15.11.2023 · IWW-Abrufnummer 238299

Europäischer Gerichtshof: Urteil vom 26.10.2023 – C-307/22

Diese Entscheidung enthält keinen zur Veröffentlichung bestimmten Leitsatz.

URTEIL DES GERICHTSHOFS (Erste Kammer)

26. Oktober 2023(*)

„Vorlage zur Vorabentscheidung ‒ Verarbeitung personenbezogener Daten ‒ Verordnung (EU) 2016/679 ‒ Art. 12, 15 und 23 ‒ Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind ‒ Recht auf Erhalt einer unentgeltlichen ersten Kopie dieser Daten ‒ Verarbeitung der Daten eines Patienten durch seinen Arzt ‒ Patientenakte ‒ Gründe für den Auskunftsantrag ‒ Verwendung der Daten, um haftungsrechtliche Ansprüche gegen den Behandelnden geltend zu machen ‒ Begriff ‚Kopie‘“

In der Rechtssache C‑307/22

betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Bundesgerichtshof (Deutschland) mit Entscheidung vom 29. März 2022, beim Gerichtshof eingegangen am 10. Mai 2022, in dem Verfahren

FT

gegen

DW

erlässt

DER GERICHTSHOF (Erste Kammer)

unter Mitwirkung des Kammerpräsidenten A. Arabadjiev sowie der Richter T. von Danwitz, P. G. Xuereb, A. Kumin und der Richterin I. Ziemele (Berichterstatterin),

Generalanwalt: N. Emiliou,

Kanzler: A. Calot Escobar,

aufgrund des schriftlichen Verfahrens,

unter Berücksichtigung der Erklärungen

‒ der lettischen Regierung, vertreten durch K. Pommere als Bevollmächtigte,

‒ der Europäischen Kommission, vertreten durch A. Bouchagiar, F. Erlbacher und H. Kranenborg als Bevollmächtigte,

nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 20. April 2023

folgendes

Urteil

Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 12 Abs. 5, Art. 15 Abs. 3 und Art. 23 Abs. 1 Buchst. i der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2) (im Folgenden: DSGVO).

Es ergeht im Rahmen eines Rechtsstreits zwischen FT und DW wegen der Weigerung von FT, einer Zahnärztin, ihrem Patienten eine erste Kopie seiner Patientenakte unentgeltlich zu übermitteln.

Rechtlicher Rahmen

Unionsrecht

Im vierten Erwägungsgrund der DSGVO heißt es:

„… Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht; es muss im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der Charta [der Grundrechte der Europäischen Union] anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere … [die] unternehmerische Freiheit …“

In den Erwägungsgründen 10 und 11 der DSGVO heißt es:

„(10) Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der [Europäischen] Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. …

(11) Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen sowie eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden …“

Im 13. Erwägungsgrund der DSGVO heißt es:

„… Außerdem werden die Organe und Einrichtungen der Union sowie die Mitgliedstaaten und deren Aufsichtsbehörden dazu angehalten, bei der Anwendung dieser Verordnung die besonderen Bedürfnisse von Kleinstunternehmen sowie von kleinen und mittleren Unternehmen zu berücksichtigen. …“

Der 58. Erwägungsgrund der DSGVO stellt klar:

„Der Grundsatz der Transparenz setzt voraus, dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst ist und gegebenenfalls zusätzlich visuelle Elemente verwendet werden. Diese Information könnte in elektronischer Form bereitgestellt werden, beispielsweise auf einer Website, wenn sie für die Öffentlichkeit bestimmt ist. Dies gilt insbesondere für Situationen, wo die große Zahl der Beteiligten und die Komplexität der dazu benötigten Technik es der betroffenen Person schwer machen, zu erkennen und nachzuvollziehen, ob, von wem und zu welchem Zweck sie betreffende personenbezogene Daten erfasst werden, wie etwa bei der Werbung im Internet. Wenn sich die Verarbeitung an Kinder richtet, sollten aufgrund der besonderen Schutzwürdigkeit von Kindern Informationen und Hinweise in einer dergestalt klaren und einfachen Sprache erfolgen, dass ein Kind sie verstehen kann.“

Im 59. Erwägungsgrund der DSGVO heißt es:

„Es sollten Modalitäten festgelegt werden, die einer betroffenen Person die Ausübung der Rechte, die ihr nach dieser Verordnung zustehen, erleichtern, darunter auch Mechanismen, die dafür sorgen, dass sie unentgeltlich insbesondere Zugang zu personenbezogenen Daten und deren Berichtigung oder Löschung beantragen und gegebenenfalls erhalten oder von ihrem Widerspruchsrecht Gebrauch machen kann. …“

Im 63. Erwägungsgrund der DSGVO heißt es:

„Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene[r] Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. …“

Art. 4 DSGVO bestimmt:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

…“

Art. 12 DSGVO bestimmt:

„(1)      Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2)      Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. …

…

(5)      Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder ‒ insbesondere im Fall von häufiger Wiederholung ‒ exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a)      ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b)      sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

…“

Art. 15 DSGVO lautet:

„(1)      Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a)      die Verarbeitungszwecke;

b)      die Kategorien personenbezogener Daten, die verarbeitet werden;

c)      die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d)      falls möglich[,] die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e)      das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f)      das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g)      wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h)      das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und ‒ zumindest in diesen Fällen ‒ aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2)      Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3)      Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4)      Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

In den Art. 16 und 17 DSGVO sind das Recht der betroffenen Person auf Berichtigung unrichtiger personenbezogener Daten (Recht auf Berichtigung) und das unter bestimmten Umständen bestehende Recht auf Löschung dieser Daten (Recht auf Löschung oder „Recht auf Vergessenwerden“) verankert.

Art. 18 („Recht auf Einschränkung der Verarbeitung“) Abs. 1 DSGVO bestimmt:

„Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:

a)      [wenn] die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,

b)      die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt,

c)      der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder

d)      die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.“

Art. 21 („Widerspruchsrecht“) Abs. 1 DSGVO bestimmt:

„Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.“

Art. 23 Abs. 1 DSGVO bestimmt:

„Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:

…

i) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen;

…“

Deutsches Recht

Gemäß § 630f des Bürgerlichen Gesetzbuchs (im Folgenden: BGB) ist der Behandelnde verpflichtet, zum Zweck der Dokumentation in unmittelbarem zeitlichen Zusammenhang mit der Behandlung eine Patientenakte in Papierform oder elektronisch zu führen. Der Behandelnde ist verpflichtet, in der Patientenakte sämtliche aus fachlicher Sicht für die derzeitige und künftige Behandlung wesentlichen Maßnahmen und deren Ergebnisse aufzuzeichnen, insbesondere die Anamnese, Diagnosen, Untersuchungen, Untersuchungsergebnisse, Befunde, Therapien und ihre Wirkungen, Eingriffe und ihre Wirkungen, Einwilligungen und Aufklärungen. Der Behandelnde hat die Patientenakte für die Dauer von zehn Jahren nach Abschluss der Behandlung aufzubewahren, soweit nicht nach anderen Vorschriften andere Aufbewahrungsfristen bestehen.

Nach § 630g Abs. 1 Satz 1 BGB ist dem Patienten auf Verlangen unverzüglich Einsicht in die vollständige, ihn betreffende Patientenakte zu gewähren, soweit der Einsichtnahme nicht erhebliche therapeutische Gründe oder sonstige erhebliche Rechte Dritter entgegenstehen. Gemäß § 630g Abs. 2 Satz 1 BGB kann der Patient auch elektronische Abschriften von der Patientenakte verlangen. Unter Berücksichtigung der Gesetzesbegründung ist dies dahin zu verstehen, dass der Patient wahlweise die Anfertigung physischer oder elektronischer Kopien verlangen kann. Gemäß § 630g Abs. 2 Satz 2 BGB hat der Patient dem Behandelnden die entstandenen Kosten zu erstatten.

Ausgangsverfahren und Vorlagefragen

DW befand sich bei FT in zahnärztlicher Behandlung. Da DW den Verdacht hatte, dass seine Behandlung fehlerhaft erfolgt sei, forderte er FT zur unentgeltlichen Herausgabe einer ersten Kopie seiner Patientenakte auf. FT teilte DW mit, dass sie diesem Antrag nur unter der Bedingung nachkommen werde, dass, wie es nach nationalem Recht vorgesehen sei, DW die Kosten für die Zurverfügungstellung der Kopie der Patientenakte übernehme.

DW erhob eine Klage gegen FT. Im ersten Rechtszug und in der Berufungsinstanz wurde dem Antrag von DW auf unentgeltliche Herausgabe einer ersten Kopie seiner Patientenakte stattgegeben. Diese Entscheidungen beruhten auf einer Auslegung der anwendbaren nationalen Rechtsvorschriften im Licht von Art. 12 Abs. 5 sowie Art. 15 Abs. 1 und 3 DSGVO.

Der mit der Revision von FT befasste Bundesgerichtshof (Deutschland) ist der Auffassung, dass die Entscheidung des Rechtsstreits davon abhänge, wie die Bestimmungen der DSGVO auszulegen seien.

Das vorlegende Gericht stellt fest, dass der Patient nach nationalem Recht eine Kopie seiner Patientenakte erhalten könne, sofern er dem Behandelnden die sich daraus ergebenden Kosten erstatte.

Allerdings könnte sich aus Art. 15 Abs. 3 Satz 1 in Verbindung mit Art. 12 Abs. 5 Satz 1 DSGVO ergeben, dass der für die Verarbeitung Verantwortliche, vorliegend der Behandelnde, verpflichtet sei, dem Patienten eine erste Kopie seiner Patientenakte unentgeltlich zur Verfügung zu stellen.

Erstens weist das vorlegende Gericht darauf hin, dass DW eine erste Kopie seiner Patientenakte verlange, um Haftungsansprüche gegen FT geltend zu machen. Ein solcher Zweck sei nicht von dem im 63. Erwägungsgrund der DSGVO genannten Zweck gedeckt, wonach das Auskunftsrecht hinsichtlich personenbezogener Daten bestehe, um sich der Verarbeitung bewusst zu werden und deren Rechtmäßigkeit zu überprüfen. Von einer solchen Motivation hänge nach dem Wortlaut von Art. 15 DSGVO die Ausübung des Auskunftsrechts jedoch nicht ab. Außerdem sei es nach dieser Bestimmung nicht erforderlich, dass die betroffene Person ihren Antrag auf Auskunft begründe.

Zweitens gestatte Art. 23 Abs. 1 DSGVO den Erlass nationaler Gesetzgebungsmaßnahmen, durch die die in den Art. 12 bis 22 DSGVO vorgesehenen Pflichten und Rechte beschränkt werden, um eines der in dieser Bestimmung vorgesehenen Ziele sicherzustellen. Im vorliegenden Fall berufe FT sich auf den in Art. 23 Abs. 1 Buchst. i DSGVO genannten Zweck des Schutzes der Rechte und Freiheiten anderer Personen und mache geltend, die Kostenregelung des § 630g Abs. 2 Satz 2 BGB sei eine notwendige und verhältnismäßige Maßnahme zum Schutz der berechtigten Interessen der Behandelnden, mit der unbegründete Anträge der betroffenen Patienten auf Kopien in der Regel verhindert werden könnten.

§ 630g Abs. 2 Satz 2 BGB sei jedoch zum einen vor Inkrafttreten der DSGVO erlassen worden.

Zum anderen solle die Kostenregelung in § 630g Abs. 2 Satz 2 BGB in erster Linie die wirtschaftlichen Interessen der Behandlerseite schützen. Es sei daher zu prüfen, ob das Interesse der Behandelnden an der Entlastung von mit der Zurverfügungstellung einer Datenkopie verbundenen Kosten und dem damit verbundenen Aufwand zu den Rechten und Freiheiten anderer Personen im Sinne von Art. 23 Abs. 1 Buchst. i DSGVO gehören. Des Weiteren könne es übertrieben erscheinen, den Patienten systematisch die Kosten im Zusammenhang mit Kopien ihrer Patientenakte aufzuerlegen, da dies weder die Höhe der tatsächlich entstandenen Kosten noch die Umstände jedes einzelnen Antrags berücksichtigen würde.

Soweit DW die Herausgabe einer Kopie sämtlicher ihn betreffender Krankenunterlagen, d. h. seiner Patientenakte, verlangt, möchte das vorlegende Gericht drittens wissen, welchen Umfang das in Art. 15 Abs. 3 DSGVO verankerte Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, hat. Dieses Recht könne insoweit durch die Übermittlung einer Zusammenfassung der vom Arzt verarbeiteten Daten erfüllt werden. Die mit der DSGVO verfolgten Ziele der Transparenz und der Rechtmäßigkeitskontrolle sprächen jedoch für die Übermittlung einer Kopie aller Daten, die beim Verantwortlichen in Rohfassung vorlägen, nämlich sämtlicher den Patienten betreffenden Krankenunterlagen, soweit diese solche Daten enthielten.

Unter diesen Umständen hat der Bundesgerichtshof beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

1.      Ist Art. 15 Abs. 3 Satz 1 in Verbindung mit Art. 12 Abs. 5 DSGVO dahin gehend auszulegen, dass der Verantwortliche (hier: der behandelnde Arzt) nicht verpflichtet ist, dem Betroffenen (hier: dem Patienten) eine erste Kopie seiner vom Verantwortlichen verarbeiteten personenbezogenen Daten unentgeltlich zur Verfügung zu stellen, wenn der Betroffene die Kopie nicht zur Verfolgung der im 63. Erwägungsgrund Satz 1 der DSGVO genannten Zwecke begehrt, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu werden und deren Rechtmäßigkeit überprüfen zu können, sondern einen anderen ‒ datenschutzfremden, aber legitimen ‒ Zweck (hier: die Prüfung des Bestehens arzthaftungsrechtlicher Ansprüche) verfolgt?

2.      Falls die Frage 1 verneint wird:

a)      Kommt als Beschränkung des sich aus Art. 15 Abs. 3 Satz 1 in Verbindung mit Art. 12 Abs. 5 DSGVO ergebenden Rechts auf eine unentgeltliche Zurverfügungstellung einer Kopie der vom Verantwortlichen verarbeiteten personenbezogenen Daten nach Art. 23 Abs. 1 Buchst. i DSGVO auch eine nationale Vorschrift eines Mitgliedstaats in Betracht, die vor dem Inkrafttreten der DSGVO erlassen wurde?

b)      Falls die Frage 2a bejaht wird: Ist Art. 23 Abs. 1 Buchst. i DSGVO dahin gehend auszulegen, dass die dort genannten Rechte und Freiheiten anderer Personen auch deren Interesse an der Entlastung von mit der Erteilung einer Datenkopie nach Art. 15 Abs. 3 Satz 1 DSGVO verbundenen Kosten und sonstigem durch die Zurverfügungstellung der Kopie verursachten Aufwand umfassen?

c)      Falls die Frage 2b bejaht wird: Kommt als Beschränkung der sich aus Art. 15 Abs. 3 Satz 1 in Verbindung mit Art. 12 Abs. 5 DSGVO ergebenden Pflichten und Rechte nach Art. 23 Abs. 1 Buchst. i DSGVO eine nationale Regelung in Betracht, die im Arzt-Patienten-Verhältnis bei Herausgabe einer Kopie der personenbezogenen Daten des Patienten aus der Patientenakte durch den Arzt an den Patienten stets und unabhängig von den konkreten Umständen des Einzelfalls einen Kostenerstattungsanspruch des Arztes gegen den Patienten vorsieht?

3.      Falls die Frage 1 verneint und die Fragen 2a, 2b oder 2c verneint werden: Umfasst der Anspruch aus Art. 15 Abs. 3 Satz 1 DSGVO im Arzt-Patienten-Verhältnis einen Anspruch auf Überlassung von Kopien aller die personenbezogenen Daten des Patienten enthaltenden Teile der Patientenakte oder ist er nur auf Herausgabe einer Kopie der personenbezogenen Daten des Patienten als solche gerichtet, wobei es dem datenverarbeitenden Arzt überlassen bleibt, in welcher Weise er dem betroffenen Patienten die Daten zusammenstellt?

Zu den Vorlagefragen

Zur ersten Frage

Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 12 Abs. 5 sowie Art. 15 Abs. 1 und 3 DSGVO dahin auszulegen sind, dass die Verpflichtung des Verantwortlichen, der betroffenen Person unentgeltlich eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zur Verfügung zu stellen, auch dann gilt, wenn der betreffende Antrag mit einem anderen als den in Satz 1 des 63. Erwägungsgrundes der DSGVO genannten Zwecken begründet wird.

Zunächst ist darauf hinzuweisen, dass nach ständiger Rechtsprechung bei der Auslegung einer Vorschrift des Unionsrechts nicht nur deren Wortlaut, sondern auch der Zusammenhang und die Ziele zu berücksichtigen sind, die mit der Regelung, zu der sie gehört, verfolgt werden (Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C‑154/21, EU:C:2023:3, Rn. 29).

Was erstens den Wortlaut der maßgeblichen Bestimmungen betrifft, ist zum einen darauf hinzuweisen, dass Art. 12 Abs. 5 DSGVO den Grundsatz aufstellt, dass der betroffenen Person durch die Ausübung ihres Rechts auf Auskunft über die Daten, die Gegenstand der Verarbeitung sind, und auf Auskunft über die damit verbundenen Informationen keine Kosten entstehen. Außerdem gibt es nach dieser Bestimmung zwei Gründe, aus denen der Verantwortliche entweder ein angemessenes Entgelt verlangen kann, bei dem die Verwaltungskosten berücksichtigt werden, oder sich weigern kann, aufgrund des Antrags tätig zu werden. Diese Gründe beziehen sich auf Fälle von Rechtsmissbrauch, in denen die Anträge der betroffenen Person „offenkundig unbegründet“ oder ‒ insbesondere im Fall häufiger Wiederholung ‒ „exzessiv“ sind.

Hierzu hat das vorlegende Gericht ausdrücklich festgestellt, dass der Antrag der betroffenen Person nicht missbräuchlich sei.

Zum anderen wird das Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind, und auf Auskunft über die damit verbundenen Informationen ‒ das integraler Bestandteil des Rechts auf Schutz personenbezogener Daten ist ‒ in Art. 15 Abs. 1 DSGVO gewährleistet. Nach dem Wortlaut dieser Bestimmung haben die betroffenen Personen das Recht auf Auskunft über ihre personenbezogenen Daten, die Gegenstand einer Verarbeitung sind.

Des Weiteren geht aus Art. 15 Abs. 3 DSGVO hervor, dass der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellt und er für alle weiteren Kopien, die die betroffene Person beantragt, ein angemessenes Entgelt verlangen kann. Insoweit wird in Art. 15 Abs. 4 klargestellt, dass Abs. 3 dieses Artikels dieser Person ein „Recht“ verleiht. Somit kann der Verantwortliche ein solches Entgelt nur dann verlangen, wenn die betroffene Person bereits eine erste Kopie ihrer Daten unentgeltlich erhalten hat und erneut einen Antrag auf diese stellt.

Wie der Gerichtshof bereits entschieden hat, folgt aus der wörtlichen Auslegung von Art. 15 Abs. 3 Satz 1 DSGVO, dass diese Bestimmung der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten zu erhalten, denen eine weite Bedeutung beizumessen ist und die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden müssen (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 28).

Folglich ergibt sich aus Art. 12 Abs. 5 in Verbindung mit Art. 15 Abs. 1 und 3 DSGVO zum einen, dass die betroffene Person einen Anspruch darauf hat, eine erste unentgeltliche Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zu erhalten, und zum anderen, dass dem Verantwortlichen unter bestimmten Bedingungen die Möglichkeit eingeräumt wird, entweder ein angemessenes Entgelt zu verlangen, bei dem die Verwaltungskosten berücksichtigt werden, oder sich zu weigern, aufgrund des Antrags tätig zu werden, wenn dieser Antrag offenkundig unbegründet oder exzessiv ist.

Im vorliegenden Fall ist festzustellen, dass ein Arzt, der die in Art. 4 Nr. 2 DSGVO genannten Vorgänge betreffend die Daten seiner Patienten durchführt, als „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 dieser Verordnung anzusehen ist, der den Verpflichtungen unterliegt, die mit dieser Eigenschaft einhergehen, wobei er insbesondere auf Antrag der betroffenen Personen gewährleistet, dass über die personenbezogenen Daten Auskunft erteilt wird.

Die unentgeltliche Zurverfügungstellung einer ersten Kopie der personenbezogenen Daten ist weder nach dem Wortlaut von Art. 12 Abs. 5 noch dem von Art. 15 Abs. 1 und 3 DSGVO davon abhängig, dass diese Personen ihren Antrag begründen. Diese Bestimmungen ermöglichen dem Verantwortlichen demnach nicht, für den Auskunftsantrag der betroffenen Person eine Begründung zu verlangen.

Zweitens ist zum Zusammenhang, in dem die oben genannten Bestimmungen stehen, darauf hinzuweisen, dass Art. 12 DSGVO zu Abschnitt 1 von Kapitel III dieser Verordnung gehört, der u. a. den in Art. 5 Abs. 1 Buchst. a DSGVO genannten Transparenzgrundsatz zum Gegenstand hat.

So legt Art. 12 DSGVO allgemeine Pflichten des Verantwortlichen in Bezug auf die Transparenz der Information und Kommunikation sowie die Modalitäten für die Ausübung der Rechte der betroffenen Person fest.

Art. 15 DSGVO, der zu Abschnitt 2 von Kapitel III gehört, der die Informationspflicht und das Recht auf Auskunft zu personenbezogenen Daten zum Gegenstand hat, vervollständigt den Transparenzrahmen der DSGVO, indem er der betroffenen Person ein Recht auf Auskunft über ihre personenbezogenen Daten und ein Recht auf Information über die Verarbeitung dieser Daten gewährt.

Nach dem 59. Erwägungsgrund „sollten Modalitäten festgelegt werden, die einer betroffenen Person die Ausübung der Rechte, die ihr nach dieser Verordnung zustehen, erleichtern, darunter auch Mechanismen, die dafür sorgen, dass sie unentgeltlich insbesondere Zugang zu personenbezogenen Daten und deren Berichtigung oder Löschung beantragen und gegebenenfalls erhalten oder von ihrem Widerspruchsrecht Gebrauch machen kann“.

Da, wie sich aus Rn. 38 des vorliegenden Urteils ergibt, die betroffene Person nicht verpflichtet ist, den Antrag auf Auskunft über die Daten zu begründen, kann der erste Satz des 63. Erwägungsgrundes nicht dahin ausgelegt werden, dass dieser Antrag zurückzuweisen ist, wenn mit ihm ein anderer Zweck verfolgt wird als der, von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen. Dieser Erwägungsgrund vermag nämlich die Tragweite von Art. 15 Abs. 3 DSGVO, auf die in Rn. 35 des vorliegenden Urteils hingewiesen wurde, nicht einzuschränken.

Insoweit ist darauf hinzuweisen, dass nach ständiger Rechtsprechung die Erwägungsgründe eines Unionsrechtsakts rechtlich nicht verbindlich sind und weder herangezogen werden können, um von den Bestimmungen des betreffenden Rechtsakts abzuweichen, noch, um diese Bestimmungen in einem Sinne auszulegen, der ihrem Wortlaut offensichtlich widerspricht (Urteil vom 13. September 2018, Česká pojišťovna, C‑287/17, EU:C:2018:707, Rn. 33).

Im Übrigen heißt es im zweiten Satz des 63. Erwägungsgrundes, dass das Recht der betroffenen Personen auf Auskunft über ihre personenbezogenen Daten im Hinblick auf ihre gesundheitsbezogenen Daten „Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten“, einschließt.

Unter diesen Umständen kann das in Art. 15 Abs. 1 DSGVO garantierte Recht auf Auskunft über Gesundheitsdaten nicht durch eine Auskunftsverweigerung oder durch die Auferlegung der Zahlung einer Gegenleistung auf einen der im ersten Satz des 63. Erwägungsgrundes genannten Gründe beschränkt werden. Das Gleiche gilt für das Recht, eine erste kostenlose Kopie zu erhalten, wie es in Art. 12 Abs. 5 und Art. 15 Abs. 3 der Verordnung vorgesehen ist.

Drittens ist zu den mit der DSGVO verfolgten Zielen festzustellen, dass diese Verordnung, wie sich aus ihren Erwägungsgründen 10 und 11 ergibt, ein gleichmäßiges und hohes Schutzniveau für natürliche Personen in der Union gewährleisten und die Rechte der betroffenen Personen stärken und präzise festlegen soll.

Gerade zur Erreichung dieses Ziels garantiert Art. 15 Abs. 1 der betroffenen Person ein Recht auf Auskunft über ihre personenbezogenen Daten (vgl. in diesem Sinne Urteil vom 22. Juni 2023, Pankki S, C‑579/21, EU:C:2023:501, Rn. 57 und die dort angeführte Rechtsprechung).

Mithin gehören Art. 12 Abs. 5 und Art. 15 Abs. 1 und 3 DSGVO zu den Bestimmungen, die das Auskunftsrecht sowie die Transparenz über die Art und Weise der Verarbeitung der personenbezogenen Daten gegenüber der betroffenen Person gewährleisten sollen (vgl. in diesem Sinne Urteil vom 12. Januar 2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C‑154/21, EU:C:2023:3, Rn. 42).

Der Grundsatz, dass die erste Kopie der Daten unentgeltlich ist, sowie die Tatsache, dass der Auskunftsantrag nicht spezifisch begründet sein muss, tragen notwendigerweise dazu bei, der betroffenen Person die Ausübung ihrer Rechte aus der DSGVO zu erleichtern.

Angesichts der Bedeutung, die die DSGVO dem in Art. 15 Abs. 1 DSGVO garantierten Recht auf Auskunft über die personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zur Erreichung solcher Ziele beimisst, darf die Ausübung dieses Rechts folglich nicht von Bedingungen abhängig gemacht werden, die der Unionsgesetzgeber nicht ausdrücklich festgelegt hat, wie etwa von der Verpflichtung, einen der im ersten Satz des 63. Erwägungsgrundes DSGVO genannten Gründe geltend zu machen.

52 Nach alledem ist auf die erste Frage zu antworten, dass Art. 12 Abs. 5 sowie Art. 15 Abs. 1 und 3 DSGVO dahin auszulegen sind, dass die Verpflichtung des Verantwortlichen, der betroffenen Person unentgeltlich eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zur Verfügung zu stellen, auch dann gilt, wenn der betreffende Antrag mit einem anderen als den in Satz 1 des 63. Erwägungsgrundes der DSGVO genannten Zwecken begründet wird.

Zur zweiten Frage

Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 23 Abs. 1 Buchst. i DSGVO dahin auszulegen ist, dass er eine nationale Regelung gestattet, die vor dem Inkrafttreten der DSGVO erlassen wurde und die der betroffenen Person zum Schutz der wirtschaftlichen Interessen des für die Verarbeitung Verantwortlichen die Kosten für eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand dieser Verarbeitung sind, auferlegt.

Was als Erstes die Frage betrifft, ob nur nationale Maßnahmen, die nach dem Inkrafttreten der DSGVO erlassen worden sind, in den Anwendungsbereich von Art. 23 Abs. 1 DSGVO fallen können, ist darauf hinzuweisen, dass der Wortlaut dieser Bestimmung hierzu keinen Hinweis enthält.

Art. 23 Abs. 1 DSGVO besagt nämlich lediglich, dass Gesetzgebungsmaßnahmen eines Mitgliedstaats die Pflichten und Rechte gemäß den Art. 12 bis 22 DSGVO beschränken können, sofern diese Maßnahmen den in diesen Artikeln vorgesehenen Rechten und Pflichten entsprechen und diese Beschränkungen den Wesensgehalt der Grundrechte und Grundfreiheiten achten sowie eine notwendige und verhältnismäßige Maßnahme darstellen, die den Schutz der Rechte und Freiheiten anderer Personen sicherstellt.

Folglich schließt Art. 23 Abs. 1 DSGVO von seinem Anwendungsbereich nationale Gesetzgebungsmaßnahmen, die vor dem Inkrafttreten der DSGVO erlassen wurden, nicht aus, sofern sie die in diesem Artikel festgelegten Voraussetzungen erfüllen.

Was als Zweites die Frage betrifft, ob eine nationale Regelung, die zum Schutz des wirtschaftlichen Interesses der Behandelnden die Kosten für die Zurverfügungstellung einer ersten ‒ vom Patienten angeforderten ‒ Kopie der Patientenakte diesem Patienten auferlegt, unter Art. 23 Abs. 1 Buchst. i DSGVO fällt, ist erstens darauf hinzuweisen, dass, wie aus den Rn. 31 und 33 bis 36 des vorliegenden Urteils hervorgeht, der betroffenen Person gemäß Art. 12 Abs. 5 sowie Art. 15 Abs. 1 und 3 DSGVO ein Recht darauf zuerkannt ist, eine unentgeltliche erste Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zu erhalten.

Nach Art. 15 Abs. 3 Satz 2 DSGVO kann jedoch der Verantwortliche für alle weiteren Kopien ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen. Im Übrigen erlaubt Art. 12 Abs. 5 im Licht von Art. 15 Abs. 1 und 3 DSGVO dem Verantwortlichen, sich vor der missbräuchlichen Ausübung des Auskunftsrechts zu schützen, indem er bei einem offenkundig unbegründeten oder exzessiven Antrag ein angemessenes Entgelt verlangt.

Zweitens ist nach dem vierten Erwägungsgrund der DSGVO das Recht auf Schutz der personenbezogenen Daten kein uneingeschränktes Recht und muss unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Somit steht die DSGVO im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der Charta anerkannt wurden und in den Verträgen verankert sind (Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C‑175/20, EU:C:2022:124, Rn. 53).

So bestimmt Art. 15 Abs. 4 DSGVO, dass „[d]as Recht auf Erhalt einer Kopie … die Rechte und Freiheiten anderer Personen nicht beeinträchtigen [darf].“

Auch wird in Art. 23 Abs. 1 Buchst. i DSGVO darauf hingewiesen, dass eine Beschränkung des Umfangs der u. a. in Art. 15 DSGVO vorgesehenen Pflichten und Rechte möglich ist, „sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die [den Schutz der Rechte und Freiheiten anderer Personen] sicherstellt“.

Folglich ergibt sich aus den Rn. 59 bis 61 des vorliegenden Urteils, dass das der betroffenen Person zuerkannte Recht, eine erste unentgeltliche Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zu erhalten, nicht uneingeschränkt gilt.

Drittens sind nur Erwägungen betreffend insbesondere den Schutz der Rechte und Freiheiten anderer Personen geeignet, als Rechtfertigung für Beschränkungen dieses Rechts zu dienen, sofern, wie in Art. 23 Abs. 1 Buchst. i DSGVO vorgesehen, eine solche Beschränkung dessen Wesensgehalt achtet sowie eine notwendige und verhältnismäßige Maßnahme darstellt, die diesen Schutz sicherstellt.

Wie sich jedoch aus der Vorlageentscheidung ergibt, ermöglicht die Kostenregelung des § 630g Abs. 2 Satz 2 BGB dem Behandelnden, dem Patienten die Kosten für die Zurverfügungstellung einer ersten Kopie seiner Patientenakte aufzuerlegen. Das vorlegende Gericht weist darauf hin, dass diese Regelung in erster Linie die wirtschaftlichen Interessen der Behandler schützen solle, was die Patienten davon abhalte, unnötig Kopien ihrer Patientenakte anzufordern. Sofern die im Ausgangsverfahren fragliche nationale Regelung tatsächlich zum Ziel hat, die wirtschaftlichen Interessen der Behandelnden zu schützen, was zu prüfen Sache des vorlegenden Gerichts ist, fallen derartige Erwägungen somit nicht unter die in Art. 23 Abs. 1 Buchst. i DSGVO genannten „Rechte und Freiheiten anderer Personen“.

Erstens führt nämlich eine solche Regelung dazu, dass nicht nur Anträgen, die unnötig wären, entgegengewirkt würde, sondern auch solchen Anträgen, mit denen aus berechtigtem Grund eine unentgeltliche erste Kopie der verarbeiteten personenbezogenen Daten verlangt wird. Diese Regelung verstößt folglich notwendigerweise gegen den Grundsatz der Unentgeltlichkeit der ersten Kopie und stellt damit die praktische Wirksamkeit des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO und mithin den von dieser Verordnung gewährleisteten Schutz in Frage.

Zweitens geht aus der Vorlageentscheidung nicht hervor, dass die von der nationalen Regelung geschützten Interessen über rein administrative oder wirtschaftliche Erwägungen hinausgehen.

In diesem Zusammenhang ist hervorzuheben, dass der Unionsgesetzgeber die wirtschaftlichen Interessen der Verantwortlichen mit Art. 12 Abs. 5 und Art. 15 Abs. 3 Satz 2 DSGVO berücksichtigt hat, in denen, wie in Rn. 58 des vorliegenden Urteils ausgeführt, die Umstände festgelegt sind, unter denen der Verantwortliche ein Entgelt für die Kosten der Zurverfügungstellung einer Kopie der personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, verlangen kann.

Daher vermag die Verfolgung des Ziels des Schutzes der wirtschaftlichen Interessen der Behandelnden keine Maßnahme zu rechtfertigen, die dazu führt, dass das Recht, unentgeltlich eine erste Kopie zu erhalten, und damit die praktische Wirksamkeit des Rechts der betroffenen Person auf Auskunft über ihre personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, in Frage gestellt werden.

Nach alledem ist auf die zweite Frage zu antworten, dass Art. 23 Abs. 1 Buchst. i DSGVO dahin auszulegen ist, dass eine nationale Regelung, die vor dem Inkrafttreten der DSGVO erlassen wurde, in den Anwendungsbereich dieser Bestimmung fallen kann. Eine solche Möglichkeit erlaubt es jedoch nicht, eine nationale Regelung zu erlassen, die der betroffenen Person zum Schutz der wirtschaftlichen Interessen des Verantwortlichen die Kosten für eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung durch den Verantwortlichen sind, auferlegt.

Zur dritten Frage

Mit seiner dritten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 3 Satz 1 DSGVO dahin auszulegen ist, dass im Rahmen eines Arzt-Patienten-Verhältnisses das Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, umfasst, dass der betroffenen Person eine vollständige Kopie der in ihrer Patientenakte enthaltenen Dokumente, die ihre personenbezogenen Daten enthalten, überlassen wird, oder ob dieses Recht nur umfasst, dass ihr eine Kopie dieser Daten als solche überlassen wird.

Zunächst hat der Gerichtshof entschieden, dass Art. 15 Abs. 3 Satz 1 DSGVO seinem Wortlaut nach der betroffenen Person das Recht verleiht, eine originalgetreue Reproduktion ihrer personenbezogenen Daten zu erhalten, denen eine weite Bedeutung beizumessen ist und die Gegenstand von Vorgängen sind, die als Verarbeitung durch den für diese Verarbeitung Verantwortlichen eingestuft werden müssen (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 28).

Sodann kann Art. 15 DSGVO nicht dahin ausgelegt werden, dass er in seinem Abs. 3 Satz 1 ein anderes Recht als das in seinem Abs. 1 vorgesehene gewährt. Im Übrigen bezieht sich der Begriff „Kopie“ nicht auf ein Dokument als solches, sondern auf die personenbezogenen Daten, die es enthält und die vollständig sein müssen. Die Kopie muss daher alle personenbezogenen Daten enthalten, die Gegenstand der Verarbeitung sind (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 32).

Schließlich hat, was die mit Art. 15 DSGVO verfolgten Ziele angeht, die DSGVO den Zweck, die Rechte der betroffenen Personen zu stärken und präzise festzulegen. Somit muss es der betroffenen Person durch die Ausübung des in dieser Bestimmung vorgesehenen Auskunftsrechts nicht nur ermöglicht werden, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob sie in zulässiger Weise verarbeitet werden. Ferner muss die vom Verantwortlichen nach Art. 15 Abs. 3 Satz 1 DSGVO zur Verfügung zu stellende Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, alle Merkmale aufweisen, die es der betroffenen Person ermöglichen, ihre Rechte aus dieser Verordnung wirksam auszuüben, und diese Daten daher vollständig und originalgetreu wiedergeben (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 33, 34 und 39).

Um insbesondere zu gewährleisten, dass die durch den Verantwortlichen bereitgestellten Informationen leicht verständlich sind, wie es Art. 12 Abs. 1 im Licht des 58. Erwägungsgrundes der DSGVO verlangt, kann sich nämlich die Reproduktion von Auszügen aus Dokumenten oder gar von ganzen Dokumenten, die u. a. personenbezogene Daten enthalten, die Gegenstand der Verarbeitung sind, als unerlässlich erweisen, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 41).

Folglich bedeutet das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten, die u. a. diese Daten enthalten, zu erhalten, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 45).

Zu den im Ausgangsverfahren fraglichen Informationen ist festzustellen, dass die DSGVO Dokumente identifiziert, von denen der Kläger des Ausgangsverfahrens eine Kopie verlangen können muss. So heißt es in Bezug auf personenbezogene Gesundheitsdaten im 63. Erwägungsgrund der DSGVO, dass das Recht der betroffenen Personen auf Auskunft „Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten“, einschließt.

Insoweit hat, wie der Generalanwalt in den Nrn. 78 bis 80 seiner Schlussanträge im Wesentlichen ausgeführt hat, der Unionsgesetzgeber aufgrund der Sensibilität der personenbezogenen Gesundheitsdaten natürlicher Personen betont, wie wichtig es sei, dass die Auskunft gegenüber dem Einzelnen über die in seiner Patientenakte enthaltenen Daten so vollständig und genau wie möglich, aber auch verständlich erfolge.

Jedoch könnte in Bezug auf Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu an einem Patienten vorgenommenen Behandlungen oder Eingriffen, die in der Regel zahlreiche technische Daten oder gar Bilder umfassen, bei der Zurverfügungstellung einer einfachen Zusammenfassung oder Zusammenstellung dieser Daten durch den Arzt, um sie in zusammengefasster Form vorzulegen, die Gefahr bestehen, dass bestimmte relevante Daten ausgelassen oder unrichtig wiedergegeben werden oder dass jedenfalls die Überprüfung ihrer Richtigkeit und Vollständigkeit sowie ihr Verständnis durch den Patienten erschwert werden.

Nach alledem ist auf die dritte Frage zu antworten, dass Art. 15 Abs. 3 Satz 1 DSGVO dahin auszulegen ist, dass im Rahmen eines Arzt-Patienten-Verhältnisses das Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, umfasst, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird. Dieses Recht setzt voraus, eine vollständige Kopie der Dokumente zu erhalten, die sich in der Patientenakte befinden und unter anderem diese Daten enthalten, wenn die Zurverfügungstellung einer solchen Kopie erforderlich ist, um der betroffenen Person die Überprüfung der Richtigkeit und Vollständigkeit der Daten zu ermöglichen und die Verständlichkeit der Daten zu gewährleisten. In Bezug auf die Gesundheitsdaten der betroffenen Person schließt dieses Recht jedenfalls das Recht ein, eine Kopie der Daten aus ihrer Patientenakte zu erhalten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu an ihr vorgenommenen Behandlungen oder Eingriffen umfasst.

Kosten

Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Erste Kammer) für Recht erkannt:

1.      Art. 12 Abs. 5 sowie Art. 15 Abs. 1 und 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

sind dahin auszulegen, dass

die Verpflichtung des Verantwortlichen, der betroffenen Person unentgeltlich eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zur Verfügung zu stellen, auch dann gilt, wenn der betreffende Antrag mit einem anderen als den in Satz 1 des 63. Erwägungsgrundes der Verordnung genannten Zwecken begründet wird.

2.      Art. 23 Abs. 1 Buchst. i der Verordnung 2016/679

ist dahin auszulegen, dass

eine nationale Regelung, die vor dem Inkrafttreten dieser Verordnung erlassen wurde, in den Anwendungsbereich dieser Bestimmung fallen kann. Eine solche Möglichkeit erlaubt es jedoch nicht, eine nationale Regelung zu erlassen, die der betroffenen Person zum Schutz der wirtschaftlichen Interessen des Verantwortlichen die Kosten für eine erste Kopie ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung durch den Verantwortlichen sind, auferlegt.

3.      Art. 15 Abs. 3 Satz 1 der Verordnung 2016/679

ist dahin auszulegen, dass

im Rahmen eines Arzt-Patienten-Verhältnisses das Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, umfasst, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird. Dieses Recht setzt voraus, eine vollständige Kopie der Dokumente zu erhalten, die sich in der Patientenakte befinden und unter anderem diese Daten enthalten, wenn die Zurverfügungstellung einer solchen Kopie erforderlich ist, um der betroffenen Person die Überprüfung der Richtigkeit und Vollständigkeit der Daten zu ermöglichen und die Verständlichkeit der Daten zu gewährleisten. In Bezug auf die Gesundheitsdaten der betroffenen Person schließt dieses Recht jedenfalls das Recht ein, eine Kopie der Daten aus ihrer Patientenakte zu erhalten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu an ihr vorgenommenen Behandlungen oder Eingriffen umfasst.