EuGH C-487/21 (F.F./Datenschutzbehörde, VO 2016/679) – Recht auf Kopie: originalgetreue Reproduktion statt Datenliste (Art. 15 Abs. 3 DSGVO) In Kraft
Kernfakten
| Punkt | Wert |
|---|---|
| Gericht | Gerichtshof der Europäischen Union, Erste Kammer |
| Aktenzeichen | C-487/21 (F.F. ./. Österreichische Datenschutzbehörde), CELEX 62021CJ0487 |
| Urteilsdatum | 4. Mai 2023 |
| Vorlagegericht | Bundesverwaltungsgericht (Österreich) |
| Ausgangsfall | Kreditauskunftei (CRIF) lieferte statt Kopien von E-Mails und Datenbankauszügen nur eine aggregierte Datenliste |
| Ausgelegte Normen | Art. 15 Abs. 1, 3 und 4 sowie Art. 12 Abs. 1 und 3 DSGVO (VO 2016/679) |
| Begriff „Kopie" | Originalgetreue und verständliche Reproduktion der verarbeiteten Daten |
| Dokumente / Auszüge | Nur wenn unerlässlich für die wirksame Rechtsausübung |
| Frist | 1 Monat ab Antrag, Verlängerung um bis zu 2 Monate bei Komplexität (Art. 12 Abs. 3 DSGVO) |
| Kosten | Erste Kopie unentgeltlich (Art. 15 Abs. 3 Satz 2 und Art. 12 Abs. 5 DSGVO) |
| Bußgeldrahmen | Verstoß gegen Betroffenenrechte: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 lit. b DSGVO) |
| Betroffener Nutzerkreis | Verantwortliche aller Branchen (insbesondere Auskunfteien, Banken, Versicherungen, Arbeitgeber), betroffene Personen, Anwaltschaft |
Geltungsbereich / Wer ist betroffen?
Die DSGVO ist eine EU-Verordnung und gilt unmittelbar in Deutschland; ein Umsetzungsgesetz ist nicht nötig. Nationale Beschränkungen des Auskunftsrechts ergeben sich insbesondere aus § 34 BDSG und müssen mit Art. 23 DSGVO vereinbar sein (§ 34 BDSG). Das Urteil gilt für jeden Verantwortlichen, der Auskunftsanträge nach Art. 15 DSGVO bearbeitet.
Detail 1: Was „Kopie" bedeutet
Art. 15 Abs. 3 Satz 1 DSGVO gewährt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Der EuGH versteht darunter die originalgetreue und verständliche Reproduktion der Daten selbst – nicht ein Recht auf Herausgabe beliebiger Dokumente. Die Daten müssen so bereitgestellt werden, dass die betroffene Person sie nachvollziehen und die Rechtmäßigkeit der Verarbeitung prüfen kann.
Detail 2: Wann Dokumente und Datenbankauszüge herauszugeben sind
Ist ein Auszug oder Dokument unerlässlich, damit die betroffene Person ihre Rechte aus der DSGVO wirksam ausüben kann (etwa um Kontext, Herkunft oder Richtigkeit von Daten zu prüfen), erstreckt sich die Kopie auch darauf. Das ist keine Pauschalregel: Eine Datenliste genügt, wenn sie die Daten originalgetreu und verständlich wiedergibt und Kontext nicht nötig ist. Eine Begründung des Antrags verlangt Art. 15 DSGVO nicht.
Detail 3: Rechte und Freiheiten Dritter
Nach Art. 15 Abs. 4 DSGVO darf das Recht auf Kopie die Rechte und Freiheiten anderer nicht beeinträchtigen. Der Verantwortliche muss abwägen und möglichst Wege wählen, die Dritte schützen (z. B. Schwärzung), ohne das Auskunftsrecht auszuhöhlen. Eine pauschale Verweigerung wegen Geschäftsgeheimnissen ist unzulässig.
Detail 4: Nachweis und Risiken für Verantwortliche
- Darlegungslast: Wer Teile der Kopie zurückhält, muss die kollidierenden Rechte Dritter konkret benennen können (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).
- Form: Bei elektronischem Antrag ist die Kopie in gängigem elektronischem Format bereitzustellen, sofern nichts anderes gewünscht ist (Art. 15 Abs. 3 Satz 3, Art. 12 Abs. 3 DSGVO).
- Sanktionen: Bußgeld nach Art. 83 Abs. 5 lit. b DSGVO sowie Schadensersatzrisiko nach Art. 82 DSGVO.
Häufige Fehler
- Nur eine selbst formulierte Datenzusammenfassung senden, obwohl die Person Originaldaten oder Auszüge benötigt.
- Pauschal „keine Dokumentkopien" als Grundsatz behandeln. Der EuGH verlangt Einzelfallprüfung am Maßstab der Unerlässlichkeit.
- Geschäftsgeheimnis pauschal einwenden, statt zu schwärzen und abzuwägen.
- Frist verpassen: Ein Monat ab Antrag; Verlängerung nur mit Mitteilung samt Gründen innerhalb der ersten Monatsfrist.
- Antrag begründen lassen. Art. 15 DSGVO verlangt keine Begründung.
Änderungsverlauf
- 2026-10-19: Erstveröffentlichung. Die Eckdaten (Datum, Kammer, Vorlagegericht, Parteien) stammen aus dem EUR-Lex-Kopf; der Tenor ist aus zwei Sekundärdarstellungen (activeMind, IT-Recht Kanzlei) abgeleitet, da der EUR-Lex-Volltext nicht abrufbar war. `factcheck_status: review_needed`: ECLI, Randnummern und der exakte Tenorwortlaut sind nicht gegen das Primärdokument geprüft und daher nicht angegeben.
Stand
Stand: 19.10.2026. Diese Seite ersetzt keine Rechtsberatung. Verbindlich sind die amtlichen Fassungen bei EUR-Lex, curia.europa.eu und gesetze-im-internet.de.
Quellen
- EuGH, Urteil vom 04.05.2023 – C-487/21 (F.F./Datenschutzbehörde), EUR-Lex, CELEX:62021CJ0487: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0487
- DSGVO (VO 2016/679), Art. 12, 15 und 83 (EUR-Lex, CELEX:32016R0679): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- § 34 BDSG – Auskunftsrecht der betroffenen Person (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/__34.html