noyb gewinnt vor dem EuGH: Auskunftsrecht muss Kontext – also mitunter auch Dokumente und Datenbankauszüge umfassen
Der Gerichtshof der Europäischen Union (EuGH) hat gestern entschieden, dass Nutzer:innen nicht nur ihre Rohdaten, sondern auch den Kontext der Daten verständlich beauskunftet bekommen müssen. Das kann auch die Relevanten Dokumente umfassen. Eine „Kopie“ muss dabei eine originalgetreue Wiedergabe der Daten umfassen.
Bloße Auflistung, oder originalgetreue Kopie? Der Ausgangsrechtsstreit betraf ein Auskunftsbegehren nach Artikel 15 DSGVO an die Kreditauskunftei CRIF – die noyb auch schon wegen anderer Datenschutzverletzungen erfolgreich belangt hat (siehe hier und hier). CRIF antwortete dem Betroffenen mit einer bloßen Auflistung der zu seiner Person verarbeiteten Daten. Der Betroffene, der eine Kopie sämtlicher Daten zu seiner Person, einschließlich Datenbankauszüge forderte, erhob Beschwerde an die DSB. Der Fall landete schließlich vor dem Bundesverwaltungsgericht, dass dem EuGH mehrere Fragen zum Umfang des Rechts auf Erhalt einer „Datenkopie“ nach Artikel 15 Abs 3 DSGVO zur Vorabentscheidung vorlegte.
DSGVO verlangt Verständlichkeit der Datenverarbeitung. Der EuGH betont in seinem Urteil, dass die DSGVO den Zweck hat, die Rechte der betroffenen Personen zu stärken und präzise festzulegen. Dem Auskunftsrecht kommt dabei besondere Bedeutung zu, da es Betroffenen ermöglicht, weitere Rechte, wie Löschung, Berichtigung oder Widerspruch auszuüben – was ohne Kenntnis der konkret verarbeiteten Daten nur bedingt möglich wäre.
Max Schrems: „Wir freuen uns, dass der EuGH die Bedeutung des Auskunftsrechts hervorstreicht. Ohne den Kontext der Verarbeitung ist es Betroffenen oft unmöglich zu verstehen was über sie gespeichert wird.“
Datenbankauszüge und Dokumente können unerlässlich sein. Wichtig ist auch, dass der EuGH die Notwendigkeit der Kontextualisierung der bereitgestellten Informationen hervorhebt. Es reicht nicht, eine bloße List von Rohdaten zu schicken. Die Daten müssen dem Betroffenen vollständig, im Kontext und originalgetreu wiedergegeben werden. Wichtig ist das insbesondere bei Daten, die aus anderen Daten generiert werden – wie im gegenständlichen Fall, wo auf Basis der Daten des Betroffenen Bonitätssores berechnet wurden. Hier wird es regelmäßig unerlässlich sein, Auszüge von Dokumenten, ganze Dokumente oder sogar Datenbankauszüge bereitzustellen, wie der EuGH betont.
Max Schrems: „Das Urteil bereitet der rechtswidrigen Praxis ein Ende, einfach eine Datenliste, ohne weitere Erklärungen bereitzustellen. Gerade bei komplexeren Verarbeitungen müssen Unternehmen die volle Verständlichkeit der verarbeiteten Daten sicherstellen – wenn nötig auch durch einen Datenbankauszug oder eine Kopie von Dokumenten.“
