EuGH: Auskunftsrecht gemäß Art. 15 DSGVO umfasst konkrete Empfänger
Mit seiner Vorlagefrage an den Europäischen Gerichtshof wollte der Oberste Gerichtshof als vorlegendes Gericht wissen, ob Art. 15 Abs. 1 lit. c) DSGVO dahin auszulegen ist, dass die betroffene Person Auskunft über die konkreten Empfänger verlangen kann oder der Verantwortliche nur dazu verpflichtet ist, die Empfängerkategorien bekannt zu geben.
Der EuGH ist mit seinem Urteil vom 12. Jänner 2023 (C‑154/21) wenig überraschend der Empfehlung des Generalanwaltes gefolgt (wir haben darüber bereits berichtet) und hat entschieden, dass
„das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.“
Der EuGH hat seiner Entscheidung folgende Überlegungen zugrunde gelegt. Dem Wortlaut von Art. 15 Abs. 1 Buchst. c DSGVO lässt sich nicht eindeutig entnehmen, ob die betroffene Person das Recht hat, über die konkrete Identität der Empfänger ihrer Daten unterrichtet zu werden. Nach dem 63. Erwägungsgrund der DSGVO muss die betroffene Person jedoch ein Anrecht darauf haben, zu wissen und zu erfahren, wer die Empfänger der personenbezogenen Daten sind; danach ist keine Einschränkung auf die bloßen Empfängerkategorien vorgesehen.
Außerdem muss jede Verarbeitung personenbezogener Daten mit den Grundsätzen des Art. 5 DSGVO im Einklang stehen, damit das Auskunftsrecht gewahrt wird. Zu diesen Grundsätzen gehört der Transparenzgrundsatz (Art. 5 Abs. 1 Buchst. a DSGVO), der, wie Erwägungsgrund 39 vorsieht, voraussetzt, dass die betroffene Person darüber informiert wird, wie ihre personenbezogenen Daten verarbeitet werden, und dass diese Informationen leicht zugänglich und verständlich sind.
Der EuGH hat bereits entschieden, dass es der betroffenen Person durch die Ausübung ihres Auskunftsrechts nicht nur ermöglicht werden muss, zu überprüfen, ob die betreffenden Daten richtig sind, sondern auch, ob sie in zulässiger Weise verarbeitet werden (vgl. Urteil vom 20. Dezember 2017, C‑434/16, Rn. 57), insbesondere ob sie gegenüber Empfängern offengelegt wurden, die zu ihrer Verarbeitung befugt sind (vgl. Urteil vom 7. Mai 2009, C‑553/07, Rn. 49).
Im Gegensatz zu den Informationspflichten gemäß Art. 13 und 14 DSGVO sieht Art. 15 DSGVO ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person vor, sodass diese wählen können muss, ob ihr – falls möglich – Informationen über konkrete Empfänger oder bloß Informationen über die Kategorien von Empfängern bereitgestellt werden.
Dieses Auskunftsrecht ist insbesondere erforderlich, um es der betroffenen Person zu ermöglichen,
ihr Recht auf Berichtigung, Löschung, Einschränkung, sowie auf Widerspruch auszuüben oder den der DSGVO vorgesehenen gerichtlichen Rechtsbehelf (Art. 79 und 82 DSGVO) einzulegen.
Gestützt wird diese Auslegung auch durch Art. 19 DSGVO, der in Satz 1 vorsieht, dass der Verantwortliche grundsätzlich allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung mitteilt. Satz 2 sieht vor, dass der Verantwortliche die betroffene Person über diese Empfänger unterrichtet, wenn die betroffene Person dies verlangt.
Aus den genannten Gründen, insbesondere um die praktische Wirksamkeit sämtlicher Betroffenenrechte zu gewährleisten, muss die betroffene Person das Recht haben, die Identität der konkreten Empfänger zu erfahren.
Der EuGH hält jedoch auch fest, dass eine Beschränkung des Auskunftsrechts auf die Empfängerkategorien dann zulässig ist, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, insbesondere wenn diese noch nicht bekannt sind. Aber auch bei offenkundig unbegründeten oder exzessiven Anträgen kann sich der Verantwortliche weigern, einem Auskunftsantrag nachzukommen.
Die Entscheidung sorgt für weitere Klarheit und Rechtssicherheit iZm der Auslegung der DSGVO, gleichzeitig bedeutet sie jedoch einen gewissen Mehraufwand für die Verantwortlichen bei der Beantwortung von Auskunftsersuchen.
DISCLAIMER
Dieser Blog stellt lediglich eine allgemeine Information und keine rechtsanwaltliche Beratung dar. Schindler Rechtsanwälte GmbH übernimmt keine Haftung für die Richtigkeit, Vollständigkeit und Aktualität des Blogs. Der Blog kann eine individuelle Rechtsberatung nicht ersetzen.
