Rechtssache C‑307/22

FT

gegen

DW

(Vorabentscheidungsersuchen des Bundesgerichtshofs, Deutschland)

Urteil des Gerichtshofs (Erste Kammer) vom 26. Oktober 2023

„Vorlage zur Vorabentscheidung – Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 12, 15 und 23 – Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind – Recht auf Erhalt einer unentgeltlichen ersten Kopie dieser Daten – Verarbeitung der Daten eines Patienten durch seinen Arzt – Patientenakte – Gründe für den Auskunftsantrag – Verwendung der Daten, um haftungsrechtliche Ansprüche gegen den Behandelnden geltend zu machen – Begriff ‚Kopie‘“

1. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind – Recht auf Erhalt einer unentgeltlichen ersten Kopie ihrer Daten – Verpflichtung des Verantwortlichen, eine solche Kopie zur Verfügung zu stellen – Sich aus den Erwägungsgründen der Verordnung ergebende Verpflichtung der betroffenen Person, ihren Antrag auf Auskunft über die Daten zu begründen – Fehlen

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, 63. Erwägungsgrund sowie Art. 12 Abs. 5 und Art. 15 Abs. 1 und 3)

   (vgl. Rn. 35-38, 43, 46, 50-52, Tenor 1)

2. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Befugnis der Mitgliedstaaten, Regelungen zu erlassen, die die Tragweite bestimmter in der Verordnung vorgesehener Rechte und Pflichten beschränken – Nationale Regelungen, die vor oder nach dem Inkrafttreten der Verordnung erlassen wurden – Unbeachtlichkeit

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 23 Abs. 1)

   (vgl. Rn. 54-56, 69, Tenor 2)

3. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind – Recht auf Erhalt einer unentgeltlichen ersten Kopie ihrer Daten – Einschränkungen – Voraussetzungen – Schutz der Rechte und Freiheiten anderer Personen – Befugnis eines Mitgliedstaats, zum Schutz der wirtschaftlichen Interessen des Verantwortlichen eine nationale Regelung zu erlassen, die der betroffenen Person die Kosten für eine erste Kopie ihrer Daten auferlegt – Fehlen

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 23 Abs. 1 Buchst. i)

   (vgl. Rn. 62, 64, 65, 67-69, Tenor 2)

4. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind – Zurverfügungstellung einer Kopie der Daten – Begriff „Kopie“ – Überlassung einer originalgetreuen und verständlichen Reproduktion dieser Daten an die betroffene Person – Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten – Einbeziehung – Voraussetzung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, 58. Erwägungsgrund sowie Art. 12 Abs. 1, Art. 15 Abs. 1 und Art. 15 Abs. 3 Satz 1)

   (vgl. Rn. 71-75)

5. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind – Zurverfügungstellung einer Kopie der Daten – Begriff „Kopie“ – Überlassung einer originalgetreuen und verständlichen Reproduktion sämtlicher Daten aus der Patientenakte an die betroffene Person – Vollständige Kopie der in der Patientenakte enthaltenen Dokumente – Einbeziehung – Voraussetzung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, 63. Erwägungsgrund und Art. 15 Abs. 3 Satz 1)

   (vgl. Rn. 76-79, Tenor 3)

Zusammenfassung

DW forderte seine Zahnärztin FT zur unentgeltlichen Herausgabe einer ersten Kopie seiner Patientenakte auf. Er stellte diesen Antrag, um Haftungsansprüche gegen FT wegen Fehlern geltend zu machen, die diese bei seiner zahnärztlichen Behandlung begangen haben soll.

FT weigerte sich unter Berufung auf das deutsche Recht, wonach der Patient eine Kopie seiner Patientenakte erhalten kann, sofern er dem Behandelnden die sich daraus ergebenden Kosten erstattet ( 1 ), DW eine solche Kopie zur Verfügung zu stellen, woraufhin DW klagte. Sowohl das erstinstanzliche Gericht als auch das Berufungsgericht gaben dem Antrag von DW auf unentgeltliche Herausgabe einer ersten Kopie seiner Patientenakte statt.

Der mit der Revision von FT befasste Bundesgerichtshof (Deutschland) hat den Gerichtshof zur Auslegung derjenigen Bestimmungen der DSGVO befragt, die die Modalitäten der Ausübung des Rechts der betroffenen Person auf Auskunft über ihre Daten sowie die Beschränkungen der Tragweite dieses Rechts betreffen ( 2 ).

In seinem Urteil stellt der Gerichtshof zunächst fest, dass der Verantwortliche verpflichtet ist, der betroffenen Person auf Antrag unentgeltlich eine erste Kopie ihrer personenbezogenen Daten zur Verfügung zu stellen, mit der andere Zwecke als die in den Erwägungsgründen der DSGVO ausdrücklich genannten verfolgt werden, nämlich von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen. Sodann trifft er Feststellungen dazu, in welchem Rahmen die Mitgliedstaaten befugt sind, unter Berufung auf die wirtschaftlichen Interessen des Verantwortlichen das Recht auf Erhalt einer Kopie dadurch einzuschränken, dass sie der betroffenen Person die hierfür beim Verantwortlichen angefallenen Kosten auferlegen. Schließlich prüft er, ob es erforderlich ist, der betroffenen Person in bestimmten Fällen eine vollständige Kopie der Daten aus ihrer Patientenakte zur Verfügung zu stellen.

Würdigung durch den Gerichtshof

Erstens weist der Gerichtshof in Bezug auf die Frage, ob der Verantwortliche der betroffenen Person eine erste Kopie ihrer Daten auch dann unentgeltlich zur Verfügung stellen muss, wenn dies anderen als den in den Erwägungsgründen der DSGVO ausdrücklich genannten Zwecken dient, darauf hin, dass Art. 15 Abs. 3 Satz 1 DSGVO der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten zu erhalten, denen eine weite Bedeutung beizumessen ist und die Gegenstand von Vorgängen sind, die als „Verarbeitung durch den für diese Verarbeitung Verantwortlichen“ eingestuft werden müssen ( 3 ). Des Weiteren ergibt sich aus einer Gesamtschau der einschlägigen Bestimmungen der DSGVO ( 4 ) zum einen, dass die betroffene Person einen Anspruch darauf hat, eine erste unentgeltliche Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zu erhalten, und zum anderen, dass der Verantwortliche unter bestimmten Bedingungen die Möglichkeit hat, entweder ein angemessenes Entgelt zu verlangen, bei dem die Verwaltungskosten berücksichtigt werden, oder sich zu weigern, aufgrund des Antrags tätig zu werden, wenn dieser Antrag offenkundig unbegründet oder exzessiv ist.

Die unentgeltliche Zurverfügungstellung einer ersten Kopie der personenbezogenen Daten ist jedoch nach keiner dieser Bestimmungen davon abhängig, dass die betroffene Person ihren Antrag begründet. Daher vermögen die in den Erwägungsgründen der DSGVO ( 5 ) ausdrücklich genannten Antragsgründe die Tragweite dieser Bestimmungen nicht einzuschränken. Somit kann das Recht auf Auskunft über Gesundheitsdaten ( 6 ) nicht durch eine Auskunftsverweigerung oder durch die Auferlegung der Zahlung einer Gegenleistung auf einen dieser Gründe beschränkt werden, und dies gilt auch für das Recht auf Erhalt einer ersten unentgeltlichen Kopie.

Der Grundsatz, dass die erste Kopie der Daten unentgeltlich ist, sowie die Tatsache, dass der Auskunftsantrag nicht spezifisch begründet sein muss, tragen des Weiteren notwendigerweise dazu bei, der betroffenen Person die Ausübung ihrer Rechte aus der DSGVO zu erleichtern. Angesichts der Bedeutung, die diese Verordnung dem Recht auf Auskunft über die personenbezogenen Daten zur Erreichung der mit ihr verfolgten Ziele beimisst, darf die Ausübung dieses Rechts folglich nicht von Bedingungen abhängig gemacht werden, die der Unionsgesetzgeber nicht ausdrücklich festgelegt hat.

Zweitens entscheidet der Gerichtshof, dass ein Mitgliedstaat keine nationale Regelung erlassen darf, die der betroffenen Person zum Schutz der wirtschaftlichen Interessen des Verantwortlichen die Kosten für eine erste Kopie ihrer personenbezogenen Daten auferlegt.

Zwar gilt nach der DSGVO das Recht der betroffenen Person, eine erste unentgeltliche Kopie ihrer personenbezogenen Daten zu erhalten, nicht uneingeschränkt, und unter bestimmten Bedingungen könnte der Schutz der Rechte und Freiheiten anderer Personen eine Beschränkung dieses Rechts rechtfertigen ( 7 ). Soweit die nationale Regelung zum Ziel hat, die wirtschaftlichen Interessen der Behandelnden zu schützen, indem unnötige Kopieranträge verhindert werden, fallen derartige Erwägungen jedoch im vorliegenden Fall nicht unter solche Rechte und Freiheiten anderer Personen.

Diese Regelung führt nämlich dazu, dass nicht nur Anträgen, die unnötig wären, entgegengewirkt wird, sondern auch solchen Anträgen, mit denen aus berechtigtem Grund eine unentgeltliche erste Kopie der verarbeiteten personenbezogenen Daten verlangt wird. Diese Regelung verstößt folglich notwendigerweise gegen den Grundsatz der Unentgeltlichkeit der ersten Kopie und stellt damit die praktische Wirksamkeit des in der DSGVO vorgesehenen Rechts der betroffenen Person auf Auskunft über ihre Daten und mithin den von dieser Verordnung gewährleisteten Schutz in Frage.

Des Weiteren hebt der Gerichtshof hervor, dass die wirtschaftlichen Interessen der Verantwortlichen in der DSGVO berücksichtigt wurden, in der die Umstände festgelegt sind, unter denen der Verantwortliche ein Entgelt für die Kosten der Zurverfügungstellung einer Kopie der personenbezogenen Daten verlangen kann.

Drittens und letztens stellt der Gerichtshof fest, dass im Arzt-Patienten-Verhältnis das Recht auf Erhalt einer Kopie der personenbezogenen Daten umfasst, der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten zu überlassen. Dieses Recht setzt voraus, eine vollständige Kopie der Dokumente zu erhalten, die sich in ihrer Patientenakte befinden, wenn dies erforderlich ist, um dieser Person die Überprüfung der Richtigkeit und Vollständigkeit der Daten zu ermöglichen und um die Verständlichkeit der Daten zu gewährleisten.

In Bezug auf personenbezogene Gesundheitsdaten heißt es in der DSGVO, dass das Recht der betroffenen Personen auf Auskunft „Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten“, einschließt ( 8 ). Aufgrund der Sensibilität dieser Daten hat der Unionsgesetzgeber betont, wie wichtig es ist, dass die Auskunft gegenüber dem Einzelnen über die in seiner Patientenakte enthaltenen Daten so vollständig und genau wie möglich, aber auch verständlich erfolgt.

Jedoch könnte in Bezug auf Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu an einem Patienten vorgenommenen Behandlungen oder Eingriffen, die in der Regel zahlreiche technische Daten oder gar Bilder umfassen, bei der Zurverfügungstellung einer einfachen Zusammenfassung oder Zusammenstellung dieser Daten durch den Arzt, um sie in zusammengefasster Form vorzulegen, die Gefahr bestehen, dass bestimmte relevante Daten ausgelassen oder unrichtig wiedergegeben werden oder dass jedenfalls die Überprüfung ihrer Richtigkeit und Vollständigkeit sowie ihr Verständnis durch den Patienten erschwert werden.

( 1 ) § 630 g Abs. 2 Satz 2 des Bürgerlichen Gesetzbuchs (BGB).

( 2 ) Konkreter zu Art. 12 Abs. 5, Art. 15 Abs. 1 und 3 sowie Art. 23 Abs. 1 Buchst. i der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2) (im Folgenden: DSGVO).

( 3 ) Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF (C‑487/21, EU:C:2023:369, Rn. 28).

( 4 ) Art. 12 Abs. 5 sowie Art. 15 Abs. 1 und 3 DSGVO.

( 5 ) Der 63. Erwägungsgrund der DSGVO lautet: „Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.“

( 6 ) Gewährleistet in Art. 15 Abs. 1 DSGVO.

( 7 ) Gemäß Art. 23 Abs. 1 Buchst. i DSGVO.

( 8 ) 63. Erwägungsgrund der DSGVO.