Schon wieder etwas Neues zum Auskunftsrecht?

Liebe Leserinnen und Leser,

ja, zu Art. 15 DSGVO gibt es massenweise Rechtsprechung, Aufsätze und Ansichten der Aufsichtsbehörden. Und dennoch stellt die Erfüllung von Auskunftsanträgen in der Praxis Verantwortliche immer noch vor Herausforderungen. Denn es sind längst nicht alle Fragen geklärt. Sind E-Mails an sich herauszugeben? Was ist mit personenbezogenen Daten in Backups? Muss im Rahmen der Kopiebereitstellung nach Art. 15 Abs. 3 DSGVO immer ein ganzes Dokument übersendet werden?

Mitte April gab es insbesondere zur letzten Frage neue Ansichten aus Luxemburg – (noch) nicht vom EuGH, aber von Generalanwalt Norkus, in der Rechtssache C-205/25. Der EuGH muss in diesem Verfahren entscheiden, ob eine Datenschutzaufsichtsbehörde (konkret hier das BayLDA) im Rahmen eines gemäß Art. 77 DSGVO eingeleiteten Beschwerdeverfahrens als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO eingestuft werden kann, inwieweit sie den in Art. 15 DSGVO vorgesehenen Auskunftspflichten unterliegt und wie weit der Kopieanspruch in diesem Fall reicht.

Nach Ansicht des Generalanwalts entscheidet die Aufsichtsbehörde im Rahmen der Bearbeitung von eingereichten Beschwerden über die Zwecke und Mittel der Verarbeitung. Sie handelt als eigenständiger Akteur, der personenbezogene Daten als Grundlage für hoheitliche Entscheidungen erhebt, organisiert, analysiert und verwendet und ist daher Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die Folge: Das BayLDA ist zur Erteilung der Auskunft und der Kopie nach Art. 15 Abs. 3 DSGVO grundsätzlich verpflichtet.

Generell relevant für die Praxis sind sodann die Ausführungen des Generalanwalts zum Zweck und zur Reichweite des Kopiebegriffs.

Allgemein gilt: Das Auskunftsrecht beinhaltet das Recht der betroffenen Person, eine Kopie der Daten zu erhalten. Der Verantwortliche muss dem Betroffenen eine Kopie seiner personenbezogenen Daten in verständlicher Form zur Verfügung stellen, damit er den Umfang und die Modalitäten ihrer Verarbeitung genau nachvollziehen kann.

Wichtig: Der Zweck dieses Rechts besteht nach Ansicht des Generalanwalts darin, die betroffene Person in die Lage zu versetzen, zu überprüfen, welche sie betreffenden Daten verarbeitet werden, deren Quelle zu identifizieren, die Verarbeitungszwecke zu verstehen und die etwaigen Empfänger der Daten zu kennen. Die Kopie muss so bereitgestellt werden, dass eine wirksame Kontrolle der Rechtmäßigkeit der Verarbeitung und die sinnvolle Ausübung der übrigen in der DSGVO verankerten Rechte ermöglicht wird.

An Sinn und Zweck dieses Rechts ist auch die inhaltliche Reichweite geknüpft: Der Begriff „Kopie“ bezieht sich nicht auf ein Dokument als solches, sondern auf die darin enthaltenen personenbezogenen Daten.

Diese personenbezogenen Daten sollen vollständig und klar übermittelt werden. Unter Umständen (nicht in der Regel) kann sich die Reproduktion von Auszügen aus Dokumenten – oder gar von ganzen Dokumenten – oder auch von Auszügen aus Datenbanken, die personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen.

Der Generalanwalt betont den engen Zusammenhang zwischen dem Zweck von Art. 15 DSGVO und der Reichweite des Anspruchs. Der Umfang des Rechts bleibt streng durch dessen Funktion begrenzt und erstreckt sich allein auf die „personenbezogenen Daten“ der betroffenen Person.

Dies bedeutet dann folgerichtig auch, dass Art. 15 DSGVO gerade kein Recht auf Übermittlung von Verwaltungsakten oder Einsichtnahme in diese Akten als solche begründet.

Und dann erfolgt eine Aufzählung des Generalanwalts, die Verantwortliche in der Praxis durchaus bei der Bearbeitung von Art. 15-Anfragen beachten können: Insbesondere erstrecke sich der Anwendungsbereich von Art. 15 DSGVO nicht

• auf interne Rechtsanalysen,

• Stellungnahmen,

• Anmerkungen,

• Dienstvermerke,

• vorbereitende Dokumente oder

• ganz allgemein auf Elemente, die Teil des internen Verfahrens zur Ausarbeitung oder Begründung der Verwaltungsentscheidung sind.

  
  

Enthält ein Dokument, das sich im Besitz des Verantwortlichen befindet, personenbezogene Daten über den Betroffenen, beschränkt sich die Auskunftspflicht auf die Übermittlung dieser Daten als solche und umfasst nicht die vollständige Herausgabe oder Vervielfältigung der Dokumentation, in der sie enthalten sind.

Der EuGH muss in diesem Verfahren noch entscheiden. Folgt er den Erwägungen des Generalanwalts, dürfte die Reichweite von Art. 15 Abs. 3 DSGVO aber weiter konkretisiert werden.

„Neues“ finden Sie natürlich auch wieder in diesem Heft des Datenschutz-Berater.

Ich wünsche Ihnen eine anregende Lektüre.

Ihr

Dr. Carlo Piltz

Dieser Beitrag erschien als Editorial in der Ausgabe 06/2026 des Datenschutz-Berater.