Der EuGH hat mit Beschluss vom 27.05.2024 – Az. C-312/23 (Beschluss bisher nur in französischer und kroatischer Sprache verfügbar) entschieden, dass der Anspruch auf Erhalt einer Kopie personenbezogener Daten gem. Art. 15 Abs. 3 Satz 1 DSGVO eine originalgetreue und verständliche Wiedergabe aller personenbezogenen Daten umfasst. Das Recht auf eine Kopie sei erforderlich, damit die betroffene Person die Richtigkeit und Vollständigkeit der Daten sowie deren Verständlichkeit überprüfen könne.

Für die Praxis ist außerdem wichtig, dass der EuGH bestätigt hat, dass die Rechte aus Art. 15 DSGVO auch geltend gemacht werden können, wenn der Betroffene datenschutzfremde Zwecke verfolgt. Daraus folgt, dass ein Auskunftsanspruch oder ein Anspruch auf Erhalt einer Kopie z.B. auch gestellt werden kann, um in einer streitigen Auseinandersetzung zwischen Betroffenem und Verantwortlichen an Beweismittel zu gelangen oder um schlicht (Verhandlungs-) Druck aufzubauen.

I. Sachverhalt

Ausgangspunkt dieses Falles war eine Reihe von Anträgen mehrerer Kunden der Addiko Bank, die von der Bank Kopien von Dokumenten verlangten, die ihre persönlichen Daten enthielten. Diese Anfragen betrafen unter anderem Darlehensverträge, Tilgungspläne und Kontoauszüge. Einige dieser Anfragen wurden ausdrücklich damit begründet, dass die Kunden eine Beschwerde oder ein Gerichtsverfahren gegen die Addiko Bank einleiten wollten. Die Addiko Bank lehnte diese Anträge mit der Begründung ab, dass sich die angeforderten Dokumente auf beendete Kreditverhältnisse bezögen und daher nicht herausgegeben werden müssten.

Die betroffenen Kunden legten bei der zuständigen Datenschutzaufsichtsbehörde Beschwerde ein, die zu dem Schluss kam, dass die Weigerung der Addiko Bank gegen Art. 15 Abs. 3 DSGVO verstößt. Da die Bank den Anordnungen der Datenschutzaufsichtsbehörde nicht nachkam, wurde ein Bußgeld verhängt. Die Addiko Bank focht diese Entscheidung vor dem Verwaltungsgericht Zagreb an, das dem EuGH zwei zentrale Fragen zur Vorabentscheidung vorlegte:

1. Kann der Verantwortliche die Herausgabe der Kopie verweigern, wenn der Antrag nicht zur Überprüfung der Rechtmäßigkeit der Datenverarbeitung, sondern beispielsweise zur Vorbereitung eines Gerichtsverfahrens gestellt wird?
2. Ist der Verantwortliche nach Art. 15 Abs. 3 DSGVO verpflichtet, der betroffenen Person eine vollständige Kopie der Dokumente, die ihre personenbezogenen Daten enthalten, zur Verfügung zu stellen, oder genügt es, ihr die Daten selbst zur Verfügung zu stellen?

II. Entscheidung

Der EuGH hat entschieden, dass sich der Begriff „Kopie“ im Sinne von Art. 15 Abs. 3 DSGVO nicht auf ein Dokument als solches bezieht, sondern auf die darin enthaltenen personenbezogenen Daten, die vollständig sein müssen. Die Kopie müsse daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind, soweit dies erforderlich ist, um die Richtigkeit und Verständlichkeit der Daten zu gewährleisten. Dabei komme es auf den Kontext der verarbeiteten Daten an.

Mit Art. 15 DSGVO sollen die Rechte der betroffenen Personen gestärkt und präzisiert werden. So soll das in diesem Artikel vorgesehene Auskunftsrecht die betroffene Person in die Lage versetzen, sich zu vergewissern, dass die sie betreffenden personenbezogenen Daten sachlich richtig sind und rechtmäßig verarbeitet werden. Darüber hinaus muss die Kopie der personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, die der Verantwortliche gemäß Art. 15 Abs. 3 Satz 1 DSGVO zur Verfügung zu stellen hat, alle Merkmale enthalten, die es der betroffenen Person ermöglichen, ihre Rechte nach dieser Verordnung wirksam auszuüben.

Darüber hinaus hat der EuGH nochmals klargestellt, dass die Bereitstellung einer Kopie personenbezogener Daten nicht davon abhängig gemacht werden darf, dass die betroffene Person einen bestimmten Zweck verfolgt. Der Wortlaut von Art. 15 Abs. 1 und 3 DSGVO mache die Bereitstellung einer Kopie personenbezogener Daten nicht davon abhängig, dass die betroffene Person einen Grund geltend macht, der ihren Antrag auf Zugang zu diesen Daten rechtfertigt. Diese Bestimmung gebe dem Verantwortlichen daher nicht die Möglichkeit, von der betroffenen Person zu verlangen, ihm die Gründe für ihren Antrag mitzuteilen. Art. 15 DSGVO gewährt der betroffenen Person ein umfassendes Auskunftsrecht, das unabhängig von den Gründen für den Antrag besteht. Die in Erwägungsgrund 63 S. 1 DSGVO genannten Zwecke sind nach Auffassung des EuGH nicht abschließend. Die Erwägungsgründe seien auch nicht in der Lage, vom eindeutigen Wortlaut des verfügenden Teils abzuweichen. Dies bedeutet, dass auch Auskunftsersuchen, die der Vorbereitung eines Gerichtsverfahrens dienen, nicht abgelehnt werden dürfen (sog. datenschutzfremde Zwecke).

III. Konsequenzen

Die Entscheidung liegt auf der Linie des Urteils des EuGH in der Rs. C-307/22 (FT gegen DW), auf das sich auch die vorliegende Entscheidung maßgeblich bezieht. In der Rs. C-307/22 hatte der EuGH bereits entschieden, dass Art. 12 Abs. 5 und Art. 15 Abs. 1, 3 DSGVO dahin auszulegen sind, dass die Verpflichtung des Verantwortlichen, der betroffenen Person eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung sind, unentgeltlich zur Verfügung zu stellen, auch dann gilt, wenn der entsprechende Antrag mit einem anderen als den in Erwägungsgrund 63 S. 1 DSGVO genannten Zwecken begründet wird. Auch der BGH hat mit Urteil vom 05.03.2024 – Az. VI ZR 330/21 unter Bezugnahme auf diese Rechtsprechung des EuGH nochmals klargestellt, dass die Verpflichtung des Verantwortlichen, der betroffenen Person eine Kopie ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen, auch dann gilt, wenn datenschutzfremde Zwecke verfolgt werden. So liegt beispielsweise kein Missbrauch vor, wenn ein Betroffener das Auskunftsrecht (auch) für datenschutzfremde Zwecke nutzt, etwa um Informationen für Vergleichsverhandlungen zu erhalten oder um bei ihm nicht mehr vorhandene Vertragsinformationen (z.B. Kontoauskünfte, Versicherungsbedingungen) zu erhalten, da eine solche Beschränkung auf einen bestimmten Anlass in Art. 15 DSGVO nicht enthalten ist.

Die Rechtsprechung des EuGH bedeutet jedoch nicht, dass der Verantwortliche nicht in der Lage wäre, missbräuchliche Anträge von Betroffenen abzulehnen (vgl. Art. 12 Abs. 5 S. 2 DSGVO). Nach Art. 12 Abs. 5 S. 3 DSGVO hat der Verantwortliche nachzuweisen, dass der Antrag offensichtlich unbegründet oder exzessiv ist. Es ist anerkannt, dass eine missbräuchliche oder betrügerische Berufung auf das Unionsrecht unzulässig ist. Ein Rechtsmissbrauch in diesem Sinne erfordert allerdings das Vorliegen eines objektiven und eines subjektiven Tatbestandsmerkmals (vgl. LAG Düsseldorf, Urt. v. 28.11.2023 – Az. 3 Sa 285/23). Ein solcher Missbrauchsfall kann z.B. bei einer Schikane oder dem Angebot des Betroffenen, gegen Zahlung eines bestimmten Geldbetrages oder Gewährung eines sonstigen Vorteils auf die Geltendmachung des Auskunftsanspruchs zu verzichten, vorliegen.

Die Entscheidung des EuGH bestätigt die bisherige Rechtsprechung. Sie stellt sicher, dass betroffene Personen umfassenden Zugang zu ihren personenbezogenen Daten erhalten und ihre Rechte nach der DSGVO wirksam ausüben können. Verantwortliche müssen bereit sein, Anfragen nach Kopien personenbezogener Daten in vollem Umfang zu beantworten und können diese grundsätzlich nicht unter Berufung auf den Zweck der Auskunft verweigern.

EuGH, Beschluss vom 27.05.2024 – Az. C-312/23