- Der EuGH entscheidet, dass Verantwortliche die konkreten Empfänger bei Auskunftsersuchen angeben müssen, nicht nur Kategorien.
- Die Wahl zwischen Empfängern und Kategorien gehört dem Betroffenen, basierend auf einem rechtlichen Recht zur Information.
- Das Auskunftsrecht soll auch die Zulässigkeit der Datenbearbeitung prüfen, nicht nur die Richtigkeit der Daten.
- Im Art. 19 Abs. 2 DSGVO ist festgelegt, dass der Verantwortliche über Berichtigungen und Löschungen informieren muss.
Der EuGH hat im Urteil Rs. C‑154/21 vom 12. Januar 2023 i.S.Österreichische Post entscheiden, dass der Verantwortliche bei der Auskunftserteilung nach Art. 15 DSGVO die einzelnen Empfänger und nicht nur Kategorien der Empfänger zu nennen hat.
Die Post hatte als Antwort auf ein Auskunftsbegehren u.a. mitgeteilt, die Daten der betroffenen Person sei an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT‑Unternehmen (usw.) gehört hätten; die Namen der Empfänger wurden nicht genannt. Das erstinstanzliche Gericht und das Berufungsgericht hatten die folgende Klage abgewiesen, weil Art. 15 Abs. 1 lit. c DSGVO dem Verantwortlichen die Wahl überlasse, lediglich die Kategorien oder die einzelnen Empfänger anzugeben. Der Oberste Gerichtshof (OGH) hatte diese Frage dem EuGH vorgelegt.
Der EuGH begründet seine Meinung wie folgt:
- Nach Erwägungsgrund 63 soll der Betroffene u.a. erfahren können, “wer die Empfänger der personenbezogenen Daten sind”.
- Der Generalanwalt hatte Art. 15 DSGVO in seinen Schlussanträgen der Informationspflicht nach Art. 13 f. DSGVO gegenübergestellt: Bei der Informationspflicht ist der Verantwortliche verpflichtet, weshalb die Wahl allenfalls ihm überlassen werden kann; beim Auskunftsrecht geht es aber um ein Recht des Betroffenen, was “logischerweise voraussetze”, das die Wahl (Empfänger vs. Kategorien) beim Betroffenen liege (eine petitio principii: Der Umfang des Rechts steht zur Diskussion und ist nicht die Prämisse):
Auch ist in Übereinstimmung mit den Ausführungen des vorlegenden Gerichts jedenfalls festzustellen, dass die Struktur von Art. 15 Abs. 1 DSGVO meines Erachtens dafür spricht, einer Auslegung der fraglichen Bestimmung den Vorzug zu geben, wonach es der betroffenen Person (und somit entgegen den Feststellungen der beiden Tatsachengerichte in diesem Fall nicht dem Verantwortlichen) obliegt, die Wahl zwischen den beiden dort vorgesehenen Alternativen zu treffen. Im Gegensatz zu anderen Bestimmungen der DSGVO, wie z. B. den Art. 13 und 14(7), die so aufgebaut sind, dass sie eine Informationspflicht des Verantwortlichen vorsehen, sieht die fragliche Bestimmung ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person vor. Die Ausübung dieses Auskunftsrechts durch die betroffene Person setzt logischerweise voraus, dass dem Inhaber dieses Rechts die Wahlmöglichkeit eröffnet wird, ob er Auskunft über die Informationen erhalten möchte, die, soweit möglich, die konkreten Empfänger betreffen, denen die Daten bereits offengelegt wurden oder noch offengelegt werden sollen, oder ob er, alternativ, sich damit zufriedengibt, Informationen über Kategorien von Empfängern zu verlangen.
- Das Auskunftsrecht solle nicht nur eine Prüfung der Richtigkeit der Daten ermöglichen, sondern auch der Zulässigkeit der Bearbeitung, insbesondere auch der Bekanntgabe.
- Die praktische Wirksamkeit der Betroffenenrechte setze voraus, dass dem Betroffenen die Identität der konkreten Empfänger mitgeteilt werde.
- Art. 19 Abs. 2 DSGVO sieht vor, dass der Verantwortliche Empfängern die Berichtigung oder Löschung oder eine Einschränkung der Verarbeitung mitzuteilen hat und die betroffene Person auf Anfrage “über diese Empfänger unterrichtet”.
Das Ergebnis formuliert der EuGH wie folgt:
Folglich ist davon auszugehen, dass die Informationen, die der betroffenen Person gemäß dem in Art. 15 Abs. 1 Buchst. c DSGVO vorgesehenen Auskunftsrecht erteilt werden, möglichst genau sein müssen. Insbesondere umfasst dieses Auskunftsrecht die Möglichkeit für die betroffene Person, von dem Verantwortlichen Informationen über bestimmte Empfänger zu erhalten, gegenüber denen Daten offengelegt worden sind oder noch offengelegt werden, oder alternativ zu entscheiden, nur Informationen über die Kategorien von Empfängern anzufordern.
Immerhin lässt der EuGH einen engen Ausweg, weil der Datenschutz
im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Grundsatzes der Verhältnismäßigkeit gegen andere Grundrechte abgewogen werden [muss].
Folglich ist denkbar, dass es unter bestimmten Umständen nicht möglich ist, Informationen über konkrete Empfänger zu erteilen. Daher kann das Auskunftsrecht auf Informationen über die Kategorien von Empfängern beschränkt werden, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, insbesondere wenn diese noch nicht bekannt sind.