Das Auskunftsrecht aus Art. 15 DSGVO ist das wohl relevanteste Betroffenenrecht der DSGVO und ein Dauerbrenner der datenschutzrechtlichen Compliance von Unternehmen. Unternehmen sind insbesondere gefordert, die Eingänge von Auskunftsersuchen genau zu dokumentieren und die gesetzliche Frist nicht zu überschreiten.
Mit Urteil vom 26. Oktober 2023 (Rs. C‑307/22) hat der EuGH seine Rechtsprechung nach Art. 15 DSGVO in einem Punkt ausgedehnt
Ausgangspunkt des Vorabentscheidungsersuchens war in diesem Fall ein Rechtsstreit zwischen einem Patienten und seiner Zahnärztin um eine Kopie der Patientenakte. Die Zahnärztin verlangte eine Erstattung der Kosten für die Kopie nach § 630g Abs. 2 Satz 2 BGB.
Der EuGH hat nun nicht nur entschieden, dass (die erste) Auskunft aus der Patientenakte nach Art. 12 Abs. 5 DSGVO sowie Art. 15 Abs. 1 und 3 DSGVO kostenlos zu sein hat, sondern auch, dass dies auch dann gelte, wenn der betreffende Antrag mit einem anderen als den in Satz 1 des 63 Erwägungsgrundes der DSGVO genannten Zwecken begründet wird. Es wird mehrfach betont, dass ein Auskunftsantrag nicht begründet werden müsse.
Bislang hat der EuGH betont, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird.
Dieses Recht setze – so der EuGH weiter – das Recht voraus, „eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten zu erhalten, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen“.
Mit der jetzigen Entscheidung rechtfertigt der EuGH aber auch Auskunftsersuchen, die über die Vorbereitung der nach der DSGVO verliehenen Rechte hinausgehen. Damit werden die Diskussionen, ob Art. 15 DSGVO eine Art pre-Discovery-Anspruch darstellt wieder zunehmen.
Dieser Entwicklung in der Rechtsprechung folgt auch eine Initiative des Europäischen Datenschutzausschusses wonach das Recht auf Auskunft (Art. 15 DSGVO) zum Gegenstand einer koordinierten Durchsetzungsmaßnahme zur DSGVO gemacht werden soll.
Praktische Bedeutung: Der Umgang mit Betroffenenrechten im eigenen Betrieb muss für die datenschutzrechtliche Compliance priorisiert werden. Zu schnell können sonst schon kleine Fehler zu einer unliebsamen Überprüfung der Datenschutzbehörden und im schlimmsten Fall zu Bußgeldern führen. Ein Weg, um dieses Risiko zu minimieren, ist es, intern ein Verfahren für den Umgang mit Betroffenenrechten und Vorlagen zu etablieren. Gern unterstützen und beraten wir Sie hierbei.