht, dass der Beklagte ihm eine Kopie sämtlicher Dokumente, die seine Daten enthalten, wie beispielsweise E-Mails und Auszüge aus Datenbanken, hätte übermitteln müssen.
Nun stellt sich die Frage, wie weit der datenschutzrechtliche Auskunftsanspruch in Artikel 15 der Datenschutzgrundverordnung (DSGVO) reicht. Danach steht demjenigen, dessen personenbezogene Daten verarbeitet wurden, gegen den Verantwortlichen der Datenverarbeitung zunächst ein Auskunftsrecht in Bezug darauf zu, ob die Daten verarbeitet wurden. Wenn das der Fall ist, hat der Betroffene ein Auskunftsrecht in Bezug auf die in der Rechtsvorschrift genannten Informationen. Darin ist auch die Verpflichtung vorgesehen, eine „Kopie“ der personenbezogenen Daten zur Verfügung zu stellen. Allerdings war in dem zu entscheidenden Rechtsstreit, bevor die Frage dem EuGH vorgelegt wurde, nicht klar, ob diese Verpflichtung des zur Verfügungstellen bereits erfüllt ist, wenn die personenbezogenen Daten als Tabelle in aggregierter Form übermittelt werden oder ob diese Verpflichtung auch die Übermittlung von Auszügen aus Dokumenten oder gar von ganzen Dokumenten sowie von Auszügen aus Datenbanken mitumfasst, in denen diese Daten wiedergegeben werden, wie in dem Urteil des EuGH zusammenfassend zu lesen ist. Konkret ist also die Frage, ob durch den Artikel 15 DSGVO lediglich die Form festgelegt wird, in der dem Auskunftsrecht des Betroffenen Rechnung zu tragen ist oder ob die Bestimmung ein eigenständiges Recht der betroffenen Person auf Zugang zu den Informationen über den Kontext, in dem die Daten dieser Person verarbeitet werden, in der von dem Kläger gewünschten Form begründet. Dafür ist auch entscheidend, wie weitreichend der Begriff der „Information“ und der „Kopie“ zu verstehen ist.
Der EuGH definierte den Begriff der „Kopie“ personenbezogener Daten als Ausfolgung einer originalgetreuen und verständlichen Reproduktion aller dieser Daten. Dies umfasse gerade auch die Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, wenn dies unerlässlich ist, um dem Betroffenen die wirksame Ausübung der ihm durch die DSGVO verliehenen Rechte zu ermöglichen. Denn die Kopie muss alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind. Nur so können nach Ansicht des EuGH die Rechte der betroffenen Person gestärkt und präzise festgelegt werden. Eine allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind oder ein rein allgemeiner Verweis auf Kategorien personenbezogener Daten würde dieser Definition nicht entsprechen. Die Kopie muss sodann jene Informationen umfassen, die personenbezogene Daten betreffen, von denen der für die Verarbeitung Verantwortliche eine Kopie zur Verfügung stellen muss. Also die Daten des Betroffenen, die ihn aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpfen.
Durch die ordentliche Wahrnehmungsmöglichkeit des Auskunftsrechts aus Artikel 15 DSGVO können dann Folgerechte, wie das Recht auf Löschung oder Einschränkung der Verarbeitung wahrgenommen werden, da der Umfang der Verarbeitung bekannt ist und anhand dessen entschieden werden kann, welche weiteren Rechte geltend gemacht werden sollen.
