SCHLUSSANTRÄGE DES GENERALANWALTS
GIOVANNI PITRUZZELLA
vom 15. Dezember 2022(1)
Rechtssache C‑487/21
F. F.,
Beteiligte:
Österreichische Datenschutzbehörde,
CRIF GmbH
(Vorabentscheidungsersuchen des Bundesverwaltungsgerichts [Österreich])
„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 15 Abs. 3 – Recht der betroffenen Person auf Auskunft über die personenbezogenen Daten, die Gegenstand der Verarbeitung sind – Recht auf Erhalt einer Kopie der personenbezogenen Daten – Begriff ‚Kopie‘ – Begriff ‚Informationen‘“
1. Welchen Inhalt und welche Tragweite hat das Recht der betroffenen Person, die Auskunft über ihre personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält, eine Kopie von diesen Daten zu erhalten, wie es in Art. 15 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)(2) (im Folgenden: DSGVO) vorgesehen ist? Welche Bedeutung hat der Begriff „Kopie“ und wie ist dieses Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, mit dem Recht auf Auskunft nach Abs. 1 dieses Artikels verknüpft?
2. Dies sind im Wesentlichen die wichtigsten Fragen, die sich in der Rechtssache stellen, die Gegenstand der vorliegenden Schlussanträge ist und ein Vorabentscheidungsersuchen des Bundesverwaltungsgerichts (Österreich) zur Auslegung von Art. 15 Abs. 3 DSGVO betrifft.
3. Dieses Vorabentscheidungsersuchen ergeht im Rahmen eines Rechtsstreits zwischen Herrn F. F. und der österreichischen Datenschutzbehörde über die Rechtmäßigkeit der Ablehnung des Antrags von Herrn F. F. durch die Datenschutzbehörde, einer Unternehmensberatungsagentur, die seine personenbezogenen Daten verarbeitet hatte, aufzugeben, Dokumente und Auszüge aus einer Datenbank mit diesen personenbezogenen Daten vorzulegen.
4. Die vorliegende Rechtssache gibt dem Gerichtshof erstmals Gelegenheit, Art. 15 Abs. 3 DSGVO auszulegen und die Modalitäten der Ausübung des Rechts auf Auskunft über die eigenen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, nach Art. 15 DSGVO zu klären.
I. Rechtlicher Rahmen
5. Im 63. Erwägungsgrund DSGVO heißt es:
„Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene[r] Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. …“
6. Art. 4 Nrn. 1 und 2 DSGVO bestimmt:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung“.
7. Art. 12 („Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person“) Abs. 1 DSGVO sieht vor:
„Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.“
8. Art. 15 („Auskunftsrecht der betroffenen Person“) DSGVO bestimmt:
„(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
…
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“
II. Sachverhalt, Ausgangsverfahren und Vorlagefragen
9. Die CRIF GmbH ist eine Unternehmensberatungsagentur, die auf Verlangen ihrer Kunden Informationen über die Zahlungsfähigkeit Dritter liefert. Zu diesem Zweck verarbeitete sie die personenbezogenen Daten des Beschwerdeführers des beim vorlegenden Gericht anhängigen Ausgangsverfahrens.
10. Am 20. Dezember 2018 wandte sich der Beschwerdeführer an diese Agentur, um u. a. Informationen über seine personenbezogenen Daten, die Gegenstand der Verarbeitung waren, nach Art. 15 DSGVO zu erhalten, und beantragte insbesondere, eine Kopie dieser Daten in einem üblichen technischen Format zu erhalten.
11. Die Agentur erteilte auf dieses Ersuchen hin teilweise die angeforderten Auskünfte in einer aggregierten Form, wobei sie die zur Person des Beschwerdeführers des Ausgangsverfahrens gespeicherten Daten einerseits in einer nach Name, Geburtsdatum, Straße, Postleitzahl und Ort gegliederten Tabelle und andererseits in einer Übersicht betreffend unternehmerische Funktionen und Vertretungsbefugnisse wiedergab. Andere Unterlagen wie E‑Mails oder Datenbankauszüge wurden hingegen nicht übermittelt.
12. Am 16. Januar 2019 legte der Beschwerdeführer des Ausgangsverfahrens bei der österreichischen Datenschutzbehörde eine Beschwerde ein, mit der er geltend machte, dass die Beantwortung seines Auskunftsbegehrens unvollständig sei und dass ihm der Verantwortliche eine Kopie aller Dokumente einschließlich der E‑Mails und Auszüge aus den Datenbanken, die seine personenbezogenen Daten enthielten, hätte übermitteln müssen.
13. Mit Entscheidung vom 11. September 2019 wies die österreichische Datenschutzbehörde die Beschwerde mit der Begründung zurück, dass der für die Verarbeitung Verantwortliche das Recht auf Auskunft zu den personenbezogenen Daten des Beschwerdeführers nicht verletzt habe.
14. Das vorlegende Gericht, bei dem die Beschwerde gegen diese Entscheidung anhängig ist, hat Zweifel hinsichtlich der Tragweite des Rechts der betroffenen Person, Kopien der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, nach Art. 15 Abs. 3 Satz 1 DSGVO zu erhalten.
15. Das vorlegende Gericht hat festzustellen, ob die Übermittlung der personenbezogenen Daten des Beschwerdeführers an diesen in Form einer Tabelle und einer zusammenfassenden Übersicht, die in der Antwort der Agentur auf den Antrag auf Auskunft enthalten sind, den Anforderungen von Art. 15 Abs. 3 DSGVO genügt oder ob der Beschwerdeführer nach dieser Bestimmung berechtigt ist, eine Kopie seiner personenbezogenen Daten, die Gegenstand der Verarbeitung waren, nicht aus ihrem Zusammenhang gelöst, sondern in Form von Kopien oder Auszügen aus etwaiger Korrespondenz oder Inhalten von Datenbanken oder entsprechender Dokumentation zu erhalten.
16. In diesem Zusammenhang ersucht das vorlegende Gericht erstens um Erläuterungen zur genauen Bedeutung des Begriffs „Kopie“ der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, im Sinne von Art. 15 Abs. 3 Satz 1 DSGVO.
17. Zweitens möchte das vorlegende Gericht wissen, ob Art. 15 Abs. 3 DSGVO eine Konkretisierung des allgemeinen Auskunftsrechts nach Abs. 1 dieses Artikels darstellt, der festlegt, wie die betroffene Person Auskunft über ihre personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten hat, oder ob diese Bestimmung, die über das in Abs. 1 vorgesehene Auskunftsrecht hinausgeht, einen eigenen Anspruch auf Erhalt von Fotokopien, Faksimiles, Tabellen oder elektronischen Datenbankauszügen oder auf Kopie ganzer Dokumente und Unterlagen, in denen personenbezogene Daten der betroffenen Person vorkommen, vorsieht.
18. Drittens fragt sich das Gericht im Fall einer engen Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO dahin, dass der Begriff „Kopie“ kein Recht auf Übermittlung von Fotokopien, Dokumenten oder Auszügen aus Datenbanken voraussetzt, ob es in Anbetracht der möglichen verschiedenen Arten von Daten, die Gegenstand einer Verarbeitung sein können, und des in Art. 12 Abs. 1 DSGVO vorgesehenen Grundsatzes der Transparenz im Einzelfall dennoch, bedingt durch die Art der verarbeiteten Daten, eine Verpflichtung des Verantwortlichen geben kann, auch Textpassagen oder Kopien von Dokumenten zur Verfügung zu stellen.
19. Viertens möchte das vorlegende Gericht schließlich wissen, ob sich der Begriff „Informationen“ in Art. 15 Abs. 3 Satz 3 DSGVO nur auf die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, im Sinne von Art. 15 Abs. 3 Satz 1 bezieht oder ob er über diese hinausgeht, indem er auch die in Art. 15 Abs. 1 Buchst. a bis h DSGVO genannten Informationen einschließt oder darüber hinaus auch beispielsweise dazugehörende Metadaten erfasst.
20. Unter diesen Umständen hat das Bundesverwaltungsgericht (Österreich) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:
1. Ist der Begriff der „Kopie“ in Art. 15 Abs. 3 DSGVO dahin gehend auszulegen, dass damit eine Fotokopie bzw. ein Faksimile oder eine elektronische Kopie eines (elektronischen) Datums gemeint ist, oder fällt dem Begriffsverständnis deutscher, französischer und englischer Wörterbücher folgend unter den Begriff auch eine „Abschrift“, ein „double“ („duplicata“) oder ein „transcript“?
2. Ist Art. 15 Abs. 3 Satz 1 DSGVO, wonach „der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt, dahin gehend auszulegen, dass darin ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie – auch – gesamter Dokumente enthalten ist, in denen personenbezogene Daten der betroffenen Person verarbeitet werden, bzw. auf Ausfolgung einer Kopie eines Datenbankauszuges bei Verarbeitung der personenbezogenen Daten in einer solchen, oder besteht damit – nur – ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten?
3. Für den Fall, dass die Frage 2 dahin gehend beantwortet wird, dass nur ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten besteht, ist Art. 15 Abs. 3 Satz 1 DSGVO dahin gehend auszulegen, dass es, bedingt durch die Art der verarbeiteten Daten (zum Beispiel in Bezug auf die im 63. Erwägungsgrund DSGVO angeführten Diagnosen, Untersuchungsergebnisse, Befunde oder auch Unterlagen im Zusammenhang mit einer Prüfung im Sinne des Urteils des Gerichtshofs in der Rechtssache Nowak(3)) und das Transparenzgebot in Art. 12 Abs. 1 DSGVO, im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen?
4. Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit allein die in Art. 15 Abs. 3 Satz 1 genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ gemeint sind?
a) Falls die Frage 4 verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art. 15 Abs. 1 Buchst. a bis h DSGVO gemeint sind?
b) Falls auch die Frage 4.a verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 Buchst. a bis h DSGVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?
III. Rechtliche Würdigung
A. Zur ersten, zur zweiten und zur dritten Vorlagefrage
21. Mit seinen ersten drei Vorlagefragen, die meines Erachtens zusammen zu behandeln sind, legt das vorlegende Gericht dem Gerichtshof drei Fragen zur Bestimmung der Tragweite von Art. 15 Abs. 3 Satz 1 DSGVO vor, wonach „[d]er Verantwortliche … eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung [stellt]“.
22. Mit der ersten Frage soll die genaue Bedeutung des Begriffs „Kopie“ in dieser Bestimmung geklärt werden. Mit der zweiten Frage soll geklärt werden, welche Tragweite das der betroffenen Person durch diese Bestimmung verliehene Recht hat. Das vorlegende Gericht fragt sich insbesondere, ob diese Bestimmung das Recht auf Erhalt einer Kopie auch der Dokumente – oder von Auszügen aus Datenbanken –, in denen die personenbezogenen Daten verarbeitet werden, verleiht oder ob sie sich darauf beschränkt, das bloße Recht auf Erhalt einer originalgetreuen Reproduktion der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu gewähren. Im letztgenannten Fall geht es bei der dritten Frage darum, ob es je nach Art der verarbeiteten Daten und nach dem Grundsatz der Transparenz im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente zur Verfügung zu stellen.
23. Aus der Vorlageentscheidung geht hervor, dass die Tragweite von Art. 15 Abs. 3 Satz 1 DSGVO eine Frage ist, die sowohl in der Lehre als auch in der Rechtsprechung der nationalen Gerichte zumindest in Österreich und Deutschland umstritten ist(4). Aus dieser Entscheidung geht hervor, dass einander insoweit zwei Auffassungen gegenüberstehen: zum einen eine enge Auslegung der in Rede stehenden Bestimmung, nach der sie sich darauf beschränkt, die Modalitäten des Auskunftsrechts zu spezifizieren, und kein eigenständiges Recht auf Erhalt von Dokumenten oder ähnliches umfasst, und zum anderen eine weite Auslegung, wonach diese Bestimmung dagegen einen Anspruch auf Erhalt einer Kopie der Dokumente oder sonstigen Datenträger begründet, auf denen die personenbezogenen Daten verarbeitet werden. Nach der letztgenannten Auffassung stellt das Recht auf Erhalt einer Kopie der Dokumente ein eigenständiges Recht neben dem Recht auf Auskunft nach Art. 15 Abs. 1 DSGVO dar. Dass die Tragweite der in Rede stehenden Bestimmung umstritten ist, wird dadurch bestätigt, dass die Beteiligten, die Erklärungen vor dem Gerichtshof abgegeben haben, hierzu ebenfalls unterschiedliche Standpunkte vertreten(5).
24. Unter diesen Umständen ist, um auf die ersten drei Vorlagefragen des vorlegenden Gerichts antworten zu können, Art. 15 Abs. 3 Satz 1 DSGVO auszulegen.
25. Insoweit ist darauf hinzuweisen, dass nach ständiger Rechtsprechung bei der Auslegung einer unionsrechtlichen Vorschrift nicht nur deren Wortlaut, sondern auch ihr Kontext und die Ziele zu berücksichtigen sind, die mit der Regelung, zu der sie gehört, verfolgt werden(6).
26. Ferner ist festzustellen, dass die Bestimmungen der DSGVO, da sie die Verarbeitung personenbezogener Daten regeln, die zu Beeinträchtigungen der Grundfreiheiten und insbesondere des Rechts auf Achtung des Privatlebens führen kann, notwendigerweise im Licht der durch die Charta garantierten Grundrechte auszulegen sind(7).
1. Analyse des Wortlauts
27. Zunächst ist zum Wortlaut von Art. 15 Abs. 3 Satz 1 DSGVO festzustellen, dass diese Bestimmung der betroffenen Person das Recht verleiht, vom für die Verarbeitung Verantwortlichen „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zu erhalten. In wörtlicher Hinsicht bezieht sich diese Formulierung auf drei verschiedene Begriffe, nämlich: den Begriff „Kopie“, den Begriff „personenbezogene Daten“ und den Begriff „Gegenstand der Verarbeitung“.
28. Was erstens den Begriff „Kopie“ angeht, dessen Tragweite in der ersten Vorlagefrage speziell angesprochen wird, ist darauf hinzuweisen, dass die DSGVO, wie mehrere betroffene Personen, die vor dem Gerichtshof Erklärungen abgegeben haben, ausgeführt haben, keine spezifische Definition dieses Begriffs enthält.
29. In diesem Kontext ergibt sich aus ständiger Rechtsprechung, dass Bedeutung und Tragweite von Begriffen, die das Unionsrecht nicht definiert, entsprechend ihrem üblichen Sinn nach dem gewöhnlichen Sprachgebrauch und unter Berücksichtigung des Zusammenhangs, in dem sie verwendet werden, und der Ziele, die mit der Regelung, zu der sie gehören, verfolgt werden, zu bestimmen sind(8).
30. Aus rein terminologischer Sicht bezeichnet der Ausdruck „Kopie“ im gewöhnlichen Sprachgebrauch die originalgetreue Reproduktion oder Abschrift(9). Außerdem zeigt eine Analyse der verschiedenen Sprachfassungen der DSGVO, dass in den meisten anderen Amtssprachen der Union der dem italienischen Begriff „copia“ entsprechende Begriff verwendet wird, wie z. B. „copy“ im Englischen, „Kopie“ im Deutschen, „copie“ im Französischen oder „copia“ im Spanischen(10).
31. Die fragliche Bestimmung legt im Übrigen ausdrücklich dar, dass die Kopie, die der für die Verarbeitung Verantwortliche der betroffenen Person zur Verfügung stellen muss, die Kopie der „personenbezogenen Daten“ ist, die Gegenstand der Verarbeitung sind.
32. Insoweit ist zweitens darauf hinzuweisen, dass die DSGVO anders als es beim Begriff „Kopie“ der Fall ist, eine ausdrückliche Definition des Begriffs „personenbezogene Daten“ in Art. 4 Nr. 1 dieser Verordnung enthält, wonach personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen“, sind.
33. Die Tragweite des Begriffs „personenbezogene Daten“, die sich aus dieser Definition ergibt, ist sehr weit. Wie sich nämlich aus der Rechtsprechung des Gerichtshofs ergibt, kommt in der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Bestimmung dieses Begriffs das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen(11).
34. Sodann ergibt sich aus der Rechtsprechung, dass der Begriff der personenbezogenen Daten nicht auf sensible oder private Informationen beschränkt ist, sondern potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist(12).
35. Eine weite Bedeutung des Begriffs personenbezogene Daten ist im Übrigen im Hinblick auf die Vielfalt der Arten und Formen, die die Informationen über eine Person annehmen können und die schutzwürdig sein können, sowie im Licht der Vielfalt der Träger, auf denen diese Informationen enthalten sein können, erforderlich.
36. Die Analyse der Rechtsprechung zeigt, dass der Gerichtshof eine Vielfalt von Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, als unter den Begriff „personenbezogene Daten“ im Sinne von Art. 4 Nr. 1 DSGVO fallend angesehen hat. Neben den Angaben, die die Kommission in ihren Erklärungen als „übliche Daten“ definiert hat, nämlich die Angaben über die Personalien wie Vor- und Nachnamen(13), Geburtsdatum, Staatsangehörigkeit, Geschlecht, ethnische Zugehörigkeit, Religion und Sprache einer Person, die durch ihren Namen identifizierbar ist(14), hat der Gerichtshof festgestellt, dass der Begriff der personenbezogenen Daten andere Arten von Informationen umfasst, wie z. B. Informationen über ein zum Verkauf angebotenes Auto sowie die Telefonnummer des Verkäufers dieses Autos(15), oder die Daten, die in Aufzeichnungen über die Arbeitszeiten enthalten sind und die tägliche Arbeitszeit und die Ruhezeiten der einzelnen Arbeitnehmer betreffen(16), das von einer Kamera aufgezeichnete Bild einer Person, sofern es die Identifikation der betroffenen Person ermöglicht(17), die schriftlichen Antworten eines Prüflings in einer berufsbezogenen Prüfung und die Anmerkungen des Prüfers dazu(18) oder auch die Informationen über Strafpunkte, die sich auf eine bestimmte natürliche Person beziehen(19).
37. Die weite Bedeutung des Begriffs der personenbezogenen Daten, die sich aus der Definition in Art. 4 Nr. 1 DSGVO ergibt, die in der Rechtsprechung anerkannt ist und im Zusammenhang mit dem von der DSGVO verfolgten Ziel steht, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten(20), bedeutet, dass dieser Begriff und damit das Recht auf Auskunft über diese Daten und auf Erhalt einer Kopie dieser Daten nicht ausschließlich auf Daten beschränkt ist, die von einem Verantwortlichen erhoben, aufbewahrt und verarbeitet werden, sondern auch die weiteren Daten zu umfassen hat, die von diesem Verantwortlichen nach der Verarbeitung möglicherweise erzeugt werden, wenn auch sie Gegenstand der Verarbeitung sind.
38. Wenn nach der Verarbeitung einer Reihe personenbezogener Daten neue, aus dieser Verarbeitung resultierende Informationen über eine identifizierte oder identifizierbare Person erzeugt werden, die als personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO eingestuft werden können, müsste das in Art. 15 Abs. 1 bzw. Abs. 3 Satz 1 DSGVO vorgesehene Recht auf Auskunft zu den personenbezogenen Daten und auf Erhalt einer Kopie daher meines Erachtens auch diese erzeugten Daten umfassen, wenn diese Daten selbst Gegenstand der Verarbeitung sind. Das Recht auf Auskunft zu den Daten und auf Erhalt einer Kopie davon umfasst nämlich alle personenbezogenen Daten der betroffenen Person, die Gegenstand der Verarbeitung sind.
39. Diese Erwägungen sind in einem Fall wie dem vor dem vorlegenden Gericht anhängigen relevant, in dem die Unternehmensberatungsagentur auf der Grundlage von Daten, die aus verschiedenen Quellen erhoben wurden, offenbar eine Empfehlung zur Zahlungsfähigkeit und ‑bereitschaft der betroffenen Person nach Maßgabe der statistischen Wahrscheinlichkeit im Zusammenhang mit einer Reihe von Parametern erarbeitet hat. Eine solche Empfehlung stellt in meinen Augen eine Information dar, die sich auf eine identifizierte natürliche Person bezieht, die somit unter das weite Verständnis von „personenbezogenen Daten“ in Art. 4 Nr. 1 DSGVO und damit auch in den Rahmen des Auskunftsrechts nach Art. 15 Abs. 1 und 3 Satz 1 DSGVO fällt(21).
40. Was drittens den Ausdruck „Gegenstand der Verarbeitung“ in Art. 15 Abs. 3 Satz 1 DSGVO betrifft, ist festzustellen, dass auch der Begriff „Verarbeitung“ in Art. 4 Nr. 2 DSGVO ausdrücklich definiert wird.
41. Nach Art. 4 Nr. 2 dieser Verordnung sind das Erheben, das Abfragen, die Offenlegung durch Übermittlung sowie jede andere Form der Bereitstellung personenbezogener Daten eine „Verarbeitung“ im Sinne dieser Verordnung. Nach der Rechtsprechung ergibt sich aus dem Wortlaut dieser Bestimmung, insbesondere aus dem Ausdruck „jeder Vorgang“, dass der Unionsgesetzgeber den Begriff „Verarbeitung“ weit fassen wollte. Diese Auslegung wird dadurch bestätigt, dass die Aufzählung der Vorgänge in der genannten Bestimmung nicht abschließend ist, was durch die Wendung „wie“ zum Ausdruck kommt(22).
42. In diesem Zusammenhang ergibt sich aus der weiten Bedeutung des Begriffs der Verarbeitung, dass Art. 15 Abs. 3 Satz 1 der betroffenen Person das Recht verleiht, eine Kopie ihrer personenbezogenen Daten zu erhalten, die Gegenstand eines Vorgangs sind, der als „Verarbeitung“ eingestuft werden kann. Wie unten in Nr. 52 näher ausgeführt wird, verleiht diese Bestimmung als solche jedoch kein Recht, andere als die in Art. 15 Abs. 1 DSGVO genannten spezifischen Informationen über die Verarbeitung der personenbezogenen Daten selbst zu erhalten.
43. Im Ergebnis folgt aus der wörtlichen Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO, dass diese Bestimmung der betroffenen Person das Recht verleiht, eine Kopie ihrer personenbezogenen Daten im Sinne einer weiten Bedeutung zu erhalten, die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden können.
44. Diese Analyse des Wortlauts lässt die Feststellung zu, dass die „Kopie der personenbezogenen Daten“ eine getreue Wiedergabe dieser Daten sein muss. Die Vielfalt der Arten von Daten, die Gegenstand der Verarbeitung sein können, bedeutet jedoch, dass je nach Art der verarbeiteten Daten und der Art der Verarbeitung eine Kopie dieser Daten verschiedene Formate wie Papierform, Audio- oder Videoaufzeichnungen, elektronisches Format oder andere Formate aufweisen kann. Wichtig ist, dass die Kopie dieser Daten wortgetreu ist und es der betroffenen Person ermöglicht, volle Kenntnis von allen Daten zu erlangen, die Gegenstand der Verarbeitung sind. Eine etwaige Zusammenstellung der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, muss diese Daten originalgetreu und verständlich wiedergeben und im Übrigen den Inhalt der zu übermittelnden Daten nicht beeinflussen. Die Entscheidung des für die Verarbeitung Verantwortlichen, so weit wie möglich eine Zusammenstellung der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu übermitteln, kann es daher nicht rechtfertigen, dass bestimmte Daten weggelassen oder unvollständig weitergegeben werden oder nicht die Realität der Verarbeitung widerspiegeln.
45. Außerdem garantiert die in Rede stehende Bestimmung der betroffenen Person das Recht, eine Kopie aller ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten und somit nicht nur der erhobenen Daten, sondern auch von etwaigen vom Verantwortlichen erzeugten personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Da sich diese Bestimmung jedoch ausschließlich auf Kopien der personenbezogenen Daten bezieht, kann sie zum einen kein Recht auf Zugang zu Informationen begründen, die nicht als solche eingestuft werden können, und verleiht zum anderen nicht – zwangsläufig – ein Recht auf Erhalt von Kopien von Dokumenten oder anderen Trägern, die personenbezogene Daten enthalten.
46. Diese Erwägungen sind im Übrigen durch eine Analyse des Kontexts, in den sich diese Bestimmung einfügt, sowie durch die Ziele zu ergänzen, die mit dem in Art. 15 DSGVO garantierten Recht auf Auskunft verfolgt werden.
2. Systematische und teleologische Analyse
47. Was den Kontext betrifft, in den sich die in Rede stehende Bestimmung einfügt, ist zunächst darauf hinzuweisen, dass sie in Art. 15 DSGVO enthalten ist, der das Recht der betroffenen Person regelt, vom Verantwortlichen Auskunft über sie betreffende und der Verarbeitung unterliegende personenbezogene Daten zu erhalten. Dieser Artikel konkretisiert und spezifiziert in der DSGVO das in Art. 8 Abs. 2 Satz 2 der Charta der Grundrechte der Europäischen Union verankerte Recht einer jeden Person, Auskunft über die sie betreffenden Daten zu erhalten(23).
48. Was die Struktur von Art. 15 DSGVO angeht, so sieht sein Abs. 1 vor, dass die betroffene Person das Recht hat, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob seine personenbezogenen Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in den Buchst. a bis h angeführten Informationen. Diese Bestimmung konkretisiert somit das Recht auf Auskunft über personenbezogene Daten und damit zusammenhängende Informationen, indem sie den genauen Gegenstand und den Anwendungsbereich des Auskunftsrechts festlegt.
49. Dagegen regelt Art. 15 Abs. 3 DSGVO die Modalitäten der Ausübung dieses Rechts, indem er u. a. die Form festlegt, in der der für die Verarbeitung Verantwortliche die personenbezogenen Daten der betroffenen Person zur Verfügung zu stellen hat, nämlich in Form einer Kopie und damit einer getreuen Wiedergabe der Daten.
50. Aus der soeben dargestellten Struktur von Art. 15 DSGVO sowie aus dem Erfordernis, dass die Abs. 1 und 3 dieses Artikels kohärent ausgelegt werden müssen, ergibt sich, dass Art. 15 Abs. 3 den Gegenstand und den Anwendungsbereich des durch Abs. 1 konkretisierten Rechts auf Auskunft nicht definiert – und daher nicht ändern oder erweitern kann. Abs. 3 kann daher den Umfang der Verpflichtung des Verantwortlichen, Auskunft über Informationen zu gewähren, nicht erweitern. Die Struktur dieses Artikels bestätigt somit, dass Abs. 3 kein eigenständiges Recht der betroffenen Person darauf begründen kann, Informationen zu erhalten, die über die in Abs. 1 der Bestimmung genannten hinausgehen.
51. Insoweit stimme ich mit der österreichischen Datenschutzbehörde überein, wenn sie geltend macht, eine Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO in dem Sinne, dass diese Bestimmung es erlaube, den Bereich der Informationen, zu denen eine betroffene Person Zugang habe, über die Informationen hinaus auszudehnen, die ihre personenbezogenen Daten beträfen, widerspreche Art. 8 Abs. 2 der Charta.
52. Die vorstehende Analyse bestätigt zum einen die oben in Nr. 44 getroffene Feststellung, dass Art. 15 Abs. 3 Satz 1 DSGVO keinen eigenständigen Anspruch auf Erhalt von Kopien von Dokumenten oder anderen Trägern, die personenbezogene Daten enthalten, verleiht. Zum anderen bestätigt sie auch die oben in Nr. 42 vorgenommene Analyse, wonach diese Bestimmung der betroffenen Person kein Recht verleiht, andere als die in Art. 15 Abs. 1 DSGVO(24) genannten Informationen über die Verarbeitung personenbezogener Daten, wie z. B. Informationen zu den für die Verarbeitung personenbezogener Daten verwendeten Kriterien, Modellen, internen (berechnungs- oder sonstigen) Regeln oder Verfahren, zu erhalten. Diese Informationen werden im Übrigen oft von Rechten des geistigen Eigentums erfasst, die in diesem Zusammenhang zu schützen sind, wie sich ausdrücklich aus dem fünften Satz des 63. Erwägungsgrundes ergibt. Gleichwohl sollte, wie sich aus dem 60. Erwägungsgrund DSGVO ergibt, der Verantwortliche der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Darüber hinaus ist auch daran zu erinnern, dass es besondere Regeln für die Fälle automatisierter Entscheidungsfindung, einschließlich Profiling, gibt(25).
53. Ebenfalls in systematischer Hinsicht ist Art. 15 Abs. 3 Satz 1 DSGVO im Licht der anderen einschlägigen Bestimmungen der DSGVO auszulegen. Abgesehen von den oben in den Nrn. 32 bis 41 untersuchten Definitionen in Art. 4 Nrn. 1 und 2 DSGVO ist u. a. Art. 12 Abs. 1 DSGVO relevant, auf den das vorlegende Gericht in seiner dritten Vorlagefrage Bezug nimmt.
54. Aus dieser Bestimmung ergibt sich, dass der Verantwortliche geeignete Maßnahmen zu treffen hat, um der betroffenen Person alle u. a. in Art. 15 DSGVO genannten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, und dass die Übermittlung der Informationen schriftlich oder in anderer Form, gegebenenfalls auch elektronisch erfolgt, es sei denn, die betroffene Person verlangt, dass diese mündlich erteilt werden.
55. Diese Bestimmung, die Ausdruck des Transparenzgrundsatzes(26) ist, soll gewährleisten, dass die betroffene Person in die Lage versetzt wird, die an sie gerichteten Informationen in vollem Umfang zu verstehen. Die gänzliche Verständlichkeit dieser Informationen ist nämlich zum einen für die wirksame Ausübung der in Art. 15 DSGVO garantierten Rechte auf Auskunft erforderlich und zum anderen Voraussetzung für die vollständige Ausübung der anderen der betroffenen Person durch die DSGVO garantierten Rechte, die in den Nrn. 64 und 65 der vorliegenden Schlussanträge genannt sind und die der Ausübung des Auskunftsrechts nachfolgen(27). Im Übrigen geht aus dem 63. Erwägungsgrund DSGVO hervor, dass eine betroffene Person das Auskunftsrecht zu ihren personenbezogenen Daten problemlos und ohne Schwierigkeiten wahrnehmen können sollte.
56. Die Notwendigkeit der Verständlichkeit der Mitteilung der Daten, die es der betroffenen Person ermöglicht, von diesen umfassend Kenntnis zu erlangen und zu prüfen, ob diese Daten richtig sind und dem Unionsrecht gemäß verarbeitet werden, um ihre durch das Unionsrecht verliehenen Rechte auszuüben, wurde im Übrigen vom Gerichtshof bereits in seiner Rechtsprechung zur Richtlinie 95/46 hervorgehoben(28).
57. Dieses Erfordernis der Verständlichkeit der in Art. 15 Abs. 1 Buchst. a bis h DSGVO angeführten Daten und Informationen bedeutet, dass nicht ausgeschlossen ist, dass es in bestimmten Fällen, um der betroffenen Person die gänzliche Verständlichkeit der an sie übermittelten Informationen zu gewährleisten, erforderlich ist, dieser Passagen von Dokumenten oder vollständige Dokumente oder Auszüge aus Datenbanken zu übermitteln. Die Analyse der Notwendigkeit, Dokumente oder Auszüge zur Verfügung zu stellen, um die Verständlichkeit der übermittelten Informationen zu gewährleisten, muss jedoch zwangsläufig von Fall zu Fall anhand der Art der Daten, die Gegenstand des Antrags sind, und des Antrags selbst vorgenommen werden.
58. Insoweit ist jedoch hervorzuheben, dass die etwaige Übermittlung von Dokumenten oder Auszügen aus diesen nicht die Ausübung eines eigenständigen Rechts – gegenüber dem Recht auf Auskunft –, das durch Art. 15 Abs. 3 Satz 1 DSGVO garantiert wird, darstellt, sondern nur eine Modalität der Übermittlung der Kopie der personenbezogenen Daten, die deren gänzliche Verständlichkeit gewährleisten soll. Insoweit weise ich darauf hin, dass es zwar, wie einige betroffene Personen, die vor dem Gerichtshof Erklärungen abgegeben haben, ausgeführt haben, in bestimmten Fällen für ein umfassendes Verständnis der in Rede stehenden personenbezogenen Daten erforderlich ist, den Kontext zu kennen, in dem diese Daten verarbeitet werden. Diese Erwägung ist jedoch nicht geeignet, der betroffenen Person auf der Grundlage der in Rede stehenden Bestimmung ein allgemeines Recht auf Zugang zu Kopien von Dokumenten oder Auszügen aus Datenbanken zu verleihen.
59. Außerdem findet das Recht auf Erhalt einer Kopie der personenbezogenen Daten eine Grenze in dem ausdrücklich in Art. 15 Abs. 4 DSGVO vorgesehenen Erfordernis, „die Rechte und Freiheiten anderer Personen nicht [zu] beeinträchtigen“. Aus dieser Bestimmung ergibt sich, dass das Erfordernis, der betroffenen Person eine vollständige und umfassende Auskunft über ihre personenbezogenen Daten durch die Bereitstellung einer Kopie dieser Daten zu gewährleisten, nicht so weit gehen kann, dass die Rechte und Freiheiten anderer Personen beeinträchtigt werden können.
60. Insoweit weise ich darauf hin, dass dieser Abs. 4 sehr allgemein formuliert ist und die Liste der Rechte und Freiheiten „anderer Personen“, mit denen die Ausübung eines Rechts auf vollständige Auskunft durch den Erhalt einer Kopie der personenbezogenen Daten in Einklang gebracht werden kann, offenlässt. Es ist jedoch davon auszugehen, dass diese Rechte, wie sich ausdrücklich aus dem 63. Erwägungsgrund DSGVO ergibt, „Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software“ umfassen sowie das Recht Dritter auf Schutz personenbezogener Daten, wie in dem Fall, dass ein Datenträger, der die personenbezogenen Daten der betroffenen Person enthält, auch personenbezogene Daten Dritter enthält.
61. Im Fall eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft über die personenbezogenen Daten zum einen und den Rechten oder Freiheiten anderer Personen zum anderen sind die fraglichen Rechte gegeneinander abzuwägen. Nach Möglichkeit sind Modalitäten der Übermittlung der personenbezogenen Daten zu wählen, die die Rechte oder Freiheiten anderer Personen nicht verletzen, wobei diese Erwägungen jedoch „nicht dazu führen [dürfen], dass der betroffenen Person jegliche Auskunft verweigert wird“, wie sich aus dem 63. Erwägungsgrund DSGVO ergibt.
62. Sodann ist in systematischer Hinsicht darauf hinzuweisen, dass eine Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO dahin, dass diese Bestimmung kein allgemeines Recht auf Zugang zu Kopien von Dokumenten oder Auszügen aus Datenbanken gewährt, sofern dies nicht erforderlich ist, um die Verständlichkeit der übermittelten Daten und Informationen zu gewährleisten, auch dadurch bestätigt wird, dass das Recht auf Zugang zu Dokumenten, insbesondere zu Verwaltungsdokumenten, ausdrücklich durch andere Unionsrechtsakte(29) oder nationale Rechtsakte geregelt wird, die andere Ziele haben als diejenigen, die den Schutz personenbezogener Daten sicherstellen(30).
63. Sodann wird die im vorstehenden Absatz dargelegte Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO durch eine Analyse der Ziele dieser Bestimmung im Rahmen des durch Art. 15 DSGVO garantierten Auskunftsrechts der betroffenen Person bestätigt.
64. Nach dem 63. Erwägungsgrund DSGVO, insbesondere seinem ersten Satz, ist es zunächst Ziel des Rechts auf Auskunft über die eigenen personenbezogenen Daten und die anderen Informationen nach Art. 15 Abs. 1 Buchst. a bis h DSGVO, die betroffene Person in eine Lage zu versetzen, in der sie sich der Verarbeitung bewusst sein und deren Rechtmäßigkeit überprüfen kann(31).
65. Dieses Auskunftsrecht ist, wie es im Übrigen vom Gerichtshof bereits festgestellt worden ist, erforderlich, damit die betroffene Person eine Reihe anderer Rechte aus der DSGVO ausüben kann, darunter die ihr durch die Art. 16, 17 und 18 DSGVO eingeräumten Rechte auf Berichtigung, Löschung („Recht auf Vergessenwerden“) und Einschränkung der Verarbeitung(32). Ferner hat der Gerichtshof klargestellt, dass das Auskunftsrecht auch notwendig ist, um der betroffenen Person die Inanspruchnahme des in Art. 21 DSGVO enthaltenen Rechts auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder des in den Art. 79 und 82 DSGVO vorgesehenen gerichtlichen Rechtsschutzes im Schadensfall zu ermöglichen(33).
66. Die Ratio der Regelung, die das Recht einräumt, eine Kopie der personenbezogenen Daten zu erhalten, ist im Zusammenhang mit den Zielen des Rechts auf Auskunft über die eigenen personenbezogenen Daten und auf Zugang zu anderen Informationen zu verstehen. Sie soll ausdrücklich die Form vorsehen, in der der betroffenen Person die wirksame Ausübung dieses Rechts garantiert wird, damit sie sich vergewissern kann, dass die Verarbeitung ordnungsgemäß und rechtmäßig ist, um gegebenenfalls die oben in Nr. 65 angeführten zusätzlichen Rechte auszuüben. Das Ziel besteht darin, sicherzustellen, dass die personenbezogenen Daten der betroffenen Person in möglichst genauer und verständlicher Form zur Verfügung gestellt werden, damit sie diese Rechte wahrnehmen kann, d. h. in Form einer Kopie, also einer getreuen Wiedergabe dieser Daten.
67. Unter diesem Blickwinkel erscheint die Bereitstellung einer Kopie des Dokuments, das diese Daten enthält, oder eines Auszugs aus einer Datenbank nicht immer und jedenfalls für die Verwirklichung des vom Gesetzgeber verfolgten Ziels unerlässlich.
68. Nur wenn die Bereitstellung einer solchen Kopie unerlässlich ist, um die gänzliche Verständlichkeit der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu gewährleisten, kann die betroffene Person innerhalb der in den vorstehenden Nrn. 58 bis 61 angegebenen Grenzen Teile von Dokumenten oder gegebenenfalls ganze Dokumente oder Auszüge aus Datenbanken erhalten.
69. In diesem Zusammenhang weise ich noch darauf hin, dass die DSGVO, indem sie im Unterschied zu der in der Richtlinie 95/46 enthaltenen Regelung ein echtes Recht auf Erhalt einer Kopie der Daten vorsieht, die Stellung der betroffenen Person stärken wollte(34). Es handelt sich nämlich um einen erheblichen Unterschied gegenüber der früheren Regelung, die sich darauf beschränkte, in Art. 12 Buchst. a zweiter Gedankenstrich dieser Richtlinie eine bloße „Mitteilung in verständlicher Form über die Daten, die Gegenstand der Verarbeitung sind“ vorzusehen, und es somit den Mitgliedstaaten überließ, festzulegen, in welcher konkreten Form diese Mitteilung zu erfolgen hatte, soweit sie verständlich war(35). Durch die nunmehr in Art. 15 Abs. 3 Satz 1 DSGVO vorgesehene Vorschrift, dass der für die Verarbeitung Verantwortliche eine „Kopie“ der Daten zur Verfügung stellen muss, wird hingegen die Form, die diese Übermittlung anzunehmen hat, nämlich die Form der „Kopie“ der Daten, zwingend bestimmt.
3. Ergebnis zu den ersten drei Vorlagefragen
70. Nach alledem ist auf die ersten drei Vorlagefragen des vorlegenden Gerichts zu antworten, dass Art. 15 Abs. 3 Satz 1 DSGVO dahin auszulegen ist, dass
– der Begriff „Kopie“ im Sinne dieser Bestimmung als eine getreue Wiedergabe der von der betroffenen Person angeforderten personenbezogenen Daten in verständlicher Form zu verstehen ist, in einem konkreten und dauerhaften Format, das es der betroffenen Person ermöglicht, das Recht auf Auskunft über ihre personenbezogenen Daten effektiv auszuüben, indem sie umfassende Kenntnis von allen ihren personenbezogenen Daten, die Gegenstand der Verarbeitung sind, hat – einschließlich der weiteren Daten, die nach der Verarbeitung möglicherweise erzeugt werden, wenn sie auch Gegenstand der Verarbeitung sind –, damit sie ihre Richtigkeit prüfen und sich vergewissern kann, dass die Verarbeitung ordnungsgemäß und rechtmäßig ist, um gegebenenfalls die ihr nach der DSGVO verliehenen zusätzlichen Rechte ausüben zu können; die genaue Form der Kopie bestimmt sich nach den Umständen des Einzelfalls und insbesondere nach der Art der personenbezogenen Daten, zu denen die Auskunft verlangt wird, und nach den Bedürfnissen der betroffenen Person;
– diese Bestimmung der betroffenen Person kein allgemeines Recht verleiht auf teilweise oder vollständige Kopie des Dokuments, das die personenbezogenen Daten der betroffenen Person enthält, oder, wenn die personenbezogenen Daten in einer Datenbank verarbeitet werden, auf einen Auszug aus dieser Datenbank;
– diese Bestimmung jedoch nicht ausschließt, dass Teile von Dokumenten oder ganze Dokumente oder Auszüge aus Datenbanken der betroffenen Person zur Verfügung gestellt werden müssen, wenn dies erforderlich ist, um die volle Verständlichkeit der personenbezogenen Daten, die Gegenstand der Verarbeitung sind und zu denen die Auskunft verlangt wird, zu gewährleisten.
B. Zur vierten Vorlagefrage
71. Mit seiner vierten Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof wissen, ob sich der Begriff „Informationen“ in Art. 15 Abs. 3 Satz 3 DSGVO nur auf die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, im Sinne von Art. 15 Abs. 3 Satz 1 bezieht oder ob er über diese hinausgeht, indem er auch die in Art. 15 Abs. 1 Buchst. a bis h DSGVO genannten Informationen einschließt (vierte Frage Buchst. a) oder auch andere Informationen, wie beispielsweise dazugehörende Metadaten, erfasst (vierte Frage Buchst. b).
72. Zur Beantwortung dieser Frage ist der Begriff „Informationen“ in Art. 15 Abs. 3 Satz 3 DSGVO unter Anwendung der Methode auszulegen, die sich aus der oben in Nr. 25 angeführten Rechtsprechung ergibt.
73. Unter diesem Blickwinkel erscheint der Begriff „Informationen“ in wörtlicher Hinsicht zu allgemein, um bestimmen zu können, ob er sich ausschließlich auf die in Art. 15 Abs. 3 Satz 1 DSGVO angeführten personenbezogenen Daten bezieht oder ob er andere Arten von Informationen einschließt.
74. In systematischer Hinsicht ist jedoch darauf hinzuweisen, dass dieser Satz 3 zu Art. 15 Abs. 3 DSGVO gehört, der die Verpflichtung des für die Verarbeitung Verantwortlichen betrifft, auf Antrag der betroffenen Person eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen. Die Struktur von Abs. 3 führt somit zu der Annahme, dass sich der Begriff „Informationen“ auf die Informationen bezieht, die Gegenstand des Antrags sind, der im Sinne von Abs. 3 Satz 1 zu erledigen ist, und somit auf den Antrag auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind.
75. Diese Auslegung scheint auch mit dem Zweck von Abs. 3 selbst in Einklang zu stehen, der, wie sich aus den Nrn. 61 ff. und insbesondere aus Nr. 69 dieser Schlussanträge ergibt, darin besteht, festzulegen, in welcher Form diese Mitteilung der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erfolgen hat, d. h. die Form der „Kopie“ der Daten. Unter diesem Blickwinkel soll der dritte Satz dieses Absatzes den speziellen Fall regeln, in dem der Antrag auf Erhalt einer Kopie dieser Daten elektronisch gestellt wird.
76. Dies vorausgeschickt, ist meines Erachtens auch darauf hinzuweisen, dass das Transparenzgebot, das sich aus dem oben in den Nrn. 54 und 55 angeführten Art. 12 Abs. 1 DSGVO ergibt, der gewährleisten soll, dass die betroffene Person in die Lage versetzt wird, die an sie u. a. gemäß Art. 15 DSGVO gerichteten Informationen in vollem Umfang zu verstehen, in seiner Gesamtheit betrachtet verlangt, dass bei einem elektronischen Antrag auf Auskunft nach Art. 15 Abs. 1 DSGVO auch die Informationen nach den Buchst. a bis h in einem gängigen elektronischen Format zur Verfügung gestellt werden, das der betroffenen Person ermöglicht, von diesen umfassend, problemlos und ohne Schwierigkeiten Kenntnis zu erlangen. Ist das elektronische Format, das diese Informationen enthält, nicht gängig, könnte dies nämlich die Kenntnisnahme dieser Informationen unter Verstoß gegen das Transparenzgebot äußerst erschweren oder verteuern.
77. Was schließlich speziell die Frage b betrifft, geht aus dem Umstand, dass sich Art. 15 Abs. 3 Satz 3 DSGVO auf den „Antrag“ der betroffenen Person bezieht, hervor, dass der Begriff „Information“ in dieser Bestimmung nicht über das hinausgehen darf, was genau Gegenstand dieses Antrags ist, d. h. die Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Daraus folgt, dass sich der darin verwendete Begriff Informationen ausschließlich auf diese Daten bezieht und keine anderen Informationen als diese und keine weiteren Informationen als die in Art. 15 Abs. 1 Buchst. a bis h DSGVO genannten Informationen umfassen kann. Andernfalls würde nämlich der Umfang des Auskunftsrechts erweitert, was, wie im Übrigen bereits oben in den Nrn. 48 bis 51 ausgeführt, in der DSGVO keine Grundlage findet.
78. Nach alledem ist meines Erachtens auf die vierte Vorlagefrage des vorlegenden Gerichts zu antworten, dass der Begriff „Informationen“ in Art. 15 Abs. 3 Satz 3 DSGVO dahin auszulegen ist, dass er sich ausschließlich auf die „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ nach Art. 15 Abs. 3 Satz 1 bezieht.
IV. Ergebnis
79. Nach alledem schlage ich dem Gerichtshof vor, auf die Vorlagefragen des Bundesverwaltungsgerichts (Österreich) wie folgt zu antworten:
Art. 15 Abs. 3 Satz 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist dahin auszulegen, dass
der Begriff „Kopie“ im Sinne dieser Bestimmung als eine getreue Wiedergabe der von der betroffenen Person angeforderten personenbezogenen Daten in verständlicher Form zu verstehen ist, in einem konkreten und dauerhaften Format, das es der betroffenen Person ermöglicht, das Recht auf Auskunft über ihre personenbezogenen Daten effektiv auszuüben, indem sie umfassende Kenntnis von allen ihren personenbezogenen Daten, die Gegenstand der Verarbeitung sind, hat – einschließlich der weiteren Daten, die nach der Verarbeitung möglicherweise erzeugt werden, wenn sie auch Gegenstand der Verarbeitung sind –, damit sie ihre Richtigkeit prüfen und sich vergewissern kann, dass die Verarbeitung ordnungsgemäß und rechtmäßig ist, um gegebenenfalls die ihr nach der DSGVO verliehenen zusätzlichen Rechte ausüben zu können; die genaue Form der Kopie bestimmt sich nach den Umständen des Einzelfalls und insbesondere nach der Art der personenbezogenen Daten, zu denen die Auskunft verlangt wird, und nach den Bedürfnissen der betroffenen Person;
diese Bestimmung der betroffenen Person kein allgemeines Recht verleiht auf teilweise oder vollständige Kopie des Dokuments, das die personenbezogenen Daten der betroffenen Person enthält, oder, wenn die personenbezogenen Daten in einer Datenbank verarbeitet werden, auf einen Auszug aus dieser Datenbank;
diese Bestimmung jedoch nicht ausschließt, dass Teile von Dokumenten oder ganze Dokumente oder Auszüge aus Datenbanken der betroffenen Person zur Verfügung gestellt werden müssen, wenn dies erforderlich ist, um die volle Verständlichkeit der personenbezogenen Daten, die Gegenstand der Verarbeitung sind und zu denen die Auskunft verlangt wird, zu gewährleisten.
Der Begriff „Informationen“ in Art. 15 Abs. 3 Satz 3 der Verordnung 2016/679
ist dahin auszulegen, dass
er sich ausschließlich auf die „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ nach Art. 15 Abs. 3 Satz 1 bezieht.