Recht auf Datenkopie – welche Unterlagen und Dokumente hat der Verantwortliche nun eigentlich rauszurücken?
Verfasser: Mag. Georg Wiedmann, 12/24
kanzlei@suppan.eu
In einer seit einigen Wochen rechtskräftigen Entscheidung des Bundesverwaltungsgerichts durften wir einen Dachverband mit österreichweit knapp 100.000 Mitgliedern erfolgreich vertreten.
Ein ehemaliges Vereinsmitglied, das auf die Vereinsverantwortlichen offenbar nicht mehr ganz so gut zu sprechen war, forderte im Rahmen seines datenschutzrechtlichen Auskunftsrechts gemäß Art. 15 DSGVO vom Dachverband konkret auch die Übermittlung von Mailverläufen und Mailanhängen, soweit seine Person darin genannt ist. Dabei forderte er – gestützt auf die DSGVO und dem Recht auf Erhalt einer Datenkopie – nicht nur Mails, die an ihn als Empfänger gerichtet waren, sondern generell auch Mails „über“ ihn.
Die Entscheidung klärt nun die Frage, inwieweit bei einem Auskunftsbegehren nach Art. 15 DSGVO auch Kopien von E-Mails und Dokumenten sowie Mailanhänge dem/der Betroffenen bereitgestellt werden müssen, wenn personenbezogene Daten des/der Betroffenen darin vorkommen.
Worum ging es konkret?
Hintergrund war eine vereinsinterne Streitigkeit, die zum Ausscheiden des Vereinsmitgliedes und Beschwerdeführers/Betroffenen führte, wobei sich ab 2021 der Schauplatz vom Vereinsrecht mehrheitlich auf den Datenschutz richtete.
Ein ehemaliges Mitglied des Vereins stellte ein Auskunftsbegehren nach Art. 15 DSGVO. Der Verein gab – vertreten durch unsere Kanzlei – alle relevanten personenbezogenen Daten des Mitglieds bekannt, insbesondere zu den gespeicherten Daten und deren Rechtsgrundlagen.
Der Mittelpunkt des Streits verlagerte sich dann auf eine konkrete E-Mail aus dem Jahr 2020, das zwischen zuständigen Funktionären des Dachverbandes und des Mitgliedvereins (aufgrund des berechtigten Interesses) versandt wurde und in der diverse Vorfälle über/mit dem Beschwerdeführer dokumentiert wurden und man sich dazu über den Beschwerdeführer austauschte. Der Dachverband verweigerte die Unterlagenübermittlung, weshalb das ehemalige Vereinsmitglied vor die Datenschutzbehörde zog und behauptete, in seinem Recht auf Auskunft verletzt zu sein.
Das Verfahren wurde zwischenzeitig von der Datenschutzbehörde ausgesetzt, weil der EuGH im Vorabentscheidungsverfahren bereits (C-487/21) zu klären hatte, wie der Begriff „Datenkopie“ auszulegen ist. Basierend auf der EuGH-Entscheidung vom 04.05.2023 wurde in weiterer Folge von der Datenschutzbehörde ein abweisender Bescheid erlassen und ausgesprochen, dass das ehemalige Vereinsmitglied keinen Anspruch auf Aushändigung der Mailverläufe hat und damit keine Verletzung im Recht auf Erhalt einer Datenkopie gemäß Art. 15 Abs. 3 DSGVO vorliegt. Der Bescheid wurde vor dem Bundesverwaltungsgericht bekämpft.
Das Bundesverwaltungsgericht bekräftigte die Entscheidung der Datenschutzbehörde neuerlich und stellte klar, dass die bloße Forderung nach Kopien von Dokumenten oder Anhängen nicht zwangsläufig erfüllt werden muss. Entscheidend ist, dass die betroffene Person darlegt, warum die Bereitstellung solcher Kopien für das Verständnis der personenbezogenen Daten oder für die Geltendmachung ihrer Rechte nach der DSGVO unerlässlich ist.
In diesem Fall sah das Gericht keinen ausreichenden Grund, der eine Kopie des Anhangs erforderlich machte und begründete dies kurz und prägnant:
„Soweit der (rechtsfreundlich vertretene) Beschwerdeführer vorbrachte, im Recht auf Erhalt einer Datenkopie gemäß Art. 15 Abs. 3 DSGVO verletzt worden zu sein, ist ihm überdies entgegenzuhalten, dass er nicht dargelegt hat, aus welchen konkreten Gründen anzunehmen sei, dass sich die Zurverfügungstellung von derartigen Kopien im Hinblick auf deren Verständlichkeit oder zur wirksamen Ausübung der (weiteren) durch die DSGVO verliehenen Rechte als unerlässlich erweist. Solche Gründe sind auch nicht ersichtlich.
Das Gericht betonte zudem, dass Art. 15 Abs. 3 DSGVO kein eigenständiges Recht auf Herausgabe von vollständigen Dokumenten begründet, sondern lediglich die Form der Auskunft regelt. Der EuGH hatte in der Vorentscheidung C-487/21 zwar ausgesprochen, dass Kopien in bestimmten Fällen notwendig sein könnten, jedoch nur, wenn dies für die Verständlichkeit der Daten entscheidend ist. In diesem Zusammenhang wurde das Recht auf Kopie also einschränkend ausgelegt und der Anspruch des Betroffenen auf Übermittlung von Mailverläufen verneint. Die Entscheidung ist rechtskräftig.
Wichtige & richtige Klarstellung für die betriebliche Praxis:
Diese Entscheidung gibt eine klare Orientierung für Verantwortliche im Umgang mit Auskunftsbegehren ist nicht nur für das Vereinsrecht, sondern für alle Vertragsbeziehungen und damit insbesondere auch das Arbeitsrecht von besondere Relevanz, wo ehemalige Arbeitgeber: innen oftmals mit datenschutzrechtlichen Betroffenenanträgen konfrontiert sind. Manchmal, weil sie von ehemaligen Arbeitnehmer:innen einfach „beschäftigt“ werden wollen. Oftmals wird aber auch in Gerichtsverfahren versucht, über den Umweg der datenschutzrechtlichen Betroffenenrechte an bestimmte Dokumente oder Unterlagen heranzukommen, die dann im Prozess vorgelegt werden sollen.
Betroffene müssen konkret und substanziell begründen können, warum sie Kopien von Dokumenten oder Anhängen benötigen, um ihre Rechte nach der DSGVO wirksam ausüben zu können. Eine pauschale Forderung oder gar der neugierige Versuch von „Beweisansammlungen“ für nachfolgende (vereinsrechtliche) Streitigkeiten ist dafür jedenfalls isoliert nicht ausreichend, weil der Konnex zum Datenschutz fehlt.
Diese einschränkende Auslegung erachte ich als sinnvoll und zielführend, denn das Auskunftsrecht soll nicht als Eintrittstor dienen, um über Umwege an Informationen und Unterlagen zu gelangen, auf die der Betroffene auch außerhalb der DSGVO keinesfalls einen Anspruch hätte.
Wir beraten Sie gerne umfassend zu allen Fragen des Datenschutzes und Compliance.