Der Europäische Gerichtshof entscheidet über das Recht auf Kopie – Kommen damit neue Herausforderungen auf Ihr Unternehmen zu?

Nach Art. 15 EU-DSGVO können Betroffene Auskunft über die Verarbeitung ihrer personenbezogenen Daten verlangen. Aus Abs. 3 desselben Artikels ergibt sich das Recht auf Kopie. Lange umstritten war, ob es sich bei dem Recht auf Kopie um einen eigenen Anspruch handelt oder dieses Recht Teil des allgemeinen Auskunftsanspruchs ist. Zudem war vor dem Urteil des EuGH unklar, welchen Umfang das Recht auf Kopie tatsächlich hat.

In einer aktuellen Entscheidung (Az. C-487/21) hat sich der Europäische Gerichtshof (EuGH) nun mit dem datenschutzrechtlichen Recht auf Kopie befasst. Voraus ging ein Rechtsstreit vor dem österreichischen Bundesverwaltungsgericht. Eine Privatperson hatte von der Kreditauskunftei CRIF Auskunft über die Verarbeitung ihrer personenbezogenen Daten gefordert und um Bereitstellung der Dokumente gebeten, die ihre Daten enthalten. Nachdem die Auskunftei die Bereitstellung abgelehnt hatte und auch die hierauf bei der österreichischen Aufsichtsbehörde eingelegte Beschwerde erfolglos blieb, reichte der Betroffene Klage ein.

Das Bundesverwaltungsgericht setzte das Verfahren aus und legte dem EuGH mit einem Vorabentscheidungsersuchen mehrere Auslegungsfragen zum Recht auf Kopie vor. Zusammenfassend wollte das Gericht wissen, ob das Recht auf Kopie lediglich eine Zusammenstellung der personenbezogenen Daten in aggregierter Form meint oder auch Duplikate von Dokumenten (z.B. E-Mails) davon umfasst sind.

Der EuGH entschied dazu Folgendes: Das Recht auf Kopie bestimme lediglich die Modalitäten der Auskunftserteilung und habe daher keinen eigenen Anspruchscharakter. Weiter habe der Betroffene nicht nur ein Recht auf Überprüfung, ob die personenbezogenen Daten richtig sind, sondern auch, ob deren Verarbeitung in zulässiger Art und Weise erfolgt. Ansonsten können er die anderen, von der EU-DSGVO gewährten Betroffenenrechte, wie Löschung, Einschränkung der Verarbeitung oder Widerspruch, nicht wirksam ausüben. Darüber hinaus folge aus dem Transparenzgebot, nach dem Betroffenen die in Art. 15 EU-DSGVO enthaltenen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln sind, dass der Betroffene in die Lage versetzt werden müsse, die erteilte Auskunft vollumfänglich zu verstehen.

Aus diesen Gründen beschränke sich der Auskunftsanspruch – so der EuGH - nicht auf die bloße Zurverfügungstellung zusammengeführter Informationen. Vielmehr seien dem Betroffenen auch Reproduktionen von Auszügen aus Dokumenten, ganzer Dokumente oder aus Datenbanken zu übersenden, sofern die damit verbundene Kontextualisierung für die Verständlichkeit der Auskunft unerlässlich ist.

Damit hat der EuGH die lange bestehende Streitfrage, welchen Inhalt das Recht auf Kopie aufweist, zugunsten der Betroffenen aufgelöst, die nun auch mit höchstrichterlichem Segen auf der Übermittlung von E-Mails, Datenbankauszügen und anderer Dokumente, die ihre personenbezogenen Daten beinhalten, bestehen können.

Zwar können sich nach dem EuGH weiterhin etwaige Geheimhaltungsinteressen gegenüber dem Recht auf Kopie einschränkend auswirken. Diese dürfen aber nicht dazu führen, dass dem Betroffenen jegliche Auskunft verweigert wird. Verantwortliche Unternehmen haben daher zu prüfen, wie dem Betroffenen die Auskunft dennoch erteilt werden kann. Daher kann es angezeigt sein, entsprechende Dokumentpassagen vorab unkenntlich zu machen (etwa mittels Schwärzung), was den für die Auskunftserteilung betriebenen Aufwand allerdings nochmals signifikant erhöhen dürfte.

Zukünftig werden sich daher Unternehmen, gegenüber denen das Recht auf Kopie geltend gemacht wird, nicht mehr auf den Standpunkt stellen können, für die Erfüllung des Anspruchs genüge die Übersendung eines Auskunftsformblatts, welches die in Art. 15 Abs. 1 EU-DSGVO genannten Angaben ausweist. Stattdessen sollten sie sich damit befassen, wie solchen Ansprüchen bereits im Vorfeld effizient begegnet werden kann. Dazu empfiehlt es sich entsprechende technische und organisatorische Maßnahmen (z.B. Datenhaltung, Datenschutzmanagementsystem, Privacy by Design, Regelung für private E-Mails, vertraglicher und technischer Schutz von Geschäftsgeheimnissen, etc.) zu ergreifen, die eine möglichst unbürokratische Beantwortung ermöglichen.

Ist das Kind schon in den Brunnen gefallen und der Anspruch bereits erhoben, gilt es die rechtlichen Abwehrmöglichkeiten auszuloten. Denn unter bestimmten Voraussetzungen kann der Verantwortliche die Auskunft insgesamt verweigern, etwa wenn die personenbezogenen Daten nicht mehr aktiv verarbeitet werden und diese nur noch aufgrund laufender Aufbewahrungsfristen gespeichert sind. Ebenso kann es je nach Einzelfall sein, dass der Erhalt von Kopien nicht erforderlich ist, um die Auskunft nachvollziehen zu können.

Abonnieren Sie die neuesten Nachrichten von BDO Legal!

Please fill out the following form to access the download.