EuGH zur Frage, was eine „Kopie“ ist

In der Entscheidung des Europäischen Gerichtshofs zu C-487/21 hat sich dieser mit der Frage auseinandergesetzt, wie weit der Begriff der „Kopie“ im Sinne des Auskunftsrechts nach Art 15 Abs 3 DSGVO reicht.

Die österreichische Kreditauskunftei CRIF verarbeitete die persönlichen Daten des Klägers des Ausgangsverfahrens für Zwecke der Bonitätsbeurteilung. Der Betroffene verlangte von der Auskunftei die Zurverfügungstellung einer Kopie von Dokumenten wie E-Mails und Auszüge aus Datenbanken „in einem üblichen technischen Format“. Daraufhin übermittelte CRIF eine Liste seiner personenbezogenen Daten, die Gegenstand der Verarbeitung waren, allerdings nur in aggregierter Form. Zunächst wandte sich der Betroffene an die österreichische Datenschutzbehörde, die seine Beschwerde mit der Begründung abwies, die Kreditauskunftei habe das Auskunftsrecht des Klägers nicht verletzt. Das Bundesverwaltungsgericht, das mit der Beschwerde des Betroffenen gegen den Bescheid der Datenschutzbehörde befasst wurde, legte dem EuGH schließlich mehrere Fragen nach dem Umfang des in Art 15 Abs 3 Satz 1 DSGVO verankerten Rechts auf eine Datenkopie zur Vorabentscheidung vor. Außerdem bat das vorlegende Gericht um Auslegung des Begriffs „Informationen“ in Art 15 Abs 3 Satz 3 DSGVO.

 Der EuGH stellte fest, dass Art 15 Abs 3 Satz 1 DSGVO keine Definition des Begriffs „Kopie“ enthält, dass aber der gewöhnliche Sinn dieses Begriffs zu berücksichtigen ist. Dieser bezeichnet laut EuGH die „originalgetreue Reproduktion oder Abschrift“. Eine allgemeine Beschreibung der Daten oder ein Verweis auf deren Kategorien genüge nicht. Außerdem erläuterte der EuGH, dass dem Betroffenen alle personenbezogenen Daten in einer „präzisen, transparenten, verständlichen und leicht zugänglichen Form“ übermittelt werden müssen, damit dieser die Möglichkeit hat, die Informationen in vollem Umfang zu verstehen. Der Betroffene hat das Recht, eine originalgetreue und verständliche Reproduktion aller seiner personenbezogenen Daten, die Gegenstand der Verarbeitung sind, vom Verantwortlichen zu erhalten. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. diese Daten enthalten, zu erlangen, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten. Besonders wichtig ist dies bei Daten, die aus anderen Daten generiert werden – wie im vorliegenden Fall, in dem auf Basis der Daten des Betroffenen ein Bonitätsscore berechnet wurde.

Kurz gefasst hat der EuGH hier eine geradezu klassische Juristenantwort gegeben: „Es kommt darauf an.“ Dennoch können wichtige Schlussfolgerungen für die Praxis gezogen werden: Für die Verantwortlichen ergibt sich aus der vorliegenden Entscheidung keine Verpflichtung, immer eine vollständige Kopie der Dokumente oder Datenbankauszüge bereitzustellen – es reicht im Normalfall, die darin enthaltenen Daten zu beauskunften. In bestimmten Fällen kann es aber doch erforderlich sein, ganze Dokumente oder Datenbankauszüge vorzulegen, wenn dies für die Verständlichkeit dieser Daten für den Betroffenen im Kontext als notwendig erscheint. Die Rechte Dritter müssen dabei gewahrt bleiben, d.h. deren Daten müssten dann aus den Dokumenten geschwärzt oder aus den Datenbankauszügen gelöscht werden.