Urteil des EuGH vom 4.5.2023 in der Rechtssache C‑487/21
Sachverhalt:
Die Beklagte ist eine Kreditauskunftei, die auf Verlangen ihrer Kunden Informationen über die Zahlungsfähigkeit Dritter liefert. Zu diesem Zweck verarbeitete sie die persönlichen Daten des Klägers (einer Privatperson). Der Kläger beantragte bei der Beklagten auf der Grundlage der DSGVO Auskunft über die ihn betreffenden personenbezogenen Daten. Außerdem bat er um Zurverfügungstellung einer Kopie der Dokumente. Daraufhin übermittelte die Beklagte dem Kläger eine Liste seiner personenbezogenen Daten. Da dieser der Ansicht war, dass die Beklagte ihm eine Kopie sämtlicher seine Daten enthaltender Dokumente wie E‑Mails und Auszüge aus Datenbanken hätte übermitteln müssen, brachte er bei der Österreichischen Datenschutzbehörde eine Beschwerde ein. Die Datenschutzbehörde wies die Beschwerde ab.
Das Bundesverwaltungsgericht stellte sich die Frage der Tragweite der in Art. 15 Abs. 3 Satz 1 DSGVO vorgesehenen Verpflichtung, der betroffenen Person eine „Kopie“ ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen und legte dem EuGH das Verfahren zur Vorabentscheidung vor.
Entscheidung:
In seiner Entscheidung vertritt der EuGH die Auffassung, dass das Recht nach Art. 15 Abs. 3 Satz 3 DSGVO, vom Verantwortlichen eine „Kopie“ der verarbeiteten personenbezogenen Daten zu erhalten bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken sind zu übermitteln, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die DSGVO verliehenen Rechte zu ermöglichen.
Zum Wortlaut von Art. 15 Abs. 3 Satz 1 DSGVO stellte der EuGH fest, dass diese Bestimmung zwar keine Definition des Begriffs „Kopie“ enthält, dass aber der gewöhnliche Sinn dieses Begriffs zu berücksichtigen ist, der die originalgetreue Reproduktion oder Abschrift bezeichnet, so dass eine rein allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind, oder ein Verweis auf Kategorien personenbezogener Daten nicht dieser Definition entspräche. Nach der grammatikalischen Auslegung dieser Bestimmung ging der EuGH davon aus, dass diese Bestimmung der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten im weiten Sinne zu erhalten. Im Übrigen bezieht sich der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind.
Zu den mit Art. 15 DSGVO verfolgten Zielen wies der EuGH darauf hin, dass es der betroffenen Person durch die Ausübung des in diesem Artikel vorgesehenen Auskunftsrechts nicht nur ermöglicht werden muss, zu überprüfen, ob sie betreffende personenbezogene Daten richtig sind, sondern auch, ob sie in zulässiger Weise verarbeitet werden. Der Verantwortliche hat geeignete Maßnahmen zu treffen, um der betroffenen Person alle Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, und dass die Übermittlung der Informationen schriftlich oder in anderer Form, gegebenenfalls auch elektronisch zu erfolgen hat, es sei denn, die betroffene Person verlangt, dass diese mündlich erteilt werden. Die vom Verantwortlichen zur Verfügung zu stellende Kopie muss daher alle Merkmale aufweisen, die es der betroffenen Person ermöglichen, ihre Rechte aus der DSGVO wirksam auszuüben, und diese Daten daher vollständig und originalgetreu wiedergeben. Somit kann sich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken als unerlässlich erweisen. Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich.
Im Fall eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft über die personenbezogenen Daten zum einen und den Rechten oder Freiheiten anderer Personen zum anderen sind die fraglichen Rechte und Freiheiten nach Auffassung des EuGHs gegeneinander abzuwägen. Nach Möglichkeit sind geeignete Modalitäten der Übermittlung der personenbezogenen Daten zu wählen, wobei diese Erwägungen nicht dazu führen dürfen, dass der betroffenen Person jegliche Auskunft verweigert wird.
Schlussendlich führte der EuGH aus, dass unter den Begriff „Informationen“ im Sinne des Art. 15 Abs. 3 Satz 3 DSGVO zwangsläufig den personenbezogenen Daten entsprechen, von denen der für die Verarbeitung Verantwortliche gemäß Art. 15 Abs. 3 Satz 1 DSGVO eine Kopie zur Verfügung stellen muss.
Weitere Blog-Beiträge zum Thema Datenschutzrecht:
Datenschutz vs. Bonitätsdatenbank: OGH zum Informationsinteresse künftiger Gläubiger
Zahlungserfahrungsdaten in Bonitätsdatenbanken: OGH zu Fristen/Kriterien für Löschung.
DSGVO-Verbandsklage des VKI gegen Autovermietung erfolgreich