Das geltende Datenschutzrecht gewährt dem Betroffenen mit dem Auskunftsrecht nach Art. 15 DSGVO einen umfassenden Anspruch auf Information über Inhalt und Umfang der ihn betreffenden Datenverarbeitungen.
Der Auskunftsanspruch umfasst nach Art. 15 Abs. lit. c) DSGVO unter anderem die Information über „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind […]“
Bislang war die Bedeutung des Wortes „oder“ in dieser Vorschrift ungeklärt. Unklar war, ob im Rahmen der Auskunft über die konkreten Empfänger (Name und Anschrift) zu informieren oder ob die Benennung der Kategorien (z. B. Steuerberater, Kunden, Lieferanten, Finanzamt, Banken, …) ausreichend ist.
Worüber musste der EuGH entscheiden?
Der Kläger verlangte als Kunde der Österreichischen Post von dieser im Jahr 2019 Auskunft darüber, welche personenbezogenen Daten die Österreichische Post über ihn gespeichert hatte und wer die Empfänger der Daten waren.
Die Österreichische Post teilte dem Kläger zunächst nur die Empfängerkategorien mit. Im Laufe des gerichtlichen Verfahrens konkretisierte die Österreichische Post die Empfänger dahingehend, dass sie zusätzlich die Branchenzugehörigkeit der Empfänger mitteilte; konkrete Empfänger teilte sie dem Kläger jedoch nicht mit.
Die Österreichische Post berief sich zur Begründung auf den Wortlaut von Art. 15 Abs. 1 lit. c) DSGVO, wonach die „Empfänger oder Kategorien von Empfängern“ genannt werden müssten. Dem Verantwortlichen stünde also ein Wahlrecht zu. Indem die Österreichische Post die Kategorien der Empfänger nannte, sei sie ihrer Auskunftspflicht nachgekommen.
EuGH entscheidet eindeutig: Art. 15 DSGVO verlangt Angabe der konkreten Empfänger
Nach der Entscheidung des EuGH ist der Verantwortliche verpflichtet, grundsätzlich immer die konkreten Empfänger zu nennen. Auf die Kategorien von Empfängern darf nur dann ausgewichen werden, …
- wenn es aus tatsächlichen Gründen unmöglich ist, die konkreten Empfänger der Offenlegungen der die betroffene Person betreffenden personenbezogenen Daten zu bestimmen, oder
- wenn der Verantwortliche nachweist, dass die Anträge der betroffenen Person im Sinne von Art. 12 Abs. 5 DSGVO offensichtlich unbegründet oder exzessiv sind.
Das bedeutet: Für den Verantwortlichen existiert kein Wahlrecht. Er muss grundsätzlich immer die Empfänger konkret benennen. Das Urteil des EuGH hat daher weitreichende Auswirkungen auf die Voraussetzungen einer ordnungsgemäßen Auskunft. Da die einzelnen Empfänger identifizierbar bezeichnet werden müssen, ist erforderlich, dass der Verantwortliche Angaben zur Firma und zumindest Anschrift jedes einzelnen Empfängers machen kann. Dies erfordert zwangsläufig ein funktionierendes und vollständiges Datenschutzmanagement.
Quellen:
• eur-lex.europa.eu
• curia.europa.eu
