Besprechung des Urteils des Europäischen Gerichtshofs vom 04.05.2023 (C-487/21)
Im Jahr 2023 sind einige sehr praxisrelevante Urteile durch den Europäischen Gerichtshof (im folgenden „EuGH“) zu Artikel 15 DSGVO und dem darin normierten Betroffenenrecht auf Auskunft ergangen.
Nach dem Urteil des EuGH vom 12.01.2023 (Az. C-154/21 „Österreichische Post“) zur Frage, wie genau die „Empfänger“ vom Verantwortlichen mitgeteilt werden müssen (meine Besprechung dazu finden Sie hier), ging es in dem Urteil vom 04.05.2023 (Az. C-487/21) schwerpunktmässig um den Begriff der „Kopie“ gemäß Artikel 15 Absatz 3 Satz 1 DSGVO und die Frage, ob ein Anspruch auf „Kopien“ von Auszügen aus oder gar ganzen Dokumenten besteht.
Der Sachverhalt
Der Kläger machte bei einer Kreditauskunftei sein Auskunftsrecht nach Artikel 15 DSGVO geltend und bat um Zurverfügungstellung einer Kopie von E-Mails und Auszügen aus Datenbanken, welche seine personenbezogenen Daten enthielten. Die Kreditauskunftei übermittelte die personenbezogenen Daten in aggregierter Form in einer Liste als Tabelle. Der Kläger beschwerte sich bei der österreichischen Aufsichtsbehörde, da die Auskunft aus seiner Sicht die Kopien von E-Mails und Auszügen aus Datenbanken enthalten müsse. Die österreichische Datenschutzbehörde wies die Beschwerde zurück und vertrat die Ansicht, das Recht des Klägers auf Auskunft über die personenbezogenen Daten sei nicht verletzt. Der Kläger zog daraufhin gegen die österreichische Aufsichtsbehörde vor den EuGH.
Artikel 15 Absatz 1 und Absatz 3 sind ein einheitliches Betroffenenrecht
Der EuGH klärt erfreulicherweise eine Grundsatzfrage: Wie ist das Verhältnis von Artikel 15 Absatz 1 und Artikel 15 Absatz 3 DSGVO?
So wurde in der deutschen Rechtsprechung und Literatur häufig vertreten, dass es sich um zwei getrennte Ansprüche handle. Daraus wurde beispielsweise gefolgert, dass die betroffene Person beide Rechte separat geltend machen müsse. Auch bei der prozessualen Geltendmachung führte dies zu erheblichen Herausforderungen (etwa verlangte das Bundesarbeitsgericht die Geltendmachung in Form der Stufenklage).
Der EuGH stellte zunächst in Randnummer 31 klar, dass Artikel 15 Absatz 1 DSGVO den Gegenstand und den Anwendungsbereich des Auskunftsrechts festlegt und darin das Recht des Betroffenen verankert, von dem für die Verarbeitung Verantwortlichen Auskunft über seine personenbezogenen Daten sowie die Informationen in Artikel 15 Absatz 1 Buchstaben a bis h DSGVO zu verlangen.
Artikel 15 Absatz 3 DSGVO hingegen legt die praktischen Modalitäten für die Erfüllung dieser Verpflichtung aus Absatz 1 fest. Nach dem EuGH ist der Begriff der „Kopie“ dogmatisch als Formerfordernis zu verstehen, welche der Verantwortliche einzuhalten hat:
„Art. 15 Abs. 3 DSGVO legt die praktischen Modalitäten für die Erfüllung der dem für die Verarbeitung Verantwortlichen obliegenden Verpflichtung fest, indem er u. a. in Satz 1 die Form festlegt, in der dieser Verantwortliche die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellen muss“
EuGH, C-487/21, Rn. 31; Hervorhebungen durch den Verfasser
Konsequenterweise folgert der EuGH sodann in Randnummer 32:
„Daher kann Art. 15 DSGVO nicht so ausgelegt werden, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt.“
EuGH, C-487/21, Rn. 32; Hervorhebung durch den Verfasser
Damit dürfte das Verhältnis zwischen Artikel 15 Absatz 1 und Absatz 3 DSGVO nun endgültig geklärt sein. Dies bedeutet freilich auch, dass Betroffene die „Kopien“ nicht extra in Ihrem Auskunftsersuchen geltend machen müssen. Es reicht nach dieser Auslegung des EuGH, den Auskunftsanspruch an sich geltend zu machen. Der Verantwortliche hat die „Kopien“ also „automatisch“ zu liefern – eine wichtige Information für Unternehmen, die diesen Anspruch erfüllen müssen.
Was ist unter einer „Kopie“ zu verstehen?
In der Praxis war es bis dato schwer umstritten, was unter einer „Kopie“ gemäß Artikel 15 Absatz 3 DSGVO genau zu verstehen sei. Gerade wenn es um Schriftverkehr wie E-Mails oder interne Aufzeichnungen ging, kam es zum Streit, denn ähnlich wie in diesem Fall, erhielten betroffene Personen die Kopie häufig nur in „aggregierter Form“.
Der EuGH stellte zum Begriff der „Kopie“ in Randnummer 32 zunächst fest:
„Im Übrigen bezieht sich, […], der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind.“
EuGH, C-487/21, Rn. 32; Hervorhebungen / Auslassung durch den Verfasser
Der EuGH meint damit aber keinesfalls, dass eine reine Aufzählung von personenbezogenen Daten, welche sich in dem Dokument befinden, ausreichend sein muss, wie sich aus der weiteren Lektüre ergibt.
Vielmehr erläutert der EuGH zum einen unter Randnummer 34 und 35 unter Wiederholung der Ausführungen des Urteils vom 12.01.2023 (Az.C-154/21, „Österreichische Post, meine Besprechung finden Sie hier) und damit nun in ständiger Rechtsprechung ausführlich den Sinn und Zweck des Artikel 15 DSGVO. Dieser sei es, es der betroffenen Person zu ermöglichen, ihre Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitungen und Widerspruch geltend machen zu können bzw. im Schadensfalle die Rechte aus Artikel 79 DSGVO und 82 DSGVO („Schadenersatz“) auszuüben.
Sodann nimmt der EuGH Bezug auf den Transparenzgrundsatz, welcher, so der EuGH, in Artikel 12 Absatz 1 DSGVO ausdrücklich verankert ist. Danach sind alle Mitteilungen in Bezug auf Artikel 15 DSGVO präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abzufassen.
Der EuGH macht darauf aufbauend in Randnummer 38 klar, dass der Betroffene die an sie gerichteten Informationen in vollem Umfang verstehen können muss und meint damit – systematisch korrekt – auch die zu beauskunftenden Informationen aus Artikel 15 DSGVO.
Zur leichten Verständlichkeit ist der Kontext unerlässlich
Wie kann man diese Verständlichkeit gewährleisten?
Seinerseits nicht wirklich leicht verständlich äußert sich der EuGH in Randnummer 41 dazu wie folgt:
„Um zu gewährleisten, dass die so bereitgestellten Informationen leicht verständlich sind, wie es Art. 12 Abs. 1 in Verbindung mit dem 58. Erwägungsgrund der DSGVO verlangt, kann sich nämlich, […] ,die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten“
EuGH, C-487/21, Rn. 41; Auslassung / Hervorhebung durch den Verfasser
Um dies weiter zu konkretisieren, nennt der EuGH in Randnummer 42 zwei Regelbeispiele, wann dies der Fall sein kann:
„Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, d. h. einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann.“
EuGH, C-487/21, Rn. 42; Hervorhebung durch den Verfasser
Müssen „Kopien“ von E-Mails oder Dokumenten zur Verfügung gestellt werden?
Der EuGH muss daher auch vor dem Hintergrund der weiten Auslegung der Begriffe „personenbezogene Daten“ und „Verarbeitung“, auf welche der EuGH in diesem Urteil ebenfalls hinweist, im Ergebnis so verstanden werden, dass E-Mails, welche zunächst auf „freien Feldern beruhen“ samt Kontext zu beauskunften sind (zu den Grenzen dieses Rechts sogleich).
Es ist nicht ersichtlich, wie der Betroffene durch eine bloße Auflistung von einzelnen personenbezogenen Daten, welche sich in einer E-Mail enthalten und ohne entsprechenden Kontext in die Lage versetzt werden soll, andere Betroffenenrechte wie z.B. Löschung oder gar Schadenersatz geltend machen zu können. Eine solche Auflistung wäre nicht transparent, da nicht verständlich im Sinne von Artikel 12 Absatz 1 Satz 1 DSGVO.
Grenze: Rechte und Freiheiten anderer Personen
Der EuGH betont aber auch, dass Artikel 15 Absatz 4 zu beachten ist. Danach ist das Recht auf Erhalt einer „Kopie“ nach Artikel 15 Absatz 3 DSGVO dadurch begrenzt, dass die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden dürfen. Der EuGH nennt dabei als Beispiele Geschäftsgeheimnisse, Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software. Im Falle eines Konflikts müsse über die Ausübung des Rechts auf vollständige und umfassende Auskunft auf der einen Seite und die Rechte und Freiheiten anderer Personen auf der anderen Seite abgewogen werden.
Fazit: EuGH stärkt Betroffene – Artikel 15 DSGVO ein scharfes Schwert
Ein weiteres Urteil des EuGH, welches Betroffene hinsichtlich Artikel 15 DSGVO stärkt. Betroffene werden in der Regel Auszüge aus Dokumenten oder auch ganze Dokumente erhalten müssen, soweit personenbezogene Daten enthalten sind und der Kontext zur Verständlichkeit erforderlich ist.
Gerade in arbeitsrechtlichen Streitigkeiten kann die Geltendmachung von Auskunftsersuchen dem Verantwortlichen daher erheblichen Arbeitsaufwand und Schwierigkeiten bei der korrekten Erfüllung bereiten. Zum einen ist an die schiere Masse von Dokumenten und E-Mails zu denken, die sich im Arbeitsverhältnis über einige Jahre hinweg regelmässig aufstauen. Zum anderen müssen die Rechte und Freiheiten anderer Personen im Rahmen der „Kopien“ berücksichtigt werden. Dazu bedarf es nach dem EuGH einer Abwägung der Rechtsgüter, welche selbst Datenschutzexperten vor Herausforderungen stellen wird.
Praxistipp für Betroffene: Das Auskunftsrecht nach Artikel 15 DSGVO umfasst auch „Kopien“. Ein Verweis darauf, dass Sie „Kopien“ von Dokumenten, welche personenbezogene Daten beinhalten, erhalten wollen, dürfte aber praktisch betrachtet weiterhin nützlich sein.
Praxistipp für Verantwortliche: Der datenschutzrechtliche Kernprozess „Sicherstellung von Betroffenenrechten“ ist dahingehend zu überprüfen, ob „Kopien“ standardmässig Teil der Auskunft sind. Zusätzlich ist der Prozess dahingehend zu überprüfen, ob die Rechte und Freiheiten anderer Personen bei der zur Verfügung Stellung von „Kopien“ ausreichend beachtet werden.
