Source: https://www.pingdigital.de/blog/2018/11/21/das-auskunftsersuchen-nach-der-datenschutzgrundverordnung-was-versteht-man-unter-einer-kopie-im-sinne-des-art-15-dsgvo/1487
Timestamp: 2018-12-11 07:20:30
Document Index: 109247371

Matched Legal Cases: ['Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15']

Das Auskunftsersuchen nach der Datenschutzgrundverordnung: Was versteht man unter einer „Kopie“ im Sinne des Art. 15 DSGVO? - PinG Privacy in Germany
Das Auskunftsersuchen nach der Datenschutzgrundverordnung: Was versteht man unter einer „Kopie“ im Sinne des Art. 15 DSGVO?
Autor: Seda Dag Erstellt am: 21. November 2018 Rubrik: Auskunftsanspruch, Datenschutzrecht
Mit Inkrafttreten der Datenschutzgrundverordnung am 25.5.2018 haben Betroffene umfangreiche Rechte erhalten. Dabei wurde auch die Wichtigkeit des Auskunftsrechts gesteigert und durch die Einführung des Art. 15 DSGVO zu Gunsten des Betroffenen erheblich erweitert. Durch das Wirksamwerden des neuen Datenschutzrechts hat in Folge die Anzahl der Auskunftsersuchen, die Unternehmen erreichen, erheblich zugenommen. Unternehmen sollten daher stets im Stande sein, die ihnen obliegenden Informationspflichten und Auskunftsrechte der Betroffenen ordnungsgemäß zu erfüllen. Eine professionelle Planung sowie ein angemessenes Budget sind unerlässlich für die Umsetzung des neuen Datenschutzrechts. Bei einem Verstoß gegen die Auskunftspflicht drohen hohe Bußgelder, sodass ein Auskunftsersuchen innerhalb der vorgesehenen Frist stets erteilt werden sollte. Doch welche Daten umfasst das Auskunftsersuchen und ist der Verantwortliche dazu verpflichtet dem Betroffenen eine Kopie aller gespeicherten Daten zu übersenden? Der Beitrag soll dem Leser einen Überblick über die Reichweite der „Kopie“ i.S.d. Art. 15 DSGVO geben und Betroffenen Rechtssicherheit bei der Auskunftserteilung verschaffen.
Das wohl elementarste Betroffenenrecht innerhalb der Datenschutzgrundverordnung stellt das Auskunftsrecht dar. Als zentrales Recht zur Schaffung von Transparenz ist es in vielerlei Hinsicht bedeutsam für den Betroffenen. Es soll sicherstellen, dass die betroffene Person Kenntnis darüber erlangt, ob überhaupt Daten, die sie betreffen, verarbeitet werden. Wenn dies der Fall ist, soll sie erfahren können, um welche Daten es sich genau handelt. Das Auskunftsrecht ist somit in zwei verschiedene Stufen untergliedert, das „Ob“ und das „Wie“.
Wie auch nach der alten Rechtslage, können Betroffene mit einem formlosen Antrag und ohne Begründung von dem Verantwortlichen die Auskunft über ihre gespeicherten personenbezogenen Daten verlangen. Ein solcher Auskunftsanspruch erleichtert es dem Betroffenen regelmäßig damit einhergehende Rechte, wie die Löschung, Berichtigung oder Einschränkung geltend zu machen.
Bei einem Auskunftsersuchen ist zunächst grundsätzlich Auskunft über Art, Inhalt und Zweck der gespeicherten Daten zu erteilen. Auf Verlangen hat der Verantwortliche dem Betroffenen überdies Informationen über den Verarbeitungszweck, die Kategorien personenbezogener Daten, die verarbeitet werden, die geplante Speicherdauer, die Empfänger der personenbezogenen Daten sowie das Bestehen eines Rechts auf Berichtigung oder Löschung der betreffenden Daten bereitzustellen.
a) „Kopie“ i.S.d. Art. 15 Abs. 3 DSGVO
Zusätzlich zu dem Auskunftsrecht gewährt Art. 15 Abs. 3 DSGVO dem Betroffenen das Recht, von dem Verantwortlichen eine „Kopie“ aller verarbeiteten Daten zu verlangen. Gegenstand des Anspruchs stellen die Daten dar, die dem Verantwortlichen zum Zeitpunkt der Auskunftserteilung über die betroffene Person vorliegen. Gemeint sind dabei jedoch nur die aktuell noch vorhandenen personenbezogenen Daten. Die Auskunftspflicht erstreckt sich nicht vergangenheitsbezogen auf bereits gelöschte Daten.
Darüber hinaus stellt sich die Frage, ob der Verantwortliche bei jedem Auskunftsersuchen auch automatisch eine Kopie aller Daten bereitstellen muss und welcher Umfang einem solchen Recht auf eine Kopie zukommt.
b) Umfang der Datenkopie
Die Vorschrift des Art. 15 Abs. 3 S. 1 DSGVO ordnet zwar an, dass der Verantwortliche eine „Kopie“ der Daten an den Betroffenen zur Verfügung stellen muss. Umstritten sind allerdings der Umfang der zu kopierenden Daten und die Reichweite dieser Vorschrift.
Einerseits wird vertreten, dass mit der „Kopie“ die gem. Art. 15 Abs. 1 DSGVO in Bezug auf die personenbezogenen Daten zu erteilende Auskunft gemeint ist. Die Kopie sei keine Sonderform, sondern der Grundtatbestand der Auskunftserteilung. Begründet wird dies damit, dass die in Art. 15 Abs. 4 DSGVO angeordnete Abwägung mit den Rechten und Freiheiten Dritter nicht nur für das Recht auf Erhalt einer Kopie gem. Art. 15 Abs. 3 DSGVO gelte, sondern auch für das Auskunftsrecht generell, was auch in Erwägungsgrund 63 verdeutlicht werde.
Andere Ansichten gehen davon aus, dass Art. 15 Abs. 3 DSGVO eine zusätzlich zur Auskunftspflicht bestehende Herausgabepflicht statuiert. Somit ist die Herausgabepflicht von der Auskunftspflicht zu unterscheiden, sodass beide Rechte selbstständig nebeneinanderstehen und unabhängig voneinander vom Betroffenen geltend gemacht werden können.
Der Wortlaut des Art. 15 Abs. 3 DSGVO bezieht sich ausdrücklich auf die „Daten, die Gegenstand der Verarbeitung sind“. Diese Beschreibung legt nahe, dass der Verantwortliche dem Betroffenen nur solche Daten preisgeben muss, die zu den Stammdaten oder den Stammakten zählen. Das bedeutet, dass solche Daten, die nicht Gegenstand der Verarbeitung sind, weil ihre Aufbewahrung beispielsweise lediglich zu Datenschutz- oder Datensicherungszwecken erfolgt, nicht preisgegeben werden müssen. Art. 15 Abs. 3 DSGVO ist demnach so zu verstehen, dass dem Betroffenen die Rohdaten herauszugeben sind, ohne dass der Verantwortliche die Daten in irgendeiner Form aufarbeitet. Die Datenkopie soll dem Betroffenen einen vollständigen und nicht manipulierten Eindruck vermitteln, welche Daten über ihn selbst vom Verantwortlichen verarbeitet bzw. gespeichert werden. Allerdings ist eine Kopie der Daten, die auf einem komplizierten Verarbeitungsvorgang beruhen, nicht immer verständlich und für die betroffene Person nachvollziehbar. In einem solchen Fall kann es erforderlich und gerechtfertigt sein dem Betroffenen eine erläuterte und aufbereitete Auskunft herauszugeben.
Darüber hinaus ist unklar, ob sich das Recht auf Herausgabe von Kopien ausschließlich auf die Herausgabe von personenbezogenen Daten bezieht oder auch die Informationen nach Art. 15 Abs. 1 HS 2 lit. a-h DSGVO umfasst. Grundsätzlich geht das Begriffsverständnis hinsichtlich Daten und Informationen auseinander. Während personenbezogene Daten persönliche oder sachliche Einzelangaben über natürliche Personen Darstellen, ist der Begriff der Informationen viel weiter gefasst und umfasst Arbeitsweisen, Verfahren und Vorgänge.
Art. 15 DSGVO verwendet den Begriff der Information in Art. 15 Abs. 3 S. 3 DSGO jedoch gleichbedeutend mit dem des personenbezogenen Datums. Man könnte meinen, dass die Datenschutzgrundverordnung die personenbezogenen Daten mit den Informationen gleichstellt, sodass beides herauszugeben ist. Nach dem Wortlaut von Art. 15 Abs. 1 S. 1 DSGVO („Kopie der personenbezogenen Daten“) dagegen, müssen Kopien nur in Bezug auf die personenbezogenen Daten, nicht jedoch in Bezug auf die allgemeinen Informationen nach Art. 15 Abs. 1 lit a bis lit h DSGVO herausgegeben werden. Dass Art. 15 Abs. 3 S. 3 dagegen verlangt, dass die „Informationen“ bereitzustellen sind, stellt keine Nachlässigkeit der Gesetzgeber dar. Vielmehr ist es Ziel der Vorschrift, „die Form festzulegen, in der über die „eigentlichen“ personenbezogenen Daten hinaus die zugehörigen Metadaten zur Verfügung zu stellen sind“.
Ergänzend zum allgemeinen Auskunftsrecht, soll der Betroffenen die Möglichkeit erhalten, mithilfe der erlangten Daten prüfen zu können, ob die Verarbeitung seiner personenbezogenen Daten rechtmäßig ist.
c) Einschränkung der Herausgabepflicht
Würde man annehmen, Art. 15 Abs. 3 DSGVO begründe einen Auskunftsanspruch über die Gesamtheit der vorhandenen Daten eines Betroffenen, wäre mit einem erheblichen und meist nicht umsetzbaren Aufwand für die Unternehmen zu rechnen, da solche umfangreichen Datenbanken, die eine Herausgabe des kompletten Datenbestands ermöglichen, in der Regel nicht existieren.
Daher erscheint ein enges Verständnis der „Kopie“ i.S.d. Art. 15 Abs. 1 DSGVO und eine Einschränkung der Herausgabepflicht geboten. Sofern sich das Auskunftsersuchen des Betroffenen auf eine große Datenmenge bezieht, empfiehlt es sich stets per Rückfrage beim Betroffenen möglichst eine Präzisierung oder Einschränkung zu erzielen (vgl. Erwägungsgrund 63). Dennoch ist der Betroffene nicht verpflichtet, diesem Wunsch nachzugehen und kann weiterhin die Herausgabe aller Daten verlangen.
Das Auskunftsrecht des Betroffenen ist auch dann ausgeschlossen, wenn die Auskunftserteilung einen unverhältnismäßigen Aufwand für den Verantwortlichen erfordern würde. Allerdings ist zu beachten, dass die Anforderungen an die Unverhältnismäßigkeit bei einem Transparenzrecht hoch sind und regelmäßig eine Abwägung im Einzelfall erfordern. Für viele Unternehmen wäre es beinahe unmöglich, wenn ihnen die Pflicht zukommen würde, Daten, die zu Backup-Zwecken erstellt wurden, filtern und durchsuchen zu müssen, um sie dem Betroffenen als Kopie zukommen zu lassen. Der Anspruch ist auch nicht so weitreichend, dass eine Herausgabe der gesamten Datenbankstrukturen mit sämtlichen Informationen zu dem Betroffenen erfordert wird, da dies weder technisch umsetzbar, noch für den Betroffenen aussagekräftigt ist.
Daher ist anzunehmen, dass dem Betroffenen einzelne Stammdaten zur Verfügung gestellt werden müssen, nicht jedoch etwa die Gesamtheit der mit der betroffenen Person geführten E-Mail-Korrespondenz oder Kopien sämtlicher mit der betroffenen Person getätigten geschäftlichen Vorgänge. Gerade im Hinblick auf die damit verbundenen Kosten und Aufwände wäre eine umfassende Herausgabepflicht des Betroffenen kaum vereinbar und zudem auch nicht verhältnismäßig.
Darüber hinaus sind bei der Herausgabe von Kopien die Rechte und Freiheiten anderer Personen gem. Art. 15 Abs. 4 DSGVO zu berücksichtigen. Neben Daten Dritter, die eine solche Kopie beinhalten kann, können auch Rechte des Eigentums und Geschäftsgeheimnisse des Verantwortlichen mit dem Herausgabeanspruch des Betroffenen kollidieren. Insbesondere muss bei der Herausgabe der Kopie beachtet werden, dass es nicht zu einer Verletzung der Urheberrechte an Software kommt. Doch ist festzuhalten, dass der Schutz der Rechte und Freiheiten anderer Personen nicht absolut ist und jegliche Verweigerung der Herausgabe von Kopien gerechtfertigt. Inwieweit fremde Recht der Informationserteilung entgegenstehen ist nach dem Einzelfall unter Abwägung beiderseitiger Interessen und einer Güterabwägung zu beurteilen.
Die Form der Kopie muss der Form entsprechen, die der Betroffene für die Informationserteilung gewählt hat. Stellt die betroffene Person den Antrag elektronisch, so sind die Kopien „in einem gängigen elektronischen Format“ zu erteilen (Art. 15 Abs. 3 S. 2 DSGVO). Was unter einem gängigen elektronischen Format zu verstehen ist wird durch das Gesetz nicht definiert. Eine PDF Datei oder eine Datei im Microsoft Office Format (Word, Excel, PowerPoint) sollten den Anforderungen an ein gängiges elektronisches Format jedoch entsprechen.
Sofern der Betroffene die Informationserteilung über einen schriftlichen Antrag auf Papier erfordert, wird auch die Kopien dem Betroffenen in Papierform übergeben werden müssen. Auf Verlangen des Betroffenen, kann die Kopie jedoch auch in einer anderen Form bereitgestellt werden. Der Verantwortliche ist dann dazu verpflichtet, diesem Wunsch zu entsprechen.
Darüber hinaus kann der Verantwortliche seiner Verpflichtung der Datenkopie gem. ErwGr. 63 S. 4 nachkommen, indem er der betroffenen Person einen Fernzugang ermöglicht. Eine Pflicht dazu besteht jedoch nicht, vielmehr ermöglicht Erwägungsgrund 63 S. 4 mithilfe der Einrichtung eines Fernzugriffs für den Betroffenen diesem den Zugang zu seinen Daten zu erleichtern und seinen Interessen gerecht zu werden. Auch kommt die Bereitstellung eines Fernzugriffs nur in Betracht, wenn der Betroffene eine technische Ausstattung zur Nutzung des Fernzugriffs besitzt.
Zusammenfassend lässt sich festhalten, dass das Verständnis der „Kopie“ i.S.d. Art. 15 Abs. 3 DSGVO eng auszulegen ist. Auch wenn sich der Schwerpunkt des Datenschutzrechtes in den letzten Jahren in Richtung des Verbraucherschutzes verlagert hat, heißt das nicht, dass die Rechte der Verantwortlichen außen vor stehen. Somit sind die Interessen des Verantwortlichen und der betroffenen Person bei der Beurteilung, welche Datenkopien herausgegeben werden sollen, gegeneinander abzuwägen.
Die Informationserteilung in Form der Kopie kann jedoch grundsätzlich nicht eine vollständige Herausgabe der Datenbank mit den gesamten Informationen, einschließlich der gesamten E-Mail Kommunikation zu dem Betroffenen beinhalten. Eine solche umfangreiche Informationsweitergabe ist für die meisten Unternehmen weder technisch möglich, noch nützt sie dem Betroffenen etwas. Eine solche Belastung kann Unternehmen somit nicht zugemutet werden und steht in einem unverhältnismäßigen Aufwand zu dem Auskunftsrecht des Betroffenen.
Rubrik: Auskunftsanspruch, Datenschutzrecht Stichwörter: Auskunftsrecht, Datenkopie