Die Abgrenzung zwischen dem Recht auf Auskunft und dem Recht auf Kopie

Im Rahmen der Einführung des noch relativ neuen Datenschutzrechts vom 25.05.2018 sind aufgrund der erst kurzen Geltung der DSGVO noch einige Fragen offen. Eines der wichtigsten Rollen im Rahmen der Betroffenenrechte beinhaltet Art. 15 DSGVO. Die Auskunftspflicht, ist dabei tatbestandlich stets an die Tatsache der Verarbeitung personenbezogener Daten geknüpft.
Um die Ausübung der Betroffenenrechte zu gewährleisten, könnte die Nichtbeachtung bzw. die mangelhafte Auskunftserteilung eine beträchtliche Sanktion für den Verantwortlichen zur Folge haben.

Abgrenzung zwischen dem Recht auf Auskunft und Recht auf Kopie

Bei den offenen Fragen handelt es sich vorwiegend um den Umfang und die rechtskonforme Erfüllung der Pflichten aus Art. 15 DSGVO, sowie insbesondere dem Verhältnis des Rechts auf Kopie aus Art. 15 III 1 DSGVO zu dem allgemeinen Auskunftsrecht nach Art. 15 I DSGVO.
Um den Umfang der Pflichten bestimmen zu können, sollte zunächst zwischen den beiden Betroffenenrechten abgegrenzt werden.

a) Art. 15 I DSGVO
Inhalt des Auskunftsanspruchs gem. Art. 15 I DSGVO ist die Auskunft über die konkret verarbeiteten personenbezogenen Daten des Betroffenen. Liegen die Voraussetzungen vor, folgt rein tatbestandlich die Pflicht zur Auskunftserteilung.

b) Art. 15 III DSGVO
Unter einer Kopie iSd Art. 15 III 1 DSGVO wird die grafische Nachbildung der von dem Auskunftsanspruch erfassten Datei verstanden – also eine Abbildung des Ist-Zustands wie sie auch bei dem Verantwortlichen vorliegt. Die Kopie dient damit lediglich dazu, Kenntnis darüber zu erlangen, wie die personenbezogenen Daten bei dem Benutzer des Verantwortlichen angezeigt werden. Eine Weiterverarbeitung der Kopie muss darüber hinaus nicht ermöglicht werden, sodass eine einfache Abbildung oder auch schon ein Screenshot genügen würde.
Liegt der Tatbestand des Art. 15 I DSGVO vor, so sind auch gleichzeitig die Voraussetzungen für das Recht zur Kopie gem. Art. 15 III DSGVO gegeben. Der Unterschied zwischen Auskunft und Kopie liegt in der Art der Darstellung der bereitzustellenden Informationen. Das Recht der Kopie ergänzt demzufolge das Recht auf Auskunft um eine visuelle Komponente.

Reichweite des Auskunftsanspruchs

Die Auslegungsfrage rund um den Begriff der Verarbeitung, als auch die Reichweite der personenbezogenen Daten ist strittig. Zur Klärung versucht die Rechtsprechung die Streitpunkte stets anschaulich zu verdeutlichen.
Der EuGH hatte sich erstmals in seiner Entscheidung zu einer Auslegungsfrage rund um den Begriff der Verarbeitung in einem Auskunftsanspruch geäußert. Bei der Frage der vorbereitenden Erörterungen eines asylrechtlichen Bescheids erteilte er diesem eine Absage, indem er die Analyse im Zusammenhang mit dem Bescheid nicht als eine Verarbeitung personenbezogener Daten ansah.
In dem Fall, in dem ein Berufsunfähigkeitsversicherer einen Auftrag zur Einholung eines medizinischen Gutachtens über den Gesundheitszustand eines Versicherten aufgeben wollte, entschied das KG, dass diese Information zweifelsfrei einen Personenbezug aufweise und damit dem Auskunftsanspruch des Art. 15 I DSGVO unterfällt.
Selbst dienstliche Emails, als auch Leistungs- und Verhaltensdaten fallen nach dem LAG Baden-Württemberg unter den Anspruch auf Auskunft.

Reichweite des Rechts auf Kopie

Gem. Art. 15 III 1 DSGVO hat der Betroffene das Recht auf zur Verfügung stellen einer Kopie der personenbezogenen Daten. Mit „zur Verfügung stellen“ ist tatsächlich auch nur das Bereithalten gemeint. Der Verantwortliche unterliegt dem Betroffenen ggü folglich keiner Schickschuld.
Das Recht auf Auskunft und Kopie lässt sich allein durch die Art der Darstellung der bereitzustellenden Information unterscheiden. Im Gegensatz zum Recht auf Kopie gibt es für den Anspruch auf Auskunft keine Vorgaben hinsichtlich seiner Präsentation. Die Kopie verlangt iSd Art. 15 III 1 DSGVO die wahrheitsgetreue Angabe der sich auf ihn bezogenen Daten, welche vom Verantwortlichen verarbeitet werden. Die Kopie ermöglicht dem Betroffenen die leichtere Überprüfbarkeit, welche Daten vom Verantwortlichen erhoben und wie sie ggf. von dessen Bearbeiter gesehen werden. Der Vorteil für den Verantwortlichen ist dabei, dass er aufgrund der Kopie zugleich all diejenigen Daten mitteilt, welche auch im Rahmen der Auskunft geschuldet wären.

Grenzen des Rechts auf Kopie

Der Tatbestand der Kopie ist weit auszulegen. Daher erfährt es seine Grenzen im Rahmen von Ausschlussgründen, welche sowohl unmittelbar aus der DSGVO oder auch mittelbar in Umsetzung ihrer Öffnungsklauseln aus dem BDSG folgt. Anders als bei dem Auskunftsanspruch steht das Recht auf Kopie unter einem allgemeinen Abwägungsvorbehalt, welches sich aus Art. 15 IV DSGVO ableiten lässt. Danach kann eine Kopie ausgeschlossen sein, wenn dadurch die Rechte und Freiheiten anderer Personen beeinträchtigt werden bspw., wenn die Kopie personenbezogene Daten von anderen enthält oder wenn die Erteilung der Kopie Urheber- und Geschäftsgeheimnisse berühren würde. Im Einzelfall ist daher vorzugsweise stets eine Interessenabwägung im Rahmen des Art. 15 IV DSGVO vorzunehmen.
Neben den Ausnahmetatbeständen des BDSG sind ferner auch die allgemeinen Grenzen der Ausübung der Betroffenenrechte für das Recht auf Kopie zu beachten. Ausgeschlossen sind beispielsweise Anträge auf Bereitstellung einer Kopie, welche gem. Art. 12 V 2 DSGVO offensichtlich unbegründet oder exzessiv sind.

Verifizierung der Betroffenen

Für die Überprüfung der Identität gilt, je höher das Risiko von einem „zur-Verfügung-stellen“ einer Kopie für die Rechte und Freiheiten des Betroffenen sind, desto mehr Aufwand muss der Betroffene auch für die Identifizierung seiner Person investieren, um eine Herausgabe an eine falsche Person und damit eine meldepflichtige Datenpanne iSd Art. 33 I DSGVO zu verhindern.

Quelle: Recht auf Kopie und Auskunftsanspruch im Datenschutzrecht, in NJW 31 2019 Engeler/Quiel

Haben Sie noch Fragen zum Auskunftsanspruch oder zum Datenschutz allgemein? Kontaktieren Sie gerne Heike Stoltz oder Angela Hirsch oder unser Sekretariat unter +49 7141 94753 21.

 

Heike Stoltz
Datenschutzbeauftragte (TÜV-SÜD)
stoltz@k11consulting.de

Angela Hirsch
Datenschutzberaterin (Verfasserin)
hirsch@k11consulting.de

Verwandte Beiträge