Conclusiones del Abogado General Sr. G. Pitruzzella, presentadas el 15 de diciembre de 2022.

• Jurisdiction: European Union
• Court: Court of Justice (European Union)
• ECLI: ECLI:EU:C:2022:1000
• Date: 15 December 2022

SCHLUSSANTRÄGE DES GENERALANWALTS

GIOVANNI PITRUZZELLA

vom 15. Dezember 2022(1)

Rechtssache C‑487/21

F.F.,

Beteiligte:

Österreichische Datenschutzbehörde,

CRIF GmbH

(Vorabentscheidungsersuchen des Bundesverwaltungsgerichts [Österreich])

„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 15 Abs. 3 – Recht der betroffenen Person auf Auskunft über die personenbezogenen Daten, die Gegenstand der Verarbeitung sind – Recht auf Erhalt einer Kopie der personenbezogenen Daten – Begriff ‚Kopie‘ – Begriff ‚Informationen‘“

1. Welchen Inhalt und welche Tragweite hat das Recht der betroffenen Person, die Auskunft über ihre personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält, eine Kopie von diesen Daten zu erhalten, wie es in Art. 15 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)(2) (im Folgenden: DSGVO) vorgesehen ist? Welche Bedeutung hat der Begriff „Kopie“ und wie ist dieses Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, mit dem Recht auf Auskunft nach Abs. 1 dieses Artikels verknüpft?

2. Dies sind im Wesentlichen die wichtigsten Fragen, die sich in der Rechtssache stellen, die Gegenstand der vorliegenden Schlussanträge ist und ein Vorabentscheidungsersuchen des Bundesverwaltungsgerichts (Österreich) zur Auslegung von Art. 15 Abs. 3 DSGVO betrifft.

3. Dieses Vorabentscheidungsersuchen ergeht im Rahmen eines Rechtsstreits zwischen Herrn F.F. und der österreichischen Datenschutzbehörde über die Rechtmäßigkeit der Ablehnung des Antrags von Herrn F.F. durch die Datenschutzbehörde, einer Unternehmensberatungsagentur, die seine personenbezogenen Daten verarbeitet hatte, aufzugeben, Dokumente und Auszüge aus einer Datenbank mit diesen personenbezogenen Daten vorzulegen.

4. Die vorliegende Rechtssache gibt dem Gerichtshof erstmals Gelegenheit, Art. 15 Abs. 3 DSGVO auszulegen und die Modalitäten der Ausübung des Rechts auf Auskunft über die eigenen personenbezogenen Daten, die Gegenstand der Verarbeitung sind, nach Art. 15 DSGVO zu klären.

I. Rechtlicher Rahmen

5. Im 63. Erwägungsgrund DSGVO heißt es:

„Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene[r] Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. …“

6. Art. 4 Nrn. 1 und 2 DSGVO bestimmt:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung“.

7. Art. 12 („Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person“) Abs. 1 DSGVO sieht vor:

„Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.“

8. Art. 15 („Auskunftsrecht der betroffenen Person“) DSGVO bestimmt:

„(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

…

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

II. Sachverhalt, Ausgangsverfahren und Vorlagefragen

9. Die CRIF GmbH ist eine Unternehmensberatungsagentur, die auf Verlangen ihrer Kunden Informationen über die Zahlungsfähigkeit Dritter liefert. Zu diesem Zweck verarbeitete sie die personenbezogenen Daten des Beschwerdeführers des beim vorlegenden Gericht anhängigen Ausgangsverfahrens.

10. Am 20. Dezember 2018 wandte sich der Beschwerdeführer an diese Agentur, um u. a. Informationen über seine personenbezogenen Daten, die Gegenstand der Verarbeitung waren, nach Art. 15 DSGVO zu erhalten, und beantragte insbesondere, eine Kopie dieser Daten in einem üblichen technischen Format zu erhalten.

11. Die Agentur erteilte auf dieses Ersuchen hin teilweise die angeforderten Auskünfte in einer aggregierten Form, wobei sie die zur Person des Beschwerdeführers des Ausgangsverfahrens gespeicherten Daten einerseits in einer nach Name, Geburtsdatum, Straße, Postleitzahl und Ort gegliederten Tabelle und andererseits in einer Übersicht betreffend unternehmerische Funktionen und Vertretungsbefugnisse wiedergab. Andere Unterlagen wie E‑Mails oder Datenbankauszüge wurden hingegen nicht übermittelt.

12. Am 16. Januar 2019 legte der Beschwerdeführer des Ausgangsverfahrens bei der österreichischen Datenschutzbehörde eine Beschwerde ein, mit der er geltend machte, dass die Beantwortung seines Auskunftsbegehrens unvollständig sei und dass ihm der Verantwortliche eine Kopie aller Dokumente einschließlich der E‑Mails und Auszüge aus den Datenbanken, die seine personenbezogenen Daten enthielten, hätte übermitteln müssen.

13. Mit Entscheidung vom 11. September 2019 wies die österreichische Datenschutzbehörde die Beschwerde mit der Begründung zurück, dass der für die Verarbeitung...