- Der Europäische Gerichtshof entschied, dass die DSGVO keine zusätzlichen Rechte auf Kontextinformationen gewährt.
- Der Begriff „Kopie“ bezieht sich nur auf personenbezogene Daten in Dokumenten, nicht auf die gesamten Dokumente.
- Informationen müssen in einem gängigen elektronischen Format bereitgestellt werden, sofern keine anderen Vorgaben gemacht werden.
- Die Bereitstellung von Kontextinformationen ist erforderlich für das Verständnis und die Transparenz der verarbeiteten personenbezogenen Daten.
Der Europäische Gerichtshof EuGH hat am 4. Mai 2023 in der Rechtssache C‑487/21 ein Urteil in der Sache CRIF gefällt, nach einem Entscheid der Österreichischen Datenschutzbehörde und auf Vorlage des Bundesverwaltungsgerichts Österreich.
Ausgangspunkt war Art. 15 Abs. 3 DSGVO:
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
Dem EuGH stellte sich die Frage, ob diese Bestimmung nur die Form der Auskunft bestimmt oder ob er ein weiteres Recht auf Informationen über den Kontext der Verarbeitung gewährt. Der EuGH verneint diese Frage. Auch bezieht sich der Begriff der “Kopie” nicht auf ganze Dokumente, sondern nur die in ihnen ggf. enthaltenen Personendaten:
32 Daher kann Art. 15 DSGVO nicht so ausgelegt werden, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen bezieht sich, wie die Europäische Kommission in ihren schriftlichen Erklärungen betont hat, der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind.
Das heisst allerdings nicht, dass ein Anspruch auf Herausgabe einer Kopie von Dokumenten ausgeschlossen ist – wenn weitere Angaben als Kontextinformationen für das Verständnis notwendig sind, sind auch sie vom Auskunftsrecht umfasst:
41 Um zu gewährleisten, dass die so bereitgestellten Informationen leicht verständlich sind, wie es Art. 12 Abs. 1 in Verbindung mit dem 58. Erwägungsgrund der DSGVO verlangt, kann sich nämlich, wie der Generalanwalt in den Nrn. 57 und 58 seiner Schlussanträge ausgeführt hat, die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten.
Das treffe besonders dann zu, wenn es um abgeleitete Daten oder Angaben in Freitextfeldern geht:
42 Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, d. h. einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann.