Der Europäische Gerichtshof (EuGH) hat das datenschutzrechtliche Auskunftsrecht nach Art. 15 DSGVO (Datenschutz-Grundverordnung) über den Wortlaut hinweg weiter geschärft. Damit müssen Verantwortliche nun genaue Angaben zu Datenempfängern machen, sobald ein Betroffener Auskunft ersucht. Der Gerichtshof lies aber auch Ausnahmen zu, bei denen die bloße Nennung von Kategorien der Empfänger genügt (Urteil vom 12. Januar 2023, Az.: C-154,21).
Hintergrund der Entscheidung
Das EuGH-Urteil hatte einen österreichischen Fall zum Gegenstand. Ein Bürger hatte in Folge eines Auskunftsersuchens gemäß Art. 15 DSGVO bei der Österreichischen Post AG versucht, Informationen darüber zu erhalten, ob ihn betreffende personenbezogene Daten gespeichert werden bzw. wurden. Im Falle dessen, dass es zu einer Datenübermittlung an Dritte gekommen sei, hatte die betroffene Person Auskunft über die Empfänger der Daten angefordert.
Dem Auskunftsverlagen kam die Österreichische Post nur dahingehend nach, dass sie der betroffenen Person mitteilte, die Daten würden nur verarbeitet soweit dies rechtlich zulässig sei und verwies auf eine Website für weitere Informationen und weitere Datenverarbeitungszwecke. Die betroffene Person erhob im Anschluss daran Klage vor österreichischen Gerichten und beantragte die Mitteilung der Empfänger ihrer personenbezogenen Daten.
Das erstinstanzliche Gericht und das Berufungsgericht wiesen die Klage jeweils mit der Begründung ab, dass Art. 15 Abs. 1 lit. c DSGVO dem Verantwortlichen durch die Formulierung „Empfänger oder Kategorien von Empfängern“ eine Wahlmöglichkeit einräume.
Der österreichische Oberste Gerichtshof (OGH) befasste sich in einem anschließenden Revisionsverfahren damit, wie die Vorschrift auszulegen ist. Der OGH wies darauf hin, dass der Regelungszweck eher für eine Auslegung spreche, dass die betroffene Person eine Wahlmöglichkeit habe, ob sie Auskunft über die Kategorien oder die konkreten Empfänger erhalten wolle.
Zudem grenzte der OGH dahingehend das Auskunftsrecht aus Art. 15 Abs. 1 DSGVO klar von der Informationspflicht des Verantwortlichen aus Art. 13 Abs. 1 lit. e) und Art. 14 Abs. 1 lit. e) DSGVO ab. Das Auskunftsrecht sein insbesondere dahingehend erforderlich, dass die betroffene Person ihre Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung, die ihr nach Art. 16, 17, 18 und 21 DSGVO zustehen, nachkommen kann.
Der OGH setzte das Verfahren aus und legte dem EuGH die Fragen zur Auslegung des Art. 15 Abs. 1 lit. c) DSGVO vor.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Der Richterspruch
Der EuGH hatte darüber zu entscheiden, ob Art. 15 Abs. 1 lit. c) DSGVO dahingehend auszulegen ist,
- dass Verantwortliche verpflichtet sind, die konkreten Identitäten der Empfänger personenbezogener Daten von Betroffenen an diese auf Verlangen mitzuteilen oder aber,
- dass die Vorschrift dem Verantwortlichen freistellt, ob er die konkreten Identitäten der Empfänger oder lediglich die Kategorien von Empfängern mitteilt.
Der Generalanwalt am EuGH, Giovanni Pitruzella, legte in seinem Schlussantrag vom 9. Juni 2022 dar, dass die Auslegung zugunsten der betroffenen Personen auch durch Art. 19 DSGVO bestätigt wird. Dieser sieht in Satz 1 vor, dass der Verantwortliche den etwaigen Empfängern von personenbezogenen Daten Berichtigungen, Löschungen, etc. mitzuteilen hat. Ebenso sieht Satz 2 vor, dass die betroffenen Personen auf Verlangen über die Empfänger unterrichtet werden müssen.
Es besteht also ein Recht der betroffenen Person im Rahmen der Informationspflicht des Verantwortlichen, Information über die konkreten Empfänger zu erhalten, um die Rechte aus Art. 16, 17, 18 DSGVO wahrnehmen zu können. Dahingehend ist eine Auslegung im Sinne der betroffenen Personen vor allem richtig, um dem Transparenzgebot nachzukommen.
Der EuGH folgte mit seinem Urteil den Empfehlungen des Generalanwalts.
Der EuGH stellte zudem fest, dass unter bestimmten Umständen Verantwortliche nicht in der Lage sind, eine detaillierte Auskunft über konkrete Empfänger zu geben. In derartigen Fällen kann die Angabe von Empfängerkategorien bereits ausreichen. Eine Information über die Kategorien von Empfängern statt konkreter Details genügt auch dann, wenn der Verantwortliche die Auskunft berechtigterweise verweigern darf. Dies kann vor allem vorliegen, wenn es sich um offenkundig unbegründete oder exzessive Anträge der betroffenen Personen handelt. Dabei ist jedoch zu beachten, dass der Verantwortliche dies nachweisen können muss.
Datenschutzrechtliche Einschätzung
Das Urteil gehört zu einer Reihe von Urteilen des Europäischen Gerichtshofs, worin datenschutzrechtliche Bestimmungen restriktiv ausgelegt werden, um ein möglichst hohes Schutzniveau für das Recht auf informationelle Selbstbestimmung zu gewährleisten. Mit dieser Auslegung des Auskunftsrechts erkennt der EuGH ein weiteres Mal an, dass Verantwortlichen eine Pflicht obliegt, den betroffenen Personen umfangreichende Informationen über die Verarbeitung zur Verfügung zu stellen, damit diese Ihre Rechte aus der DSGVO wahrnehmen können. Insbesondere zeigt diese Entscheidung erneut die Wichtigkeit des Transparenzgebots im Rahmen des Datenschutzes. So soll das Auskunftsrecht es den Betroffenen ermöglichen, die Rechtsmäßigkeit der Verarbeitung tatsächlich überprüfen zu können. Hierzu muss freilich auch die Information konkreter Empfänger vorliegen.
Noch nicht abschließend geklärt ist die Frage, ob sich diese Voraussetzung ebenfalls auf die einseitige Informationsverpflichtung nach Art. 12.ff DSGVO bezieht. Da sowohl bei der Informationspflicht als auch bei dem Auskunftsanspruch der gleiche Wortlaut zu finden ist, spricht zumindest Vieles dafür. Nahvollziehbar scheint aber auch eine Auslegung dahingehend, dass das Auskunftsrecht als rechtsschutzintensiverer Anspruch den Verantwortlichen erweiterte Pflichten auferlegt. Es kommt insbesondere auch dann zum Tragen, wenn einseitige Informationspflichten der Verantwortlichen nicht oder unzureichend erfüllt wurden.
Fazit
Die Entscheidung des EUGH stellt für Unternehmen eine Verschärfung der datenschutzrechtlichen Anforderungen dar und dürfte bei der Beantwortung von Betroffenenanfragen zum Auskunftsersuchen für noch etwas mehr Arbeit sorgen. Nun besteht Rechtsklarheit darüber, dass in Falle eines Auskunftsersuchens auch die konkreten Empfänger genannt werden müssen. Dagegen genügen tendenziell die Kategorien von Empfängern in den einseitigen Informationspflichten aus.
Verantwortliche sollten nunmehr ihren Prozess zur Bearbeitung von Auskunftsansprüchen um diese Voraussetzung erweitern. Wird der Mehraufwand bereits bei Erstellung der Informationen nach Art. 12 ff. DSGVO erbracht, kann dies als Grundlage auch für einen Auskunftsanspruch nach Art. 15 DSGVO herangezogen werden. Der Weg hin zur vollumfänglichen Transparenz zugunsten der Betroffenen ist geboten.
