EuGH (Öster­rei­chi­sche Post): Aus­kunfts­recht umfasst wenn mög­lich die ein­zel­nen Emp­fän­ger (nicht nur Kategorien)

Der EuGH hat im Urteil Rs. C‑154/21 vom 12. Janu­ar 2023 i.S.Österreichische Post ent­schei­den, dass der Ver­ant­wort­li­che bei der Aus­kunfts­er­tei­lung nach Art. 15 DSGVO die ein­zel­nen Emp­fän­ger und nicht nur Kate­go­rien der Emp­fän­ger zu nen­nen hat.

Die Post hat­te als Ant­wort auf ein Aus­kunfts­be­geh­ren u.a. mit­ge­teilt, die Daten der betrof­fe­nen Per­son sei an Kun­den wei­ter­ge­ge­ben wor­den, zu denen wer­be­trei­ben­de Unter­neh­men im Ver­sand­han­del und sta­tio­nä­ren Han­del, IT‑Unternehmen (usw.) gehört hät­ten; die Namen der Emp­fän­ger wur­den nicht genannt. Das erst­in­stanz­li­che Gericht und das Beru­fungs­ge­richt hat­ten die fol­gen­de Kla­ge abge­wie­sen, weil Art. 15 Abs. 1 lit. c DSGVO dem Ver­ant­wort­li­chen die Wahl über­las­se, ledig­lich die Kate­go­rien oder die ein­zel­nen Emp­fän­ger anzu­ge­ben. Der Ober­ste Gerichts­hof (OGH) hat­te die­se Fra­ge dem EuGH vorgelegt.

Der EuGH begrün­det sei­ne Mei­nung wie folgt:

• Nach Erwä­gungs­grund 63 soll der Betrof­fe­ne u.a. erfah­ren kön­nen, “wer die Emp­fän­ger der per­so­nen­be­zo­ge­nen Daten sind”.
• Der Gene­ral­an­walt hat­te Art. 15 DSGVO in sei­nen Schluss­an­trä­gen der Infor­ma­ti­ons­pflicht nach Art. 13 f. DSGVO gegen­über­ge­stellt: Bei der Infor­ma­ti­ons­pflicht ist der Ver­ant­wort­li­che ver­pflich­tet, wes­halb die Wahl allen­falls ihm über­las­sen wer­den kann; beim Aus­kunfts­recht geht es aber um ein Recht des Betrof­fe­nen, was “logi­scher­wei­se vor­aus­set­ze”, das die Wahl (Emp­fän­ger vs. Kate­go­rien) beim Betrof­fe­nen lie­ge (eine peti­tio prin­ci­pii: Der Umfang des Rechts steht zur Dis­kus­si­on und ist nicht die Prämisse):
  

  Auch ist in Über­ein­stim­mung mit den Aus­füh­run­gen des vor­le­gen­den Gerichts jeden­falls fest­zu­stel­len, dass die Struk­tur von Art. 15 Abs. 1 DSGVO mei­nes Erach­tens dafür spricht, einer Aus­le­gung der frag­li­chen Bestim­mung den Vor­zug zu geben, wonach es der betrof­fe­nen Per­son (und somit ent­ge­gen den Fest­stel­lun­gen der bei­den Tat­sa­chen­ge­rich­te in die­sem Fall nicht dem Ver­ant­wort­li­chen) obliegt, die Wahl zwi­schen den bei­den dort vor­ge­se­he­nen Alter­na­ti­ven zu tref­fen. Im Gegen­satz zu ande­ren Bestim­mun­gen der DSGVO, wie z. B. den Art. 13 und 14(7), die so auf­ge­baut sind, dass sie eine Infor­ma­ti­ons­pflicht des Ver­ant­wort­li­chen vor­se­hen, sieht die frag­li­che Bestim­mung ein tat­säch­li­ches Aus­kunfts­recht zugun­sten der betrof­fe­nen Per­son vor. Die Aus­übung die­ses Aus­kunfts­rechts durch die betrof­fe­ne Per­son setzt logi­scher­wei­se vor­aus, dass dem Inha­ber die­ses Rechts die Wahl­mög­lich­keit eröff­net wird, ob er Aus­kunft über die Infor­ma­tio­nen erhal­ten möch­te, die, soweit mög­lich, die kon­kre­ten Emp­fän­ger betref­fen, denen die Daten bereits offen­ge­legt wur­den oder noch offen­ge­legt wer­den sol­len, oder ob er, alter­na­tiv, sich damit zufrie­den­gibt, Infor­ma­tio­nen über Kate­go­rien von Emp­fän­gern zu verlangen.

• Das Aus­kunfts­recht sol­le nicht nur eine Prü­fung der Rich­tig­keit der Daten ermög­li­chen, son­dern auch der Zuläs­sig­keit der Bear­bei­tung, ins­be­son­de­re auch der Bekanntgabe.
• Die prak­ti­sche Wirk­sam­keit der Betrof­fe­nen­rech­te set­ze vor­aus, dass dem Betrof­fe­nen die Iden­ti­tät der kon­kre­ten Emp­fän­ger mit­ge­teilt werde.
• Art. 19 Abs. 2 DSGVO sieht vor, dass der Ver­ant­wort­li­che Emp­fän­gern die Berich­ti­gung oder Löschung oder eine Ein­schrän­kung der Ver­ar­bei­tung mit­zu­tei­len hat und die betrof­fe­ne Per­son auf Anfra­ge “über die­se Emp­fän­ger unterrichtet”.

Das Ergeb­nis for­mu­liert der EuGH wie folgt:

Folg­lich ist davon aus­zu­ge­hen, dass die Infor­ma­tio­nen, die der betrof­fe­nen Per­son gemäß dem in Art. 15 Abs. 1 Buchst. c DSGVO vor­ge­se­he­nen Aus­kunfts­recht erteilt wer­den, mög­lichst genau sein müs­sen. Ins­be­son­de­re umfasst die­ses Aus­kunfts­recht die Mög­lich­keit für die betrof­fe­ne Per­son, von dem Ver­ant­wort­li­chen Infor­ma­tio­nen über bestimm­te Emp­fän­ger zu erhal­ten, gegen­über denen Daten offen­ge­legt wor­den sind oder noch offen­ge­legt wer­den, oder alter­na­tiv zu ent­schei­den, nur Infor­ma­tio­nen über die Kate­go­rien von Emp­fän­gern anzufordern.

Immer­hin lässt der EuGH einen engen Aus­weg, weil der Datenschutz

im Hin­blick auf sei­ne gesell­schaft­li­che Funk­ti­on gese­hen und unter Wah­rung des Grund­sat­zes der Ver­hält­nis­mä­ßig­keit gegen ande­re Grund­rech­te abge­wo­gen wer­den [muss].
Folg­lich ist denk­bar, dass es unter bestimm­ten Umstän­den nicht mög­lich ist, Infor­ma­tio­nen über kon­kre­te Emp­fän­ger zu ertei­len. Daher kann das Aus­kunfts­recht auf Infor­ma­tio­nen über die Kate­go­rien von Emp­fän­gern beschränkt wer­den, wenn es nicht mög­lich ist, die Iden­ti­tät der kon­kre­ten Emp­fän­ger mit­zu­tei­len, ins­be­son­de­re wenn die­se noch nicht bekannt sind.