Betroffene Personen haben ein „Recht auf Erhalt einer Kopie“ ihrer Daten. Das scheint einfach und klar. Die Tücken dieses Anspruchs zeigen sich jedoch jeden Tag in der Praxis.

Ausgangspunkt ist Art. 15 DSGVO

Betroffene Personen haben ein Recht auf Auskunft über die personen-bezogenen Daten, die sie betreffen. So legt es Art. 15 Abs. 1 DSGVO fest. Der Anspruch richtet sich gegen den Verantwortlichen, also etwa gegen ein Unternehmen, das Daten von Kunden verarbeitet. Weiter legt die DSGVO fest: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“ (Art. 15 Abs. 3 Satz 1 DSGVO).

Es geht um einen einheitlichen Anspruch

Lange war umstritten, ob die DSGVO hier zwei Ansprüche nebeneinander festlegt. Das eine wäre der Anspruch auf Auskunft über die personenbezogenen Daten (Art. 15 Abs. 1 DSGVO), das andere der Anspruch auf eine Kopie dieser Daten (Art. 15 Abs. 3 DSGVO). Aus der Sicht des EuGH geht es hier aber nur um zwei Facetten ein- und desselben Anspruchs. Er sieht das Zusammenspiel der beiden Facetten so:

  • Betroffene Personen haben Anspruch auf Auskunft über ihre personenbezogenen Daten.
  • Es geht dabei aber in der Regel nur um den Inhalt dieser Daten, nicht um ihre äußere Form.
  • Ein Anspruch auf eine exakte Kopie („1:1“) besteht nur dann, wenn das für das Verständnis des Inhalts notwendig ist.

Typisches Beispiel ist das „leere Leerfeld“

Jemand füllt einen Patienten-Fragebogen aus. In das Feld „bekannte Herzerkrankungen“ schreibt er schlicht nichts hinein. Felder zu anderen bekannten Erkrankungen füllt er dagegen aus. Er verlangt Auskunft über die gespeicher-ten Daten. Eine bloße Auflistung aller Daten, die er aktiv in den Fragebogen hineingeschrieben hat, gäbe hier kein vollständiges Bild. Die Information, dass er zu Herzerkrankungen nichts hineingeschrieben hat, ist vielmehr ganz wesentlich. Deshalb hat er in diesem Fall Anspruch auf eine Kopie des Fragebogens. Nur einer solchen Kopie lässt sich entnehmen, dass im Feld „Herzerkrankungen“ gerade nichts stand.

Auch für „normale Unternehmen“ ist das alles wichtig

Die eben erörterten Dinge verringern den Aufwand, wenn ein Unternehmen Auskunft erteilen muss. Angenommen, ein Kunde füllt bei jeder Online-Bestellung auf der Webseite des Unternehmens ein Bestellformular aus. Alle Bestellformulare werden gespeichert. Zugleich werden alle Angaben aus den Formularen automatisch in ein Kundenkonto übertragen. Der Kunde verlangt Auskunft über seine personenbezogenen Daten. Es macht einen erheblichen Unterschied, ob ein Ausdruck des Kundenkontos mit allen Daten genügt oder ob jedes einzelne Bestell-formular ausgedruckt werden muss. Der Ausdruck des Kundenkontos genügt hier. Eine Kopie der einzelnen Bestellformulare kann der Kunde dagegen nicht verlangen.

Der Personenbezug ist wesentlich

Aus verschiedenen rechtlichen Gründen müssen Unternehmen ihren Kunden zahlreiche Informationen zur Verfügung stellen. Besonders trifft das Versicherungsunternehmen. Der eigentliche Versicherungsvertrag besteht oft nur aus einer oder zwei Seiten. Als Anlage kommen dann allerdings Versicherungsbedingungen von meist vielen Dutzend Seiten dazu. Diese Versicherungsbedingungen sind nicht individuell ausgestaltet. Vielmehr erhält jeder Kunde exakt dieselben Textdokumente. Als personenbezogen sehen die Gerichte in solchen Fällen nur den eigentlichen Vertragstext an. Die zusätzlichen Textdokumente haben dagegen keinen Personenbezug.

Das blockiert schikanöse Auskunftsforderungen

Für Versicherungsunternehmen ist dieser Aspekt sehr wichtig. Sollte ein Kunde Auskunft über seine personenbezogenen Daten fordern, genügt in der Regel eine Zusammenstellung seiner Daten aus dem Vertrag selbst und eine Zusammenstellung seiner Daten aus dem Versicherungsantrag. Daten über Zahlungsvorgänge und dergleichen können natürlich noch hinzukommen. Wichtiger ist jedoch, was das Unternehmen nicht zur Verfügung stellen muss

  • Eine exakte Kopie des Versicherungsvertrags ist ebenso wenig erforderlich wie eine exakte Kopie des Versicherungsantrags.
  • Eine Kopie des Versicherungsantrags ist nur notwendig, wenn er „leere Felder“ enthält. Denn das ist eine wesentliche Information.
  • Den Inhalt der Versicherungsbedingungen muss die Versicherung dagegen nicht zur Verfügung stellen. Denn diese Bedingungen sind nicht personenbezogen.

Es liegt auf der Hand, dass diese Aspekte den Aufwand für das Unternehmen erheblich verringern.