EuGH 04.05.2023 - C-487/21 -  URTEIL DES GERICHTSHOFS (Erste Kammer) - 4. Mai 2023 ( ^*1) - „Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind – Art. 15 Abs. 3 – Zurverfügungstellung einer Kopie der Daten – Begriff ‚Kopie‘ – Begriff ‚Informationen‘“

Leitsatz

In der Rechtssache C-487/21

betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Bundesverwaltungsgericht (Österreich) mit Entscheidung vom 9. August 2021, beim Gerichtshof eingegangen am 9. August 2021, in dem Verfahren

F. F.

gegen

Österreichische Datenschutzbehörde,

Beteiligte:

CRIF GmbH,

erlässt

DER GERICHTSHOF (Erste Kammer)

unter Mitwirkung des Kammerpräsidenten A. Arabadjiev sowie der Richter P. G. Xuereb, T. von Danwitz, A. Kumin und der Richterin I. Ziemele (Berichterstatterin),

Generalanwalt: G. Pitruzzella,

Kanzler: A. Calot Escobar,

aufgrund des schriftlichen Verfahrens,

unter Berücksichtigung der Erklärungen

1. von F. F., vertreten durch M. Schrems,

2. der Österreichischen Datenschutzbehörde, vertreten durch A. Jelinek und M. Schmidl als Bevollmächtigte,

3. der CRIF GmbH, vertreten durch Rechtsanwälte L. Feiler und M. Raschhofer,

4. der österreichischen Regierung, vertreten durch G. Kunnert, A. Posch und J. Schmoll als Bevollmächtigte,

5. der tschechischen Regierung, vertreten durch O. Serdula, M. Smolek und J. Vláčil als Bevollmächtigte,

6. der italienischen Regierung, vertreten durch G. Palmieri als Bevollmächtigte im Beistand von M. Russo, Avvocato dello Stato,

7. der Europäischen Kommission, vertreten durch A. Bouchagiar, M. Heller und H. Kranenborg als Bevollmächtigte,

nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 15. Dezember 2022

folgendes

Entscheidungsgründe

Urteil

1. Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 15 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).

2. Dieses Ersuchen ergeht im Rahmen eines Rechtsstreits zwischen F. F. und der Österreichischen Datenschutzbehörde wegen deren Weigerung, der CRIF GmbH aufzugeben, F. F. eine Kopie der Dokumente und der Auszüge aus Datenbanken zu übermitteln, die u. a. seine personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind.

Rechtlicher Rahmen

3. In den Erwägungsgründen 10, 11, 26, 58, 60 und 63 DSGVO heißt es wie folgt:

   1. Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden. …

   2. Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen sowie eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten …

   …

   1. Die Grundsätze des Datenschutzes sollten für alle Informationen gelten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. … Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern …

   …

   1. Der Grundsatz der Transparenz setzt voraus, dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst ist …

   …

   1. Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. …

   …

   1. Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. … Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. …“

4. Art. 4 der Verordnung bestimmt:

   „Im Sinne dieser Verordnung bezeichnet der Ausdruck:

   1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

   2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten …;

   …“

5. Art. 12 („Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person“) DSGVO sieht vor:

   „(1)   Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

   …

   (3)   Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. … Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

   …“

6. Art. 15 („Auskunftsrecht der betroffenen Person“) DSGVO lautet:

   „(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

   1. die Verarbeitungszwecke;

   2. die Kategorien personenbezogener Daten, die verarbeitet werden;

   3. die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

   4. falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

   5. das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

   6. das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

   7. wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

   8. das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

   (2)   Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

   (3)   Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

   (4)   Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

7. Art. 16 („Recht auf Berichtigung“) DSGVO bestimmt:

   „Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten – auch mittels einer ergänzenden Erklärung – zu verlangen.“

8. In Art. 17 („Recht auf Löschung [‚Recht auf Vergessenwerden‘]“) Abs. 1 dieser Verordnung heißt es:

   „Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen …

   …“

Ausgangsrechtsstreit und Vorlagefragen

9. CRIF ist eine Kreditauskunftei, die auf Verlangen ihrer Kunden Informationen über die Zahlungsfähigkeit Dritter liefert. Zu diesem Zweck verarbeitete sie die persönlichen Daten des Klägers des Ausgangsverfahrens.

10. Am 20. Dezember 2018 beantragte dieser bei CRIF auf der Grundlage von Art. 15 DSGVO Auskunft über die ihn betreffenden personenbezogenen Daten. Außerdem bat er um Zurverfügungstellung einer Kopie der Dokumente, nämlich E-Mails und Auszüge aus Datenbanken, die u. a. seine Daten enthalten, „in einem üblichen technischen Format“.

11. Daraufhin übermittelte CRIF dem Kläger des Ausgangsverfahrens in aggregierter Form eine Liste seiner personenbezogenen Daten, die Gegenstand der Verarbeitung waren.

12. Da der Kläger des Ausgangsverfahrens der Ansicht war, dass CRIF ihm eine Kopie sämtlicher Dokumente, die seine Daten enthalten, wie etwa E-Mails und Auszüge aus Datenbanken, hätte übermitteln müssen, brachte er bei der Datenschutzbehörde eine Beschwerde ein.

13. Mit Bescheid vom 11. September 2019 wies die Datenschutzbehörde die Beschwerde mit der Begründung ab, dass CRIF das Recht des Klägers des Ausgangsverfahrens auf Auskunft über die personenbezogenen Daten nicht verletzt habe.

14. Das vorlegende Gericht, das mit der Klage des Klägers des Ausgangsverfahrens gegen diesen Bescheid befasst ist, stellt sich die Frage der Tragweite von Art. 15 Abs. 3 Satz 1 DSGVO. Es fragt sich insbesondere, ob die in dieser Bestimmung vorgesehene Verpflichtung, eine „Kopie“ der personenbezogenen Daten zur Verfügung zu stellen, erfüllt ist, wenn der für die Verarbeitung Verantwortliche die personenbezogenen Daten als Tabelle in aggregierter Form übermittelt, oder ob diese Verpflichtung auch die Übermittlung von Auszügen aus Dokumenten oder gar von ganzen Dokumenten sowie von Auszügen aus Datenbanken umfasst, in denen diese Daten wiedergegeben werden.

15. Konkret wirft das vorlegende Gericht die Frage auf, ob Art. 15 Abs. 3 Satz 1 DSGVO lediglich die Form festlegt, in der das Recht auf Auskunft über die in Art. 15 Abs. 1 dieser Verordnung genannten Informationen zu gewährleisten ist, oder ob die erstgenannte Bestimmung ein eigenständiges Recht der betroffenen Person auf Zugang zu Informationen über den Kontext, in dem die Daten dieser Person verarbeitet werden, in Form einer Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, begründet.

16. Das vorlegende Gericht möchte außerdem wissen, ob der Begriff „Informationen“ in Art. 15 Abs. 3 Satz 3 DSGVO auch die in Art. 15 Abs. 1 Buchst. a bis h dieser Verordnung genannten Informationen oder gar zusätzliche Informationen wie Datenmetadaten umfasst oder ob er nur die in Art. 15 Abs. 3 Satz 1 der DSGVO genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ umfasst.

17. Unter diesen Umständen hat das Bundesverwaltungsgericht (Österreich) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

    1. Ist der Begriff der „Kopie“ in Art. 15 Abs. 3 DSGVO dahin gehend auszulegen, dass damit eine Fotokopie bzw. ein Faksimile oder eine elektronische Kopie eines (elektronischen) Datums gemeint ist, oder fällt dem Begriffsverständnis deutscher, französischer und englischer Wörterbücher folgend unter den Begriff auch eine „Abschrift“, ein „double“ („duplicata“) oder ein „transcript“?

    2. Ist Art. 15 Abs. 3 Satz 1 DSGVO, wonach „der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt, dahin gehend auszulegen, dass darin ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie – auch – gesamter Dokumente enthalten ist, in denen personenbezogene Daten der betroffenen Person verarbeitet werden, bzw. auf Ausfolgung einer Kopie eines Datenbankauszuges bei Verarbeitung der personenbezogenen Daten in einer solchen, oder besteht damit – nur – ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten?

    3. Für den Fall, dass die Frage 2. dahin gehend beantwortet wird, dass nur ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art. 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten besteht, ist Art. 15 Abs. 3 Satz 1 DSGVO dahin gehend auszulegen, dass es bedingt durch die Art der verarbeiteten Daten (zum Beispiel in Bezug auf die im 63. Erwägungsgrund angeführten Diagnosen, Untersuchungsergebnisse, Befunde oder auch Unterlagen im Zusammenhang mit einer Prüfung im Sinne des Urteils des Gerichtshofs der Europäischen Union vom 20. Dezember 2017, Nowak, C-434/16, EU:C:2017:994) und das Transparenzgebot in Art. 12 Abs. 1 DSGVO im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen?

    4. Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit allein die in Art. 15 Abs. 3 Satz 1 DSGVO genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ gemeint sind?

       1. Falls die Frage 4 verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art. 15 Abs. 1 Buchst. a) bis h) DSGVO gemeint sind?

       2. Falls auch die Frage 4 a) verneint wird: Ist der Begriff „Informationen“, die nach Art. 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahin gehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 Buchst. a) bis h) DSGVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?

Zu den Vorlagefragen

Zu den Vorlagefragen 1 bis 3

18. Mit den Fragen 1 bis 3, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 3 Satz 1 DSGVO im Licht des in Art. 12 Abs. 1 dieser Verordnung vorgesehenen Transparenzgrundsatzes dahin auszulegen ist, dass das Recht auf Ausfolgung einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, bedeutet, dass der betroffenen Person nicht nur eine Kopie dieser Daten ausgefolgt wird, sondern auch eine Kopie der Auszüge aus Dokumenten oder gar eine Kopie von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten. Das vorlegende Gericht wirft insbesondere die Frage nach dem Umfang dieses Rechts auf.

19. Zunächst ist darauf hinzuweisen, dass nach ständiger Rechtsprechung des Gerichtshofs bei der Auslegung einer Bestimmung des Unionsrechts nicht nur ihr Wortlaut entsprechend ihrem Sinn nach dem gewöhnlichen Sprachgebrauch, sondern auch ihr Kontext und die Ziele, die mit der Regelung, zu der sie gehört, verfolgt werden, zu berücksichtigen sind (vgl. in diesem Sinne Urteile vom 2. Dezember 2021, Vodafone Kabel Deutschland, C-484/20, EU:C:2021:975, Rn. 19 und die dort angeführte Rechtsprechung, sowie vom 7. September 2022, Staatssecretaris van Justitie en Veiligheid [Natur des Aufenthaltsrechts aus Art. 20 AEUV], C-624/20, EU:C:2022:639, Rn. 28).

20. Was den Wortlaut von Art. 15 Abs. 3 Satz 1 DSGVO betrifft, so heißt es in dieser Bestimmung, dass der Verantwortliche „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung [stellt]“.

21. Auch wenn die DSGVO keine Definition des so verwendeten Begriffs „Kopie“ enthält, ist der gewöhnliche Sinn dieses Begriffs zu berücksichtigen, der, wie der Generalanwalt in Nr. 30 seiner Schlussanträge ausgeführt hat, die originalgetreue Reproduktion oder Abschrift bezeichnet, so dass eine rein allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind, oder ein Verweis auf Kategorien personenbezogener Daten nicht dieser Definition entspräche. Außerdem ergibt sich aus dem Wortlaut von Art. 15 Abs. 3 Satz 1 dieser Verordnung, dass sich die Mitteilungspflicht auf die personenbezogenen Daten bezieht, die Gegenstand der in Rede stehenden Verarbeitung sind.

22. Art. 4 Nr. 1 DSGVO definiert den Begriff „personenbezogene Daten“ als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“ und stellt klar, dass „als identifizierbar … eine natürliche Person angesehen [wird], die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann“.

23. In der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Bestimmung des Begriffs „personenbezogene Daten“ in dieser Vorschrift kommt das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen, die potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt (vgl. entsprechend Urteil vom 20. Dezember 2017, Nowak, С-434/16, EU:C:2017:994, Rn. 34).

24. Insoweit ist entschieden worden, dass es sich um eine Information über eine identifizierte oder identifizierbare natürliche Person handelt, wenn sie aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft ist (vgl. in diesem Sinne Urteil vom 20. Dezember 2017, Nowak, С-434/16, EU:C:2017:994, Rn. 35).

25. Zur „Identifizierbarkeit“ von Daten heißt es im 26. Erwägungsgrund der DSGVO, dass „alle Mittel berücksichtigt werden [sollten], die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern“.

26. Wie der Generalanwalt in den Nrn. 36 bis 39 seiner Schlussanträge im Wesentlichen ausgeführt hat, erfasst die weite Definition des Begriffs „personenbezogene Daten“ nicht nur die von dem für die Verarbeitung Verantwortlichen erhobenen und auf Vorrat gespeicherten Daten, sondern auch alle Informationen über eine identifizierte oder identifizierbare Person, die aus einer Verarbeitung personenbezogener Daten resultieren, wie die Beurteilung ihrer Zahlungsfähigkeit oder Zahlungswilligkeit.

27. In diesem Zusammenhang ist hinzuzufügen, dass der Unionsgesetzgeber den Begriff „Verarbeitung“, wie er in Art. 4 Nr. 2 DSGVO definiert ist, durch eine nicht erschöpfende Aufzählung von Vorgängen weit fassen wollte (vgl. in diesem Sinne Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C-175/20, EU:C:2022:124, Rn. 35).

28. Daher folgt aus der wörtlichen Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO, dass diese Bestimmung der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten im Sinne einer weiten Bedeutung zu erhalten, die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden müssen.

29. Allerdings ist festzustellen, dass der Wortlaut dieser Bestimmung für sich genommen die Beantwortung der ersten drei Fragen nicht ermöglicht, da er keinen Hinweis auf ein etwaiges Recht enthält, nicht nur eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sondern auch eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen.

30. Zum Kontext von Art. 15 Abs. 3 Satz 1 DSGVO ist festzustellen, dass Art. 15 („Auskunftsrecht der betroffenen Person“) Abs. 1 DSGVO den Gegenstand und den Anwendungsbereich des der betroffenen Person zustehenden Auskunftsrechts festlegt und darin deren Recht verankert, von dem für die Verarbeitung Verantwortlichen Auskunft über ihre personenbezogenen Daten sowie die in den Buchst. a bis h dieses Absatzes genannten Informationen zu erhalten.

31. Art. 15 Abs. 3 DSGVO legt die praktischen Modalitäten für die Erfüllung der dem für die Verarbeitung Verantwortlichen obliegenden Verpflichtung fest, indem er u. a. in Satz 1 die Form festlegt, in der dieser Verantwortliche die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellen muss, nämlich in Form einer „Kopie“. Außerdem heißt es in Satz 3 dieses Absatzes, dass die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen sind, wenn die betroffene Person den Antrag elektronisch stellt, sofern sie nichts anderes angibt.

32. Daher kann Art. 15 DSGVO nicht so ausgelegt werden, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen bezieht sich, wie die Europäische Kommission in ihren schriftlichen Erklärungen betont hat, der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind.

33. Zu den mit Art. 15 DSGVO verfolgten Zielen ist festzustellen, dass die DSGVO, wie sich aus ihrem elften Erwägungsgrund ergibt, den Zweck hat, die Rechte der betroffenen Personen zu stärken und präzise festzulegen. Im Unterschied zu Art. 12 Buchst. a zweiter Gedankenstrich der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31), der lediglich eine „Mitteilung in verständlicher Form über die Daten, die Gegenstand der Verarbeitung sind“ verlangt, sieht Art. 15 dieser Verordnung insoweit ein Recht auf Erhalt einer Kopie vor. Im 63. Erwägungsgrund der DSGVO wird wiederum klargestellt: „[E]ine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.“

34. Somit muss es der betroffenen Person durch die Ausübung des in Art. 15 DSGVO vorgesehenen Auskunftsrechts nicht nur ermöglicht werden, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob sie in zulässiger Weise verarbeitet werden (vgl. in diesem Sinne Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C-154/21, EU:C:2023:3, Rn. 37 und die dort angeführte Rechtsprechung).

35. Dieses Auskunftsrecht ist insbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“) und ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art. 16, 17 bzw. 18 DSGVO zukommen, sowie ihr in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr in den Art. 79 und 82 DSGVO vorgesehenes Recht auf Einlegung eines gerichtlichen Rechtsbehelfs auszuüben (Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C-154/21, EU:C:2023:3, Rn. 38 und die dort angeführte Rechtsprechung).

36. Es ist auch darauf hinzuweisen, dass nach dem 60. Erwägungsgrund der DSGVO die Grundsätze einer fairen und transparenten Verarbeitung es erforderlich machen, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird, wobei der Verantwortliche alle weiteren Informationen zur Verfügung stellen sollte, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten.

37. Im Übrigen muss gemäß dem vom vorlegenden Gericht erwähnten Grundsatz der Transparenz, auf den im 58. Erwägungsgrund der DSGVO Bezug genommen wird und der in Art. 12 Abs. 1 dieser Verordnung ausdrücklich verankert ist, eine für die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein.

38. Wie der Generalanwalt in den Nrn. 54 und 55 seiner Schlussanträge ausgeführt hat, ergibt sich aus dieser Bestimmung, dass der Verantwortliche geeignete Maßnahmen zu treffen hat, um der betroffenen Person alle u. a. in Art. 15 DSGVO genannten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, und dass die Übermittlung der Informationen schriftlich oder in anderer Form, gegebenenfalls auch elektronisch zu erfolgen hat, es sei denn, die betroffene Person verlangt, dass diese mündlich erteilt werden. Diese Bestimmung, die Ausdruck des Transparenzgrundsatzes ist, soll gewährleisten, dass die betroffene Person in die Lage versetzt wird, die an sie gerichteten Informationen in vollem Umfang zu verstehen.

39. Daraus folgt, dass die vom Verantwortlichen nach Art. 15 Abs. 3 Satz 1 DSGVO zur Verfügung zu stellende Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, alle Merkmale aufweisen muss, die es der betroffenen Person ermöglichen, ihre Rechte aus dieser Verordnung wirksam auszuüben, und diese Daten daher vollständig und originalgetreu wiedergeben muss.

40. Diese Auslegung entspricht dem Ziel dieser Verordnung, die, wie sich aus ihrem zehnten Erwägungsgrund ergibt, namentlich darauf abzielt, innerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck für eine unionsweit gleichmäßige und einheitliche Anwendung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung personenbezogener Daten zu sorgen (vgl. in diesem Sinne Urteil vom 9. Februar 2023, X-FAB Dresden, С-453/21, EU:C:2023:79, Rn. 25 und die dort angeführte Rechtsprechung).

41. Um zu gewährleisten, dass die so bereitgestellten Informationen leicht verständlich sind, wie es Art. 12 Abs. 1 in Verbindung mit dem 58. Erwägungsgrund der DSGVO verlangt, kann sich nämlich, wie der Generalanwalt in den Nrn. 57 und 58 seiner Schlussanträge ausgeführt hat, die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten.

42. Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, d. h. einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann.

43. Außerdem sollte nach Art. 15 Abs. 4 DSGVO in Verbindung mit dem 63. Erwägungsgrund der DSGVO das Recht auf Erhalt einer Kopie gemäß Abs. 3 die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen.

44. Daher sind, wie der Generalanwalt in Nr. 61 seiner Schlussanträge ausgeführt hat, im Fall eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft über die personenbezogenen Daten zum einen und den Rechten oder Freiheiten anderer Personen zum anderen die fraglichen Rechte gegeneinander abzuwägen. Nach Möglichkeit sind Modalitäten der Übermittlung der personenbezogenen Daten zu wählen, die die Rechte oder Freiheiten anderer Personen nicht verletzen, wobei diese Erwägungen „nicht dazu führen [dürfen], dass der betroffenen Person jegliche Auskunft verweigert wird“, wie sich aus dem 63. Erwägungsgrund DSGVO ergibt.

45. Nach alledem ist auf die erste bis dritte Vorlagefrage zu antworten, dass Art. 15 Abs. 3 Satz 1 DSGVO

    dahin auszulegen ist, dass

    das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind.

Zur Vorlagefrage 4

46. Mit dieser Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 3 Satz 3 DSGVO dahin auszulegen ist, dass sich der im Sinne dieser Bestimmung verwendete Begriff „Informationen“ ausschließlich auf personenbezogene Daten bezieht, von denen der für die Verarbeitung Verantwortliche gemäß Satz 1 dieses Absatzes eine Kopie zur Verfügung stellen muss, oder ob er sich auch auf alle in Abs. 1 dieses Artikels genannten Informationen bezieht oder gar darüber hinausgehende Einzelheiten wie etwa Metadaten umfasst.

47. Wie in Rn. 19 des vorliegenden Urteils ausgeführt, sind bei der Auslegung einer Unionsvorschrift nicht nur deren Wortlaut, sondern auch ihr Zusammenhang und die Ziele zu berücksichtigen, die mit der Regelung, zu der sie gehört, verfolgt werden.

48. Insoweit beschränkt sich Art. 15 Abs. 3 Satz 3 DSGVO zwar auf den Hinweis, dass „die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen [sind]“, wenn „die betroffene Person den Antrag elektronisch [stellt]“, ohne dass erläutert wird, was unter dem Begriff „Informationen“ zu verstehen ist, doch heißt es in Satz 1 dieses Absatzes: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“

49. Somit ergibt sich aus dem Kontext von Art. 15 Abs. 3 Satz 3 DSGVO, dass die von ihm erfassten „Informationen“ zwangsläufig den personenbezogenen Daten entsprechen, von denen der für die Verarbeitung Verantwortliche gemäß Satz 1 dieses Absatzes eine Kopie zur Verfügung stellen muss.

50. Eine solche Auslegung wird durch die mit Art. 15 Abs. 3 DSGVO verfolgten Ziele bestätigt, die, wie in Rn. 31 des vorliegenden Urteils ausgeführt, darin bestehen, die praktischen Modalitäten für die Erfüllung der dem für die Verarbeitung Verantwortlichen obliegenden Verpflichtung festzulegen, eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Folglich begründet diese Bestimmung kein anderes Recht als das der betroffenen Person zustehende Recht, eine originalgetreue und verständliche Reproduktion dieser Daten zu erhalten, die ihr die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte ermöglicht.

51. Es ist jedoch darauf hinzuweisen, dass keine Bestimmung dieser Verordnung eine Grundlage dafür bildet, einen Antrag je nach der Form, in der er gestellt wird, unterschiedlich zu behandeln, so dass der Umfang des Rechts, eine Kopie zu erhalten, nicht je nach Form der Antragstellung variieren kann.

52. Im Übrigen ist auch darauf hinzuweisen, dass nach Art. 12 Abs. 3 DSGVO die in Art. 15 genannten Informationen, einschließlich der in Art. 15 Abs. 1 Buchst. a bis h genannten Informationen, auf elektronischem Wege übermittelt werden, wenn die betroffene Person den Antrag elektronisch stellt, sofern sie nichts anderes angibt.

53. Nach alledem ist auf die vierte Vorlagefrage zu antworten, dass Art. 15 Abs. 3 Satz 3 DSGVO

    dahin auszulegen ist, dass

    sich der im Sinne dieser Bestimmung verwendete Begriff „Informationen“ ausschließlich auf personenbezogene Daten bezieht, von denen der für die Verarbeitung Verantwortliche gemäß Satz 1 dieses Absatzes eine Kopie zur Verfügung stellen muss.

Kosten

54. Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Gründe

Aus diesen Gründen hat der Gerichtshof (Erste Kammer) für Recht erkannt:

1. Art. 15 Abs. 3 Satz 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

   ist dahin auszulegen, dass

   das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind.

1. Art. 15 Abs. 3 Satz 3 der Verordnung 2016/679

   ist dahin auszulegen, dass

   sich der im Sinne dieser Bestimmung verwendete Begriff „Informationen“ ausschließlich auf personenbezogene Daten bezieht, von denen der für die Verarbeitung Verantwortliche gemäß Satz 1 dieses Absatzes eine Kopie zur Verfügung stellen muss.

Arabadjiev

Xuereb

von Danwitz

Kumin

Ziemele

Verkündet in öffentlicher Sitzung in Luxemburg am 4. Mai 2023.

Der Kanzler

A. Calot Escobar

Der Kammerpräsident

A. Arabadjiev

( ^*1)Verfahrenssprache: Deutsch.