Urteil : EuGH zum Umfang des Auskunftsanspruchs aus Art. 15 DS‑GVO : aus der RDV 5/2023 Seite 315 bis 320

1. Art. 15 der Verordnung (EU) 2016/679 […] ist dahin auszulegen, dass er auf ein Auskunftsersuchen hinsichtlich der in Art. 15 DS‑GVO genannten Informationen anwendbar ist, wenn die Verarbeitungsvorgänge, auf die sich die‑ ses Ersuchen bezieht, vor dem Anwendungsdatum der Verordnung ausgeführt wurden, das Ersuchen indessen nach diesem Datum vorgebracht wurde.
2. Art.  15 Abs.  1 der Verordnung 2016/679 ist dahin auszulegen, dass Informationen, die Abfragen personenbezogener Daten einer Person betreffen und die sich auf den Zeitpunkt und die Zwecke dieser Vorgänge beziehen, Informationen darstellen, die die genannte Person nach dieser Bestimmung von dem Verantwortlichen verlangen darf. Dagegen sieht diese Bestimmung kein solches Recht in Bezug auf Informationen über die Iden‑ tität der Arbeitnehmer dieses Verantwortlichen vor, die diese Vorgänge unter seiner Aufsicht und im Einklang mit seinen Weisungen ausgeführt haben, außer wenn diese Informationen unerlässlich sind, um der betroffe‑ nen Person es zu ermöglichen, die ihr durch diese Ver‑ ordnung verliehenen Rechte wirksam wahrzunehmen, und vorausgesetzt, dass die Rechte und Freiheiten die‑ ser Arbeitnehmer berücksichtigt werden.
3. Art.  15 Abs.  1 der Verordnung 2016/679 ist dahin auszulegen, dass der Umstand, dass der Verantwortliche das Bankgeschäft im Rahmen einer reglementierten Tätig‑ keit ausübt und dass die Person, deren personenbezoge‑ ne Daten in ihrer Eigenschaft als Kunde des Verantwortlichen verarbeitet wurden, bei diesem Verantwortlichen auch beschäftigt war, sich grundsätzlich nicht auf die Reichweite des Rechts auswirkt, das dieser Person nach dieser Bestimmung gewährt wird.

Zu den Vorlagefragen:

Zur vierten Frage:

Mit seiner vierten Frage, die vorab zu prüfen ist, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art.  15 DS-GVO im Licht von Art.  99 Abs.  2 dieser Verordnung auf ein Auskunftsersuchen hinsichtlich der in Art. 15 DS-GVO genannten Informationen anwendbar ist, wenn die Verarbeitungsvorgänge, auf die sich dieses Ersuchen bezieht, vor dem Anwendungsdatum der Verordnung ausgeführt wurden, das Ersuchen indessen nach diesem Datum vorgebracht wurde.

Zur Beantwortung dieser Frage ist darauf hinzuweisen, dass die DS-GVO nach ihrem Art.  99 Abs.  2 ab dem 25. Mai 2018 gilt.

Im vorliegenden Fall geht aus der Vorlageentscheidung hervor, dass die im Ausgangsverfahren in Rede stehenden Verarbeitungsvorgänge personenbezogener Daten zwischen dem 1. November 2013 und dem 31. Dezember 2013, also vor dem Anwendungsdatum der DS-GVO, ausgeführt wurden. Aus dieser Entscheidung ergibt sich jedoch auch, dass J. M. nach diesem Zeitpunkt, nämlich am 29. Mai 2018, Pankki S um Informationen ersucht hat.

Insoweit ist festzustellen, dass bei Verfahrensvorschriften im Allgemeinen davon auszugehen ist, dass sie ab dem Zeitpunkt ihres Inkrafttretens Anwendung finden, während materiell-rechtliche Vorschriften in der Regel so ausgelegt werden, dass sie auf vor ihrem Inkrafttreten entstandene und endgültig erworbene Rechtspositionen nur Anwendung finden, wenn aus ihrem Wortlaut, ihrer Zielsetzung oder ihrem Aufbau eindeutig hervorgeht, dass ihnen eine solche Wirkung beizumessen ist (Urteil vom 15. Juni 2021, Facebook Ireland u.a., C-645/19, EU:C:2021:483, Rn. 100 und die dort angeführte Rechtsprechung).

Im vorliegenden Fall geht aus der Vorlageentscheidung hervor, dass sich das Begehren von J. M. auf die Bereitstellung der im Ausgangsverfahren in Rede stehenden Informationen auf Art.  15 Abs.  1 DS-GVO bezieht, der das Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, und auf die in dieser Bestimmung genannten Informationen vorsieht.

Diese Bestimmung betrifft nicht die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten der betroffenen Person. Art. 15 Abs. 1 DS-GVO beschränkt sich nämlich darauf, die Reichweite des Rechts dieser Person auf Auskunft hinsichtlich der in dieser Bestimmung genannten Daten und Informationen genau anzugeben.

Hieraus folgt, wie der Generalanwalt in Nr. 33 seiner Schlussanträge festgestellt hat, dass Art.  15 Abs.  1 DS-GVO den betroffenen Personen ein verfahrensmäßiges Recht verleiht, Informationen über die Verarbeitung ihrer personenbezogenen Daten zu verlangen. Als Verfahrensvorschrift findet diese Bestimmung auf Auskunftsersuchen Anwendung, die wie das Ersuchen von J. M. ab der Anwendung dieser Verordnung vorgebracht worden sind.

Unter diesen Umständen ist auf die vierte Frage zu antworten, dass Art. 15 DS-GVO im Licht von Art. 99 Abs. 2 dieser Verordnung dahin auszulegen ist, dass er auf ein Auskunftsersuchen hinsichtlich der in Art. 15 DS-GVO genannten Informationen anwendbar ist, wenn die Verarbeitungsvorgänge, auf die sich dieses Ersuchen bezieht, vor dem Anwendungsdatum der Verordnung ausgeführt wurden, das Ersuchen indessen nach diesem Datum vorgebracht wurde.

Zur ersten und zur zweiten Frage:

Mit seiner ersten und seiner zweiten Frage, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 1 DS-GVO dahin auszulegen ist, dass Informationen, die Abfragen personenbezogener Daten einer Person betreffen und die sich auf den Zeitpunkt und die Zwecke dieser Vorgänge sowie die Identität der natürlichen Personen beziehen, die sie ausgeführt haben, Informationen darstellen, die die genannte Person nach dieser Bestimmung von dem Verantwortlichen verlangen darf.

Vorab ist darauf hinzuweisen, dass nach ständiger Rechtsprechung bei der Auslegung einer Vorschrift des Unionsrechts nicht nur deren Wortlaut, sondern auch der Zusammenhang, in dem sie steht, sowie die Zwecke und Ziele, die mit dem Rechtsakt, zu dem sie gehört, verfolgt werden, zu berücksichtigen sind (Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C-154/21, EU:C:2023:3, Rn 29).

Was zunächst den Wortlaut von Art. 15 Abs. 1 DS-GVO betrifft, so hat die betroffene Person nach dieser Bestimmung das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und u.a. auf Informationen zu den Verarbeitungszwecken und über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.

Hierbei ist hervorzuheben, dass die in Art. 15 Abs. 1 DS-GVO verwendeten Begriffe in Art.  4 dieser Verordnung definiert werden.

So definiert Art.  4 Nr. 1 DS-GVO als Erstes den Ausdruck „personenbezogene Daten“ als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“, und stellt klar, dass „als identifizierbar … eine natürliche Person angesehen [wird], die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann“.

In der Verwendung der Formulierung „alle Informationen“ bei der Bestimmung des Begriffs „personenbezogene Daten“ in dieser Vorschrift kommt das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen, die potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 23).

Insoweit ist entschieden worden, dass es sich um eine Information über eine identifizierte oder identifizierbare natürliche Person handelt, wenn sie aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft ist (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 24).

Zur „Identifizierbarkeit“ einer Person heißt es im 26. Erwägungsgrund der DS-GVO, dass „alle Mittel berücksichtigt werden [sollten], die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern“.

Daher erfasst die weite Definition des Begriffs „personenbezogene Daten“ nicht nur die von dem Verantwortlichen erhobenen und gespeicherten Daten, sondern auch alle Informationen über eine identifizierte oder identifizierbare Person, die aus einer Verarbeitung personenbezogener Daten resultieren (vgl. in diesem Sinne Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 26).

Als Zweites ist zum Begriff „Verarbeitung“, wie er in Art. 4 Nr. 2 DS-GVO definiert wird, festzustellen, dass der Unionsgesetzgeber mit der Formulierung „jede[r] Vorgang“ diesen Begriff weit fassen wollte und dabei auf eine nicht erschöpfende Aufzählung von Vorgängen im Zusammenhang mit personenbezogenen Daten oder Sätzen solcher Daten – wie etwa Erheben, Erfassen, Speicherung und Abfragen – Bezug nahm (vgl. in diesem Sinne Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 27).

Als Drittes stellt Art. 4 Nr. 9 DS-GVO klar, dass „Empfänger“ „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle [bezeichnet], der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht“.

Hierzu hat der Gerichtshof entschieden, dass die betroffene Person das Recht hat, von dem Verantwortlichen Informationen über die konkreten Empfänger zu verlangen, gegenüber denen personenbezogene Daten, die die fragliche Person betreffen, offengelegt worden sind oder noch offengelegt werden (Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C-154/21, EU:C:2023:3, Rn. 46).

Somit ergibt sich aus einer Analyse des Wortlauts von Art. 15 Abs. 1 DS-GVO und der darin enthaltenen Begriffe, dass das Auskunftsrecht, das diese Bestimmung der betroffenen Person gewährt, durch die große Bandbreite der Informationen gekennzeichnet ist, die der Verantwortliche dieser Person zur Verfügung zu stellen hat.

Was sodann den Zusammenhang betrifft, in den sich Art. 15 Abs. 1 DS-GVO einfügt, so ist als Erstes darauf hinzuweisen, dass nach dem 63. Erwägungsgrund dieser Verordnung jede betroffene Person ein Anrecht darauf haben sollte, zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, sowie wer die Empfänger dieser personenbezogenen Daten sind.

Als Zweites ist darauf hinzuweisen, dass nach dem 60. Erwägungsgrund der DS-GVO die Grundsätze einer fairen und transparenten Verarbeitung es erforderlich machen, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird, wobei der Verantwortliche alle weiteren Informationen zur Verfügung stellen sollte, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Im Übrigen muss gemäß dem vom vorlegenden Gericht erwähnten Grundsatz der Transparenz, auf den im 58. Erwägungsgrund der DS-GVO Bezug genommen wird und der in Art. 12 Abs. 1 dieser Verordnung ausdrücklich verankert ist, eine für die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein.

Insoweit stellt Art.  12 Abs.  1 DS-GVO klar, dass die Übermittlung der Informationen durch den Verantwortlichen schriftlich oder in anderer Form, gegebenenfalls auch elektronisch, zu erfolgen hat, es sei denn, die betroffene Person verlangt, dass diese mündlich erteilt werden. Diese Bestimmung, die Ausdruck des Transparenzgrundsatzes ist, soll gewährleisten, dass die betroffene Person in die Lage versetzt wird, die an sie gerichteten Informationen in vollem Umfang zu verstehen (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 38 und die dort angeführte Rechtsprechung).

Aus der vorstehenden kontextbezogenen Analyse ergibt sich, dass Art. 15 Abs. 1 DS-GVO eine derjenigen Bestimmungen darstellt, die die Transparenz der Art und Weise der Verarbeitung personenbezogener Daten gegenüber der betroffenen Person gewährleisten sollen.

Schließlich wird diese Auslegung der Reichweite des in Art.  15 Abs.  1 DS-GVO vorgesehenen Auskunftsrechts durch die mit dieser Verordnung verfolgten Ziele bestätigt.

Erstens soll diese Vorschrift nämlich, wie sich aus den Erwägungsgründen 10 und 11 ergibt, ein gleichmäßiges und hohes Schutzniveau für natürliche Personen in der Union gewährleisten und die Rechte der betroffenen Personen stärken und präzise festlegen.

Außerdem wird dem 63. Erwägungsgrund der DS-GVO zufolge mit dem Recht einer Person auf Auskunft über ihre eigenen personenbezogenen Daten und hinsichtlich der übrigen in Art.  15 Abs.  1 dieser Verordnung genannten Informationen zuvörderst das Ziel verfolgt, dass diese Person sich der Verarbeitung bewusst sein und deren Rechtmäßigkeit überprüfen kann. Nach diesem Erwägungsgrund – und wie in Rn. 50 des vorliegenden Urteils ausgeführt – folgt hieraus, dass jede betroffene Person ein Anrecht darauf haben sollte, zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger dieser Daten sind sowie nach welcher Logik deren Verarbeitung erfolgt.

Insoweit ist zweitens darauf hinzuweisen, dass der Gerichtshof bereits entschieden hat, dass das in Art. 15 DS-GVO vorgesehene Auskunftsrecht es der betroffenen Person ermöglichen muss, zu überprüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 34).

Des genannten Auskunftsrechts bedarf es insbesondere deswegen, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihre Rechte auf Berichtigung, auf Löschung („Recht auf Vergessenwerden“) und auf Einschränkung der Verarbeitung, die ihr nach den Art. 16 bis 18 DS-GVO zukommen, sowie ihr in Art. 21 DS-GVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr in den Art. 79 und 82 DS-GVO vorgesehenes Recht auf Einlegung eines Rechtsbehelfs auszuüben (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 35 und die dort angeführte Rechtsprechung).

Folglich handelt es sich bei Art. 15 Abs. 1 DS-GVO um eine derjenigen Bestimmungen, die die Transparenz der Art und Weise der Verarbeitung personenbezogener Daten gegenüber der betroffenen Person gewährleisten sollen (Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C-154/21, EU:C:2023:3, Rn. 42): Ohne diese Transparenz wäre die betroffene Person nicht in der Lage, die Rechtmäßigkeit der Verarbeitung ihrer Daten zu beurteilen und die namentlich in den Art. 16 bis 18, 21, 79 und 82 dieser Verordnung vorgesehenen Befugnisse wahrzunehmen.

Im vorliegenden Fall geht aus der Vorlageentscheidung hervor, dass Pankki S von J. M. darum ersucht wurde, ihm Informationen über die Abfragen bereitzustellen, die seine personenbezogenen Daten zwischen dem 1. November 2013 und dem 31. Dezember 2013 betrafen, und zwar Informationen über den Zeitpunkt dieser Abfragen, deren Zwecke und die Identität der Personen, die diese Abfragen vorgenommen hatten. Das vorlegende Gericht weist darauf hin, dass durch die Übermittlung der bei diesen Vorgängen generierten Protokolldateien dem Ersuchen von J. M. entsprochen werden könnte.

Vorliegend stellen die die personenbezogenen Daten des Klägers im Ausgangsverfahren betreffenden Abfragen unstreitig eine „Verarbeitung“ im Sinne von Art.  4 Nr. 2 DS-GVO dar, so dass sie ihm nach Art. 15 Abs. 1 dieser Verordnung nicht nur ein Recht auf Auskunft über diese personenbezogenen Daten gewähren, sondern auch ein Recht auf Übermittlung der im Zusammenhang mit diesen Vorgängen stehenden Informationen, wie sie in Art. 15 Abs. 1 der Verordnung genannt werden.

Was Informationen wie die von J. M. angeforderten betrifft, so kann die betroffene Person durch die Offenlegung des Zeitpunkts der Abfragen zunächst die Bestätigung darüber erlangen, dass ihre personenbezogenen Daten zu einem bestimmten Zeitpunkt tatsächlich verarbeitet wurden. Außerdem stellt der Zeitpunkt der Verarbeitung einen Gesichtspunkt dar, um deren Rechtmäßigkeit zu überprüfen, da zum Zeitpunkt der Verarbeitung die in den Art.  5 und 6 DS-GVO vorgesehenen Voraussetzungen für die Rechtmäßigkeit erfüllt sein müssen. Sodann ist darauf hinzuweisen, dass in Art. 15 Abs. 1 Buchst. a) dieser Verordnung die Information über die Verarbeitungszwecke ausdrücklich genannt wird. Schließlich sieht Art.  15 Abs. 1 Buchst. c) der Verordnung vor, dass der Verantwortliche die betroffene Person darüber unterrichtet, gegenüber welchen Empfängern ihre Daten offengelegt worden sind.

Was konkret die Bereitstellung all dieser Informationen durch die Zurverfügungstellung von Protokolldateien über die im Ausgangsverfahren in Rede stehenden Verarbeitungsvorgänge betrifft, so ist darauf hinzuweisen, dass nach Art. 15 Abs. 3 S. 1 DS-GVO der Verantwortliche „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt.

Insoweit hat der Gerichtshof bereits entschieden, dass der so verwendete Begriff „Kopie“ die originalgetreue Reproduktion oder Abschrift bezeichnet, so dass eine rein allgemeine Beschreibung der Daten, die Gegenstand einer Verarbeitung sind, oder ein Verweis auf Kategorien personenbezogener Daten dieser Definition nicht entspräche. Außerdem ergibt sich aus dem Wortlaut von Art. 15 Abs. 3 S. 1 dieser Verordnung, dass sich die Mitteilungspflicht auf die personenbezogenen Daten bezieht, die Gegenstand der in Rede stehenden Verarbeitung sind (vgl. in diesem Sinne Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 21).

Die Kopie, die der Verantwortliche zur Verfügung zu stellen hat, muss alle personenbezogenen Daten erhalten, die Gegenstand der Verarbeitung sind, alle Merkmale aufweisen, die es der betroffenen Person ermöglichen, ihre Rechte gemäß der Verordnung wirksam auszuüben, und diese Daten daher vollständig und originalgetreu wiedergeben (vgl. in diesem Sinne Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 32 und 39).

Um zu gewährleisten, dass die so bereitgestellten Informationen leicht verständlich sind, wie es Art. 12 Abs. 1 in Verbindung mit dem 58. Erwägungsgrund der DS-GVO verlangt, kann sich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten. Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, d.h. einer fehlenden Angabe, aus der eine Information über die betroffene Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 41 und 42).

Im vorliegenden Fall handelt es sich, wie der Generalanwalt in den Nrn. 88 bis 90 seiner Schlussanträge ausgeführt hat, bei den Protokolldateien, die die von J. M. angeforderten Informationen enthalten, um Verzeichnisse von Verarbeitungstätigkeiten im Sinne von Art. 30 DS-GVO. Es ist davon auszugehen, dass sie unter die im 74. Erwägungsgrund dieser Verordnung genannten Maßnahmen fallen, die von dem Verantwortlichen getroffen werden, um nachweisen zu können, dass die Verarbeitungstätigkeiten im Einklang mit der Verordnung stehen. In Art. 30 Abs. 4 der Verordnung ist insbesondere festgelegt, dass solche Verzeichnisse der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen sind.

Soweit diese Verzeichnisse von Verarbeitungstätigkeiten keine Informationen über eine identifizierte oder identifizierbare natürliche Person im Sinne der in den Rn. 42 und 43 des vorliegenden Urteils angeführten Rechtsprechung enthalten, ermöglichen sie es lediglich dem Verantwortlichen, seinen Pflichten gegenüber der deren Bereitstellung anfordernden Aufsichtsbehörde nachzukommen.

Was konkret die Protokolldateien des Verantwortlichen betrifft, so kann sich die Bereitstellung einer Kopie der in diesen Dateien enthaltenen Informationen als erforderlich erweisen, um der Pflicht nachzukommen, der betroffenen Person alle in Art. 15 Abs. 1 DS-GVO genannten Informationen zugänglich zu machen, und um eine faire und transparente Verarbeitung zu gewährleisten. So wird es der fraglichen Person ermöglicht, die ihr nach dieser Verordnung gewährten Rechte in vollem Umfang geltend zu machen.

Erstens lassen solche Dateien nämlich auf das Bestehen einer Datenverarbeitung schließen: Hierbei handelt es sich um eine Information, die der betroffenen Person nach Art. 15 Abs.  1 DS-GVO zugänglich sein muss. Außerdem geben sie Auskunft über Häufigkeit und Intensität der Abfragen und ermöglichen es mithin der betroffenen Person, zu überprüfen, ob der ausgeführten Verarbeitung tatsächlich die von dem Verantwortlichen angegebenen Zwecke zugrunde liegen.

Zweitens enthalten diese Dateien Informationen über die Identität der Personen, die die Abfragen vorgenommen haben.

Im vorliegenden Fall geht aus der Vorlageentscheidung hervor, dass die Personen, die die im Ausgangsverfahren in Rede stehenden Abfragen vorgenommen haben, Arbeitnehmer von Pankki S sind und unter der Aufsicht von Pankki S und im Einklang mit deren Weisungen gehandelt haben.

Zwar ergibt sich aus Art. 15 Abs. 1 Buchst. c) DS-GVO, dass die betroffene Person das Recht hat, von dem Verantwortlichen Informationen über die Empfänger oder über die Kategorien von Empfängern zu verlangen, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, doch können Arbeitnehmer des Verantwortlichen, wie der Generalanwalt in Nr. 63 seiner Schlussanträge ausgeführt hat, nicht als „Empfänger“ im Sinne von Art. 15 Abs. 1 Buchst. c) DS-GVO, auf den in den Rn. 47 und 48 des vorliegenden Urteils hingewiesen worden ist, angesehen werden, wenn sie personenbezogene Daten unter der Aufsicht dieses Verantwortlichen und im Einklang mit seinen Weisungen verarbeiten.

In diesem Zusammenhang ist hervorzuheben, dass nach Art. 29 DS-GVO jede dem Verantwortlichen unterstellte Person, die Zugang zu personenbezogenen Daten hat, diese Daten nur auf Weisung des Verantwortlichen verarbeiten darf.

Bei den in den Protokolldateien enthaltenen Informationen über die Personen, die die Abfragen der personenbezogenen Daten der betroffenen Person vorgenommen haben, könnte es sich allerdings um Informationen handeln, die wie diejenigen, auf die in Rn. 41 des vorliegenden Urteils hingewiesen wurde, unter Art.  4 Abs.  1 DS-GVO fallen und diese Person in die Lage versetzen können, die Rechtmäßigkeit der Verarbeitung ihrer Daten zu überprüfen und sich insbesondere davon zu überzeugen, dass die Verarbeitungsvorgänge tatsächlich unter der Aufsicht des Verantwortlichen sowie im Einklang mit seinen Weisungen durchgeführt wurden.

Allerdings geht erstens aus der Vorlageentscheidung hervor, dass die Informationen, die in Protokolldateien wie den im Ausgangsverfahren in Rede stehenden enthalten sind, es ermöglichen, die Arbeitnehmer, die die Verarbeitungsvorgänge vorgenommen haben, zu identifizieren, und dass sie personenbezogene Daten dieser Arbeitnehmer im Sinne von Art. 4 Nr. 1 DS-GVO enthalten.

Insoweit ist darauf hinzuweisen, dass es in Bezug auf das in Art. 15 DS-GVO vorgesehene Auskunftsrecht im 63. Erwägungsgrund dieser Verordnung heißt, dass „[d]ieses Recht … die Rechte und Freiheiten anderer Personen … nicht beeinträchtigen [sollte]“.

Nach dem vierten Erwägungsgrund der DS-GVO ist das Recht auf Schutz der personenbezogenen Daten nämlich kein uneingeschränktes Recht, da es im Hinblick auf seine gesellschaftliche Funktion gesehen werden und gegen andere Grundrechte abgewogen werden muss (vgl. in diesem Sinne Urteil vom 16. Juli 2020, Facebook Ireland und Schrems, C-311/18, EU:C:2020:559, Rn. 172).

Unterstellt man, dass die Bereitstellung von Informationen über die Identität der Arbeitnehmer des Verantwortlichen für die von der Verarbeitung betroffene Person notwendig ist, damit sie sich von der Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten überzeugen kann, so kann eine solche Informationsbereitstellung nichtsdestoweniger die Rechte und Freiheiten dieser Beschäftigten beeinträchtigen.

Unter diesen Umständen sind, falls die Wahrnehmung eines Rechts auf Auskunft, das die praktische Wirksamkeit der der betroffenen Person durch die DS-GVO eingeräumten Rechte sicherstellt, zum einen und die Rechte und Freiheiten anderer Personen zum anderen miteinander kollidieren, die in Rede stehenden Rechte und Freiheiten gegeneinander abzuwägen. Nach Möglichkeit sind Modalitäten zu wählen, die die Rechte und Freiheiten anderer Personen nicht verletzen, wobei zu berücksichtigen ist, dass diese Erwägungen nicht dazu „führen [dürfen], dass der betroffenen Person jegliche Auskunft verweigert wird“, wie sich aus dem 63. Erwägungsgrund der DS-GVO ergibt (vgl. in diesem Sinne Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 44).

Zweitens geht jedoch aus der Vorlageentscheidung hervor, dass J. M. die Bereitstellung von Informationen über die Identität der Arbeitnehmer von Pankki S, die die Abfragen seiner personenbezogenen Daten vorgenommen haben, nicht deshalb anfordert, weil sie tatsächlich nicht unter Aufsicht und im Einklang mit den Weisungen des Verantwortlichen gehandelt hätten, sondern dass er an der Richtigkeit der ihm von Pankki S erteilten Informationen über den Zweck dieser Abfragen zu zweifeln scheint.

Unter solchen Umständen hat die betroffene Person, wenn sie der Ansicht sein sollte, dass die von dem Verantwortlichen erteilten Informationen nicht ausreichen, um ihre Zweifel an der Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten auszuräumen, auf der Grundlage von Art. 77 Abs. 1 DS-GVO das Recht, bei der Aufsichtsbehörde eine Beschwerde einzulegen, wobei diese Behörde nach Art. 58 Abs. 1 Buchst. a) dieser Verordnung befugt ist, den Verantwortlichen anzuweisen, alle Informationen bereitzustellen, die sie für die Prüfung der Beschwerde der betroffenen Person benötigt.

Aus den vorstehenden Erwägungen ergibt sich, dass Art. 15 Abs. 1 DS-GVO dahin auszulegen ist, dass Informationen, die Abfragen personenbezogener Daten einer Person betreffen und die sich auf den Zeitpunkt und die Zwecke dieser Vorgänge beziehen, Informationen darstellen, die die genannte Person nach dieser Bestimmung von dem Verantwortlichen verlangen darf. Dagegen sieht diese Bestimmung kein solches Recht in Bezug auf Informationen über die Identität der Arbeitnehmer dieses Verantwortlichen vor, die diese Vorgänge unter seiner Aufsicht und im Einklang mit seinen Weisungen ausgeführt haben, außer wenn diese Informationen unerlässlich sind, um der betroffenen Person es zu ermöglichen, die ihr durch diese Verordnung verliehenen Rechte wirksam wahrzunehmen, und vorausgesetzt, dass die

Zur dritten Frage:

Mit seiner dritten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob der Umstand, dass zum einen der Verantwortliche das Bankgeschäft im Rahmen einer reglementierten Tätigkeit ausübt und zum anderen die Person, deren personenbezogene Daten in ihrer Eigenschaft als Kunde des Verantwortlichen verarbeitet wurden, bei diesem Verantwortlichen auch beschäftigt war, für die Bestimmung der Reichweite des Auskunftsrechts, das ihr Art. 15 Abs. 1 DS-GVO gewährt, relevant ist.

Zunächst ist darauf hinzuweisen, dass keine Bestimmung der DS-GVO in Bezug auf den Anwendungsbereich des in Art.  15 Abs.  1 dieser Verordnung vorgesehenen Auskunftsrechts nach der Art der Tätigkeiten des Verantwortlichen oder nach der Eigenschaft der Person, deren personenbezogene Daten verarbeitet werden, unterscheidet.

Was zum einen die Reglementiertheit der Tätigkeit von Pankki S betrifft, so erlaubt es Art. 23 DS-GVO den Mitgliedstaaten zwar, den Umfang der namentlich in Art.  15 dieser Verordnung vorgesehenen Pflichten und Rechte im Wege von Gesetzgebungsmaßnahmen zu beschränken.

Aus der Vorlageentscheidung geht indessen nicht hervor, dass die Tätigkeit von Pankki S Gegenstand einer solchen Gesetzgebung wäre.

Was zum anderen den Umstand betrifft, dass J. M. sowohl Kunde von Pankki S als auch bei ihr beschäftigt war, so ist darauf hinzuweisen, dass der Kontext, in dem er einen Zugang zu den in Art. 15 Abs. 1 DS-GVO genannten Informationen begehrt, in Anbetracht nicht nur der Ziele der DS-GVO, sondern auch der Reichweite des Auskunftsrechts der betroffenen Person, wie sie in den Rn. 49 und 55 bis 59 des vorliegenden Urteils dargelegt worden sind, keinen Einfluss auf die Reichweite dieses Rechts haben kann.

Folglich ist Art. 15 Abs. 1 DS-GVO dahin auszulegen, dass der Umstand, dass der Verantwortliche das Bankgeschäft im Rahmen einer reglementierten Tätigkeit ausübt und dass die Person, deren personenbezogene Daten in ihrer Eigenschaft als Kunde des Verantwortlichen verarbeitet wurden, bei diesem Verantwortlichen auch beschäftigt war, sich grundsätzlich nicht auf die Reichweite des Rechts auswirkt, das dieser Person nach dieser Bestimmung gewährt wird.

Zur Vertiefung:

Peisker, Die Kopie nach Art. 15 Abs. 3 S. 1 DS-GVO – Gedanken zur EuGH-Entscheidung in der Rs. C-487/21 = RDV 3/2023

Allgayer, Die Datenschutz-Grundverordnung in der Rechtsprechung des Bundesgerichtshofs und des Bundesarbeitsgerichts = RDV 1/2023

Nowak/Bornholdt, Zum Recht auf eine Kopie und zur rechtlichen Weite eines Anspruchs gemäß Art.  15 Abs.  3 der DatenschutzGrundverordnung = RDV 4/2020

[Beschluss] BGH fragt EuGH nach Anspruch gegen Arzt auf kostenfreie Zurverfügungstellung der Patientenakte nach Art. 15 Abs. 3 DS-GVO und Möglichkeit der Beschränkung nach § 630g Abs. 2 Satz 2 BGB = RDV 4/2022

[Urteil] Reichweite des Rechts auf Kopie aus Art.  15 Abs.  3 S. 1 DS-GVO = RDV 4/2023

[Urteil] Zum Recht aufkostenlose Kopie der juristischen Staatsprüfung = RDV 5/2021

[Urteil] Zur Reichweite des Auskunftsanspruchs nach Art.  15 Abs. 1 DS-GVO = RDV 4/2021