Kurzbeitrag : Die Kopie nach Art. 15 Abs. 3 S. 1 DS‑GVO – Gedanken zur EuGH-Entscheidung in der Rs. C-487/21 : aus der RDV 3/2023 Seite 187 bis 190

II. Kernaussagen und Kurzbewertung

Diese Fragen nutzte der Gerichtshof, um an mehreren Stellen des Art. 15 DS-GVO Licht ins Dunkel zu bringen. Dabei formuliert er in klarer Sprache, welche Struktur und grundsätzliche Reichweite Art. 15 DS-GVO zukommt. Die in Teilen doch sehr knappen rechtlichen Begründungen lassen gleichwohl nicht vermuten, dass die Entscheidung einige wesentliche und zugleich heftig umstrittene Grundfragen des Art. 15 DS-GVO beantwortet. Dies macht die rechtlichen Erkenntnisse angreifbar, auch wenn für die Praxis kein Weg an ihnen vorbei führt. Die wesentlichen Aussagen sollen daher nachfolgend nicht nur holzschnittartig zusammengefasst, sondern an den entscheidenden Stellen hinterfragt und unterfüttert werden.

Denn die Überlegungen, über deren Inhalt teilweise nur gemutmaßt werden kann, sind – wer hätte es anders erwartet – im Ergebnis richtig und klug, auch wenn sie in Teilen dem widersprechen, was national zurzeit „herrschende Meinung“ ist:

1. Art. 15 Abs. 3 S. 1 DS-GVO „legt die praktischen Modalitäten für die Erfüllung der dem für die Verarbeitung Verantwortlichen obliegenden Verpflichtung fest, indem er u.a. in S. 1 die Form festlegt, in der dieser Verantwortliche die personenbezogenen Daten, die Gegenstand der Verarbeitung sind‘, zur Verfügung stellen muss“.^[1] Der EuGH ordnet Abs. 3 S. 1 damit als Rechtsfolgenbestimmung der in Abs. 1 statuierten Pflicht zur Auskunft über personenbezogene Daten ein, und nicht als eigenständigen Anspruch.^[2] Das Ergebnis und die Trennung zwischen dogmatischer Konzeption und inhaltlicher Reichweite überzeugt. Schon zu Art. 12 lit. a) DS-RL betonte der EuGH, dass die Kopie „Form“^[3] der Auskunft sei. Diesen sprachlichen Duktus setzt er nunmehr fort.^[4] Generell gilt, dass Auskunft – bzw. „access“, so die englische Sprachfassung – verschiedenartig erteilt werden kann, etwa durch Einsicht oder aber auch durch Kopie.^[5] Das stellt nicht nur Art. 10 Abs. 1 Verordnung (EG) 1049/2001, sondern auch die parallel zur DS-GVO als Teil eines einheitlichen Datenschutzpaketes erlassene JI-RL^[6] in EG 43 klar. Für den in Art. 15 DS-GVO normierten Anspruch schränkt Abs. 3 S. 1 den bunten Strauß an Zugangsoptionen nun ein und verpflichtet zur Auskunftserteilung ausschließlich durch Kopie. Historisch betrachtet beseitigt die DS-GVO mit Einführung des Abs. 3 S. 1 den vormals der DS-RL^[7] innewohnenden mitgliedstaatlichen Umsetzungsspielraum.^[8] Denn Auskunftserteilung durch Kopie ließ schon Art. 12 lit. a) DS-RL zu – etwa die französische Umsetzungsnorm sah die Möglichkeit des Betroffenen vor, auf Antrag eine Kopie der personenbezogenen Daten zu erhalten.^[9]
2. Der Begriff „Kopie“ meint trotz fehlender ausdrücklicher Definition „die originalgetreue Reproduktion oder Abschrift […], sodass eine rein allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind, oder ein Verweis auf Kategorien personenbezogener Daten nicht“^[10] ausreiche. Im Übrigen beziehe sich der Begriff der Kopie „nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen.“^[11] Auch diese Wertungen verdienen aus Sicht des Verfassers Zuspruch: Die in Teilen propagierte Einschränkung des Auskunftsrechts auf aggregierte Übersichten, also abstrakte Zusammenfassungen ohne konkrete Nennung der personenbezogenen Daten,^[12] genügt nicht den Zwecken des Auskunftsrechts. Der Betroffene benötigt ihre konkrete Wiedergabe, um Kenntnis von den Verarbeitungen erlangen, ihre Richtigkeit überprüfen und in der Folge weitere Betroffenenrechte geltend machen zu können.^[13] Umgekehrt übererfüllt das Zurverfügungstellen weiterer, über die personenbezogenen Daten hinausgehender Inhalte wie ganze Dokumente, dessen Zweck. Der eindeutige Wortlaut des Abs. 3 S. 1 gibt jene extensive Lesart auch nicht her. Eine für die Kopie notwendige originalgetreue Wiedergabe ist im Übrigen schon durch „copy and paste“ möglich – also durch Ausschneiden des Datums und Einfügen in eine Zusammenstellung, nicht nur durch Ablichtung des dem Datum zugrunde liegenden Dokuments. In systematischer Hinsicht stellt dies abermals Art. 14 i.V.m. EG 43 S. 4, 5 JI-RL klar.^[14] Im Grundsatz erteilt der EuGH dem hierzulande als extensive Auffassung bekannten Ansatz, Abs. 3 S. 1 verpflichte den Verantwortlichen generell zur Kopie der die Daten enthaltenden Dokumente, eine Absage.^[15]
3. Dennoch könne aus dem in Art. 12 Abs. 1 DS-GVO i.V.m. EG 58 festgelegten Erfordernis einer leicht verständlichen Bereitstellung sämtlicher Informationen im Einzelfall die Verpflichtung folgen, eine „Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind,“^[16] zur Verfügung zu stellen. Dies sei notwendig, „wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten.“^[17] Der Befund verdient Zustimmung, auch wenn der gewählte Weg über Art. 12 Abs. 1 durchaus kritikwürdig ist. Denn das Transparenzgebot soll lediglich gewährleisten, dass der Betroffene die an ihn gerichteten Mitteilungen vollumfänglich verstehen kann, modifiziert aber nicht den in Art. 15 Abs. 3 S. 1 lex specialis benannten Anspruchsgegenstand.^[18] Gleichwohl muss in vielen Fällen der Kontext schon deshalb mitkopiert werden, weil er am Personenbezug teilnimmt. Der Datenbegriff der DS-GVO ist nämlich semantischer Art – personenbezogene Daten sind aus dem Bedeutungsgehalt der strukturell niedergelegten Zeichen und ihrer syntaktischen Beziehung zueinander abgeleitete Informationen.^[19] Beeinflusst der Kontext den Inhalt der durch die Daten transportierten Aussage, zählt auch er zum personenbezogenen Datum i.S.d. Art. 4 Nr. 1. So kann etwa die Überschrift einer Tabelle Personenbezug genießen.^[20]Und darüber hinaus: Ist das gesamte Dokument personenbezogen, wie etwa die Personalakte des Beschäftigten,^[21] muss grundsätzlich auch das gesamte Dokument kopiert werden. Bedingt durch die Art des verarbeiteten Datums kann also ein tatsächlicher Gleichlauf zwischen Dokumenten und Daten vorliegen. Die einzelfallbezogene Abgrenzung personen- und nicht-personenbezogener Daten wird für die Praxis damit noch zentraler, zumal der EuGH an anderer Stelle klarstellt, sämtliche personenbezogene Daten seien Kopiegegenstand.^[22]
4. Art. 15 Abs. 3 S. 3 DS-GVO bezieht sich entgegen des eigentlich eindeutigen Wortlautes nach Ansicht des Gerichtshofs nicht auf die in lit. a-h) benannten Informationen, sondern „ausschließlich auf personenbezogene Daten […], von denen der für die Verarbeitung Verantwortliche […] eine Kopie zur Verfügung stellen muss.“^[23] Für die Praxis hat dieser Befund keine Auswirkung. Denn der EuGH stellt an anderer Stelle klar, dass bereits Art. 12 Abs. 3 DS-GVO den allgemeinen Grundsatz enthält, bei elektronischer Antragstellung sämtliche Auskunftsbestandteile auch auf elektronischem Wege zu übermitteln.^[24] Art. 15 Abs. 3 S. 3 kommt demnach lediglich klarstellende und keine eigenständige Bedeutung zu.^[25]

III. Ein Blick voraus

Wie Art.  15 DS-GVO dogmatisch konzipiert ist und was Verantwortliche dem Grunde nach kopieren müssen, hat der EuGH klargestellt. Der Fokus der Debatte über die Reichweite der Auskunft, die nun stets durch Kopie zu erteilen ist, wird sich damit noch weiter in Richtung der Ausnahmetatbestände verschieben. Denn Art.  15 DS-GVO gilt nicht schrankenlos, kopieren muss der Verantwortliche nur vorbehaltlich des Abs. 4. Im Falle eines Konflikts zwischen dem Recht „auf vollständige und umfassende Auskunft über die personenbezogenen Daten zum einen und den Rechten oder Freiheiten anderer Personen zum anderen [, sind] die fraglichen Rechte gegeneinander abzuwägen.“^[26] Überwiegen die Drittinteressen, kann die Auskunft zumindest insoweit verweigert und einzelne Auskunftsbestandteile weggelassen oder geschwärzt werden.^[27] Diesem vom EuGH gesetzten Merkposten sollten Rechtsanwender aber nicht zu viel Bedeutung beimessen. Angesichts der primärrechtlichen Verankerung der Auskunft in Art.  8 Abs.  2 GRC muss jedenfalls die besondere Bedeutung der Datenauskunft in die Abwägung Eingang finden, die analog zu den aus Art. 52 Abs. 1 GRC bekannten Grundsätzen vorzunehmen ist.^[28] Drittinteressen überwiegen angesichts dessen nur im Ausnahme- nicht im Regelfall. Es ist nun an der Literatur und den Gerichten, Abs. 4 einzelfallbezogen zu konkretisieren.^[29]

Dr. Yannick Peisker, Institut für Arbeitsrecht und Recht der Sozialen Sicherheit Rheinische Friedrich-Wilhelms-Universität Bonn

_{[1] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 31}

_{[2] AA. etwa OLG München BeckRS 2021, 29747 Rn. 20; LAG Sachsen BeckRS 2021, 29212 Rn. 68; Kühling/Buchner/Bäcker, 3. Aufl. 2020, Art. 15 DS-GVO Rn. 39; Engeler/Quiel NJW 2019, 2201, 2202 f.}

_{[3] EuGH BeckRS 2014, 81234 Rn. 57.}

_{[4] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 31.}

_{[5] S. Art. 2 Abs. 1 und 10 Abs. 1 Verordnung (EG) 1049/2001.}

_{[6] Richtlinie (EU) 2016/680.}

_{[7] Richtlinie 95/46/EG.}

_{[8] GA Pitruzella BeckRS 2022, 36103 Rn. 69.}

_{[9] Art. 39 Abs. 1 Loi n° 78-17 du 6 janvier 1978; aA Koreng NJW 2021, 2692, 2693.}

_{[10] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 21.}

_{[11] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 32}

_{[12] Etwa LSG Nordrhein-Westfalen BeckRS 2021, 20724 Rn. 31; Sörup/Zikesch, ArbRAktuell 2020, 333, 334.}

_{[13] Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 278 ff.}

_{[14] Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 284 ff}

_{[15] So zutr. SJTK/Schwartmann/Klein, 2. Aufl. 2020, Art. 15 DS-GVO Rn. 38. Übersicht über die Meinungsspektren bei BeckOK DatenschutzR/Schmidt-Wudy, 43. Ed. Stand 01.02.2023, Art. 15 DS-GVO Rn. 85.}

_{[16] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 41.}

_{[17] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 41.}

_{[18] LG Bonn v. 11.03.2022 – 9 O 224/21, juris Rn. 31.}

_{[19] Zech, Information als Schutzgegenstand, 2012, S. 35 ff.; Sydow/Specht, 2. Aufl. 2018, Art. 15 DS-GVO Rn. 18.}

_{[20] Vgl. Gola/Heckmann/Gola, 3. Aufl. 2022, Art. 4 DS-GVO Rn. 18.}

_{[21] Weitere Beispiele bei Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 300.}

_{[22] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 22 f}

_{[23] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 46.}

_{[24] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 52}

_{[25] Kühling/Buchner/Bäcker, 3. Aufl. 2020, Art. 12 DS-GVO Rn. 17}

_{[26] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 44.}

_{[27] EuGH v. 04.05.2023 – C-487/21, EU:C:2023:369 Rn. 44}

_{[28] BGH BeckRS 2022, 5496 Rn. 24.}

_{[29] Fallgruppen bei Peisker, Der datenschutzrechtliche Auskunftsanspruch, 2023, S. 433 ff.}