Anspruch auf Kopien personenbezogener Daten
EuGH, Urteil vom 04.05.2023 - C-487/21 zum Recht auf Kopien von personenbezogenen Daten nach Art. 15 DS-GVO - Verantwortlicher schuldet originalgetreue und verständliche Reproduktion aller Daten zur betroffenen Person.
Mit dem Urteil des Gerichtshofs der Union in der Rechtssache C‑487/21 vom 4. Mai 2023 wurde eine grundlegende Weichenstellung für die Praxis und nachfolgende Rechtsstreitigkeiten im Datenschutz getroffen. Zu klären war, wie weit der Anspruch einer betroffenen Person auf Auskunft nach Art. 15 Abs. 3 DS-GVO reicht bzw. in welchem Umfang der Veranwortliche zur Zurverfügungstellung einer Kopie der Daten verpflichte ist. Dreh- und Angelpunkt war der Begriff ‚Kopie‘. Das Urteil legt abstrakt fest, wie viel Aufwand für Verantwortliche in dieser Verpflichtung steckt.
Während es in Art. 15 Abs. 3 DS-GVO in der deutschen Sprachefassung heißt, dass eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen ist, verdeutlichen andere Sprachfassungen, was damit gemeint war: Ein Recht auf „Zugang zu den Daten“.
Vor diesem Hintergrund überrascht es nicht, dass der EuGH urteilte, Art. 15 Abs. 3 Satz 1 der Verordnung (EU) 2016/679 („DS-GVO“) sei dahin auszulegen, dass der betroffenen Person eine originalgetreue und verständliche Reproduktionaller auf ihre Person bezogenen Daten zur Verfügung zu stellen ist, die Gegenstand der Verarbeitung sind. Gegenstand der Verarbeitung sind personenbezogene Daten dabei schon dann, wenn sie im Zeitpunkt des Auskunftsverlangens vom Verantwortlichen selbst oder von einem Auftragsverarbeiter in seinem Auftrag gespeichert werden.
In den Erwägungsgründen zur DS-GVO hat der europäische Gesetzgeber schriftlich festgehalten, dass seinem Willen nach jede betroffene Person ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten besitzen sollte und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können sollte, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies ist in der Praxis üblicherweise bei den Verantwortlichen noch ein händischer und dementsprechend aufwändiger Prozess. Es steht zu erwarten, dass sich nach dem Urteil des Gerichtshofs vom 04.05.2023 die Streitigkeiten vor Gericht nunmehr auf die Auslegung von Art. 15 Abs. 4 DS-GVO konzentrieren werden, da es für die Verantwortlichen, die sich der Erfüllung von Auskunftsansprüchen (und dem damit verbundenen Aufwand) entziehen wollen, hinsichtlich der Reichweite des Begriffs der „Kopie der Daten“ nun nichts mehr zu diskutieren gibt. Seit geraumer Zeit ist im Beschäftigtendatenschutz die Geltendmachung von Ansprüchen auf Kopien von Daten ein taktisches Mittel von arbeitsrechtlichen Streitigkeiten, in denen an sich um eine Abmahnung oder Kündigung gestritten wird und über die Durchsetzung von datenschutzrechtlichen Auskunftsansprüchen etwaige Beweismittel aufgedeckt oder schlicht wirtschaftlicher Druck auf den Arbeitgeber ausgeübt werden soll.
Den wirtschaftlichen Druck durch Geltendmachung von Auskunftsansprüchen verspüren zumindest solche Verantwortliche erheblich weniger, die im Datenschutz organisatorisch gut aufgestellt sind, insbesondere über ein gut gepflegtes Verzeichnis von Verarbeitungstätigkeiten verfügen. Denn das Verzeichnis von Verarbeitungstätigkeiten spielt häufig eine Schlüsselrolle in der Implementierung der internen Prozesse zur Erfüllung von Rechten betroffener Personen.
Die Praxis ist, zumindest flächendeckend, aktuell noch weit entfernt von der Umsetzung des vom europäischen Gesetzgeber in den Erwägungsgründen zur DS-GVO niedergeschriebenen Willens, dass Verantwortliche betroffenen Personen nach Möglichkeit einen Fernzugang zu einem sicheren System bereitstellen können sollten, welcher der betroffenen Person direkten „Zugang“ zu ihren personenbezogenen Daten ermöglichen würde. Der Gesetzgeber hatte demnach bereits 2016 die Zeichen der Zeit erkannt und sich für eine stärkere Automatisierung bzw. Digitalisierung ausgesprochen, auch und gerade zur Förderung des Datenschutzes.
Ganz eklatant weicht von diesem Gedanken des europäischen Gesetzgebers noch die bislang ständige Rechtsprechung deutscher Verwaltungsgerichte ab, für die Durchsetzung des Anspruchs auf Auskunft und des Anspruchs auf Kopien der Daten keine unmittelbare Klagbarkeit im Wege der Leistungsklage zuzulassen, sondern - altem Gedankengut von vor der DS-GVO folgend - derzeit noch eine Verpflichtungsklage als das Mittel der Wahl anzusehen. Der Verantwortliche müsse vom Bürger, mithin von der die Auskunft begehrenden betroffenen Person zunächst daraufhin gerichtlich in Anspruch genommen werden, dass der Verantwortliche in Gestalt eines Verwaltungsaktes entscheide, wie und welche Auskünfte er erteile und welche Daten er in Kopie zur Verfügung stelle. Es steht zu erwarten, dass diese Rechtsprechung keinen Bestand haben kann, zumal die DS-GVO zwischen öffentlichen und nicht-öffentlichen Verantwortlichen im Hinblick auf die Auskunftspflichten nach Art. 15 DS-GVO keinerlei Differenzierungen vornimmt und die Zivilgerichte seit jeher die unmittelbare Klagbarkeit von Auskunftsansprüchen im Wege der Leistungsklage praktiziert haben
