Das Auskunftsrecht sorgt in den meisten Unternehmen immer noch für Angst und Schrecken. Dies liegt vor allem daran, dass die Erfüllung des Auskunftsbegehrens es wirklich in sich hat. Viele Fragen hierzu sind nach wie vor umstritten und immer wieder Gegenstand von gerichtlichen Verfahren. Besonders der Umfang, also was und wieviel beauskunftet werden muss, sorgt oftmals für Unklarheit bei Verantwortlichen.
Der Inhalt im Überblick
Grundlage für alle Betroffenenrechte
Der Auskunftsanspruch ist auch deswegen so bedeutsam, weil er die Grundlage für die weiteren Betroffenenrechte bildet. Denn nur wenn die betroffene Person weiß, ob und welche Daten beim Verantwortlichen über sie vorhanden sind, kann die betroffene Person auch feststellen, ob die Daten rechtmäßig verarbeitet werden oder nicht. Vor allem bei langjährigen Arbeitsverhältnissen fällt eine große Menge an Daten an. Es ist daher nicht überraschend, dass die meisten Unternehmen nicht unbedingt begeistert sind, wenn ein Auskunftsersuchen nach Art. 15 DSGVO ins Haus flattert.
Das Recht auf Kopie im Rahmen des Auskunftsanspruchs stellt Unternehmen vor erhebliche Herausforderungen. Die Vorschrift verlangt, dass betroffene Personen eine Kopie ihrer personenbezogenen Daten erhalten, was auf den ersten Blick einfach erscheint. In der Praxis ist jedoch die Identifikation aller relevanten Daten komplex, da diese oft über verschiedene Systeme und Formate verteilt sind. Hinzu kommt, dass die Kopie nicht nur Rohdaten, sondern auch sämtliche Informationen umfasst, die im Zusammenhang mit der betroffenen Person stehen. Dies erfordert eine sorgfältige Prüfung, um sicherzustellen, dass keine Daten Dritter oder Betriebsgeheimnisse ungewollt offengelegt werden. Die Unsicherheit über den Umfang und die Form der Kopie sowie die Abwägung zwischen Transparenz und Datenschutz machen die Erfüllung des Auskunftsanspruchs besonders anspruchsvoll.
Vollständige und ungeschwärzte Herausgabe?
Einen solchen Fall hatte kürzlich das Verwaltungsgericht Düsseldorf zu entscheiden (Urteil vom 28.01.2026, Az. 29 K 9469/23). Es ging insbesondere um die Rechte Dritter im Rahmen eines Auskunftsersuchens. Im zugrunde liegenden Urteil wurde die Frage behandelt, ob die Klägerin einen Anspruch auf eine vollständige datenschutzrechtliche Auskunft und eine ungeschwärzte Kopie aller sie betreffenden Dokumente nach Art. 15 DSGVO hat. Die Klägerin hatte mehrfach Auskunft und Einsicht in Protokolle sowie Textdokumente verlangt. Dies geschah insbesondere im Zusammenhang mit einem Hausbesuch und einer Begutachtung durch das Gesundheitsamt.
Die Beklagte erteilte zunächst eine datenschutzrechtliche Auskunft und stellte die Akte sowie eine Aktennotiz mit Schwärzungen zur Verfügung. Die Schwärzungen betrafen personenbezogene Daten von Behördenmitarbeitern und der meldenden Person. Die Klägerin bestand weiterhin auf eine vollständige und ungeschwärzte Herausgabe sämtlicher Dokumente und argumentierte, dass die Schwärzungen nicht gerechtfertigt seien und die Auskunft unvollständig sei.
Wann ist der Auskunftsanspruch nach Art. 15 DSGVO erfüllt?
Das Gericht stellte zunächst fest, dass die Klage unzulässig ist, da das Rechtsschutzinteresse der Klägerin fehlt. Die Beklagte hat das Auskunftsbegehren durch die erteilte datenschutzrechtliche Auskunft und die Übersendung der relevanten Dokumente erfüllt. Die Klägerin erhielt Informationen zu den Kategorien der verarbeiteten Daten, Verarbeitungszwecken, Empfängern, Speicherfristen und weiteren datenschutzrechtlichen Aspekten. Die Schwärzungen betrafen ausschließlich personenbezogene Daten Dritter, insbesondere Behördenmitarbeiter und die meldende Person. Weitere Dokumente existierten nicht, sodass die Beklagte ihre Verpflichtungen bereits erfüllt hatte.
Im Mittelpunkt der rechtlichen Würdigung steht die Auslegung des Rechts auf Kopie nach Art. 15 Abs. 3 DSGVO. Das Gericht verweist auf die Rechtsprechung des Europäischen Gerichtshofs, wonach sich das Recht auf Kopie nicht auf das Dokument als solches, sondern auf die darin enthaltenen personenbezogenen Daten bezieht. Die Kopie müsse alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind, und diese vollständig und originalgetreu wiedergeben. Ziel sei es, der betroffenen Person einen unverfälschten Einblick in die über sie gespeicherten Daten zu ermöglichen, damit sie ihre Rechte – etwa auf Berichtigung, Löschung oder Einschränkung der Verarbeitung – wirksam ausüben könne. Die Kopie müsse daher so gestaltet sein, dass die betroffene Person die Tragweite und den Zusammenhang ihrer Datenverarbeitung nachvollziehen kann.
Das Gericht betont, dass der Verantwortliche berechtigt ist, Daten ohne Bezug zur betroffenen Person, die im selben Dokument enthalten sind, unkenntlich zu machen. Schwärzungen sind zulässig, solange die auf die betroffene Person bezogenen Daten nicht verkürzt oder verfälscht werden. Die von der Beklagten vorgenommenen Schwärzungen betrafen ausschließlich Dritte und beeinträchtigten den Aussagegehalt der personenbezogenen Daten der Klägerin nicht. Insbesondere ließen die zur Verfügung gestellten Kopien der Dokumente trotz der Schwärzung erkennen, in welchem Zusammenhang die personenbezogenen Daten der Klägerin verwendet werden. Die Schwärzungen dienten dem Schutz der Rechte und Interessen Dritter, insbesondere dem Schutz der Identität der meldenden Person und der Behördenmitarbeiter.
Welche Grenzen bestehen beim Recht auf Kopie?
Ein weiteres zentrales Argument des Gerichts ist, dass das Auskunftsrecht nach Art. 15 DSGVO keinen Anspruch auf inhaltliche Berichtigung der Dokumente umfasst. Die Klägerin kann zwar die Richtigkeit der Angaben bestreiten, dies ist aber nicht Gegenstand des Auskunftsanspruchs. Das Auskunftsrecht stellt lediglich einen Zugangsanspruch auf sämtliche personenbezogene Daten der betroffenen Person dar. Es enthält aber keinen Anspruch auf Korrektur oder Ergänzung der Inhalte.
Da die Beklagte die begehrte Auskunft und Kopie der personenbezogenen Daten vollständig erteilt hat, fehlt der Klägerin das Rechtsschutzinteresse für eine weitergehende Verpflichtungsklage. Das Gericht stellt klar, dass ein weitergehender Anspruch nicht besteht, wenn die Auskunft vollständig erteilt wurde und kein Rechtsschutzinteresse mehr besteht. Die Entscheidung verdeutlicht, dass das Recht auf Kopie im Rahmen des Auskunftsanspruchs nach Art. 15 DSGVO nicht grenzenlos ist und die praktische Umsetzung eine sorgfältige Abwägung zwischen dem Schutz personenbezogener Daten der betroffenen Person und dem Schutz der Daten Dritter erfordert.
Praktische Umsetzung des Auskunftsanspruchs
Zusammenfassend ergibt sich aus dem Urteil, dass der Auskunftsanspruch nach Art. 15 DSGVO erfüllt ist, wenn die betroffene Person alle sie betreffenden personenbezogenen Daten erhält. Das Recht auf Kopie bezieht sich auf die personenbezogenen Daten, nicht auf das gesamte Dokument. Schwärzungen sind zulässig und ggf. erforderlich, sofern sie ausschließlich Daten Dritter betreffen und sie die Daten der betroffenen Person darüber hinaus weder verkürzen noch verfälschen. Die praktische Umsetzung des Auskunftsanspruchs verlangt von Verantwortlichen, die relevanten Daten sorgfältig zu identifizieren und bereitzustellen, ohne dabei die Rechte Dritter zu verletzen. Die Entscheidung des Gerichts ist daher nicht überraschend. Das Urteil gibt wichtige Hinweise für die Praxis und die Grenzen des Rechts auf Auskunft einschließlich des konkreten Umfangs nach der DSGVO.
In unserer Klinik gibt es regelmäßig Diskussionen, ob die Namen der Mitarbeiter, die Einträge in der Patientenakte verfasst haben, geschwärzt werden müssen. Die Kernfrage ist dabei, ob diese Mitarbeiter Dritte im Sinne der Rechtsprechung sind, oder ob Sie in Ausübung Ihres Berufes eben nicht zu dieser Gruppe gehören. Gibt es dazu belastbare Urteile?
Dritte im Sinne des § 630g BGB sind typischerweise andere Patienten, Angehörige, Bezugspersonen oder externe Personen oder Stellen. Mitarbeiter, welche Einträge in der Akte vorgenommen haben, dürfen in aller Regel nicht geschwärzt werden, da „der Name des Behandelnden“ im Ganzen dokumentiert werden muss. Im Einzelfall sind Ausnahmen denkbar, z. B. dann, wenn Sicherheitsaspekte (Schutz vor Bedrohung) überwiegen. Wir weisen darauf hin, dass wir im Rahmen unseres Blogs natürlich keine konkrete Rechtsberatung geben können.
Der EuGH (Urteil vom 26.10.2023 – C 307/22) hat hierzu entschieden, dass Patienten eine erste Kopie der gesamten Akte kostenlos erhalten könne. Dabei müsse die Auskunft grundsätzlich vollständig erteilt werden.