Recht auf Kopie von Dokumenten durch Art. 15 DSGVO?

Müssen Unternehmen auf Antrag eines Auskunftsanspruchs gem. Art. 15 Abs. 3 DSGVO auch Kopien von Dokumenten übermitteln, die personenbezogene Daten des Betroffenen enthalten? Mit dieser Frage zum DS-GVO-Anspruch auf Auskunft über personenbezogene Daten musste sich kürzlich der Europäische Gerichtshof auseinandersetzen (EuGH, Urteil vom 04.05.2023 – C-487/21). Zu welchem Ergebnis man in Luxemburg gekommen ist und warum, beleuchten wir in diesem Beitrag.

DSGVO: Auskunftsanspruch zu verarbeiteten personenbezogenen Daten

Art. 15 DSGVO enthält für Betroffene „das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden.“ Wenn dem so ist, hat der Betroffene einen Anspruch darauf, Auskunft über die verarbeiteten personenbezogenen Daten zu erhalten. Aber was sind eigentlich personenbezogene Daten?

Bei personenbezogenen Daten handelt es sich um jegliche Informationen, die sich auf eine identifizierte bzw. identifizierbare natürliche Person beziehen. Es ist ausreichend, dass die Möglichkeit besteht, anhand der angegebenen Daten eine natürliche Person zu identifizieren. Zu den personenbezogenen Daten zählen immer Angaben zu Name, Adresse, Telefonnummer, E-Mail-Adresse, Geburtstag, Kontodaten, IP-Adressen oder Cookies.

Auch wichtig zu wissen: Personenbezogene Daten liegen selbst dann vor, wenn die Daten pseudonymisiert werden. Nur wenn völlig ausgeschlossen ist, dass Daten einer bestimmten Person zugeordnet werden können, liegen keine personenbezogenen Daten vor. Dies ist aber selbst bei komplexen Verschlüsselungen meist nicht der Fall.

Datenschutzbehörde verneint Anspruch auf Kopie von Dokumenten

Anlass für das Gerichtsverfahren war der Antrag eines Österreichers auf Auskunft über die ihn betreffenden verarbeiteten personenbezogenen Daten in einer Kreditauskunftei. Im Zuge dessen verlangte er von dem Unternehmen gem. Art. 15 Abs. 3 DSGVO eine Kopie sämtlicher Dokumente, die seine Daten enthielten, z.B. E-Mails oder Auszüge aus Datenbanken.

Anders als erhofft übermittelte die Auskunftei dem Mann lediglich eine Liste seiner personenbezogenen Daten, die innerhalb des Unternehmens gesammelt und verarbeitet wurden. Er legte deshalb bei der Österreichischen Datenschutzbehörde Beschwerde ein – jedoch erfolglos. Eine darauffolgende Klage gab das zuständige österreichische Bundesverwaltungsgericht zur Auslegung des Rechts auf eine Kopie der verarbeiteten personenbezogenen Daten i.S.d. Art. 15 Abs. 3 DSGVO an den Europäischen Gerichtshof weiter.

EuGH: Recht auf Kopie von Dokumenten oder Auszügen möglich

Die Luxemburger Richter erläuterten zunächst, dass das Recht auf eine „Kopie“ der verarbeiteten personenbezogenen Daten gem. Art. 15 Abs. 3 DSGVO dem Betroffenen eine originalgetreue und verständliche Reproduktion seiner verarbeiteten Daten zuspricht. Damit gehe einher, dass auch Auszüge aus Dokumenten bzw. Datenbanken oder auch vollständige Dokumente, in denen personenbezogene Daten verarbeitet wurden, als Kopie übermittelt werden müssen, um die erforderliche Transparenz und leichte Verständlichkeit der Informationen zu gewährleisten, sowie der betroffenen Person auf diese Weise die wirksame Ausübung der ihr durch die DS-GVO verliehenen Rechte zu ermöglichen.

Vor allem bestehe ein solcher Anspruch, wenn personenbezogene Daten aus anderen Daten generiert würden und der Kontext, in welchem die Daten verarbeitet wurden, für eine transparente Auskunft und verständliche Darstellung unerlässlich sei.

Art. 15 Abs. 3 DSGVO kann Anspruch auf Kopie von Dokumenten beinhalten

Betroffene haben dann einen Anspruch auf Übermittlung von Kopien des Dokuments (oder Auszügen dessen), welches personenbezogene Informationen über sie enthält, wenn dies unerlässlich sei, um demjenigen die wirksame Ausübung der ihm durch die Datenschutzgrundverordnung (DSGVO) verliehenen Rechte zu ermöglichen. Jedoch müsste im Falle eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft über die personenbezogenen Daten und den Rechten oder Freiheiten anderer Personen eine Interessenabwägung erfolgen.