Recht auf Auskunft umfasst konkrete Nennung der Empfänger von Datenübermittlungen

Ein Betroffener hat ein Recht auf konkrete Auskunft über die über ihn gespeicherten personenbezogenen Daten und auf Informationen über die Empfänger, gegenüber denen diese personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.

Sachverhalt

Der Oberste Gerichtshof (OGH) Österreich hatte dem Europäischen Gerichtshof (EuGH) mehrere Fragen bezüglich der Klage eines Betroffenen gegen die Österreichische Post vorgelegt. Diese hatte sich bei der Beantwortung eines Auskunftsersuchens des Betroffenen darauf beschränkt, lediglich die Kategorien von Empfängern anzugeben und nicht die konkreten Empfänger.

Auszüge aus dem Urteil des EuGH

Der EuGH weist daraufhin, dass die betroffene Person nach Art. 15 Abs. 1 Buchst. c DSGVO das Recht hat, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf Informationen über die Empfänger oder Kategorien von Empfängern, gegenüber denen diese personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.

Dem Wortlaut von Art. 15 Abs. 1 Buchst. c DSGVO lässt sich nicht eindeutig entnehmen, ob die betroffene Person, wenn sie betreffende personenbezogene Daten offengelegt worden sind oder noch offengelegt werden, das Recht hat, über die konkrete Identität der Empfänger dieser Daten unterrichtet zu werden.

Nach dem 63. Erwägungsgrund zur DSGVO hat die betroffene Person ein Anrecht darauf, insbesondere zu wissen und zu erfahren, wer die Empfänger dieser

personenbezogenen Daten sind. In diesem Erwägungsgrund wird nicht erwähnt, dass dieses Recht lediglich auf die Kategorien von Empfängern beschränkt werden könnte.

Außerdem weist der EuGH darauf hin, dass jede Verarbeitung personenbezogener Daten von natürlichen Personen mit den in Art. 5 DSGVO aufgestellten Grundsätzen im Einklang stehen muss, damit das Auskunftsrecht gewahrt wird.

Zu diesen Grundsätzen gehört der Grundsatz der Transparenz gemäß Art. 5 Abs. 1 Buchst. a DSGVO, der, wie aus dem 39. Erwägungsgrund zur DSGVO hervorgeht, voraussetzt, dass die betroffene Person darüber informiert wird, wie ihre personenbezogenen Daten verarbeitet werden, und dass diese Informationen leicht zugänglich und verständlich sind.

Drittens stellt der EuGH fest, dass Art. 15 DSGVO im Gegensatz zu den Art. 13 und 14 DSGVO, in denen die Pflicht des Verantwortlichen festgelegt ist, der betroffenen Person Informationen über die Kategorien von Empfängern oder die konkreten Empfänger von sie betreffenden personenbezogenen Daten bereitzustellen, wenn diese Daten bei der betroffenen Person oder nicht bei der betroffenen Person erhoben werden, ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person vorsieht, so dass diese wählen können muss, ob ihr – falls möglich – Informationen über bestimmte Empfänger, gegenüber denen diese Daten offengelegt wurden oder noch offengelegt werden, oder Informationen über die Kategorien von Empfängern bereitgestellt werden.

Viertens hat der EuGH bereits entschieden, dass es der betroffenen Person durch die Ausübung dieses Auskunftsrechts nicht nur ermöglicht werden muss, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob sie in zulässiger Weise verarbeitet werden, insbesondere ob sie gegenüber Empfängern offengelegt wurden, die zu ihrer Verarbeitung befugt sind.

Dieses Auskunftsrecht ist insbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“), ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art. 16, 17 bzw. 18 DSGVO zukommen, sowie ihr in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten auszuüben oder im Schadensfall den in den Art. 79 und 82 DSGVO vorgesehenen gerichtlichen Rechtsbehelf einzulegen.

Um die praktische Wirksamkeit sämtlicher angeführten Rechte zu gewährleisten, muss die betroffene Person somit insbesondere über das Recht verfügen, dass ihr die Identität der konkreten Empfänger mitgeteilt wird, wenn ihre personenbezogenen Daten bereits offengelegt wurden.

Fünftens wird diese Auslegung schließlich durch Art. 19 DSGVO bestätigt, der in Satz 1 vorsieht, dass der Verantwortliche grundsätzlich allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung mitteilt. Satz 2 sieht vor, dass der Verantwortliche die betroffene Person über diese Empfänger unterrichtet, wenn die betroffene Person dies verlangt.

Somit hat die betroffene Person gemäß Art. 19 Satz 2 DSGVO ausdrücklich das Recht, von dem Verantwortlichen im Rahmen seiner Verpflichtung, alle Empfänger über die Ausübung der Rechte zu informieren, über die diese Person nach Art. 16, Art. 17 Abs. 1 und Art. 18 DSGVO verfügt, über die konkreten Empfänger der sie betreffenden Daten unterrichtet zu werden.

Aus der vorstehenden Analyse ergibt sich, dass es sich bei Art. 15 Abs. 1 Buchst. c DSGVO um eine der Bestimmungen handelt, die die Transparenz der Art und Weise der Verarbeitung der personenbezogenen Daten gegenüber der betroffenen Person gewährleisten sollen, und dass es dieser Artikel der betroffenen Person ermöglicht, die u. a. in den Art. 16 bis 19, 21, 79 und 82 DSGVO vorgesehenen Befugnisse auszuüben.

Folglich ist davon auszugehen, dass die Informationen, die der betroffenen Person gemäß dem in Art. 15 Abs. 1 Buchst. c DSGVO vorgesehenen Auskunftsrecht erteilt werden, möglichst genau sein müssen. Insbesondere umfasst dieses Auskunftsrecht die Möglichkeit für die betroffene Person, von dem Verantwortlichen Informationen über bestimmte Empfänger zu erhalten, gegenüber denen Daten offengelegt worden sind oder noch offengelegt werden, oder alternativ zu entscheiden, nur Informationen über die Kategorien von Empfängern anzufordern.

Was schließlich das Ziel betrifft, das mit der DSGVO verfolgt wird, ist festzustellen, dass diese Verordnung, wie sich aus ihrem zehnten Erwägungsgrund ergibt, namentlich darauf abzielt, innerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten. Insoweit werden mit dem durch die DSGVO geschaffenen allgemeinen Rechtsrahmen die Erfordernisse umgesetzt, die sich aus dem durch Art. 8 der Charta der Grundrechte der Europäischen Union geschützten Grundrecht auf Schutz personenbezogener Daten ergeben, insbesondere die ausdrücklich in Abs. 2 dieses Artikels vorgesehenen Erfordernisse.

Dieses Ziel bestätigt die dargelegte Auslegung von Art. 15 Abs. 1 DSGVO.

Aus dem mit der DSGVO verfolgten Ziel ergibt sich daher auch, dass die betroffene Person das Recht hat, von dem Verantwortlichen Informationen über die konkreten Empfänger zu verlangen, gegenüber denen sie betreffende personenbezogene Daten offengelegt worden sind oder noch offengelegt werden.

Allerdings ist darauf hinzuweisen, dass das Recht auf Schutz der personenbezogenen Daten – wie aus dem vierten Erwägungsgrund der DSGVO hervorgeht – kein uneingeschränktes Recht ist. Vielmehr muss dieses Recht im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Grundsatzes der Verhältnismäßigkeit gegen andere Grundrechte abgewogen werden.

Folglich ist denkbar, dass es unter bestimmten Umständen nicht möglich ist, Informationen über konkrete Empfänger zu erteilen. Daher kann das Auskunftsrecht auf Informationen über die Kategorien von Empfängern beschränkt werden, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, insbesondere wenn diese noch nicht bekannt sind.

Außerdem ist darauf hinzuweisen, dass sich der Verantwortliche gemäß Art. 12 Abs. 5 Buchst. b DSGVO im Einklang mit dem in Art. 5 Abs. 2 sowie im 74. Erwägungsgrund niedergelegten Grundsatz der Rechenschaftspflicht weigern kann, aufgrund von Anträgen der betroffenen Person tätig zu werden, wenn es sich um offenkundig unbegründete oder exzessive Anträge handelt; hierbei hat der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter der Anträge zu erbringen.

Nach alledem ist auf die Vorlagefrage zu antworten, dass Art. 15 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.

Fundstelle: Urteil des EuGH vom 12. Januar 2023 (Rs. C-154/21) – abrufbar im Internet beispielsweise unter https://curia.europa.eu/juris/document/document_print.jsf?mode=req&pageIndex=0&docid=269146&part=1&doclang=DE&text=&dir=&occ=first&cid=54151