Was ist eine „Kopie“ im Sinne des Art. 15 Abs. 3 DSGVO?

Was versteht man unter dem Begriff der „Kopie“ nach Art. 15 Abs. 3 DSGVO und wie konkret ist der Begriff im Rahmen von Auskunftsersuchen auszulegen? Genau mit dieser Thematik hat sich der EuGH in einer kürzlich ergangenen Entscheidung in der Rechtssache C-487/21 auseinandergesetzt.

Worum ging es?

Dem EuGH wurden im Rahmen eines Vorabentscheidungsersuchens durch das österreichische Bundesverwaltungsgericht unterschiedliche Fragen zur Reichweite und zum Umfang des Art. 15 Abs. 3 DSGVO vorgelegt, vor allem aber zu dem konkreten Begriff der Kopie.

Hintergrund dieser Vorlage war eine Rechtsstreitigkeit zwischen der Kreditauskunftei CRIF GmbH (wir berichteten hierzu bereits in einem anderen Verfahren) und einem von der Dienstleistung der CRIF betroffenen Dritten. Dieser machte von seinem Recht aus Art. 15 DSGVO gegenüber der CRIF Gebrauch und forderte Auskunft über die ihn betreffenden personenbezogenen Daten. Zudem verlangte er nach Art. 15. Abs. 3 DSGVO die Zurverfügungstellung einer Kopie der Dokumente, welche seine Daten enthielten.

Die CRIF kam diesem Auskunftsersuchen inklusive des Antrags auf Kopie nach, indem dem Auskunftssuchenden eine Liste in aggregierter Form mit den ihn betreffenden personenbezogenen Daten, die Gegenstand der Verarbeitung waren, übersandt wurde.

Da der Auskunftssuchende die in aggregierter Form zur Verfügung gestellte Kopie als nicht ausreichend ansah, wendete er sich an die zuständige Aufsichtsbehörde und legte Beschwerde ein. Die Aufsichtsbehörde teilte die Auffassung des Auskunftsersuchenden nicht, weshalb ein ablehnender Bescheid erging. Daraufhin klagte der Auskunftssuchende gegen diesen Bescheid (vertreten durch noyb) und das damit befasste Bundesverwaltungsgericht legte dem EuGH nun die folgenden vier Fragen vor (Rn 17 Nr. 1 bis Nr. 4):

1. „Ist der Begriff der „Kopie“ in Art. 15 Abs. 3 DSGVO dahin gehend auszulegen, dass damit eine Fotokopie bzw. ein Faksimile oder eine elektronische Kopie eines (elektronischen) Datums gemeint ist, oder fällt dem Begriffsverständnis deutscher, französischer und englischer Wörterbücher folgend unter den Begriff auch eine „Abschrift“, ein „double“ („duplicata“) oder ein „transcript“?“

2. „Ist Art. 15 Abs. 3 Satz 1 DSGVO, wonach „der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt, dahin gehend auszulegen, dass darin ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie – auch – gesamter Dokumente enthalten ist, in denen personenbezogene Daten der betroffenen Person verarbeitet werden, bzw. auf Ausfolgung einer Kopie eines Datenbankauszuges bei Verarbeitung der personenbezogenen Daten in einer solchen, oder besteht damit – nur – ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten?“

3. „Für den Fall, dass die Frage 2. dahin gehend beantwortet wird, dass nur ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten besteht, ist Art. 15 Abs. 3 Satz 1 DSGVO dahin gehend auszulegen, dass es bedingt durch die Art der verarbeiteten Daten (zum Beispiel in Bezug auf die im 63. Erwägungsgrund angeführten Diagnosen, Untersuchungsergebnisse, Befunde oder auch Unterlagen im Zusammenhang mit einer Prüfung im Sinne des Urteils des Gerichtshofs der Europäischen Union vom 20. Dezember 2017, Nowak, C‑434/16, EU:C:2017:994) und das Transparenzgebot in Art. 12 Abs. 1 DSGVO im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen?“

4. „Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit allein die in Art. 15 Abs. 3 Satz 1 DSGVO genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ gemeint sind?“

a) „Falls die Frage 4 verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art. 15 Abs. 1 Buchst. a) bis h) DSGVO gemeint sind?“

b) „Falls auch die Frage 4 a) verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 Buchst. a) bis h) DSGVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?“

Auslegung des EuGHs

Der EuGH fasste in seiner Beantwortung die Vorlagefragen Nr. 1 bis 3 zusammen und machte folgende Feststellungen:

Zum einen wurde nochmalig klar herausgearbeitet, dass der Begriff „Informationen“, welcher selbst Teil der Definition von „personenbezogenen Daten“ ist, eine weite Auslegung mit sich bringt. Der EuGH machte deutlich, dass damit alle Arten von Informationen sowohl objektiver als auch subjektiver Natur gemeint sind, u. a. auch Stellungnahmen oder Beurteilungen, sofern diese Informationen sich auf die in Rede stehende Person beziehen. Demnach werden unter dem Begriff „personenbezogene Daten“ nicht nur die „von dem für die Verarbeitung Verantwortlichen erhobenen und auf Vorrat gespeicherten Daten, sondern auch alle Informationen über eine identifizierte oder identifizierbare Person, die aus einer Verarbeitung personenbezogener Daten resultieren, wie bspw. die Beurteilung ihrer Zahlungsfähigkeit oder Zahlungswilligkeit“ (Rn 26) verstanden.

Aus dieser Annahme und der weiten Auslegung von „personenbezogenen Daten“ folgt somit, dass es betroffenen Personen durch Erhalt einer entsprechenden Kopie im Sinne des Art. 15 Abs. 3 S. 1 DSGVO möglich sein muss, eine originalgetreue und genaue Reproduktion ihrer eigenen Datenverarbeitungsvorgänge erkennen und bewerten zu können, um dann möglicherweise weitere Betroffenenrechte auszuüben.

Um die in Art. 12 Abs. 1 in Verbindung mit dem 58. Erwägungsgrund der DSGVO verlangte, leicht verständliche Bereitstellung von Informationen gegenüber Betroffenen gewährleisten zu können, machte der EuGH deutlich, dass es durchaus notwendig sein kann, Auszüge aus Dokumenten oder sogar ganze Dokumente im Rahmen einer „Kopie“ dem Betroffenen zu übersenden.

Des Weiteren machte der EuGH deutlich, dass sich der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen, bezieht. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind.

Der EuGH stellte somit im Ergebnis fest, dass es notwendig sein kann, dass im Rahmen der zur Verfügungstellung einer Kopie nach Art. 15 Abs. 3 S. 1 DSGVO, auch Kopien von Auszügen aus Dokumenten oder ganze Dokumente oder auch Auszüge aus Datenbanken notwendig sein können, sofern diese Daten des Betroffenen enthalten und dem Betroffenen den konkreten Kontext der Datenverarbeitung klarer machen.

Zur Vorlagefrage Nr. 4 und dem darin enthaltenen Begriff „Informationen“ nach Art. 15 Abs. 3 S. 3 DSGVO stellte der EuGH klar, dass dieser Begriff sich ausschließlich auf personenbezogene Daten bezieht, welche auch im Rahmen der zur Verfügung zu stellenden Kopie nach Art. 15 Abs. 3 S. 1 DSGVO dem Betroffenen zur Verfügung gestellt werden müssen.

Weites Verständnis von „Kopie“

Die Feststellungen des EuGHs im gegenständlichen Urteil zeigen, dass es bei der Beantwortung von Auskunftsersuchen, bei welchen Betroffene auch den Erhalt einer Kopie ihrer verarbeiteten Daten verlangen, nun teilweise nicht mehr möglich ist, Auskunftssuchenden „nur“ eine Auflistung ihrer Daten in aggregierte Form zur Verfügung zu stellen, sofern dadurch der Kontext der Datenverarbeitung nicht klar hervorgeht. Vielmehr muss die „Kopie“ den logischen Zusammenhang der konkreten Datenverarbeitungsvorgänge abbilden, um dem Betroffenen die Möglichkeit zu geben, weitere Betroffenenrechte ausüben zu können.

Explizit hob der EuGH hervor, dass hierfür bspw. auch Dokumente, welche Daten der betroffenen Person enthalten, als Kopie zur Verfügung gestellt werden müssen oder sogar ganze Datenbankauszüge.