EuGH: DSGVO-Auskunftsrecht für Schweizer Unternehmen

Der Europäische Gerichtshof (EuGH) hat in seiner Entscheidung vom 26. Oktober 2023 im Fall C-307/22 zur Reichweite des Auskunftsanspruchs gemäss Art. 15 Abs. 3 Satz 1 i.V.m. Art. 12 Abs. 3 Satz 1 DSGVO entschieden. Das Urteil hat auch praktische Folgen für Schweizer Unternehmen. Neben dem revidierten Schweizer Datenschutzgesetz (DSG), das am 1. September 2023 in Kraft getreten ist (das Pendant zum hier besprochenen Auskunftsanspruch findet sich in Art. 25 DSG), sind Schweizer Unternehmen beim Umgang mit EU-Kundendaten auch verpflichtet, die datenschutzrechtlichen Bestimmungen der DSGVO einzuhalten, wenn sie Niederlassungen in der EU oder dem EWR betreiben (Art. 3 Abs. 1 DSGVO, sog. „Niederlassungsprinzip“), wenn sie Waren oder Dienstleistungen im EU- oder EWR-Raum anbieten (Art. 3 Abs. 2 lit. a DSGVO, sog. „Marktortprinzip“) oder wenn sie EU- oder EWR-Personen beobachten (Art. 3 Abs. 2 lit. b DSGVO, z.B. Social Media-Betreiber).

Sachverhalt

Im Mittelpunkt des Falles stand ein Streit zwischen einem deutschen Zahnarzt und einem Patienten über das Recht auf eine kostenlose Erstkopie der Gesundheitsdaten des Patienten. Der Patient forderte den behandelnden Zahnarzt zur unentgeltlichen Herausgabe der Patientenakte auf. Dieser weigerte sich und verwies auf eine nationale Regelung, wonach die anfallenden Kosten von dem Patienten zu tragen sind. In den ersten zwei Instanzen obsiegte der klagende Patient. Der in der Revision mit dem Fall befasste Bundesgerichtshof (BGH) legte dem EuGH den Sachverhalt zu Entscheidung vor.

Entscheidungsgründe

Die Entscheidung betrifft im Grundsatz drei Fragen, die durch den EuGH entschieden wurden:

Besteht die Pflicht zur unentgeltlichen Bereitstellung der ersten Kopie personenbezogener Daten nach Art. 12 Abs. 5 und Art. 15 Abs. 1, 3 DSGVO auch für Auskunftsanträge, die nicht den in Erwägungsgrund 63 der DSGVO genannten Zwecken entsprechend begründet sind?
Erlaubt Art. 23 Abs. 1 Buchst. i DSGVO, dass eine nationale, vor Inkrafttreten der DSGVO erlassene, Regelung der betroffenen Person Kosten für die erste Kopie ihrer Daten zum Schutz der wirtschaftlichen Interessen des Datenverarbeiters auferlegt?
Beinhaltet das Recht auf eine Kopie der personenbezogenen Daten nach Art. 15 Abs. 3 S. 1 DSGVO im Arzt-Patienten-Verhältnis die Bereitstellung einer originalgetreuen und verständlichen Reproduktion aller verarbeiteten Daten für die betroffene Person?

Keine Pflicht zur Begründung des Auskunftsantrags

Der EuGH bestätigte, dass nach der DSGVO kein Erfordernis besteht, ein Auskunftsersuchen zu begründen. Der Anspruch auf Auskunft umfasst alle Anträge, unabhängig vom verfolgten Zweck des Ersuchens. Eine Grenze besteht nach Art. 12 Abs. 5 Satz 2 DSGVO erst bei offensichtlich unbegründeten und exzessiven Anträgen. Dies bedeutet, dass der für die Verarbeitung Verantwortliche eine erste Kopie der Daten unentgeltlich bereitstellen muss, ohne dass die betroffene Person ihren Antrag näher begründen muss. Der EuGH bestätigte auch seine ständige Rechtsprechung dahin, dass Erwägungsgründe der DSGVO nicht verbindlich sind und nicht herangezogen beziehungsweise ausgelegt werden können, wenn diese dem Wortlaut der betreffenden Rechtsakte offensichtlich widersprechen.

Auferlegen der Kosten für Erstkopie nicht europarechtskonform

In der Entscheidung ging es konkret um die nationale Regelung des § 630g Abs. 2 Satz 2 BGB. Nach dieser Vorschrift sind die Kosten, welche durch die Einsichtnahme in Patientenakten entstehen, dem behandelnden Arzt zu ersetzen. Die Norm bestand bereits vor Inkrafttreten der DSGVO. Zunächst stellte der EuGH fest, dass eine Norm, die vor Inkrafttreten der DSGVO bestand auch vom Anwendungsbereich des Art. 23 Abs. 1 DSGVO erfasst sein können. Danach können nationale Gesetzgeber unter anderem die Artikel 12 bis 22 DSGVO unter bestimmten Voraussetzungen einschränken. Art. 23 Abs. 1 Buchst. i DSGVO ermöglicht es jedoch nicht, aufgrund von wirtschaftlichen Interessen des Verarbeiters die Kosten für die erste Kopie ihrer personenbezogenen Daten der auskunftsberechtigten Person aufzuerlegen. Insoweit ist § 630g Abs. 2 Satz 2 BGB nicht mit der DSGVO in Einklang zu bringen.

Anspruch auf vollständige, originalgetreue und verständliche Reproduktion aller personenbezogenen Daten

Patienten haben das Recht, eine vollständige Kopie der Dokumente zu erhalten, die sich in der Patientenakte befinden, wenn die Zurverfügungstellung einer solchen Kopie erforderlich ist, um der betroffenen Person die Überprüfung der Richtigkeit und Vollständigkeit der Daten zu ermöglichen und die Verständlichkeit der Daten zu gewährleisten. Dies umfasst Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu an ihr vorgenommenen Behandlungen oder Eingriffen. Nicht ausreichend ist daher das blosse Zurverfügungstellen einer Zusammenfassung der Daten.

Stellungnahme

Der EuGH bleibt in dieser Entscheidung seiner Linie treu und legt die Rechte des datenschutzrechtlich Betroffenen weit aus. Neben dem entschiedenen Fall im Arzt-Patienten-Verhältnis, ist der Auskunftsanspruch häufig auch im Arbeitnehmer- oder Kundenverhältnis anzutreffen. In einem Urteil des EuGH vom 12. Januar 2023 (C-154/21) wurde bereits entschieden, dass Betroffene ein Recht auf Auskunft vom Verarbeitenden auf Mitteilung der Identität derjenigen Personen haben, an welche die personenbezogenen Daten weitergegeben wurden, soweit dies möglich ist. Für ungenügend erachtete das Gericht die Angabe der blossen Kategorie der Person mitzuteilen. Mit der hier besprochenen Entscheidung konkretisiert der EuGH nochmals die Reichweite des Anspruchs und der zur Verfügung zu stellenden Informationen. Der EuGH stellt klar, dass die Betroffenen das Recht auf eine vollständige, originalgetreue und verständliche Reproduktion aller ihrer verarbeiteten personenbezogenen Daten haben. Zudem stellt der EuGH fest, dass eine Beschränkung der Unentgeltlichkeit der Erstkopie durch den nationalen Gesetzgeber aufgrund von wirtschaftlichen Interessen des Datenverarbeiters nicht durch Art. 23 Abs. 1 DSGVO gedeckt ist. Der Auskunftsanspruch ist gemäss Artikel 12 Abs. 3 Satz 1 DSGVO grundsätzlich innerhalb von 30 Tagen zu erfüllen. Vom Geltungsbereich erfassten Unternehmen ist daher weiterhin dringend zur Pflege eines sorgfältig geführten Datenschutzmanagementsystems zu raten, in dem die relevanten Daten gespeichert werden. Durch das Inkrafttreten des DSG wurden die datenschutzrechtlichen Vorgaben weitestgehend an die DSGVO angepasst. Durch die Angleichung bieten sich insbesondere nun auch Chancen für Unternehmen, die bisher aufgrund der DSGVO vom EU-/EWR-Markt fernblieben. Gerne beraten wir sie zum Schweizer sowie grenzüberschreitenden Datenschutzrecht.

No items found.

Experten