Der Europäische Gerichtshof (EuGH) hat im Jänner 2023 ein Urteil in einem Vorabentscheidungverfahren gefällt, das sich mit dem Umfang der Auskunftsrechte in Art. 15 der Datenschutz-Grundverordnung (DSGVO) auseinandersetzte (EuGH 12.01.2023, „RW gegen österr. Post AG“, C-154/21). Das Ausgangsverfahren betraf dabei die österr. Post und kann als Stärkung der Auskunftsrechte von Betroffenen gesehen werden.
Das Ausgangsverfahren
In dem Ausgangsverfahren, das zuletzt beim Obersten Gerichtshof (OGH) anhängig war, ging es im Wesentlichen um die Frage, ob ein Verantwortlicher (wie die österr. Post;) gemäß Art. 15 DSGVO verpflichtet ist, einem Betroffenen genaue Auskünfte darüber zu erteilen, an wen dessen personenbezogene Daten übermittelt wurden oder noch übermittelt werden sollen. Die österr. Post vermarktet die Daten ihrer Kunden, die sie im Rahmen ihrer eigenen Geschäftstätigkeit erhebt. Einer dieser Kunden wollte im Detail wissen, an welche Unternehmen oder Personen seine Daten konkret übermittelt wurden oder noch übermittelt werden. Die Post wollte lediglich verraten, dass seine personenbezogenen Daten zu Marketingzwecken verarbeitet und an Kunden weitergegeben wurden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT‑Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien gehört hätten.
Die Auskunftsrechte in Art. 15 DSGVO
Der Betroffene wollte somit die konkreten „Empfänger“ wissen, während sich die Post bei ihrer Auskunft auf die „Kategorien“ der Empfänger beschränkte. Die Post stützte sich dabei auf Art. 15 Abs 1 lit. c, der es nach einer Sichtweise den Verantwortlichen offen lässt, ob er die jeweiligen Empfänger nennt oder sich auf die Kategorien beschränkt („Greenpeace“ und „WWF“ oder „Nichtregierungsorganisationen“). Diese Sichtweise wurde vom Erst- und Berufungsgericht geteilt.
Der OGH war sich nicht sicher, wie Art. 15 DSGVO auszulegen ist und legte dem EuGH eine Frage zur Vorabentscheidung vor.
Wahlmöglichkeit über Umfang der Auskünfte auf Seiten des Betroffenen
Der EuGH hält in seinem Urteil fest, dass es sich bei Art. 15 Abs. 1 Buchst. c DSGVO um eine der Bestimmungen handelt, die die Transparenz der Art und Weise der Verarbeitung der personenbezogenen Daten gegenüber der betroffenen Person gewährleisten sollen. Diese Bestimmung soll es den Betroffenen in weiterer Folge ermöglichen, die anderen in der DSGVO gewährleisteten Rechte in Anspruch zu nehmen, darunter etwa das Recht auf Berichtigung und Löschung personenbezogener Daten, dem Widerspruchsrecht und der Geltendmachung von Schadenersatz (Rz 42 des Urteils).
Der EuGH folgert daraus, dass die von der Person nach Art. 15 geforderten Informationen möglichst genau sein müssen. Es handelt sich nach der Entscheidung des EuGH um ein Recht der Person (und nicht um eine Wahlmöglichkeit des Verwantwortlichen), entweder die genauen Empfänger zu erfahren oder sich alternativ zu entscheiden, nur Informationen über die Kategorien von Empfängern anzufordern (Rz 43).
Diese Auskunftsrechte stehen allerdings nicht uneingeschränkt zur Verfügung. Der EuGH betont den Grundsatz der Verhältnismäßigkeit bei der Geltendmachung der Rechte aus der DSGVO. Das bedeutet, dass sich der Verantwortliche dann auf die Kategorien von Empfängern beschränken kann, wenn die Angabe der konkreten Empfänger nicht möglich ist oder wenn es sich bei den Auskunftsersuchen um offenkundig unbegründete oder exzessive Anträge handelt. Den Nachweis, dass es sich um offenkundig unbegründete oder exzessive Anträge handelt, muss allerdings vom Verantwortlichen erbracht werden.
Fazit
Wenn Sie von einem Verantwortlichen, der ihre personenbezogenen Daten verarbeitet, wissen wollen, wem gegenüber diese Daten offengelegt wurden oder noch offengelegt werden sollen, ist er grundsätzlich verpflichtet, ihnen genaue Auskünfte zu erteilen. Er kann sich insbesondere nicht aussuchen ob er die konkreten Empfänger nennt oder lediglich die Kategorieren der Empfänger. Dieses Auskunftsrecht besteht allerdings nicht unbeschränkt und kann, etwa wenn eine Auskunft gar nicht möglich ist, auf Kategorien von Empfängern beschränkt werden.
Fragen oder Anregungen? Gerne können Sie hier einen Termin buchen oder uns eine Nachricht zukommen lassen.
Foto: By Heiner via www.pexels.com