Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Heute erreichen wir beim Spaziergang mit Artikel 15 einen echten „Aussichtspunkt“. Von hier aus erhalten Betroffene einen Überblick, welche Daten der Verantwortliche verarbeitet und in welcher Weise. Das Auskunftsrecht ist ein Kernbereich des Datenschutzes: Nur wer weiß, wo und wie die eigenen Daten verarbeitet werden, kann das informationelle Selbstbestimmungsrecht überhaupt sinnvoll nutzen.

Allerdings wird gerade das Auskunftsrecht – wie Datenschutzbeauftragten nur allzu gut bekannt ist – in der Praxis oft als „Folterinstrument“ gegen die Verantwortlichen für ganz andere Zwecke benutzt; typisches Auskunftsverlangen: Arbeitnehmer gegen Arbeitgeber im Kündigungsschutzprozess. Wahrscheinlich muss das als Begleiterscheinung in Kauf genommen werden, wenn wirksamer Datenschutz stattfinden soll.

Absätze 1 und 2

Was die Auskunft beinhaltet, klären die Absätze 1 und 2. Absatz 2 hätte ohne Weiteres auch als Buchstabe i) in den ersten Absatz hineingepasst.

Absatz 3

Nach Absatz 3 hat der Verantwortliche „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung“ zu stellen. Wegen der heute allgemein verfügbaren Kopier- und Scantechnik sind die Sätze 2 und 3 recht unwichtig. Heiß diskutiert wird hingegen die Frage, was genau kopiert werden muss. Beispiel: Frau X beantragt eine Baugenehmigung und erhält nach längerem Hin und Her einen ablehnenden Bescheid. Ergibt sich aus Art. 15 Abs. 3 Satz 1 DS-GVO ein Anspruch auf Kopie der gesamten Genehmigungsakte bei der Bauverwaltung? – Informationsfreiheits- und Transparenzgesetze bleiben unbeachtet; wir spazieren ja nur durch die DS-GVO.

Der Europäische Gerichtshof (EuGH) hat am 04.05.2023 (Rs. C-487/21 – wir bereichteten) und anschließend noch mehrfach (z. B. Urteile vom 22.06.2023, Rs. C-579/21 – wir berichteten – und vom 26.10.2023, Rs. C-307/22) über die Bestimmung nachgedacht. Echte Klarheit besteht aber weiterhin nicht. Unproblematisch ist natürlich, dass die Kopie alle Bereiche umfasst, in denen personenbezogene Daten des Betroffenen selbst abgehandelt werden, Beispiel Personalakte: Stammdatenblatt mit Namen, Anschrift, Geburtsdatum, … . Ziemlich sicher ist auch, dass keine Daten mitkopiert werden müssen, die nicht personenbezogen sind, Beispiel: In der Personalakte eines Vertriebsmitarbeiters sind – zufällig oder absichtlich – Vertriebsprospekte des Unternehmens abgeheftet, in denen der Vertriebsmitarbeiter gar nicht genannt wird.

Mindestens ein (ungelöster) Teilaspekt des Problems besteht darin, dass man Unterlagen ihren Personenbezug nicht immer ansieht und sich der Personenbezug auch aus dem Kontext ergeben kann. Weiterentwicklung des letzten Beispiels: Der Vertriebsmitarbeiter hat die in seiner Personalakte befindliche Broschüre mitgestaltet und sie ist besonders gut oder schlecht gelungen, deshalb in der Personalakte abgeheftet. Personenbezug? Für die Praxis dürfte sich empfehlen, im Zweifel Personenbezug anzunehmen und die Kopie entsprechend zu erweitern.

Absatz 4

Absatz 4 nennt eine Ausnahme vom Anspruch auf Kopie. Das Hauptproblem dieses Absatzes betrifft – nicht die teils mühselige Teilschwärzung von Kopien, sondern – die Frage, ob sich Absatz 4 wirklich nur auf Absatz 3, also die Kopien bezieht oder ob nicht auch das Auskunftsrecht nach Absatz 1  und 2 eingeschränkt werden muss, wenn Rechte Dritter betroffen sind.

Der Bundesgerichtshof (BGH) hat in einer lesenswerten Entscheidung von 22.02.2022 (VI ZR 14/21) die Frage ausführlich behandelt und es (Rn. 15) „sehr naheliegend“ gefunden, „dass das Auskunftsrecht aus Art. 15 Abs. 1 DS-GVO schon aufgrund einer der Datenschutz-Grundverordnung immanenten Beschränkung die Rechte oder Freiheiten anderer Personen nicht beeinträchtigen darf“. Die Rechtsfrage wurde nicht dem EuGH vorgelegt, weil der Bundesgerichtshof letztlich keine überwiegenden Dritt-Interessen angenommen hat, die Frage also nicht entscheidungserheblich wurde.

Es wäre tatsächlich seltsam, wenn ausgerechnet die DS-GVO dazu zwingen würde, personenbezogene Daten Dritter (natürlicher Person) unbegrenzt nach Art. 15 Abs. 1 DS-GVO heraus zu geben. Deshalb spricht viel für die Einschränkung des Auskunftsrechts insgesamt – nicht nur des Anspruchs auf Kopie – durch die Rechte Dritter (zumindest bei natürlichen Personen). Ob man dies mit einer erweiterten (analogen) Anwendung von Art. 15 Abs. 4 DS-GVO begründet oder – wie der BGH wohl vorzieht – mit „immanenten Grenzen“ des Art. 15 Abs. 1 DS-GVO, werden vielleicht Spaziergänger nach uns klären.

Grundsätzliche Anforderungen

Denken wir stattdessen beim Weitergehen noch über die typischen Schritte eines Verantwortlichen nach, sobald ein Auskunftsersuchen eingeht:

• Jeder Verantwortliche sollte dafür sorgen, dass Auskunftsersuchen, egal bei wem sie eintreffen und egal in welcher Form – telefonisch, per E-Mail, … – sofort und nicht erst innerhalb eines Monats dem zuständigen und entsprechend instruierten Bearbeiter weitergeleitet werden.

• Dieser Ansprechpartner beachtet die Monatsfrist als Höchstfrist, nicht als generell verfügbaren Zeitraum; die Auskunft ist ja unverzüglich, also möglichst schnell zu erteilen. Zuerst wird geprüft, ob die anfragende Person sicher identifiziert werden kann und welcher Kommunikationsweg für die Antwort offensteht. Die Identität des Anfragenden muss also kontrolliert werden. Ansonsten wird aus der Antwort an die falsche Person schnell eine Datenschutzverletzung. Art. 12 Abs. 6 DS-GVO und Erwägungsgrund 64 geben dafür Hinweise. Beispiel: Wird durch – angeblich – Herrn Müller bei einem Onlineshop ein Auskunftsersuchen per E-Mail eingereicht mit einer E-Mail-Adresse, die Herr Müller gegenüber dem Onlineshop bisher nie genutzt hat, empfiehlt sich die Rückfrage unter der bisher bekannten, beim Unternehmen gespeicherten E-Mail-Adresse, ob die Auskunftsanfrage wirklich vom Betroffenen stammt.

• Ist die Identität zweifelsfrei geklärt, wird zusammengestellt, ob und welche personenbezogenen Daten für den Anfragenden beim Verantwortlichen vorliegen. Gibt es gar keine entsprechenden Daten, ist eine Negativauskunft zu erteilen („… dürfen wir Ihnen mitteilen, dass abgesehen von Ihrer Anfrage keinerlei Daten zu Ihrer Person bei uns verarbeitet werden …“).

• Auskunft und Kopie können auf sicherem Weg auch elektronisch erfolgen. Bei elektronischem Antrag ist dies in Art. 15 Abs. 3 Satz 3 DS-GVO sowie Art. 12 Abs. 3 Satz 4 DS-GVO sogar vorgeschrieben.

• Gelegentlich wird diskutiert, wie lange die Daten zum Auskunftsvorgang gespeichert werden müssen und dürfen. Wegen der in Deutschland anwendbaren Verjährungsfrist für Schadenersatzansprüche bei vermeintlicher Verletzung der Auskunftspflichten von drei Kalenderjahren, wird eine Speicherung bis zum Schluss des dritten vollen Kalenderjahres nach Auskunftserteilung zulässig sein.

Alles Gute und auf Wiedersehen bei Artikel 16!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Braucht es über das Schwärzen von digitalen Dokumenten einen eigenen Blog-Beitrag? Die Erfahrung zeigt: Ja! Und auch die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) berichtet in einem Ende August veröffentlichten Beitrag aus ihrer Aufsichtspraxis, dass Unternehmen und Behörden bei einem Schwärzen von Dokumenten gelegentlich Fehler unterlaufen. Dabei kann ein fehlerhaftes Schwärzen nicht nur eine negative Außenwirkung erzeugen, sondern auch eine meldepflichtige Datenschutzverletzung gemäß Art. 33 Abs. 1 DS-GVO darstellen. Aus diesem Grund werden einige wichtige Aspekte hierbei im nachfolgenden Beitrag zusammengefasst.

Wann sollten Dokumente geschwärzt werden?

Ein Schwärzen einzelner Bestandteile von Dokumenten ist insbesondere dann sinnvoll, wenn zwar grundsätzlich ein Dokument an einen Empfänger übermittelt werden, dieser jedoch nicht alle darin enthaltenen personenbezogenen Daten oder sonstig schutzwürdige Informationen einsehen können soll. Auch durch die Regelungen der DS-GVO selbst kann ein Schwärzen von Dokumentbestandteilen erforderlich werden. So sieht beispielsweise Art. 15 Abs. 4 DS-GVO vor, dass das Recht auf Erhalt einer Kopie der eigenen durch den Verantwortlichen verarbeiteten personenbezogenen Daten nicht die Rechte und Freiheiten anderer Personen beeinträchtigen darf. Die Kopie darf also grundsätzlich nicht die personenbezogenen Daten Dritter umfassen. Dies lässt sich regelmäßig nur durch eine korrekte Schwärzung einzelner Dokumentenbestandteile erreichen.

Bei einem Schwärzen einzelner Passagen sollte jedoch zwingend auch darauf geachtet werden, dass sich ein Personenbezug beispielsweise nicht nur durch Namen, Identifikationsnummern oder andere eindeutige Attribute ergeben kann, sondern ein solcher auch über den Kontext herstellbar ist. Das bedeutet, dass es regelmäßig eben nicht ausreicht, nur einzelne Namen dritter Personen zu schwärzen. Es ist eine objektive Würdigung des gesamten Dokuments erforderlich.

Optische Schwärzung ist nicht ausreichend

Die Praxiserfahrungen zeigen, dass das Nutzen einfacher grafischer Elemente, wie zum Beispiel ein schwarzer Balken über einem Text, nicht nur inhaltlich, sondern auch technisch unzureichend sind. Nicht selten können derartige grafische Elemente durch den Empfänger mit wenigen Klicks entfernt werden. Auch die Textmarker-Funktion wird zum Schwärzen einzelner Passagen gern „missbraucht“. Hierbei ist zwar das Entfernen der Schwärzung nicht unbedingt möglich, wird der geschwärzte Text durch den Empfänger jedoch markiert, kopiert und beispielsweise in einem anderen Text-Dokument eingefügt, so erscheint dort der originale Text ohne Schwärzung. All diesen Vorgehensweisen ist gemein, dass die Sicherheit der Verarbeitung (Art. 32 DS-GVO) hier nur unzureichend Rechnung getragen wird.

Somit sollte zwingend darauf geachtet werden, dass bei der Nutzung von Text-Editoren und PDF-Programmen vom Hersteller konkret bereitgestellte Funktionen zum Schwärzen verwendet werden. Auch wenn diese Funktionen regelmäßig kostenpflichtig sind, gewährleisten – insbesondere unter Berücksichtigung der Fehleranfälligkeit alternativer Methoden – nur diese eine hinreichende Schwärzung von digitalen Dokumenten. Korrekt eingesetzt, ist hierdurch in aller Regel sogar eine Maschinenlesbarkeit der geschwärzten Passagen ausgeschlossen, das wiederrum für die Nutzung geschwärzter Dokumente im Rahmen von KI-Anwendungen oftmals essenziell sein dürfte.

Metadaten nicht vergessen!

Aber nicht nur die Inhaltsdaten eines Dokumentes können Informationen mit Personenbezug aufweisen. Auch der Dokumentenname und weitere Metadaten, das heißt Informationen zum Autor, zum Datum der Erstellung, bei digitalen Foto- und Videoaufnahmen oftmals auch Informationen zu den GPS-Koordinaten, können personenbezogene Daten darstellen. Auch hierbei liefern die Anbieter diverser Anwendungen in der Regel standardmäßig Werkzeuge mit, die ein Entfernen solcher Informationen mit nur wenigen Klicks ermöglichen.

Ein gängiger Anbieter für die Erstellung, Bearbeitung und Darstellung von PDF-Dokumenten stellt der Acrobat Reader dar. Für die Umsetzung der Schwärzung digitaler Dokumente und das Entfernen weiterer personenbezogener Daten aus PDF-Dokumenten, stellt der Anbieter auf seiner Internetseite eine umfassende Schritt-für-Schritt-Anleitung bereit.

Fazit

Das Schwärzen digitaler Dokumente hält einige Fallstricke bereit. Anwender und Anwenderinnen sollten stets sicherstellen, dass die geschwärzten Informationen nicht nur optisch, sondern auch tatsächlich geschwärzt worden und durch den Empfänger nicht mehr lesbar zu machen sind. Wird die Schwärzung nur unzureichend umgesetzt, wird hierbei in der Regel eine Datenschutzverletzung vorliegen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Mit dem Urteil vom 04.05.2023 (Rs. C‑487/21) beschäftigte sich der Europäische Gerichtshof (EuGH) mit der Frage nach den genauen Anforderungen an eine Kopie im Rahmen des Auskunftsanspruchs gemäß Art. 15 Abs. 3 DS-GVO. Lange Zeit haben Datenschützende darüber diskutiert, was genau unter dem Begriff „Kopie“ gemeint ist und was die genauen Anforderungen an eine Kopie der personenbezogenen Daten sind. Es bestanden rechtliche Unsicherheiten, ob Betroffenen eine exakte Kopie der verarbeiteten personenbezogenen Daten bereitzustellen ist – was häufig mit enormem Aufwand einhergeht – oder ob es ausreicht, Betroffenen die personenbezogenen Daten, die Gegenstand der Verarbeitung sind, in einer aggregierten Form darzulegen.

Das Verfahren

Zunächst befasste sich das österreichische Bundesverwaltungsgericht mit dieser Frage und legte sie dem EuGH zur Prüfung vor. Im Detail ging es um die umstrittene Frage, ob der Verantwortliche i.S.d. Art. 4 Nr. 7 DS-GVO streng nach dem Wortlaut des Art. 15 Abs. 3 DS-GVO, eine Kopie der personenbezogenen Daten die, Gegenstand der Verarbeitung sind, dem Betroffenen zur Verfügung stellen muss. 

Der EuGH wies zunächst darauf hin, dass Bestimmungen des Unionsrechts nicht nur anhand ihres Wortlauts entsprechend ihres Sinns nach dem gewöhnlichen Sprachgebrauch ausgelegt werden, sondern auch nach ihrem Kontext und den Zielen, die die jeweilige Regelung verfolgt. Der EuGH stellt in diesem Kontext klar, dass auch wenn die DS-GVO keine Definition des Wortes „Kopie“ vorgibt, der gewöhnliche Sinn des Begriffs zu berücksichtigen ist, welcher eine originalgetreue Reproduktion meint. Aus diesem Grund entspräche eine rein allgemeine Beschreibung der Daten, oder ein Verweis auf Kategorien personenbezogener Daten nicht dieser Definition.

Gleichzeitig entschied der EuGH, dass der Begriff der Kopie weit auszulegen ist und folgerte aus der wörtlichen Auslegung, „[…] dass diese Bestimmung der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten im Sinne einer weiten Bedeutung zu erhalten, die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden müssen.“ Die Kopie müsste weiterhin sämtliche personenbezogene Daten enthalten, die Verarbeitungsgegenstand sind. Demnach müssen sämtliche personenbezogene Daten angegeben werden, auch die, die sich nicht explizit auf ein Dokument beziehen.

Ergebnis des Urteils

Art. 15 Abs. 3 Satz 1 DS-GVO ist laut Urteil des EuGH dahin auszulegen, dass Betroffene eine Kopie der personenbezogenen Daten erhalten, die Gegenstand der Verarbeitung sind und somit nicht nur auf ein Dokument verweist. Das bedeutet, dass betroffene Personen das Recht haben, eine originalgetreue und verständliche Reproduktion aller ihrer Daten zu erhalten. In manchen Fällen muss der Verantwortliche sogar den Kontext der Datenverarbeitung erklären, wenn beispielsweise personenbezogene Daten aus anderen Daten generiert werden, oder wenn sie auf freien Feldern beruhen, also einer fehlenden Angabe aus der Informationen über Betroffene hergenommen werden können, „[…] damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann.“

Leider kann hier der einfachere Weg, betroffenen Personen lediglich aggregierte Informationen bereitzustellen, nicht gegangen werden. Das Urteil hat nun klargestellt, dass die Geltendmachung eines Auskunftsanspruchs, bzw. dessen Umsetzung auch in Zukunft einen großen Aufwand bedeuten wird. Aus diesem Grund empfehlen wir, Datenbanken und andere Sammlungen von personenbezogenen Daten auf einer Weise zu organisieren, dass sämtliche Informationen schnell entsprechend in einem gängigen Format zusammengeführt werden können. Die ist durch den Einsatz entsprechender technische rund organisatorischer Maßnahmen, wie etwa durch den Einsatz spezieller Datenbanksysteme und dem Verzicht auf jegliche Parallelakten auch grundsätzlich möglich.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.