Recht auf Kopie der Daten – vor dem EuGH – was sind die Argumente, die zum Verfahren geführt haben?

Das Bundesverwaltungsgericht hat am 9.8.2021 die Frage des „Recht auf Kopie der Daten“ iSd Art 15 Abs 3 DSGVO dem EuGH vorgelegt. Die DSB hatte im Bescheid dem Beschwerdeführer das Recht auf Kopie der Unterlagen abgelehnt

Die DSB zum Recht auf Kopie:
„Zum Recht auf Erhalt einer Kopie ist auszuführen, dass der Beschwerdeführer durch die erteilte Auskunft vollständige Kenntnis über alle bei der Beschwerdegegnerin über ihn gespeicherten Daten erlangt hat, da auch keine weiteren Korrespondenzen und Akten sowie Bankauszüge odgl. bei der Beschwerdegegnerin bestehen.

Wenn der Beschwerdeführer nun eine Kopie der Daten wünscht, zielt er offensichtlich auf Abzüge oder Screenshots von bei der Beschwerdegegnerin verarbeiteten Daten ab und führt dazu aus, dass Haidinger in Knyrim (Hrsg.) DatKomm zu Art. 15 Rz 35 ausführe, dass ein Recht auf eine unbearbeitete Kopie bestünde.

Dabei übersieht er aber, dass Haidinger ausführt, dass ein selbständiger Anspruch auf eine Datenkopie zwar „neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten (Anm. besteht). Die Übermittlung der Datenkopie wird beide Ansprüche abdecken, wenn sich die Daten aus der Kopie nach Maßgabe des Transparenzgebots (s Rz 34) für die betroffene Person erschließen […]“.

Eine Datenkopie bedeutet demnach nicht eine genaue Abschrift oder ein Faximile, sondern besteht ein Wahlrecht des Verantwortlichen wie er dem Begehren einer betroffenen Person nachkommt – begrenzt durch Art. 15 Abs. 3 S 3 DSGVO, wonach ein Verantwortlicher jedenfalls elektronisch beantragten Auskünften auch elektronisch beantworten muss (vgl. dazu nochmals Paal, aaO, Art. 15 Rz 33 ff).“

Die Streitpunkte zusammengefasst

Der Beschwerdeführer hat in seinem Auskunftsbegehren, auf das er auch in der Beschwerde hinweist, ersucht, eine „Kopie der zu seiner Person verarbeiteten Daten in einem üblichen technischen Format“ zuzusenden. Der vertritt die Ansicht, dass mit „Kopie der Daten“ Emails und Datenbankauszüge inklusive allfälliger Freitextfelder gemeint, die meine personenbezogenen Daten beinhalten. Er wies auch darauf hin, dass dieser Anspruch gem. Art 15 Abs 3 DSGVO selbständig neben dem Auskunftsrecht gem. Art 15 Abs 1 DSGVO bestehe, und eine Einschränkung nach Art 15 Abs 4 DSGVO nicht zulässig sei.

Die Beschwerdegegnerin hingegen vertrat die Ansicht, durch die erteilte Auskunft, die auch sämtliche personenbezogenen Daten beinhaltete, das Auskunftsrecht vollumfänglich erfüllt zu haben. Sie verweist auch darauf, dass aufgrund der bisherigen Judikatur der DSK davon auszugehen ist, dass „eine Herausgabe der Kopie der Daten ausdrücklich zu verneinen ist.“ (DSK 22.05.2013, K121.925/0007-DSK/2013). Trotz DSGVO ergäbe sich auch kein Mehrwert für den Beschwerdeführer. Alle Informationen ergäben sich aus der Auskunft, und es wurde auch auf den Schutz der Geschäftsgeheinisse iSd Art 15 Abs 4 DSGVO hingewiesen, da eine Kopie zwangsläufig die logisch-mathematischen Verknüpfungen offenlegen würde.

Die Vorlagefragen  

Das BVwG hat das Verfahren zum Anlass genommen, dem EuGH einige Fragen zur "Recht auf Kopie (der Daten)" gem. Art 15 Abs 3 DSGVO dem EuGH vorzulegen; dazu haben wir schon im dataprotect-blog berichtet. 

Überlegungen des BVwG

Auszüge aus der Entscheidung des BVwG (Hervorhebungen durch den Verfasser):

„Die Datenschutzbehörde bringt vor, dass weder der Verordnungsgeber, noch Erwägungsgründe oder die Literatur davon ausgehen würden, dass dem Beschwerdeführer eine Kopie in Form eines Faksimiles zustehen würde.

Sie gehe eher davon aus, dass schon dem Grundsatz nach die datenschutzrechtliche Auskunft über eigene Daten als prozessuales Begleitrecht zur Überprüfung, ob Daten gesetzeskonform verarbeitet würden, zustehe.

In diesem Sinne habe der Europäische Gerichtshof bereits ausgesprochen, dass das Auskunftsrecht der Vorbereitung von Berichtigung, Löschung oder Sperrung der Daten diene (siehe Rijkebeer, ECLl:EU:C:2009:293 sowie Y.S. ua, C-141/12 und C-372/12, ECLl :EU:C:2014:2081).

Demnach sei das Interesse des Beschwerdeführers, unabhängig davon, was im Auskunftsrecht geltend gemacht werden könne, damit normativ beschränkt. Auch daraus sei erkennbar, dass ein Faksimile nicht Gegenstand des Auskunftsrechts sei.

Unter Verweis auf den Erwägungsgrund 63 der DSGVO sowie auf das Urteil des Europäischen Gerichtshofs vom 14.07.2014, [YS u.a.], C-141/12 und C-372/12, ECLl:EU:C:2014:2081, habe die Datenschutzbehörde bereits ausgesprochen, dass sich aus Art 15 Abs. 3 DSGVO kein Anspruch auf Herausgabe einer Kopie von Dokumenten, die personenbezogene Daten eines Auskunftswerbers/einer Auskunftswerberin enthalten, ableiten lasse. Art 15 Abs. 3 DSGVO normiere lediglich das Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien."

Auf Basis dieser Überlegungen könne ausgehend von Art 15 Abs. 3 DSGVO nicht die Herausgabe von Dokumentenkopien in Form ganzer Faksimiles begehrt werden, da dies dem Wortlaut der Bestimmung nicht zu entnehmen sei.

Gegen eine solche Herausgabe ganzer Dokumente spreche auch die RL 2011/24/EU: deren Art 2 lit c verweise auf die RL 95/46/EG (nunmehr DSGVO) und lasse diese unberührt. In Art 4 Abs. 1 lit f und Art 5 lit d der RL 2011/24/EU werde ausdrücklich ein Recht auf Erhalt einer Kopie 11 der Patientenakte" festgeschrieben - somit ein Recht auf Herausgabe ganzer Dokumentenkopien. Würde man im Lichte dieser Bestimmung Art 15 Abs. 3 DSGVO einen Inhalt unterstellen, der auf die Herausgabe ganzer Dokumente abziele, würden die Regelungen anderer Rechtsakte,  wie zum Beispiel die RL 2011/24/EU, ins Leere laufen. Daher sei auch der Rechtsansicht des Obersten Gerichtshofs im Urteil zur ZI. 6 Ob 138/20t nicht zu folgen, weil dieser die genannte Richtlinie in seiner Entscheidung gänzlich unberücksichtigt gelassen habe.

1.1. Für eine restriktive Auffassung: Recht auf Kopie als nähere Spezifizierung des Rechts auf Auskunft; kein Recht auf Dokumente oder ähnliches:

Nach Paal in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung, Bundesdatenschutz­gesetz (DS-GVO/BDSG3l, C.H. Beck, 2021, Art 15 RZ 33f, ist mit Kopie in Abs. 3 die gemäß Abs. 1 in Bezug auf die personenbezogenen Daten zu erteilende Auskunft gemeint, sodass das Recht auf Kopie in seiner materiell-rechtlichen Reichweite keinesfalls über das in Abs. 1 geregelte Auskunftsrecht hinausgehen kann. Sinn und Zweck des Artikels 15 sei es, den betroffenen Personen die Überprüfung der Rechtmäßigkeit der Datenverarbeitungen zu ermöglichen, wobei diese Lesart durch Erwägungsgrund 63 Satz 1 unterstrichen werde. Zu diesem Zwecke sei es ausreichend, dass die betroffene Person die in Abs. 1 lit a bis h genannten Angaben in Kopie erhalte. Weitergehende Informationen seien gerade nicht erforderlich. Für die betroffenen Unternehmen würde eine hierüber hinausgehende Auffassung gesteigerten finanziellen, praktischen sowie rechtlichen Aufwand bedeuten. Bei einer extensiven Auslegung wäre eine Abwägung mit Rechten und Freiheiten Dritter (Abs. 4) nicht möglich. Das Erfordernis einer solchen Abwägung werde aber (mittelbar) durch den Erwägungsgrund 63 verdeutlicht.

Jahnel führt im Kommentar zur DSGVO, Jan Sramek Verlag, 2021, Art 15, RZ 37f, 42f, aus, dass die Systematik des Art 15 Abs. 3 unter anderen die Frage aufwerfe, ob der Umfang des Rechts nach Art 15 Abs. 3 soweit gehe, dass er der betroffenen Person ein Recht auf Kopie sämtlicher beim/bei der Verantwortlichen gespeicherte Dokumente einräume? Laut Duden bedeute Kopie eine „Abschrift, Durchschrift oder sonstige originalgetreue Reproduktion". Gemäß Art 15 Abs. 3 sei eine Kopie der Daten, die verarbeitet würden, zur Verfügung zu stellen, und nicht von einer Kopie der Dokumente, in welchen die Daten verwendet würden, die Rede. Daher sei diese Wendung als Recht auf originalgetreue Darstellung jener Daten zu verstehen, die Gegenstand der Verarbeitung seien. Um die Voraussetzungen „originalgetreu" zu erfüllen, müssten die tatsächlich verarbeiteten Daten aus der konkreten Datenverarbeitung reproduziert und damit kopiert und beauskunftet werden. Der Zweck dieser Anordnung könne dann in der Sicherstellung der Datenidentität bei der Auskunftserteilung gesehen werden, und damit in der Korrektheit der Datenauskunft in Bezug auf die konkret verarbeiteten Daten. Dies sei dann erfüllt, wenn der/die Verantwortliche die verarbeiteten Datenkategorien zusammen mit ihrem konkreten Inhalt, betreffend den/die Auskunftswerber_in, direkt aus der Datenverarbeitung exportiere, also in diesem Sinne „kopiere". So interpretiert sei Art 15 Abs. 3 Satz 1 als nähere Konkretisierung des allgemeinen Anspruchs auf Auskunft über die personenbezogenen Daten in Art 15 Abs. 1 zu verstehen, der nur den grundsätzlichen

Auskunftsanspruch festschreibe, aber keinerlei Angaben über Form und Inhalt der Auskunftserteilung enthalte.

Art 15 Abs. 4 lege fest, dass das Recht auf Erhalt einer Kopie „gemäß Abs. 3" die Rechte und Freiheiten anderer Personen nicht beeinträchtigen dürfe. Dieser explizite Verweis auf das Recht auf Kopie in Abs. 3 scheine auf den ersten Blick der bisher erarbeiteten Systematik zu widersprechen, weil es sich nach dem Wortlaut nur auf das Recht auf Kopie und nicht auf das inhaltliche Auskunftsrecht gemäß Art 15 Abs. 1 beziehe. Dieser Widerspruch löse sich aber auf, wenn man das Recht auf Kopie als nähere Bestimmung hinsichtlich der Art und Weise betrachten würde, wie eine Auskunft über personenbezogene Daten der betroffenen Person nach Art 15 Abs. 1 zu erteilen sei. Dann beziehe sich nämlich die Verpflichtung zu einer lnteressensabwägung auf die gesamte inhaltliche Auskunftserteilung. Diese Sichtweise werde auch durch Erwägungsgrund 63 unterstrichen. Zwar beinhalte dieser Erwägungsgrund keinerlei Anhaltspunkte hinsichtlich der Interpretation des Rechts auf Kopie gemäß Art 15 Abs. 3. Er bringe aber zwei Dinge klar zum Ausdruck: Zunächst eine Aussage über den Sinn und Zweck des Auskunftsrechts, nämlich 11 um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können". Damit gehe es bei Art 15 darum, dass die betroffene Person ausreichende Informationen über die konkrete Verarbeitung erhalte, um ihre betroffenen Rechte geltend machen zu können und nicht darum, dass sie Duplikate sämtlicher Dokumente des/der Verantwortlichen erhalte, indem ihre Daten enthalten seien. Weiters solle das Recht auf Auskunft „die Rechte und Freiheiten anderer Personen [ ... ] nicht beeinträchtigen ". Daraus könne geschlossen werden, dass der europäische Gesetzgeber die Interessenabwägung nach Art 15 Abs. 4 auf die gesamte inhaltliche Auskunft angewendet wissen wollte, also sowohl auf das inhaltliche Auskunftsrecht nach Art 15 Abs. 1 als auch auf dessen nähere Spezifizierung in Form des Rechts auf Kopie nach Art 15 Abs. 3.

1.2. Für eine extensive Auffassung:

Dix in Simitis/Hornung/Spiecker [Hrsg.], Datenschutzrecht, DSGVO mit BDSG, Nomos

Verlagsgesellschaft, 2019, Art 15, RZ 28, 33, meint dazu, dass die DSGVO der betroffenen Person erstmals einen Anspruch auf eine Kopie der sie betreffenden Daten einräume, die Gegenstand der Verarbeitung seien. Dieses Recht auf eine Datenkopie stärke die Stellung der betroffenen Person erheblich. Das Recht auf Datenkopie sei eine besondere Form der Auskunft und keine gesonderte Herausgabepflicht. Sie beziehe sich auf die nach Abs. 1 zu erteilende Auskunft über die zu ihrer Person verarbeiteten Daten. Allerdings sei das Recht auf Datenkopie nicht identisch mit dem Recht auf Auskunft; die Kopie könne die Auskunft schon deshalb nicht ersetzen, weil der kopierte Datensatz häufig durch eine erläuternde Auskunft ergänzt werden müsse, um für die betroffene Person verständlich zu sein . Der/die Verantwortliche sei nach Art 12 Abs. 1 dazu verpflichtet, die Verständlichkeit - falls nötig - auch durch die Beantwortung von Rückfragen herzustellen. Das Recht auf Datenkopie nach Abs 3 Satz 1 beziehe sich auf die Daten in der Form, wie sie dem/der Verantwortlichen vorliegen würden {zum Beispiel grundsätzlich auch genetische Rohdaten von Patienten/Patientinnen oder Probanden). Dieser sei nicht verpflichtet, die Daten in einer bestimmten Form aufzubereiten, damit sie die betroffene Person weiterverarbeiten könne. Etwas anderes gelte nur bei elektronischer Beantragung einer Datenkopie. Stellte der/die Verantwortliche der betroffenen Person eine Kopie ihrer Daten zur Verfügung, so dürfe dies die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Rechte und Freiheiten Dritter könnten dadurch beeinträchtigt werden, dass die Daten der betroffenen Person gemeinsam mit den Daten Dritter verarbeitet würden {zum Beispiel in Form von Papier-Listen). Dies rechtfertige allerdings in aller Regel nicht, der betroffenen Person die Aushändigung einer Kopie vollständig zu verweigern. Vielmehr habe der/die Verantwortliche bei konventioneller (analoger) Datenverarbeitung die Datenblätter für die Bereitstellung der Kopie zu schwärzen. Bei automatisierter Datenverarbeitung sei die Herstellung einer elektronischen Teilkopie ohnehin dann unproblematisch, wenn es sich nicht um Daten mit doppeltem oder mehrfachem Personenbezug handle.

Haidinger vertritt in Knyrim [Hrsg.], Der DatKomm, Praxiskommentar zum Datenschutzrecht, DSGVO und DSG, Manz Verlag, 2021, Art 15 DSGVO, RZ 35, den Standpunkt, dass die betroffene Person über die Information hinaus, welche Daten über sie konkret verarbeitet würden, Anspruch auf eine Kopie der Daten habe, die Gegenstand der Verarbeitung seien. Ein Recht auf Herausgabe der Kopie der Daten sei von der {österreichischen früheren) Datenschutzkommission bislang ausdrücklich verneint worden. Mit Kopien der Daten seien Mails, Datenbankauszüge etc gemeint, was im Hinblick auf Freitextfelder in Datenbanken durchaus riskant für den/die Verantwortlichen sein könne. Der Anspruch auf Datenkopie stehe selbständig neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten. Die Übermittlung der Datenkopie werde beide Ansprüche abdecken, wenn sich die Daten aus der Kopie nach Maßgabe des Transparenzgebots für die betroffene Person erschließen würden, also insbesondere Erläuterungen angeschlossen seien. Eine Aufbereitung der Datenkopie selbst dürfe - vorbehaltlich Art 15 Abs. 4 - nicht erfolgen, weil sonst der Inhalt verändert würde.

Ehmann in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung (DS-GVO2l, C.H. Beck, 2018, Art 15, thematisiert den Umfang oder die Art der Kopie nicht, meint aber zu Abs. 3 Satz 3 von Art 15 DSGVO, dass dieser davon spreche, dass „Informationen " zur Verfügung zu stellen seien und nicht lediglich die personenbezogenen Daten, was keine Ungenauigkeit der Formulierung darstelle. In Abs. 3 Satz 1 und 2 sei zutreffend die Rede von einer „Kopie der personenbezogenen Daten ", da nur diese Gegenstand einer Kopie durch den/die Verantwortliche/n sein könnten. Abs. 3 Satz 3 verwende dagegen den Begriff der Informationen, um auch die Form festzulegen, in der über die „eigentlichen" personenbezogenen Daten hinaus die zugehörigen Metadaten zur Verfügung zu stellen seien.

2. Ebenso kommen österreichische und deutsche Gerichte bei dieser Frage zu unterschiedlichen Auslegungen:

2.1. Für einen restriktiven Zugang:

Das (österreichische) Bundesverwaltungsgericht entschied mit Erkenntnis vom 23.09.2020 zur ZI W256 2226269-1/BE, über den Begriff der Kopie, dass „Art 15 Abs. 1 DSGVO das Recht auf Auskunft auf personenbezogene Daten im Sinne des Art 4 Abs. 1 DSGVO und mit diesen in Zusammenhang stehenden in Abs. 2 konkret festgelegten Zusatzinformationen beschränkt. Da der Begriff der personenbezogenen Daten nach Art 4 Abs. 1 DSGVO vielfältig und nicht (immer) auf einzelne Daten beschränkt sein muss (siehe dazu Erwägungsgrund 63 in Bezug auf Informationen wie z.B. Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen und Eingriffen sowie EuGH, 20.12.2017, C434/16 in Bezug auf schriftliche Antworten eines Prüflings in einer berufsbezogenen Prüfung und etwaigen Anmerkungen des Prüfers zu diesen Antworten) kann es - dem Erfordernis einer transparenten Information entsprechend – daher mitunter im Einzelfall erforderlich oder auch zweckmäßig sein, dass auch einzelne Textpassagen oder auch Dokumente der betroffenen Person vom Verantwortlichen zur Verfügung zu stellen sind. Ein generelles Recht auf Erhalt von Dokumenten, in denen personenbezogene Daten verarbeitet werden, kann aus Art 15 DSGVO aber nicht abgeleitet werden. Art 15 Abs. 3 DSGVO legt auch lediglich fest, dass der  Verantwortliche eine Kopie der Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen hat. Dabei handelt es sich allein um eine Modifikation der Form der Unterrichtung im Vergleich zu Art 12 DSGVO und nicht um ein eigenständiges, insbesondere neben dem Recht auf Auskunft nach Art 15 Abs. 1 DSGVO bestehendes Recht auf Erhalt einer Kopie. Art 15 Abs. 3 DSGVO legt vielmehr fest, dass das Recht auf Auskunft nach Art 15 Abs. 1 DSGVO in Form einer Kopie der Daten der betroffenen Person vom Verantwortlichen zur Verfügung zu stellen ist, weshalb der betroffenen Person ein Recht auf Erhalt einer Kopie allein in Bezug auf ihr Auskunftsrecht zukommt (siehe dazu auch Paal in Paal-Pauly (Hrsg.),  Datenschutzgrundverordnung 2 zu Art 15, Rn 33)."

Das (deutsche) Arbeitsgericht Bonn erkannte am 16.07.2020 zur ZI 3 Ca 2026/19, dass „nach Auffassung der Kammer der Anspruch auf Herausgabe einer Kopie der Daten lediglich die Übermittlung einer Liste der gespeicherten Daten beinhaltet. Der Begriff Kopie ist insoweit als ein Exemplar einer Liste von Daten zu verstehen. Dies ergibt sich aus dem Zusammenspiel von Satz 1 und Satz 2 von Art. 15 Abs. 3 DSGVO und dem sich daraus ergebenden Sinn und Zweck der Norm. Die Vorschrift will bestimmen, dass eine „ Kopie " kostenlos ist und für weitere Kopien ein Entgelt verlangt werden kann. Dies wird deutlich durch einen Blick auf die im Originaltext der Verordnung verwendeten englischen bzw. französischen Begriffe „COPY" und „COPJE“: die jedenfalls auch mit „Exemplar" übersetzt werden können. Es sind aus dem Sinn und Zweck der Norm keine Umstände ersichtlich, dass über die Information über das gespeicherte Datum hinaus noch eine Herausgabepflicht von Unterlagen bestehen soll, wie der Kläger es mit seinem Antrag verlangt. Sollte also die Beklagte die Aussage eines Betriebsratsmitgliedes über eine vom Kläger veranlasste Hotelbuchung gespeichert haben, so wäre sie verpflichtet, auf ein entsprechend konkretisiertes Auskunftsersuchen des Klägers diese gespeicherten Daten gegenüber dem Kläger offenzulegen. Eine Herausgabe des Protokolls über diese Aussage beinhaltet die Verpflichtung zur Verfügungstellung einer Kopie gemäß Art. 15 Abs. 3 DSGVO jedoch nicht."

2.2. Für einen extensiven Zugang:

Der (österreichische) Oberste Gerichtshof (OGH) hatte mit Urteil vom 17.12.2020, 6 Ob 138/20t, über die Frage der kostenlosen Übermittlung einer gesamten Krankengeschichte - über einen Patientenbrief hinausgehend - zu urteilen und sprach dabei aus, dass nach ,,Art 15 Abs 3 DSGVO eine Kopie der personenbezogenen Daten zur Verfügung zu stellen [ist], die Gegenstand der Verarbeitung sind. Personenbezogene Daten sind nach Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei als identifizierbar eine Person angesehen wird, die direkt oder indirekt identifiziert werden kann.

Wie bereits die Vorinstanzen ausführten, geht der Verordnungsgesetzgeber ausdrücklich davon aus, dass das Auskunftsrecht der betroffenen Person auch ihre eigenen gesundheitsbezogenen Daten, wie etwa Daten in den Patientenakten, Diagnosen, Untersuchungsergebnisse, Befunde der nachbehandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen umfasst (DSGVO ErwGr 63). [... ]

Wären in der Krankengeschichte Daten enthalten, die sich nicht auf den Kläger beziehen, wäre es an der Beklagten gelegen, dies vorzubringen. Dies hätte jedoch nicht schlechthin die Klageabweisung zur Folge. Vielmehr bestünde in einem solchen Fall ein Anspruch der betroffenen Person auf Zurverfügungstellung einer Teilkopie, die bloß die personenbezogenen Daten enthält oder in der die übrigen Daten unkenntlich gemacht sind (vgl Bäcker in Kühling/Buchner, DSGVO/BDSG3 Art 15 DSGVO Rz 41). Die Kopie hat vollständig zu sein (Bäcker in Kühling/Buchner, DSGVO/BDSG3 Art 15 DSGVO Rz 41). Die Aushändigung des Patientenbriefs ist daher nicht ausreichend.

Nach Art 15 Abs 3 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung; [...]Nach Art 12 Abs 5 DSGVO werden „alle Mitteilungen und Maßnahmen gemäß den Art 15 bis 22 und 34 DSGVO" unentgeltlich zur Verfügung gestellt. [...]

Als Zwischenergebnis ist daher festzuhalten, dass sich aus Art 15 Abs 3, Art 12 Abs 5 DSGVO grundsätzlich das Recht des Patienten auf Zurverfügungstellung einer Kopie seiner Krankengeschichte ergibt, wobei die erste Kopie kostenlos zur Verfügung zu stellen ist."

Mit Erkenntnis vom 02.03.2020 zur ZI. W214 2224106-1/BE sprach das (österreichische) Bundesverwaltungsgericht in einer Angelegenheit, in der eine Beschwerdeführerin nach Art 15 Abs. 3 DSGVO um die Auskunft ersuchte, sämtliche ihrer Eingaben mit Datum des Einlangens und Bezeichnung der Verwaltungssache aufzulisten und eine kostenlose Kopie zur Verfügung zu stellen, aus, dass „schon aus dem Wortlaut des Art. 15 Abs. 3 DSGVO folgt, dass eine Kopie der Daten kostenlos an den Auskunftswerber zu übersenden ist. Erst wenn die betroffene Person mehr als eine Kopie wünscht, darf der Verantwortliche für diese zusätzlichen Kopien ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verrechnen (vgl. auch Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 36 (Stand 1.10.2018, rdb.at)). 11

Das (deutsche) Verwaltungsgericht Schwerin entschied am 29.04.2021 zur ZI. 1 A 1343/19 SN, über die Zurverfügungstellung einer Kopie eines Sachverständigen­gutachtens dahingehend, dass „ was unter„ Kopie II gemäß Art. 15 Abs. 3 DS-GVO zu verstehen ist, umstritten [ist]. [...] Das Gericht hat oben bereits dargelegt, dass es davon ausgeht, dass der DS-GVO ein extensives Verständnis von personenbezogenen Daten zu Grunde liegt. Die restriktive Auffassung, dass eine Auskunft lediglich in Form einer Übersicht der gespeicherten Informationen zu erfolgen hat, ist daher abzulehnen. Aus Sicht des Gerichts kann es dahinstehen, ob Art. 15 Abs. 3 DSGVO einen eigenständigen Anspruch oder nur eine Erweiterung des in Art. 15 Abs. 1 DS-GVO enthaltenen Auskunftsanspruchs darstellt. Denn personenbezogene Daten sollen umfassend geschützt werden. Dieser Schutz kann nur konsequent verwirklicht werden, wenn eine Auskunft über die vollständig gespeicherten Daten erteilt wird. Art. 15 DS-GVO kann in seiner Gesamtheit nur so verstanden werden, dass entweder das „Recht auf Auskunft über diese personenbezogenen Daten" nach Art. 15 Abs. 1 Halbsatz 2 DS-GVO bereits ein Auskunftsrecht über sämtliche Informationen beinhaltet (Wortlaut: ,,Auskunft über diese personenbezogenen Daten und folgende Informationen"), welches durch Abs. 3 dahingehend erweitert wird, dass dem Betroffenen auch die Überlassung einer Kopie der Daten zusteht, oder im Recht auf „Kopie" nach Art. 15 Abs. 3 DS-GVO ein eigenständiger Anspruch auf Überlassung der vollständigen Informationen zu sehen ist. Andernfalls wäre eine Überprüfung auf Richtigkeit der gespeicherten Daten und das Recht auf Berichtigung nach Art. 16 DS-GVO nicht umsetzbar. Ohne Kenntnis der konkreten Daten, ist eine Überprüfung auf Richtigkeit nicht möglich. Anhand einer Übersicht, dass etwa Name, Adresse und eine gewisse Anzahl von Fotos, etc. gespeichert werden, lässt sich nicht überprüfen, ob die Daten auch inhaltlich zutreffend erfasst wurden, etwa ob der Name richtig geschrieben wurde oder ob bei zugeordneten Fotos überhaupt ein Zusammenhang mit der betroffenen Person besteht. So können beispielsweise Bilder von verschiedenen Eigentumsobjekten falsch zugeordnet sein. Selbst bei Annahme größtmöglicher Sorgfalt, ist es nicht auszuschließen, dass bei der Verarbeitung großer Datenmengen in jedem Fall eine richtige Zuordnung vorgenommen wird. Dies gilt insbesondere dann, wenn sich etwa die betreffenden Informationen ähneln (Beispiele: Fotos von baugleichen Reihenhäusern oder von eineiigen Zwillingen), die Daten auf einem Datenträger erfasst wurden und erst im Nachgang eine  abschließende Zuordnung zu einer Akte bzw. einem Datensatz erfolgt. Eine Überprüfung der richtigen Erfassung durch den Betroffenen ist nur bei vollständiger Kenntnis der Daten möglich. Gleiches gilt für das Recht auf Löschung nach Art. 17 DS-GVO. Für diese Sichtweise spricht auch der Erwägungsgrund 63 der DS-GVO. Aus diesem wird ersichtlich, dass der Normgeber einen eigenständigen und direkten Zugang des Betroffenen zu seinen Daten ermöglichen will (,,Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde."). Es wird nicht davon gesprochen, dass die betroffene Person Zugang zu einer Übersicht ihrer personenbezogenen Daten, sondern „direkten Zugang" zu den Daten erhalten soll."

3. Erwägungen des beschließenden Senats:

3.1. In der vom Bundesverwaltungsgericht im gegenständlichen Beschwerde­verfahren noch zu beurteilenden Frage geht es darum, ob mit der Übermittlung der personenbezogenen Daten des Beschwerdeführers im Rahmen einer Tabelle und einer Übersicht im Auskunftsschreiben der Kreditauskunftei dem Rechtsanspruch gemäß Art 15 Abs. 3 DSGVO auf Erhalt einer Kopie entsprochen wurde, oder ob der Beschwerdeführer einen Rechtsanspruch auf Ausfolgung einer Kopie seiner personenbezogenen Daten, die von der mitbeteiligten Partei verarbeitet werden, nicht in isolierter Gestalt, sondern in Form von Kopien oder Auszügen allfälliger Korrespondenzen und Datenbankinhalten oder ähnliches, hat.

Wird letzteres bejaht, so ist seiner diesbezüglichen Beschwerde stattzugeben, da derartige Dokumente von der mitbeteiligten Partei bisher nicht ausgefolgt wurden, und die Datenschutzbehörde im angefochtenen Bescheid einen solchen Anspruch verneinte.

3.2. Auf Grundlage der strittigen Lehrmeinungen und der ebenfalls uneinheitlichen

Rechtsprechung aus den exemplarischen Beispielen stellt sich für den beschließenden Senat die Frage, was genau mit dem Begriff der „Kopie" in Art 15 Abs. 3 Satz 1 DSGVO im Wortsinn gemeint ist (Vorlagefrage 1).

Geht es weiter dabei um eine Spezifizierung bzw. Modifizierung des allgemeinen Auskunftsrechts nach Art 15 Abs. 1 DSGVO und wird mit der Bestimmung eher festgelegt, wie eine betroffene Person die Auskunft über ihre personenbezogenen Daten, die verarbeitet werden, erhalten soll? Oder normiert die Bestimmung tatsächlich einen eigenen, selbständigen und über das Auskunftsrecht des Art 15 Abs. 1 DSGVO hinausgehenden Rechtsanspruch auf Fotokopie/Faksimile/Datenbank­ausdruck oder (elektronischen) Datenbankauszug bzw. auf Kopie ganzer Dokumente und Unterlagen, in denen personenbezogene Daten der betroffenen Person vorkommen? Diese Fragen begründen die Vorlagefrage 2.

Der restriktivere Zugang in Literatur und Rechtsprechung orientiert sich am Normzweck zum Auskunftsrecht als - vereinfacht gesagt - Vorbereitung zur Wahrnehmung weiterer Betroffenenrechte und stellt in diesem Sinne mehr auf die Information über die verarbeiteten personenbezogenen Daten ab, so auch in aggregierter, zum Beispiel in einer Liste dargestellter Form. Der extensive Zugang stellt den weitreichenden Schutzzweck, den die DSGVO insgesamt verfolgt, voran, aus der eine erhöhte Kontrollbefugnis der betroffenen Person hervorgehen kann: demnach würde der Rechtsanspruch auf Ausfolgung einer Kopie der Daten in Form einer Fotokopie, eines Faksimiles, Datenbankausdrucks oder eines (elektronischen) Datenbankauszugs bzw. einer Kopie ganzer Dokumente und Unterlagen die Überprüfbarkeit verstärken, nach Meinung mancher, überhaupt erst ermöglichen.

Beide Zugänge verweisen dabei auch auf die Bestimmung des Art 15 Abs. 4 DSGVO als

interpretatorische Hilfe, wonach das Recht auf Erhalt einer Kopie gemäß Abs. 3 nicht die Rechte und Freiheiten anderer Personen beeinträchtigen darf. Aus dieser Bestimmung könnte nun abgeleitet werden, dass die in Kopie vorzulegenden personenbezogenen Daten nicht alleine, sondern immer im Kontext ihrer Verarbeitung, das heißt als Bestandteil eines ganzen Dokuments (wie zum Beispiel eines E-Mails) oder eines über die personenbezogenen Daten im Umfang hinausgehenden Auszugs aus einer Datenbank, vorzulegen sind. Es könnte aber auch daraus abgeleitet werden, dass sich die Bestimmung alleine auf jene Fälle bezieht, in denen die zu beauskunftenden und in Kopie zu übermittelnden personenbezogenen Daten, die Gegenstand der Verarbeitung sind, nicht isoliert werden können, weil sie, wie etwa bei einer Filmaufnahme, die auch andere Personen zeigt, untrennbar mit geschützten Daten Dritter verknüpft sind.

Im Falle einer restriktiven Auslegung des Art 15 Abs. 3 Satz 1 DSGVO dahingehend, dass mit „Kopie" kein Rechtsanspruch auf Übermittlung von Fotokopien, ganzer Dokumente oder Datenbankauszüge gemeint ist , stellt sich im Lichte der im Erwägungsgrund 63 explizit genannten Datenarten und des Transparenzgebots des Art 12 Abs. 1 DSGVO die Frage, ob im Einzelfall und bedingt durch die Art der verarbeiteten personenbezogenen Daten doch eine Pflicht eines/einer Verantwortlichen bestehen kann, Textteile oder Dokumente in Kopie zur Verfügung zu stellen (Vorlagefrage 3).

Schließlich wird auch der Begriff der „ Informationen " in Art 15 Abs. 3 Satz 3 DSGVO für beide Auslegungswege - restriktiv und extensiv - herangezogen, weshalb es notwendig erscheint, zu fragen, ob sich dieser Begriff nun alleine auf die in Art 15 Abs. 3 Satz 1 genannten ,,personenbezogenen Daten, die Gegenstand der Verarbeitung sind" bezieht (Vorlagefrage 4), oder darüber hinausgeht und auch die Informationen gemäß Art 15 Abs. 1 lit a) bis h) umfasst (Vorlagefrage 4.a) oder auch noch darüber hinausgeht und beispielsweise zu den Daten zugehörige Metadaten meint (Vorlagefrage 4.b.).

Der beschließende Senat übersieht gegenständlich nicht, dass der Oberste Gerichtshof in Österreich bereits in seinem Urteil vom 17.12.2020, ZI 6 Ob 138/20t, eine Aussage dazu getroffen hat, dass sich aus Art 15 Abs. 3, Art 12 Abs. 5 DSGVO grundsätzlich ein Recht des Patienten/der Patientin auf Zurverfügungstellung einer Kopie der Krankengeschichte ergibt.

Erwägungsgrund 63 nennt Daten aus Patientenakten ausdrücklich. Die Aussage des Obersten Gerichtshofs kann „nur" auf Krankengeschichten bezogen, als eine besonders wesentliche und sensible Form von personenbezogenen Daten, gesehen werden, oder aber auch als Aussage zu einem allgemeinen Rechtsanspruch auf Ausfolgung von Kopien über verarbeitete personenbezogene Daten.

Den aktuellen Stand zum EuGH-Verfahren C-487/21 (Österreichische Datenschutzbehörde und CRIF) finden Sie hier.