DSGVO-Auskunft: Was ist eigentlich eine Kopie?

Im Rahmen der Verarbeitung personenbezogener Daten hat der Betroffene gemäß Art. 15 DSGVO ein Auskunftsrecht gegen den Verantwortlichen. Dabei hat er einen Anspruch darauf, zu erfahren, welche Daten in welchem Umfang verarbeitet werden. Um seiner Pflicht nachzukommen, muss der Verantwortliche dem Betroffenen gemäß Art. 15 Abs. 3 DSGVO eine “Kopie der verarbeiteten Daten” zur Verfügung stellen. Jedoch war bisher umstritten, was genau unter einer solchen Kopie zu verstehen ist. In einem aktuellen Urteil stellte der EuGH nun klar, wie der Begriff der “Kopie” in Art. 15 Abs. 3 DSGVO auszulegen ist. 

Hintergrund:

Der Rechtsstreit begann zwischen einer österreichischen Kreditauskunftei und einem ihrer Kunden. Das Unternehmen erteilt auf Verlangen Auskunft über die Kreditfähigkeit Dritter. Zu diesem Zweck verarbeitet es persönliche Daten von Privatpersonen, so auch die des Klägers. Dieser verlangte von dem Unternehmen eine Auskunft gemäß Art. 15 Abs. 1 DSGVO über die von ihm verarbeiteten Daten und die Zurverfügungstellung einer Kopie der entsprechenden Dokumente, unter anderem E-Mails und Auszüge aus Datenbanken, gemäß Art. 15 Abs. 3 DSGVO. Die Kreditauskunftei ließ dem Betroffenen daraufhin eine Liste zukommen, in der die personenbezogenen Daten, welche Gegenstand der Verarbeitung waren, enthalten waren. Der Betroffene hielt die Liste jedoch nicht für ausreichend und legte Beschwerde bei der zuständigen Aufsichtsbehörde ein. Nachdem die Aufsichtsbehörde seine Beschwerde ablehnte, erhob der Betroffene Klage beim österreichischen Bundesverwaltungsgericht. Dieses wandte sich in einem Vorabentscheidungsverfahren an den EuGH, mit der Frage wie der Begriff „Kopie“ in Art. 15 Abs. 3 DSGVO auszulegen ist.

Das Urteil: 

In seinem Urteil (Urteil vom 4.5.2023, Az.: C-487/21) entschied der EuGH zunächst, dass eine “Information über personenbezogene Daten” weit auszulegen ist. Darunter sind also sowohl objektive als auch subjektive Informationen zu verstehen, wie zum Beispiel die Beurteilung über die Zahlungsfähigkeit. Somit sind als personenbezogene Daten nicht nur die tatsächlich gesammelten Daten eines Betroffenen zu verstehen, sondern auch daraus resultierende Daten. Durch die Kopie der Daten muss es dem Betroffenen ermöglicht werden, die originalgetreue und genaue Reproduktion der Datenvorgänge zu erkennen und bewerten. Dafür kann es auch nötig sein, dem Betroffenen Auszüge aus Dokumenten, ganze Dokumente oder Auszüge aus Datenbanken in Form einer Kopie zukommen zu lassen. Dadurch soll die erforderliche Transparenz und leichte Verständlichkeit der Informationen für den Betroffenen gewährleistet werden, damit er seine Rechte aus der DSGVO ordnungsgemäß geltend machen kann.

Foto von Towfiqu barbhuiya auf Unsplash