So vermeiden Sie Bußgelder und Rechtsstreitigkeiten: Das EuGH-Urteil zu Art. 15 DSGVO und die besten Praktiken für die Auskunftserteilung

Überblick über die Rechtssache C-487/21 – Österreichische Datenschutzbehörde und CRIF

In einem kürzlich ergangenen Urteil hat der Europäische Gerichtshof (EuGH) klargestellt, dass betroffene Personen gemäß Artikel 15 Absatz 3 der Datenschutz-Grundverordnung (DSGVO) das Recht auf eine genaue und verständliche Kopie ihrer personenbezogenen Daten haben. Dies kann bedeuten, dass sie Anspruch auf Kopien von Dokumentenauszügen oder sogar ganzen Dokumenten haben, wenn dies für die wirksame Ausübung ihrer durch die DSGVO gewährten Rechte erforderlich ist.

Die Entscheidung erging im Zusammenhang mit der Beschwerde einer Person, die von einer Kreditauskunftei Auskunft über ihre gespeicherten Daten in einem gängigen technischen Format verlangte. Die Auskunftei stellte eine Liste der personenbezogenen Daten in aggregierter Form zur Verfügung, was die betroffene Person für unzureichend hielt und daher eine Beschwerde bei der österreichischen Datenschutzbehörde einreichte. Die Beschwerde wurde abgewiesen, woraufhin das österreichische Bundesverwaltungsgericht den EuGH um Klärung ersuchte.

Recht auf Datenkopie

Der EuGH entschied, dass das Recht auf eine Kopie der Daten so auszulegen ist, dass die betroffene Person eine genaue und verständliche Wiedergabe aller personenbezogenen Daten erhält. Dies kann Auszüge oder ganze Dokumente sowie Auszüge aus Datenbanken umfassen, wenn dies für die wirksame Ausübung der Rechte der betroffenen Person unerlässlich ist. Dabei sind die Rechte und Freiheiten anderer Personen zu berücksichtigen.

Der EuGH betonte, dass der Begriff “Information” in Artikel 15 Absatz 3 DSGVO ausschließlich personenbezogene Daten umfasst und dass die Kopie alle verarbeiteten personenbezogenen Daten enthalten muss. Zweck dieses Rechts ist es, die betroffene Person in die Lage zu versetzen, die Richtigkeit und Rechtmäßigkeit der Verarbeitung ihrer Daten zu überprüfen.

Der EuGH fügte hinzu, dass die verantwortlichen Stellen sicherstellen müssen, dass alle Informationen genau, transparent, verständlich und leicht zugänglich sind und in einer klaren und einfachen Sprache erteilt werden. Die Informationen können schriftlich oder in anderer Form, einschließlich elektronischer Form, erteilt werden, es sei denn, die betroffene Person verlangt eine mündliche Mitteilung.

Eine Kopie der Daten ist eine Wiedergabe der verarbeiteten personenbezogenen Daten. Begleitende Dokumente, die den Kontext beschreiben, müssen nur zur Verfügung gestellt werden, wenn dies unerlässlich ist. Die Entscheidung des EuGH bringt somit mehr Klarheit in die Auslegung von Artikel 15 Absatz 3 DSGVO.

Maßnahmenempfehlung

Die Bereitstellung von Informationen ist ein wichtiger Teil der Datenverarbeitung und erfordert eine sorgfältige Planung und Umsetzung. Im Folgenden sind einige bewährte Verfahren für die Auskunftserteilung aufgeführt:

• Legen Sie eine klare Richtlinie für die Bearbeitung von Auskunftsanfragen fest, in der Rollen und Zuständigkeiten, Fristen, Formate, Kosten und Sicherheitsmaßnahmen definiert sind.
• Informieren Sie die betroffenen Personen proaktiv über ihre Auskunftsrechte und wie sie diese ausüben können.
• Stellen Sie sicher, dass Sie die Identität der anfragenden Person überprüfen können, bevor Sie ihr Zugang zu ihren Daten gewähren.
• Geben Sie der anfragenden Person alle Informationen, die sie benötigt, um die Verarbeitung ihrer Daten zu verstehen. Dazu gehören die Zwecke, Kategorien, Empfänger, Speicherdauer und Rechtsgrundlage.
• Stellen Sie die angeforderten Daten in einem gängigen elektronischen Format zur Verfügung, es sei denn, die anfragende Person wünscht etwas anderes.
• Beachten Sie die gesetzlichen Fristen für die Beantwortung von Auskunftsersuchen. Bedenken Sie die anfragende Person über mögliche Verzögerungen oder Ablehnungen zu informieren.
• Respektieren Sie weitere Rechte der anfragenden Person, wie das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung.
• Dokumentieren Sie alle Auskunftsersuchen und deren Bearbeitung zu Beweiszwecken.