Zurverfügungstellung einer Kopie der personenbezogenen Daten (hier: Patientenakte) auch für anderen, datenschutzfremden Zweck

Wirtschaftsrecht

07.06.2023

Wirtschaftsrecht

EuGH-Schlussanträge:: Zurverfügungstellung einer Kopie der personenbezogenen Daten (hier: Patientenakte) auch für anderen, datenschutzfremden Zweck

GA Nicolas Emiliou, Schlussanträge vom 20.4.2023 – C-307/22, FT gegen DW

ECLI:EU:C:2023:315

Volltext: BB-Online BBL2023-1346-1

unter www.betriebs-berater.de

Art. 12 Abs. 5 und Art. 15 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass der Verantwortliche verpflichtet ist, der betroffenen Person eine Kopie ihrer personenbezogenen Daten zur Verfügung zu stellen, und zwar auch dann, wenn die betroffene Person die Kopie nicht für die im 63. Erwägungsgrund der DSGVO genannten Zwecke, sondern für einen anderen, datenschutzfremden Zweck beantragt.

Eine nationale Regelung, die von Patienten, die Kopien ihrer in Patientenakten enthaltenen personenbezogenen Daten beantragen, verlangt, dass sie den Ärzten die entstandenen Kosten erstatten, ist nach Art. 23 Abs. 1 DSGVO zulässig, sofern die Beschränkung des Auskunftsrechts unter Berücksichtigung aller relevanten Umstände im Hinblick auf die Ziele des Schutzes der öffentlichen Gesundheit und der unternehmerischen Freiheit der Ärzte erforderlich und verhältnismäßig ist. Das nationale Gericht hat insbesondere zu prüfen, ob die Kosten, deren Erstattung die Ärzte von den Patienten verlangen können, strikt auf die tatsächlich anfallenden Kosten beschränkt sind.

Der Ausdruck „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, in Art. 15 Abs. 3 DSGVO kann im Rahmen eines Arzt-Patienten-Verhältnisses nicht dahin ausgelegt werden, dass er der betroffenen Person ein allgemeines Recht darauf gewährt, eine vollständige Kopie aller in ihrer Patientenakte enthaltenen Dokumente zu erhalten. Jedoch hat der Verantwortliche der betroffenen Person bestimmte Dokumente teilweise oder vollständig in Kopie zur Verfügung zu stellen, wenn dies erforderlich ist, um sicherzustellen, dass die übermittelten Daten verständlich sind und dass die betroffene Person in der Lage ist, zu überprüfen, ob die übermittelten Daten vollständig und richtig sind.

I. Einleitung

1. Aufgrund der Art. 12 und 15 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (im Folgenden: DSGVO)(2) besitzen betroffene Personen weitreichende Rechte auf Auskunft über ihre personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Diese Bestimmungen verpflichten die Verantwortlichen u. a. dazu, den betroffenen Personen unentgeltlich eine Kopie dieser Daten zur Verfügung zu stellen.

2. Können betroffene Personen aufgrund der DSGVO Auskunft über ihre personenbezogenen Daten auch für datenschutzfremde Zwecke beantragen? Können die Mitgliedstaaten das Recht auf Erhalt einer Kopie der Daten beschränken, indem sie den betroffenen Personen in bestimmten Fällen die Kosten auferlegen, die dem Verantwortlichen für die Erstellung der Kopien entstehen? Müssen die Verantwortlichen Kopien aller Dokumente, die personenbezogene Daten enthalten, zur Verfügung stellen oder können sie die von den betroffenen Personen angeforderten Daten zusammenstellen?

3. Dies sind im Grunde die Hauptfragen, die im Vorabentscheidungsersuchen des Bundesgerichtshofs (Deutschland) in einem Fall aufgeworfen werden, bei dem es um die Möglichkeit für einen Patienten geht, unentgeltlich Kopien der in seiner Patientenakte enthaltenen Dokumente zu erhalten.

II. Rechtlicher Rahmen

A. Unionsrecht

4. In den Erwägungsgründen 4, 13 und 63 der DSGVO heißt es:

„(4) … Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht; es muss … unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere … unternehmerische Freiheit …

(13) … [D]ie Organe und Einrichtungen der Union sowie die Mitgliedstaaten … [werden] dazu angehalten, bei der Anwendung dieser Verordnung die besonderen Bedürfnisse von Kleinstunternehmen sowie von kleinen und mittleren Unternehmen zu berücksichtigen. …

(63) Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene[r] Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben, zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt … Dieses Recht sollte die Rechte und Freiheiten anderer Personen … nicht beeinträchtigen. …“

5. Art. 12 („Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person“) DSGVO bestimmt:

„(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln …

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. …

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. …

…

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

…“

6. Art. 15 („Auskunftsrecht der betroffenen Person“) DSGVO lautet:

„(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

…

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. …

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

7. Art. 23 („Beschränkungen“) Abs. 1 DSGVO bestimmt:

„(1) Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 … im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:

…

e) den Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere … im Bereich der öffentlichen Gesundheit …

…

i) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen;

…“

B. Nationales Recht

8. § 630f („Dokumentation der Behandlung“) des Bürgerlichen Gesetzbuchs (BGB) bestimmt:

„(1) Der Behandelnde ist verpflichtet, zum Zweck der Dokumentation in unmittelbarem zeitlichen Zusammenhang mit der Behandlung eine Patientenakte in Papierform oder elektronisch zu führen. …

(2) Der Behandelnde ist verpflichtet, in der Patientenakte sämtliche aus fachlicher Sicht für die derzeitige und künftige Behandlung wesentlichen Maßnahmen und deren Ergebnisse aufzuzeichnen, insbesondere die Anamnese, Diagnosen, Untersuchungen, Untersuchungsergebnisse, Befunde, Therapien und ihre Wirkungen, Eingriffe und ihre Wirkungen, Einwilligungen und Aufklärungen. Arztbriefe sind in die Patientenakte aufzunehmen.

…“

9. Die Vorschrift von § 630g („Einsichtnahme in die Patientenakte“) BGB lautet:

„(1) Dem Patienten ist auf Verlangen unverzüglich Einsicht in die vollständige, ihn betreffende Patientenakte zu gewähren, soweit der Einsichtnahme nicht erhebliche therapeutische Gründe oder sonstige erhebliche Rechte Dritter entgegenstehen. …

(2) Der Patient kann auch elektronische Abschriften von der Patientenakte verlangen. Er hat dem Behandelnden die entstandenen Kosten zu erstatten.

…“

III. Sachverhalt, Verfahren und Vorlagefragen

10. DW (der Kläger des Ausgangsverfahrens) wurde von FT (der Beklagten des Ausgangsverfahrens) zahnärztlich behandelt. DW vermutete einen Behandlungsfehler und forderte daher von FT, ihm unentgeltlich eine Kopie aller ihn betreffenden Krankenunterlagen, die sich in ihrem Besitz befänden, auszuhändigen. FT war der Auffassung, sie müsse dem Patienten eine Kopie der Patientenakte nur gegen Kostenerstattung zur Verfügung stellen.

11. DW klagte gegen FT vor dem Amtsgericht (Deutschland), das der Klage stattgab. Das Landgericht (Deutschland) wies die von FT eingelegte Berufung mit der Begründung zurück, der sich aus Art. 15 DSGVO ergebende Anspruch von DW sei nicht dadurch ausgeschlossen, dass er die Auskunft zur Prüfung arzthaftungsrechtlicher Ansprüche begehre.

12. Mit ihrer Revision vor dem Bundesgerichtshof beantragt FT, das Urteil des Landgerichts aufzuheben und die Klage von DW abzuweisen. Nach Auffassung des Bundesgerichtshofs hängt der Erfolg der Revision davon ab, ob das Berufungsgericht bei seiner Entscheidung in der Sache einen Rechtsfehler begangen hat, indem es angenommen hat, dass die Klage – wie von DW geltend gemacht – nach den Bestimmungen der DSGVO begründet sei.

13. Der Bundesgerichtshof weist darauf hin, dass FT nach nationalem Recht nicht verpflichtet sei, DW unentgeltlich Kopien der ihn betreffenden Krankenunterlagen zur Verfügung zu stellen. Der Anspruch von DW auf unentgeltliche Zurverfügungstellung könnte sich jedoch – entsprechend der Auffassung des Landgerichts – unmittelbar aus Art. 15 Abs. 3 in Verbindung mit Art. 12 Abs. 5 DSGVO ergeben. Da nach Ansicht des Bundesgerichtshofs Zweifel an der richtigen Auslegung dieser Bestimmungen bestehen, hat er das Verfahren ausgesetzt und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorgelegt:

1. Ist Art. 15 Abs. 3 Satz 1 in Verbindung mit Art. 12 Abs. 5 DSGVO dahingehend auszulegen, dass der Verantwortliche (hier: der behandelnde Arzt) nicht verpflichtet ist, dem Betroffenen (hier: dem Patienten) eine erste Kopie seiner vom Verantwortlichen verarbeiteten personenbezogenen Daten unentgeltlich zur Verfügung zu stellen, wenn der Betroffene die Kopie nicht zur Verfolgung der im 63. Erwägungsgrund Satz 1 der DSGVO genannten Zwecke begehrt, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu werden und deren Rechtmäßigkeit überprüfen zu können, sondern einen anderen – datenschutzfremden, aber legitimen – Zweck (hier: die Prüfung des Bestehens arzthaftungsrechtlicher Ansprüche) verfolgt?

2. a) Falls die Frage 1 verneint wird: Kommt als Beschränkung des sich aus Art. 15 Abs. 3 Satz 1 in Verbindung mit Art. 12 Abs. 5 DSGVO ergebenden Rechts auf eine unentgeltliche Zurverfügungstellung einer Kopie der vom Verantwortlichen verarbeiteten personenbezogenen Daten nach Art. 23 Abs. 1 Buchst. i DSGVO auch eine nationale Vorschrift eines Mitgliedstaats in Betracht, die vor dem Inkrafttreten der DSGVO erlassen wurde?

b) Falls die Frage 2a bejaht wird: Ist Art. 23 Abs. 1 Buchst. i DSGVO dahingehend auszulegen, dass die dort genannten Rechte und Freiheiten anderer Personen auch deren Interesse an der Entlastung von mit der Erteilung einer Datenkopie nach Art. 15 Abs. 3 Satz 1 DSGVO verbundenen Kosten und sonstigem durch die Zurverfügungstellung der Kopie verursachten Aufwand umfassen?

c) Falls die Frage 2b bejaht wird: Kommt als Beschränkung der sich aus Art. 15 Abs. 3 Satz 1 in Verbindung mit Art. 12 Abs. 5 DSGVO ergebenden Pflichten und Rechte nach Art. 23 Abs. 1 Buchst. i DSGVO eine nationale Regelung in Betracht, die im Arzt-Patienten-Verhältnis bei Herausgabe einer Kopie der personenbezogenen Daten des Patienten aus der Patientenakte durch den Arzt an den Patienten stets und unabhängig von den konkreten Umständen des Einzelfalls einen Kostenerstattungsanspruch des Arztes gegen den Patienten vorsieht?

3. Falls die Frage 1 verneint und die Fragen 2a, 2b oder 2c verneint werden: Umfasst der Anspruch aus Art. 15 Abs. 3 Satz 1 DSGVO im Arzt-Patienten-Verhältnis einen Anspruch auf Überlassung von Kopien aller die personenbezogenen Daten des Patienten enthaltenden Teile der Patientenakte oder ist er nur auf Herausgabe einer Kopie der personenbezogenen Daten des Patienten als solche gerichtet, wobei es dem datenverarbeitenden Arzt überlassen bleibt, in welcher Weise er dem betroffenen Patienten die Daten zusammenstellt?

14. Die lettische Regierung und die Kommission haben im vorliegenden Verfahren schriftliche Erklärungen eingereicht.

IV. Würdigung

A. Erste Frage: Auskunft über Daten zu datenschutzfremden Zwecken

15. Mit seiner ersten Frage möchte das vorlegende Gericht vom Gerichtshof wissen, ob Art. 12 Abs. 5 und Art. 15 Abs. 3 DSGVO dahin auszulegen sind, dass der Verantwortliche verpflichtet ist, der betroffenen Person unentgeltlich eine Kopie ihrer personenbezogenen Daten zur Verfügung zu stellen, wenn die betroffene Person die Kopie nicht zu den im ersten Satz des 63. Erwägungsgrundes der DSGVO genannten Zwecken (nämlich, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu werden und deren Rechtmäßigkeit überprüfen zu können), sondern zu einem anderen Zweck, etwa zur Prüfung des Bestehens von arzthaftungsrechtlichen Schadensersatzansprüchen, beantragt.

16. Im Kern geht es bei dieser Frage darum, ob die betroffene Person gemäß der DSGVO das Recht hat, von dem Verantwortlichen eine Kopie ihrer personenbezogenen Daten zu erhalten, wenn sie dies zu legitimen, aber datenschutzfremden Zwecken beantragt.

17. Meines Erachtens ist das Auskunftsrecht, das den betroffenen Personen aufgrund der DSGVO zusteht, nicht von ihrer Absicht abhängig, die betreffenden Daten für datenschutzrechtliche Belange, wie sie im 63. Erwägungsgrund der Verordnung aufgeführt sind, zu verwenden. Diese Auffassung stützt sich auf eine Auslegung gemäß dem Wortlaut, dem Zusammenhang und der Systematik der einschlägigen Bestimmungen der DSGVO.

18. Erstens und vor allem lässt sich eine solche Beschränkung weder aus dem Wortlaut von Art. 12 noch aus dem Wortlaut von Art. 15 DSGVO ableiten. Diese beiden Bestimmungen regeln – in einer Art „Spiegelspiel“ – die Pflicht des Verantwortlichen, Auskunft über die verarbeiteten personenbezogenen Daten zu erteilen, und das Recht der betroffenen Person, diese Auskunft zu verlangen(3). Nach keiner der beiden Bestimmungen ist die betroffene Person verpflichtet, die Gründe für ihren Auskunftsantrag anzugeben, oder besitzt der Verantwortliche ein Ermessen, eine Angabe dieser Gründe zu verlangen und diese zu bewerten.

19. Art. 12 DSGVO schreibt vor, dass der Verantwortliche „geeignete Maßnahmen [trifft], um der betroffenen Person alle Informationen … und alle Mitteilungen … zu übermitteln“ und „der betroffenen Person die Ausübung ihrer Rechte [erleichtert]“(4). Die Regelungen von Art. 12 befassen sich hauptsächlich mit der Art und Weise und dem Zeitrahmen, auf die bzw. in dem der Verantwortliche u. a. Auskunft über die Daten gewähren muss(5). Die einzigen Ausnahmen von der Verpflichtung des Verantwortlichen zum unverzüglichen Handeln sind: Er kann i) bei begründeten Zweifeln an der Identität der betroffenen Person zusätzliche Informationen anfordern oder die Verarbeitung verweigern(6) und ii) bei offenkundig unbegründeten oder exzessiven Anträgen ein angemessene Entgelt verlangen oder sich weigern, tätig zu werden(7).

20. Art. 15 DSGVO ist ebenfalls sehr weit gefasst und räumt den betroffenen Personen weitreichende Formen der Auskunft ein: Sie haben das Recht, von dem Verantwortlichen eine Bestätigung darüber zu erhalten, ob er sie betreffende personenbezogene Daten verarbeitet und, wenn dies der Fall ist, ausführliche Informationen darüber(8) und eine Kopie der verarbeiteten personenbezogenen Daten(9) zu erhalten. Aus Art. 15 DSGVO ergibt sich keine ausdrückliche Bedingung oder Beschränkung für die Ausübung des Auskunftsrechts durch die betroffene Person.

21. Dies ist anders in anderen Bestimmungen der Verordnung, die andere Rechte der betroffenen Personen betreffen. So sieht Art. 17 Abs. 3 DSGVO die Fälle vor, in denen das Recht auf Vergessenwerden, wie es in den Abs. 1 und 2 dieser Bestimmung festgelegt ist, „nicht [gilt]“. Art. 20 DSGVO, der das Recht auf Datenübertragbarkeit betrifft, ist ähnlich aufgebaut, wobei die Ausnahmen in Abs. 3 dieser Bestimmung geregelt werden. Art. 21 Abs. 6 DSGVO wiederum legt die Bedingungen fest, unter denen betroffene Personen unter bestimmten Umständen berechtigt sind, von ihrem Widerspruchsrecht Gebrauch zu machen, wie es in Art. 21 Abs. 1 festgelegt ist.

22. Vor diesem Hintergrund kann der 63. Erwägungsgrund meines Erachtens nicht so verstanden werden, dass er eine Bedingung oder eine Beschränkung für die Ausübung des in Art. 15 DSGVO verankerten Auskunftsrechts einführt; davon ist weder im Text dieser Bestimmung (noch in Art. 12 DSGVO als deren „Zwillingsvorschrift“) irgendetwas zu finden.

23. Meines Erachtens soll der 63. Erwägungsgrund eher die Bedeutung des Auskunftsrechts im Rahmen der DSGVO betonen. Dieses Recht ist nämlich für die wirksame Ausübung vieler anderer Rechte, die die DSGVO den betroffenen Personen gewährt, von entscheidender Bedeutung und unerlässlich(10). Einzelne können schwerlich, „die Kontrolle über ihre eigenen Daten besitzen“ – wie es im siebten Erwägungsgrund der DSGVO hervorgehoben wird –, solange sie keine Kenntnis über das „Ob, Was und Warum“ der Datenverarbeitung haben. Dies erklärt wohl auch, warum es im 63. Erwägungsgrund heißt, dass die betroffenen Personen das Auskunftsrecht haben sollten, „um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können“(11). Der Wortlaut des 63. Erwägungsgrundes mag vielleicht nicht ganz eindeutig sein, aber meines Erachtens kann man daraus nicht ableiten, dass das Auskunftsrecht ausschließlich für die dort genannten Zwecke gewährleistet sein soll.

24. Nebenbei bemerkt wäre eine solche Bedingung, da es um die subjektive Absicht der betroffenen Person geht, für den Verantwortlichen oftmals nicht nachprüfbar und könnte daher von der betroffenen Person problemlos umgangen werden(12).

25. Ich bin mit dem vorlegenden Gericht zudem der Ansicht, dass sich dem Urteil in der Rechtssache YS u. a., Rn. 44, keine abweichende Auslegung von Art. 15 DSGVO entnehmen lässt(13). Der Gerichtshof hat in dieser Randnummer – unter Bezugnahme auf die Bestimmungen der Richtlinie 95/46/EG(14), des Vorläufers der DSGVO – ausgeführt, dass „sich aus [der Präambel] dieser Richtlinie [ergibt], dass die betroffene Person, damit sie die nötigen Nachprüfungen durchführen kann … ein Auskunftsrecht hinsichtlich der sie betreffenden Daten hat, die Gegenstand einer Verarbeitung sind“(15).

26. Dabei hat sich der Gerichtshof im Wesentlichen darauf beschränkt, den dem 63. Erwägungsgrund der DSGVO vergleichbaren Wortlaut des 41. Erwägungsgrundes der Richtlinie 95/46 wiederzugeben. Im Übrigen wurde der Gerichtshof – wie das vorlegende Gericht zu Recht festgestellt hat – in der Rechtssache YS u. a. darum ersucht, den Begriff „personenbezogene Daten“ zu klären, um den Umfang der Auskunft zu bestimmen. Die vorliegende Frage betrifft aber ein anderes Rechtsproblem, nämlich die Frage, ob es für die Auskunftserteilung von Bedeutung ist, für welchen Zweck die Auskunft beantragt wird, und zu dieser Frage enthält jenes Urteil meines Erachtens keine verwertbaren Hinweise.

27. Die in den vorliegenden Schlussanträgen vertretene Auslegung von Art. 15 DSGVO wird auch durch Art. 8 Abs. 2 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) über den „Schutz personenbezogener Daten“ bestätigt. Darin heißt es: „Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken“(16). Das Auskunftsrecht erscheint in der Charta als ein eigenständiges Recht, das logischerweise mit der Fähigkeit oder Absicht des Rechtsinhabers verbunden ist, andere Rechte (wie das Recht auf Berichtigung(17)) auszuüben, aber keineswegs zwingend davon abhängig ist.

28. Abschließend möchte ich hinzufügen, dass diese Auslegung von Art. 15 DSGVO auch vom Europäischen Datenschutzausschuss in seinen „Guidelines 01/2022 on data subject rights – Right of access“ (Leitlinien 01/2022 zu den Rechten der betroffenen Person – Recht auf Auskunft)(18) vorgeschlagen wird. In Rn. 13 dieser Leitlinien heißt es: „Die Verantwortlichen sollten … nicht prüfen, ‚weshalb‘ die betroffene Person Auskunft beantragt, sondern nur, ‚was‘ die betroffene Person beantragt … und ob sie über personenbezogene Daten zu dieser Person verfügen … Der Verantwortliche sollte … z. B. die Auskunft nicht mit der Begründung oder dem Verdacht verweigern, dass die angeforderten Daten von der betroffenen Person verwendet werden könnten, um sich im Fall einer Kündigung oder einer geschäftlichen Auseinandersetzung mit dem Verantwortlichen vor Gericht zu verteidigen.“

29. Interessanterweise entspricht das in diesen Leitlinien angeführte Beispiel weitgehend dem Sachverhalt des beim vorlegenden Gericht anhängigen Verfahrens. Der Umstand, dass der Kläger des Ausgangsverfahrens Auskunft über seine in der Patientenakte enthaltenen personenbezogenen Daten beantragt hat – eine Situation, die im 63. Erwägungsgrund der DSGVO ausdrücklich vorgesehen ist(19) –, um zu prüfen, ob er ein Verfahren wegen eines ärztlichen Behandlungsfehlers anstrengen will – ein Ziel, das das vorlegende Gericht zutreffend als „legitim“ bezeichnet hat(20) –, berechtigt den Verantwortlichen daher nicht, den Antrag der betroffenen Person abzulehnen.

30. Aufgrund der vorstehenden Erwägungen schlage ich dem Gerichtshof vor, auf die erste Vorlagefrage zu antworten, dass Art. 12 Abs. 5 und Art. 15 Abs. 3 DSGVO dahin auszulegen sind, dass der Verantwortliche verpflichtet ist, der betroffenen Person eine Kopie ihrer personenbezogenen Daten zur Verfügung zu stellen, und zwar auch dann, wenn die betroffene Person die Kopie nicht für die im 63. Erwägungsgrund der DSGVO genannten Zwecke, sondern für einen anderen, datenschutzfremden Zweck beantragt.

B. Zweite Frage: Unentgeltlichkeit der zur Verfügung zu stellenden Kopien

31. Mit seiner zweiten Frage möchte das vorlegende Gericht vom Gerichtshof im Wesentlichen wissen, ob es nach Art. 23 Abs. 1 DSGVO zulässig ist, dass nationale Rechtsvorschriften, die vor dem Inkrafttreten der DSGVO erlassen wurden, das Recht der betroffenen Personen auf unentgeltliche Zurverfügungstellung einer Kopie der vom Verantwortlichen verarbeiteten personenbezogenen Daten beschränken, indem sie die betroffenen Personen verpflichten, die dem Verantwortlichen dadurch entstehenden Kosten zu tragen.

1. Grundsatz und Ausnahme

32. Vorab ist zu betonen, dass kein Zweifel daran besteht, dass die betroffenen Personen nach den Bestimmungen der DSGVO grundsätzlich das Recht haben, von dem Verantwortlichen unentgeltlich eine erste Kopie ihrer verarbeiteten Daten zu erhalten. Dies ergibt sich ausdrücklich aus Art. 12 Abs. 5 DSGVO, wonach Informationen, die u. a. gemäß Art. 15 DSGVO zur Verfügung gestellt werden, „unentgeltlich“ zu erteilen sind und der Verantwortliche nur bei „offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen“ ein „angemessenes Entgelt verlangen [kann], bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden“.

33. Außerdem ergibt sich dies, wenn auch implizit, aus Art. 15 Abs. 3 DSGVO, wonach „[der Verantwortliche für] alle weiteren Kopien, die die betroffene Person beantragt, … ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen [kann]“(21). Das bedeutet ganz offensichtlich, dass für die erste von der betroffenen Person beantragte Kopie kein Entgelt erhoben werden kann.

34. Gemäß Art. 23 Abs. 1 DSGVO können jedoch durch Rechtsvorschriften der Union oder der Mitgliedstaaten „die Pflichten und Rechte gemäß den Artikeln 12 bis 22 … im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt“, die eines der danach aufgeführten Ziele sicherstellt. Ein solches Ziel ist nach Buchst. e die öffentliche Gesundheit, ein anderes Ziel bezieht sich gemäß Buchst. i auf „die Rechte und Freiheiten anderer Personen“.

35. Dies vorausgeschickt komme ich nun zum Kernpunkt der vorliegenden Frage, die meines Erachtens zu bejahen ist.

2. Voraussetzungen von Art. 23 Abs. 1 DSGVO

36. Erstens steht fest, dass das – in Art. 15 DSGVO festgelegte – Recht der betroffenen Personen auf Auskunft über ihre personenbezogenen Daten zu den Rechten gehört, die in den Anwendungsbereich von Art. 23 Abs. 1 DSGVO fallen und deren Geltungsbereich folglich durch eine gesetzgeberische Maßnahme der Union oder eines Mitgliedstaats beschränkt werden kann(22).

37. Zweitens sollte es den Mitgliedstaaten, wenn sie den Anwendungsbereich des Auskunftsrechts grundsätzlich beschränken können, indem sie es z. B. in bestimmten Situationen oder in Bezug auf bestimmte Daten ausschließen, gemäß dem Grundsatz a maiore ad minus(23) auch gestattet sein, eine geringere Beschränkung der Ausübung des Auskunftsrechts einzuführen. Tatsächlich wird nur eine Form der Auskunft eingeschränkt (das Recht, eine Kopie der Daten zu erhalten), und zwar auch nur insoweit, als diese Auskunft davon abhängig gemacht wird, dass die betroffenen Personen die den Verantwortlichen entstehenden Kosten zu tragen haben.

38. Drittens ist eine – ausdrücklich in einem Zivilgesetzbuch oder in einem gleichwertigen Rechtsinstrument vorgesehene – Beschränkung wie die hier in Rede stehende „durch Rechtsvorschriften“ geregelt, wie dies in Art. 23 Abs. 1 DSGVO vorausgesetzt wird. Diese Voraussetzung entspricht derjenigen in Art. 52 Abs. 1 der Charta, wonach Beschränkungen der Grundrechte „gesetzlich vorgesehen“ sein müssen.

39. In diesem Zusammenhang möchte ich hinzufügen, dass der Umstand, dass die in Rede stehende nationale Regelung vor dem Inkrafttreten der DSGVO erlassen wurde, meines Erachtens für die Feststellung, ob diese Regelung die in Art. 23 Abs. 1 DSGVO genannten Voraussetzungen erfüllt, ohne Belang ist. Wie die Kommission angemerkt hat, verlangt weder diese Bestimmung noch irgendeine andere Bestimmung der DSGVO, dass beschränkende Maßnahmen der Union oder der Mitgliedstaaten in Einzelrechtsakten enthalten sein müssten, und erst recht nicht, dass sie in Rechtsakten enthalten sein müssten, die nach dem Inkrafttreten der DSGVO erlassen wurden. Den Mitgliedstaaten ist es daher gestattet, Beschränkungen sowohl beizubehalten als auch einzuführen, sofern diese den Anforderungen von Art. 23 Abs. 1 DSGVO genügen. Ein Vergleich der verschiedenen Sprachfassungen dieser Vorschrift bestätigt diese Auffassung(24).

40. Viertens bin ich aufgrund der relativ harmlosen Natur der oben in Nr. 37 erwähnten Beschränkung der Ansicht, dass eine nationale Regelung wie die hier in Rede stehende eindeutig nicht in den „Wesensgehalt“ dieses Rechts eingreift (ein weiteres Erfordernis, das sowohl in Art. 23 Abs. 1 DSGVO als auch in Art. 52 Abs. 1 der Charta festgelegt ist). Diese Regelung beraubt den Einzelnen nicht des „harten Kerns“ seines Rechts auf Datenschutz. So kann man sich u. a. auch nur schwer unter die in Rede stehende nationale Regelung fallende Situationen vorstellen, bei denen die Kosten so hoch wären, dass die Verpflichtung der betroffenen Personen, sie zu tragen, tatsächlich einer Auskunftsverweigerung gleichkäme.

41. Fünftens bin ich der Ansicht, dass eine nationale Regelung, wie die hier in Rede stehende, Ziele verfolgt, die nach Art. 23 Abs. 1 DSGVO zulässig und im weiteren Sinne nach Unionsrecht legitim sind.

42. Vorbehaltlich der Überprüfung durch das vorlegende Gericht gehe ich davon aus, dass die maßgebliche nationale Regelung darauf abzielt, von unnötigen oder leichtfertigen Anträgen auf Anfertigung von Kopien abzuhalten, um i) die wirtschaftlichen Interessen der Ärzte zu schützen, die häufig Einzelunternehmer sind oder in kleinen Teams arbeiten, und auf diese Weise ii) sicherzustellen, dass die Ärzte bei der Ausübung ihrer beruflichen Tätigkeit (den größten Teil) ihrer Zeit für ihre medizinischen Kernaufgaben und nicht für vermeidbare Verwaltungsaufgaben aufwenden.

43. Das zweite Ziel betrifft den Schutz der öffentlichen Gesundheit. Art. 23 Abs. 1 Buchst. e sieht ausdrücklich Beschränkungen vor, die erforderlich sind, um den Schutz „wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats“ wie etwa „im Bereich der öffentlichen Gesundheit“ sicherzustellen. Dies steht im Einklang mit Art. 35 („Gesundheitsschutz“) der Charta, der bestimmt: „Jeder Mensch hat das Recht auf Zugang zur Gesundheitsvorsorge und auf ärztliche Versorgung nach Maßgabe der einzelstaatlichen Rechtsvorschriften und Gepflogenheiten. Bei der Festlegung und Durchführung der Politik und Maßnahmen der Union in allen Bereichen wird ein hohes Gesundheitsschutzniveau sichergestellt.“(25)

44. Das erstgenannte Ziel dient zwar dem Schutz eines (privaten) Interesses bestimmter Personen – der Ärzte, die in der hier in Rede stehenden Situation als Verantwortliche handeln – und ist wirtschaftlicher Natur. Keines dieser Elemente bedeutet jedoch, dass eine Beschränkung des Auskunftsrechts grundsätzlich unzulässig ist.

45. Nach Art. 23 Abs. 1 Buchst. i DSGVO sind nämlich Beschränkungen zulässig, die zum Schutz der „Rechte und Freiheiten anderer Personen“ erforderlich sind. Interessanterweise ist derselbe Begriff auch in Art. 15 Abs. 4 und im 63. Erwägungsgrund der DSGVO zu finden, in dem es gerade in Bezug auf das Recht, eine Kopie der verarbeiteten Daten zu erhalten, heißt, dass dieses Recht „die Rechte und Freiheiten anderer Personen … nicht beeinträchtigen“ darf.

46. Zunächst möchte ich darauf hinweisen, dass Art. 15 Abs. 4, Art. 23 Abs. 1 Buchst. i und der 63. Erwägungsgrund der DSGVO „Rechte und Freiheiten anderer Personen“(26) und nicht „Dritter“ – wie es in anderen Bestimmungen der Verordnung heißt(27) – betreffen. Dies bedeutet logischerweise auch, dass nach dieser Bestimmung auch Beschränkungen, die zum Schutz bestimmter Rechte des Verantwortlichen erforderlich sind, zulässig sind(28).

47. Sodann bedeutet der Umstand, dass eines der durch die in Rede stehende nationale Regelung geschützten Interessen wirtschaftlicher Natur ist, für sich allein nicht, dass dieses Interesse nicht als Rechtfertigung von Beschränkungen nach Art. 23 Abs. 1 DSGVO in Frage kommen könnte. Im vierten Erwägungsgrund der DSGVO heißt es ganz eindeutig: „Das Recht auf Schutz der personenbezogenen Daten ist kein uneingeschränktes Recht [und] muss … unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden. Diese Verordnung steht im Einklang mit allen Grundrechten und achtet alle Freiheiten und Grundsätze, die mit der Charta anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere … unternehmerische Freiheit.“(29)

48. In diesem Zusammenhang möchte ich darauf hinweisen, dass Titel II („Freiheiten“) der Charta verschiedene Rechte wirtschaftlicher Art enthält: Neben der bereits erwähnten unternehmerischen Freiheit (Art. 16 der Charta) finden sich dort auch die „Berufsfreiheit und [das] Recht zu arbeiten“ (Art. 15 der Charta) sowie das Eigentumsrecht (Art. 17 der Charta). Grundrechte wirtschaftlicher Art können nicht als „Gottes vergessene Kinder“ im Vergleich zu anderen (bürgerlichen, sozialen oder politischen) Rechten angesehen werden. Man muss nicht mit den Schriften von Ludwig von Mises(30) vertraut sein, um zu erkennen, dass alle diese Rechte untrennbar miteinander verbunden sind: Sie können nur Hand in Hand wahrgenommen werden, da die Wegnahme wirtschaftlicher Rechte unweigerlich die Fähigkeit des Einzelnen beeinträchtigen würde, seine bürgerlichen, sozialen und politischen Rechte in vollem Umfang wahrzunehmen und umgekehrt.

49. Darüber hinaus werden die Mitgliedstaaten, worauf das vorlegende Gericht hingewiesen hat, nach dem 13. Erwägungsgrund der DSGVO dazu angehalten, „bei der Anwendung dieser Verordnung die besonderen Bedürfnisse von Kleinstunternehmen sowie von kleinen und mittleren Unternehmen zu berücksichtigen“. Die Mitgliedstaaten können somit die besonderen Merkmale von Unternehmen mit einer begrenzten Größe und von Freiberuflern, was bei Ärzten häufig der Fall ist, berücksichtigen.

50. Dementsprechend komme ich unschwer zu dem Schluss, dass Art. 23 Abs. 1 DSGVO nicht nur Beschränkungen zum Schutz der öffentlichen Gesundheit zulässt, sondern auch solche, die dem Schutz bestimmter wirtschaftlicher Grundrechte natürlicher Personen dienen sollen(31), einschließlich derjenigen der Verantwortlichen.

51. Schließlich ist eine nationale Regelung, die das Recht auf Auskunft über personenbezogene Daten beschränkt, gemäß Art. 23 Abs. 1 DSGVO aber nur dann zulässig, wenn sie als „notwendige und verhältnismäßige Maßnahme“ zur Wahrung eines der dort aufgeführten öffentlichen Interessen angesehen werden kann. Diese Bestimmung verlangt daher – gemäß einem anerkannten Grundsatz –, dass eine „Prüfung der Verhältnismäßigkeit“ der Beschränkung, die einer Rechtfertigung bedarf, vorgenommen wird.

3. Verhältnismäßigkeit der nationalen Regelung

52. Um zu prüfen, ob die Beschränkung verhältnismäßig ist, müssen drei kumulative Anforderungen geprüft werden. Die Maßnahme muss geeignet sein, die Erreichung des angestrebten Ziels zu gewährleisten („Geeignetheit“), und darf nicht über das hinausgehen, was zur Erreichung des Ziels erforderlich ist („Erforderlichkeit“). Außerdem muss die nationale Maßnahme „im engeren Sinne verhältnismäßig“ sein, d. h. sie muss einen gerechten Ausgleich zwischen den betroffenen Interessen herstellen (zwischen den Interessen, die der Staat mit der betreffenden Maßnahme verfolgt, und den Interessen der dadurch beschwerten Personen)(32).

53. Ob bestimmte nationale Maßnahmen, die von allgemeinen Vorschriften des Unionsrechts abweichen, mit dem Grundsatz der Verhältnismäßigkeit vereinbar sind, ist meines Erachtens oftmals eine Beurteilung, die am besten von den nationalen Gerichten vorgenommen werden kann. Um das vorlegende Gericht bei der Entscheidung des bei ihm anhängigen Rechtsstreits zu unterstützen, möchte ich jedoch die folgenden Überlegungen anbringen.

54. Zunächst einmal bin ich der Auffassung, dass eine nationale Regelung wie die hier in Rede stehende grundsätzlich geeignet ist, die vom nationalen Gesetzgeber verfolgten Ziele zu erreichen, d. h., dass sie geeignet ist, einen sinnvollen Beitrag zu deren Verwirklichung zu leisten. Die Anforderung, dass die betroffenen Personen die mit der Zurverfügungstellung der beantragten Kopien verbundenen Verwaltungskosten tragen müssen, kann sie tatsächlich davon abhalten, unnötige oder leichtfertige Auskunftsanträge zu stellen, so dass Ärzte weniger Zeit und Ressourcen für vermeidbare Verwaltungsaufgaben aufwenden müssen.

55. Nicht so klar ist sodann meines Erachtens, ob eine nationale Regelung wie die in Rede stehende über das hinausgeht, was zur Erreichung ihrer Ziele erforderlich ist, und/oder ob sie einen gerechten Ausgleich zwischen den in Rede stehenden Interessen vermissen lässt, so dass das vorlegende Gericht hierzu eine eingehendere Bewertung vornehmen muss.

56. In diesem Zusammenhang möchte ich noch einmal(33) die relativ harmlose Natur der fraglichen Beschränkung betonen. Während Art. 15 DSGVO den betroffenen Personen verschiedene Formen der Auskunft einräumt, schränkt die in Rede stehende nationale Regelung nur eine dieser Formen ein (das Recht, eine Kopie der Daten zu erhalten), und dies auch nur, indem sie die Auskunft davon abhängig macht, dass die betroffenen Personen die den Verantwortlichen insoweit entstehenden Kosten tragen.

57. Die Kommission hat allerdings Zweifel an der Erforderlichkeit der in Rede stehenden nationalen Regelung geltend gemacht und darauf hingewiesen, dass diese für alle Anträge auf Einsicht in Patientenakten gilt, unabhängig von der beruflichen Stellung und der Art der Tätigkeit des betreffenden Arztes: ob als Selbständiger, allein oder in Mehrarztpraxen, oder als Angestellter, z. B. in einem öffentlichen Krankenhaus oder in einer großen Privatklinik.

58. Ich gebe zu, dass einige der Argumente der Kommission nicht ganz unberechtigt erscheinen. Es mag in der Tat zutreffen, dass nicht alle Situationen, die von der in Rede stehenden nationalen Regelung erfasst werden, für die Zwecke von Art. 23 Abs. 1 Buchst. e und i DSGVO vollständig vergleichbar sind. So haben große Arztpraxen, Krankenhäuser und Privatkliniken in der Regel besonderes Personal und Ausrüstung, um die mit den medizinischen Dienstleistungen verbundenen Verwaltungsaufgaben zu erfüllen. Es ist also nicht offensichtlich, dass mit einer nationalen Regelung, wie der hier in Rede stehenden, Ärzte auch in solchen Fällen davon entlastet werden, unnötige Kosten zu tragen oder ihre kostbare Zeit mit vermeidbaren Verwaltungsarbeiten zu verbringen.

59. Im Gegensatz zu Ärzten, die an staatlich festgelegte Tarife gebunden sind, können Ärzte, die ihr Honorar nach eigenem Ermessen festsetzen können, wenn sie es für angemessen halten, die zusätzlichen Kosten durch eine Erhöhung ihres Honorars decken und so diese Kosten auf alle ihre Patienten „umlegen“. Dementsprechend kann es durchaus sein, dass manche Ärzte ein höheres Maß an „gesetzlichem Schutz“ benötigen als andere.

60. Andererseits bin ich mir aber nicht sicher, ob eine Regelung praktikabel oder vernünftig und gerecht wäre, die Ärzte und folglich auch Patienten unterschiedlich behandelt, je nachdem, ob die Ärzte z. B. a) Selbstständige oder Angestellte sind, b) in – um die Begriffe des 13. Erwägungsgrundes der DSGVO zu verwenden – „Kleinstunternehmen sowie … kleinen und mittleren Unternehmen“ oder für große Krankenhäuser und Kliniken tätig sind und/oder c) an öffentliche Tarife gebunden sind oder ihr Honorar frei festsetzen können.

61. Es ist keine leichte Aufgabe, die richtigen Kriterien zu finden, um die Situationen, in denen die Patienten die Kosten tragen sollten, von denen zu unterscheiden, in denen die Ärzte die Kosten tragen sollten, damit die vom nationalen Gesetzgeber festgelegten Ziele bestmöglich erreicht werden. Von größerer Bedeutung ist, dass jede solche Differenzierung eine gewisse Komplexität (und möglicherweise eine Quelle der Verwirrung) in Bezug auf Situationen mit sich bringen würde, die aufgrund der normalerweise recht begrenzten anfallenden Geldbeträge durch eine klare, für alle geltende Bestimmung wahrscheinlich einfacher geregelt werden.

62. Wie der Gerichtshof festgestellt hat, kann den Mitgliedstaaten nicht die Möglichkeit abgesprochen werden, im öffentlichen Interesse liegende Ziele durch die Einführung allgemeiner und einfacher Vorschriften zu verfolgen, die von den Anwendern leicht verstanden und angewandt und von den zuständigen Behörden einfach gehandhabt und kontrolliert werden können(34). Ganz allgemein kann, wie ich jüngst in Schlussanträgen ausgeführt habe, von den Mitgliedstaaten nicht verlangt werden, dass sie aus Gründen der Verhältnismäßigkeit alternative Maßnahmen ergreifen, deren Durchführbarkeit oder Wirksamkeit ungewiss ist oder die für sie zu einer nicht hinnehmbaren (organisatorischen oder finanziellen) Belastung führen würden(35).

63. Schließlich ist nicht auszuschließen, dass eine Vorschrift mit einem begrenzteren Anwendungsbereich als die hier in Rede stehende eine widersinnige Wirkung hätte: Sie könnte Patienten veranlassen, größere Kliniken (die Kopien von Patientenakten kostenlos zur Verfügung stellen) anstatt kleinerer Arztpraxen (die für diese Kopien ein zusätzliches Entgelt verlangen) aufzusuchen.

64. Tatsächlich stellt sich auch die Frage nach der allgemeinen Gerechtigkeit oder, anders ausgedrückt, der Vernünftigkeit alternativer Regelungen. Aus der Sicht der Ärzte beurteilt mag eine maßgeschneiderte Regelung, die nur unabhängige Ärzte und kleine Praxen vor den Kosten bewahrt, vernünftig erscheinen: Sie würde die „schwächsten“ Berufsangehörigen schützen. Wird dieselbe Maßnahme jedoch aus der Sicht der Patienten bewertet, sieht das Ergebnis ganz anders aus. Die Patienten, die medizinische Leistungen in großen Krankenhäusern und Kliniken in Anspruch nehmen, insbesondere in solchen, in denen die Ärzte ihr Honorar nach eigenem Ermessen festsetzen können, wären nämlich diejenigen, die von der Regelung profitieren würden. Dies wäre der Fall, obwohl i) diese Patienten oftmals wohlhabender sind als die Patienten, die selbständige Ärzte vor Ort in Anspruch nehmen, und ii) die Kosten für die Kopien der Patientenakten wahrscheinlich nur einen sehr geringen (möglicherweise zu vernachlässigenden) Teil der Gesamtkosten ausmachen, die sie für die medizinischen Leistungen tragen, anders als bei Patienten, die medizinische Leistungen über das nationale Gesundheitssystem in Anspruch nehmen (in der Regel kostenlos oder gegen eine geringe Gebühr). Man könnte also argumentieren, dass der Schutz der „schwächsten Berufsangehörigen“ auf Kosten der „schwächsten Verbraucher“ ginge.

65. Vor diesem Hintergrund bin ich, anders als die Kommission, nach wie vor nicht davon überzeugt, dass die vom deutschen Gesetzgeber gewählte Einheitslösung über dasjenige hinausgeht, was zur Erreichung der mit der fraglichen nationalen Regelung verfolgten Ziele erforderlich ist. Ich sehe keine alternative Maßnahme, die das Recht des Einzelnen auf Datenschutz in geringerem Maß beschränken und gleichzeitig die Interessen, die durch die in Rede stehende nationale Regelung geschützt werden sollen, ebenso wirksam schützen würde.

66. Ich kann auch nichts feststellen, was darauf hindeuten würde, dass der deutsche Gesetzgeber es versäumt hätte, die verschiedenen beteiligten Interessen gegeneinander abzuwägen.

67. Zugegebenermaßen ließe sich zwar die Auffassung vertreten, dass der Unionsgesetzgeber den Ausgleich zwischen den verschiedenen Interessen, die bei der Zurverfügungstellung von Kopien personenbezogener Daten zu berücksichtigen sind, hergestellt hat: Der Verantwortliche hat die erste Kopie kostenlos zur Verfügung zu stellen und darf nur für übermäßige und/oder weitere Kopien ein Entgelt verlangen. Der weit gefasste Wortlaut von Art. 23 Abs. 1 und des 13. Erwägungsgrundes der DSGVO lässt jedoch eine solche restriktive Auslegung nicht zu. Auch der 63. Erwägungsgrund, in dem ausdrücklich auf das Recht der betroffenen Personen auf Auskunft über „ihre eigenen gesundheitsbezogenen Daten“ verwiesen wird, enthält keinen diesbezüglichen Hinweis.

68. Vor allem aber darf nicht übersehen werden, dass die Union im Bereich des Schutzes und der Verbesserung der menschlichen Gesundheit nur über eine unterstützende Zuständigkeit verfügt(36). Nach ständiger Rechtsprechung des Gerichtshofs ist es Sache der Mitgliedstaaten, zu bestimmen, auf welchem Niveau sie den Schutz der Gesundheit der Bevölkerung gewährleisten wollen und wie dieses Niveau erreicht werden soll. Da sich dieses Niveau von einem Mitgliedstaat zum anderen unterscheiden kann, ist den Mitgliedstaaten ein Wertungsspielraum zuzuerkennen(37).

69. Nach Abwägung der verschiedenen beteiligten Interessen hat der deutsche Gesetzgeber entschieden, dass es in der Frage der von Patienten bei Ärzten angeforderten Kopien von Patientenakten berechtigte Gründe gibt, die dafür sprechen, dass die anfallenden Kosten von den betroffenen Personen und nicht von den Verantwortlichen zu tragen sind. Dies ist meines Erachtens eine politische Entscheidung, die nicht offensichtlich unvernünftig oder unplausibel ist, sondern im Rahmen des Wertungsspielraums des betreffenden Mitgliedstaats liegt. Die Überprüfung dieser Entscheidung ist jedenfalls Sache des vorlegenden Gerichts und nicht des Gerichtshofs.

70. Es gibt allerdings einen Aspekt, den das vorlegende Gericht meines Erachtens prüfen sollte. In Fällen wie denen, die unter die in Rede stehende nationale Regelung fallen, ist es meines Erachtens zwingend erforderlich, dass die Kosten, deren Erstattung die Ärzte von den Patienten verlangen können, strikt auf die tatsächlichen Kosten für die Herstellung und Bereitstellung der angeforderten Kopien beschränkt bleiben. Dies bedeutet, dass nur die Kosten für das Material (wie Papier, Toner für Drucker oder Kopierer und/oder USB-Sticks usw.) und die zu diesem Zweck erforderliche Arbeit erstattungsfähig sind. Diese Kosten dürfen meines Erachtens keinerlei Gewinn für die Berufsangehörigen mit einschließen(38). In Anbetracht des derzeitigen Standes der Digitalisierung von Dokumenten und Archiven wäre es überraschend (und daher fragwürdig), wenn der von den Ärzten für diesen Zweck üblicherweise berechnete Betrag ein paar Euro übersteigen würde.

71. Nach alledem schlage ich dem Gerichtshof vor, auf die zweite Vorlagefrage zu antworten, dass eine nationale Regelung, die von Patienten, die Kopien ihrer in Patientenakten enthaltenen personenbezogenen Daten beantragen, verlangt, dass sie den Ärzten die entstandenen Kosten erstatten, nach Art. 23 Abs. 1 DSGVO zulässig ist, sofern die Beschränkung des Auskunftsrechts unter Berücksichtigung aller relevanten Umstände im Hinblick auf die Ziele des Schutzes der öffentlichen Gesundheit und der unternehmerischen Freiheit der Ärzte erforderlich und verhältnismäßig ist. Das nationale Gericht hat insbesondere zu prüfen, ob die Kosten, deren Erstattung die Ärzte von den Patienten verlangen können, strikt auf die tatsächlich anfallenden Kosten beschränkt sind.

C. Dritte Frage: Begriff der „Kopie der Daten“

72. Mit seiner dritten Frage schließlich möchte das vorlegende Gericht vom Gerichtshof wissen, ob der Ausdruck „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, in Art. 15 Abs. 3 Satz 1 DSGVO im Rahmen eines Arzt-Patienten-Verhältnisses dahin auszulegen ist, dass er der betroffenen Person ein allgemeines Recht darauf gewährt, eine vollständige Kopie der in ihrer Patientenakte enthaltenen Dokumente zu erhalten.

73. Die wesentliche Fragestellung, die diese Vorlagefrage aufwirft, wurde – meines Erachtens überzeugend – von Generalanwalt Pitruzzella in seinen Schlussanträgen in der Rechtssache F. F. behandelt(39).

74. In dieser Rechtssache ersuchte das vorlegende Gericht den Gerichtshof um eine Klärung des Umfangs des Auskunftsrechts betroffener Personen nach Art. 15 DSGVO. Um diese Frage zu klären, hat Generalanwalt Pitruzzella u. a. den Begriff „Kopie“ im Sinne von Art. 15 Abs. 3 und 4 DSGVO erörtert. Nach einer wörtlichen, systematischen und teleologischen Auslegung der Vorschrift ist er zu den folgenden Schlussfolgerungen gelangt, die für die vorliegende Rechtssache von Bedeutung sind.

75. Erstens ist der Begriff „Kopie“, auf den in Art. 15 Abs. 3 und 4 DSGVO Bezug genommen wird, zu verstehen als „eine getreue Wiedergabe der von der betroffenen Person angeforderten personenbezogenen Daten in verständlicher Form …, in einem konkreten und dauerhaften Format, das es der betroffenen Person ermöglicht, das Recht auf Auskunft über ihre personenbezogenen Daten effektiv auszuüben“. Generalanwalt Pitruzzella hat weiter ausgeführt, dass „die genaue Form der Kopie … sich nach den Umständen des Einzelfalls und insbesondere nach der Art der personenbezogenen Daten [bestimmt], zu denen die Auskunft verlangt wird, und nach den Bedürfnissen der betroffenen Person“ (40).

76. Zweitens verleiht Art. 15 Abs. 3 DSGVO „der betroffenen Person … kein allgemeines Recht … auf teilweise oder vollständige Kopie des Dokuments, das die personenbezogenen Daten der betroffenen Person enthält, oder, wenn die personenbezogenen Daten in einer Datenbank verarbeitet werden, auf einen Auszug aus dieser Datenbank“. Allerdings hat Generalanwalt Pitruzzella klargestellt, dass „diese Bestimmung … nicht ausschließt, dass Teile von Dokumenten oder ganze Dokumente oder Auszüge aus Datenbanken der betroffenen Person zur Verfügung gestellt werden müssen, wenn dies erforderlich ist, um die volle Verständlichkeit der personenbezogenen Daten, die Gegenstand der Verarbeitung sind und zu denen die Auskunft verlangt wird, zu gewährleisten“(41).

77. Aus verfahrensökonomischen Gründen verzichte ich darauf, die Gründe wiederzugeben, die Generalanwalt Pitruzzella zu dieser Auslegung veranlasst haben. Es sei lediglich erwähnt, dass ich seine Ansichten in dieser Hinsicht voll und ganz teile. Schließlich handelt es sich bei der DSGVO nicht um einen Rechtsakt über den Zugang zu Dokumenten, sondern um einen Rechtsakt zum Datenschutz. Folglich ist die DSGVO in erster Linie darauf gerichtet, die Auskunft über Daten zu gewährleisten und nicht den Zugang zu Dokumenten, die Daten enthalten. Dabei kann Letzteres in einigen Fällen Ersteres zwingend implizieren, jedoch ist dies nicht stets der Fall.

78. Allerdings dürfte das Recht, eine Kopie der verarbeiteten Daten zu erhalten, im Einklang mit dem Grundsatz der Transparenz(42) und dem Erfordernis, die Informationen in „präziser, transparenter, verständlicher und leicht zugänglicher Form“ zu übermitteln(43), in Bezug auf die in den Patientenakten enthaltenen Dokumente häufig auch ein Recht auf eine (teilweise oder vollständige) Kopie der Originaldokumente erfordern. Insbesondere wenn es um die Ergebnisse von Analysen oder Tests geht (die in der Regel zahlreiche technische Daten und/oder Bilder enthalten), bin ich der Meinung, dass die Erlaubnis für Ärzte (oder deren Mitarbeiter), diese Daten zusammenzufassen oder zusammenzustellen, um sie in aggregierter Form zur Verfügung zu stellen, die Gefahr bergen kann, dass bestimmte relevante Daten ausgelassen(44) oder falsch angegeben werden(45), oder dass es jedenfalls für die betroffenen Personen (d. h. die Patienten) schwieriger wird, die Richtigkeit und Vollständigkeit der Daten zu überprüfen.

79. Dies ist wohl auch der Grund dafür, dass, wie bereits erwähnt, im 63. Erwägungsgrund der DSGVO ausdrücklich festgestellt wird, dass das Auskunftsrecht hinsichtlich der personenbezogenen Daten „das Recht betroffene[r] Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein[schließt], etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten“.

80. Der Unionsgesetzgeber hat also offenbar selbst betont, wie wichtig es ist, dass die Auskunft gegenüber dem Einzelnen über seine persönlichen Gesundheitsdaten nicht nur leicht verständlich, sondern auch so vollständig und genau wie möglich zu sein hat. Zugleich ist klar, dass Patientenakten eine Vielzahl von Dokumenten enthalten können, die keine personenbezogenen Daten der Patienten enthalten (z. B. wissenschaftliche Artikel über Krankheiten oder medizinische Behandlungen). Offensichtlich haben Patienten auf der Grundlage der DSGVO kein Recht auf Zugang zu den in diesen Artikeln enthaltenen Informationen und folglich auch kein Recht, eine Kopie davon zu erhalten.

81. In diesem Zusammenhang ist anzumerken, dass die in Rede stehende nationale Regelung – deren Reform meines Wissens von den zuständigen nationalen Behörden erörtert wird(46) – den Patienten möglicherweise ein Recht auf Zugang zu Patientenakten und insbesondere auf Zurverfügungstellung von Kopien der darin enthaltenen Dokumente einräumt, das über das in der DSGVO festgelegte Recht hinausgeht.

82. Ich sehe keinen Grund, weshalb dies nach Unionsrecht nicht möglich sein sollte, da es in einen auf Unionsebene nicht geregelten Rechtsbereich fällt. Außerdem gibt es, soweit ersichtlich, auch keine offensichtlichen Konflikte mit der DSGVO. Es bedarf jedoch kaum des Hinweises, dass ein Auskunftsrecht in Bezug auf Patientenakten, das über das in der DSGVO festgelegte Recht hinausgeht, insoweit nur dem nationalen Recht unterliegt. Dies bedeutet, dass der Umfang dieses Rechts (z. B. die Art der betreffenden Dokumente) und die Art und Weise, in der die Auskunft zu erteilen ist (z. B. unentgeltlich oder gegen Erstattung der anfallenden Kosten), durch das nationale Recht bestimmt werden.

83. Demgemäß schlage ich dem Gerichtshof vor, auf die dritte Frage zu antworten, dass der Ausdruck „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, in Art. 15 Abs. 3 DSGVO im Rahmen eines Arzt-Patienten-Verhältnisses nicht dahin ausgelegt werden kann, dass er der betroffenen Person ein allgemeines Recht darauf gewährt, eine vollständige Kopie aller in ihrer Patientenakte enthaltenen Dokumente zu erhalten. Dies schließt die Möglichkeit, dass der Verantwortliche den betroffenen Personen bestimmte Dokumente teilweise oder vollständig in Kopie zur Verfügung zu stellen hat, nicht aus. Dies ist der Fall, wenn eine Kopie des Dokuments erforderlich ist, um sicherzustellen, dass die übermittelten Daten verständlich sind und dass die betroffene Person in der Lage ist, zu überprüfen, ob die übermittelten Daten vollständig und richtig sind.

V. Ergebnis

84. Nach alledem schlage ich dem Gerichtshof vor, die vom Bundesgerichtshof (Deutschland) zur Vorabentscheidung vorgelegten Fragen wie folgt zu beantworten:

1 Originalsprache: Englisch.

2 Verordnung des Europäischen Parlaments und des Rates vom 27. April 2016 (ABl. 2016, L 119, S. 1).

3 Der Geltungsbereich von Art. 12 DSGVO ist jedoch weiter gefasst als der von Art. 15 DSGVO, da er nicht nur die Verpflichtungen des Verantwortlichen nach Art. 15, sondern auch nach anderen Bestimmungen dieser Verordnung betrifft.

4 Art. 12 Abs. 1 und 2 (Hervorhebung nur hier).

5 Vgl. hierzu insbesondere Art. 12 Abs. 3 und 4.

6 Art. 12 Abs. 6.

7 Art. 12 Abs. 5.

8 Art. 15 Abs. 1.

9 Art. 15 Abs. 3.

10 Vgl. in diesem Sinne entsprechend Urteil vom 20. Dezember 2017, Nowak (C‑434/16, EU:C:2017:994, Rn. 57).

11 Hervorhebung nur hier.

12 Ebenso ließe sich nicht ausschließen, dass betroffene Personen, nachdem sie die personenbezogenen Daten aus Datenschutzgründen gemäß der DSGVO erhalten haben, diese anschließend für Klagen gegen den Verantwortlichen zu datenschutzfremden Zwecken verwenden.

13 Urteil vom 17. Juli 2014 (C‑141/12 und C‑372/12, EU:C:2014:2081).

14 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31). Diese Richtlinie wurde mit Wirkung vom 25. Mai 2018 durch Art. 94 DSGVO aufgehoben.

15 Hervorhebung nur hier.

16 Hervorhebung nur hier.

17 In Art. 16 DSGVO enthalten.

18 Die Leitlinien vom 28. Januar 2022 sind auf der Website des Europäischen Datenschutzausschusses veröffentlicht.

19 Wie bereits oben in Nr. 4 erwähnt, heißt es in diesem Erwägungsgrund, dass das „Auskunftsrecht hinsichtlich der … personenbezogenen Daten, … das Recht betroffene[r] Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein[schließt], etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten“. Vgl. auch Art. 4 Abs. 4, Art. 13 und Art. 15 DSGVO.

20 Wie das vorlegende Gericht ausführt, ist der Zweck, zu dem der Kläger des Ausgangsverfahrens Auskunft über seine personenbezogenen Daten beantragt hat, nicht „rechtsmissbräuchlich“, was ihn nach ständiger Rechtsprechung des Gerichtshofs daran hindern würde, die ihm durch das Unionsrecht verliehenen Rechte geltend zu machen. Vgl. u. a. Urteil vom 27. Oktober 2022, Climate Corporation Emissions Trading (C‑641/21, EU:C:2022:842, Rn. 39 und die dort angeführte Rechtsprechung).

21 Hervorhebung nur hier. Vgl. auch 59. Erwägungsgrund der DSGVO.

22 Vgl. oben, Nr. 7 der vorliegenden Schlussanträge.

23 Der Rechtsgrundsatz bedeutet wörtlich „vom Größeren auf das Kleinere“: Wer mehr tun darf, kann erst recht weniger tun.

24 Vgl. z. B. die englische Sprachfassung („Union or Member State law … may restrict by way of a legislative measure“), die deutsche Sprachfassung („Durch Rechtsvorschriften der Union oder der Mitgliedstaaten … können im Wege von Gesetzgebungsmaßnahmen beschränkt werden“), die französische Sprachfassung („Le droit de l'Union ou le droit de l'État membre … peuvent, par la voie de mesures législatives“), die italienische Sprachfassung („Il diritto dell'Unione o dello Stato membro … può limitare, mediante misure legislative“), die spanische Sprachfassung („El Derecho de la Unión o de los Estados miembros … podrá limitar, a través de medidas legislativas“) und die griechische Sprachfassung („Το δίκαιο της ένωσης ή του κράτους-μέλους … μπορεί να περιορίζει μέσω νομοθετικού μέτρου“).

25 In ähnlicher Weise bestimmt Art. 8 Abs. 2 der Europäischen Menschenrechtskonvention, dass Eingriffe einer Behörde in die Ausübung des Rechts auf Achtung des Privat- und Familienlebens – das nach der Konvention Aspekte des Datenschutzes umfasst – zulässig sein können, insoweit sie gesetzlich vorgesehen sind und zum Schutz der Rechte und Freiheiten anderer, u. a. „zum Schutz der Gesundheit“, notwendig sind.

26 Hervorhebung nur hier. Dies gilt für die Mehrzahl der Sprachfassungen der Verordnung.

27 Vgl. Art. 6 Abs. 1 Buchst. f, Art. 13 Abs. 1 Buchst. d und Art. 14 Abs. 2 Buchst. b DSGVO. Vgl. auch die Definition des Begriffs „Dritter“ in Art. 4 Abs. 10 DSGVO.

28 In diesem Sinne Gawronski, M. (Hrsg.), Guide to the GDPR, Wolters Kluwer, 2019, S. 138.

29 Hervorhebung nur hier.

30 Vgl. insbesondere von Mises, L., Human Action: A Treatise on Economics, Yale University Press, Erstveröffentlichung 1949.

31 Vgl. entsprechend Urteil vom 12. Januar 2023, TP (Videoredakteur beim öffentlich-rechtlichen Fernsehen) (C‑356/21, EU:C:2023:9, Rn. 73 und 74).

32 Vgl. in diesem Sinne Urteil vom 6. Oktober 2020, Kommission/Ungarn (Hochschulausbildung) (C‑66/18, EU:C:2020:792, Rn. 178 und 179 sowie die dort angeführte Rechtsprechung).

33 Vgl. oben, Nrn. 37 und 40 der vorliegenden Schlussanträge.

34 Vgl. Urteil vom 29. Juni 2017, Kommission/Portugal (C‑126/15, EU:C:2017:504, Rn. 84 und die dort angeführte Rechtsprechung).

35 Schlussanträge in der Rechtssache Kommission/Polen (C‑601/21, EU:C:2023:151, Nr. 65).

36 Art. 6 Buchst. a AEUV.

37 Vgl. z. B. Urteil vom 19. Oktober 2016, Deutsche Parkinson Vereinigung (C‑148/15, EU:C:2016:776, Rn. 30 und die dort angeführte Rechtsprechung).

38 Insoweit ist es bedauerlich, dass die deutsche Regierung im vorliegenden Verfahren keine Erklärungen abgegeben hat.

39 C‑487/21, EU:C:2022:1000.

40 Ebd. (Nr. 70).

41 Ebd.

42 Vgl. insbesondere Erwägungsgründe 39 und 58 der DSGVO sowie deren Art. 5 Abs. 1 Buchst. a.

43 Art. 12 Abs. 1 DSGVO.

44 So kann beispielsweise die Identität des Labors und/oder des Arztes, der die Analyse durchgeführt hat, die Art des Geräts oder der Technik, das bzw. die für die Analyse verwendet wurde, usw., zum Zeitpunkt des Auskunftsantrags wenig relevant erscheinen (und ist es möglicherweise auch), während sie sich später unter Umständen als wichtig für eine angemessene Bewertung der Daten erweisen kann.

45 Dies kann leicht geschehen, wenn z. B. große Sätze numerischer Daten kopiert werden.

46 Vgl. z. B. den Artikel „Lauterbachs ‚Turbo‘-Plan für digitale Patientenakten“, Frankfurter Allgemeine Zeitung, 9. März 2023.