Neues zum Datenschutzrecht

27.1.2023

EuGH: Auskunftsrecht umfasst grundsätzlich konkrete Empfänger

Der EuGH hat mit Urteil vom 12.1.2023 (Az. C-154/21) entschieden, dass Verantwortliche im Rahmen einer Auskunft gem. Art. 15 DSGVO grundsätzlich die Identität der konkreten Empfänger mitteilen müssen. Die Auskunft darf nur ausnahmsweise auf Empfängerkategorien beschränkt werden, wenn der Verantwortliche die konkreten Empfänger nicht identifizieren kann oder er nachweist, dass ein Auskunftsbegehren offenkundig unbegründet oder exzessiv ist.

Sachverhalt

Der Entscheidung des EuGH lag folgender Sachverhalt zugrunde: Auf ein Auskunftsersuchen gegenüber der Österreichischen Post AG wurde der betroffenen Person hinsichtlich der Datenempfänger mitgeteilt, dass ihre Daten an Geschäftskunden für Marketingzwecke übermittelt werden, soweit dies rechtlich zulässig sei. In dem sich anschließenden Gerichtsverfahren vor dem österreichischen Obersten Gerichtshof (OGH) ergänzte die Österreichische Post AG, dass die Daten an Kunden folgender Branchen bzw. Bereiche weitergegeben wurden: werbetreibende Unternehmen im Versandhandel und im stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen und politische Parteien.

Der österreichische OGH hatte Zweifel über die Auslegung von Art. 15 Abs. 1 Buchstabe c DSGVO und legte dem EuGH folgende Frage vor:

Ist Art. 15 Abs. 1 lit. c DSGVO dahin gehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?

Entscheidung

Der EuGH kommt zu dem Ergebnis, dass grundsätzlich die konkrete Identität der Empfänger mitzuteilen ist. Während der Wortlaut von Art. 15 Abs. 1 Buchstabe c DSGVO keinen Vorrang der Mitteilung der konkreten Identität des Empfängers erkennen lasse, ist es für die praktische Wirksamkeit vieler Betroffenenrechte erforderlich, der betroffenen Person einen vorrangigen Anspruch auf Mitteilung der konkreten Identität zu gewähren. Konkret sind das u.a. das Recht auf Berichtigung, das Recht auf Löschung („Recht auf Vergessenwerden“), das Recht auf Einschränkung der Verarbeitung, das Recht auf Widerspruch gegen die Verarbeitung und das Recht auf einen Rechtsbehelf im Schadensfall. Schließlich folge diese Auslegung nicht nur aus dem Grundsatz der Transparenz, sondern auch aus dem Ziel der DSGVO, ein möglichst hohes Datenschutzniveau für natürliche Personen zu gewährleisten.

Ausnahmsweise darf die Auskunft auf Empfängerkategorien beschränkt werden, wenn der Verantwortliche die konkreten Empfänger nicht identifizieren kann oder er nachweist, dass ein Auskunftsantrag offenkundig unbegründet oder exzessiv ist (Art. 12 Abs. 5 Satz 2 Buchstabe b DSGVO).

Unterschied zur Informationspflicht gem. Art. 13 und 14 DSGVO

Die aufgrund desselben Wortlauts von Art. 13 Abs. 1 Buchstabe e und 14 Abs. 1 Buchstabe e DSGVO im Raum stehende Frage, ob dies auch für die Informationspflicht gem. Art. 13 und 14 DSGVO gilt, hat der EuGH mangels entsprechender Vorlagefrage zwar nicht entschieden. Allerdings hebt das Gericht in seiner Urteilsbegründung unter Verweis auf die Schlussanträge der Generalanwalts zutreffend die Unterschiede dieser Regelungen und ihrer Regelungsgegenstände hervor. Das Recht auf Auskunft gewährt der betroffenen Person eine Wahl, ob sie Auskunft über die Kategorien von Empfängern oder die konkreten Empfänger erhalten möchte. Dagegen regeln Art. 13 und 14 DSGVO die Pflicht des Verantwortlichen, die betroffenen Person über die Verarbeitung ihrer Daten zu informieren.

Fazit und Praxishinweise

Die Entscheidung des EuGH ist eindeutig. Es muss grundsätzlich die konkrete Identität von Empfängern der Daten beauskunftet werden. In der Praxis wird sich bislang häufig noch auf die Empfängerkategorien beschränkt. Hier besteht dringender Handlungsbedarf. Es sind Anpassungen des Auskunftsinhalts und des Auskunftsprozesses angezeigt. Um die für eine Auskunft vorgeschriebene grundsätzliche Frist von vier Wochen einhalten zu können, sollten die konkreten Informationen zu den Empfängern nicht erst im Einzelfall für eine Auskunft zusammengetragen werden. Die insofern erforderlichen Informationen sollten – soweit möglich – standardisiert vorliegen, so dass im konkreten Einzelfall hierauf zurückgegriffen werden kann. Je nach Gestaltung und Umfang des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO) kann dieses gegebenenfalls hinsichtlich der konkreten Empfänger von personenbezogenen Daten nutzbar gemacht werden.

Das Urteil des EuGH hat – zumindest einstweilen – keine Auswirkungen auf die Informationspflicht gem. Art. 13 und 14 DSGVO. Die Frage, ob auch im Rahmen der Informationspflicht grundsätzlich über konkrete Empfänger informiert werden muss, wurde vom EuGH zwar nicht entschieden. Allerdings lässt die kurze Abgrenzung zu Art. 15 DSGVO in der Urteilsbegründung den Schluss zu, dass der EuGH ungeachtet desselben Wortlauts relevante Unterschiede sieht. Nicht in der Urteilsbegründung angesprochen, aber zu nennen sind insoweit insbesondere der Zeitpunkt und der Zweck der Regelungen.

Sollten Sie Fragen zum Auskunftsrecht gem. Art. 15 DSGVO, zu den Informationspflichten gem. Art. 13 und 14 DSGVO oder zu sonstigen datenschutzrechtlichen Themen haben oder dabei Unterstützung benötigen, können Sie mich gerne kontaktieren.

Zurück zur Übersicht