Der EuGH hat diesen Januar manifestiert, dass jeder das Recht hat zu erfahren, an wen seine personenbezogenen Daten weitergegeben wurden. Dieses Recht folgt aus dem DSGVO-Auskunftsanspruch gem. Art. 15 DSGVO, welches durch das Urteil (Urt. v.12.01.2023, Az. C-154/21) des EuGH gestärkt wurde. Wir klären auf.

Mit dem Urteil des EuGH  (Urt. v.12.01.2023, Az. C-154/21) wurde entschieden, dass der für die Da­ten­ver­ar­bei­tung Ver­ant­wort­li­che grund­sätz­lich die Iden­ti­tät der Emp­fän­ger be­kannt­ge­ben muss. Wenn es dahingehend jedoch nicht möglich ist, den Empfänger zu identifizieren oder wenn der An­trag of­fen­kun­dig un­be­grün­det oder ex­zes­siv ist, so kann der Ver­ant­wort­li­che sich laut des Europäischen Gerichtshofs je­doch dar­auf be­schrän­ken, nur die Emp­fän­ger­ka­te­go­ri­en mit­zu­tei­len. 

Hintergrund des Urteils – Bürger verlangt Auskunft über Offenlegung personenbezogener Daten

Der Hintergrund des Urteils beläuft sich auf einen Bürger, der bei der Österreichischen Post beantragt hat, diesem mitzuteilen, gegenüber welchen Empfängern das Postunternehmen seine personenbezogenen Daten offengelegt habe. Rechtsgrundlage war dabei die Datenschutz-Grundverordnung (DSGVO). Diese sieht vor, dass eine betroffene Person das Recht hat, von dem für die Datenverarbeitung Verantwortlichen Informationen über die Empfänger oder Kategorien von Empfängern zu erhalten, gegenüber denen ihre personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden. Die Antwort der Österreichische Post war für den klagenden Bürger dabei nicht ausreichend: Die Österreichische Post bezog sich nämlich darauf, dass personenbezogene Daten verwendet werden würden, soweit dies im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern rechtlich zulässig sei. Diese Daten werden dann anschließend Geschäftskunden für Marketingzwecke angeboten. Der Bürger gab sich mit dieser Antwort nicht zufrieden und  erhob daraufhin vor den österreichischen Gerichten Klage gegen die Österreichische Post. 

Die Klage hatte vorerst keinen Erfolg. Erst im Laufe des gerichtlichen Verfahrens wurde von der Post die Beantwortung des Klagebegehrens konkretisiert. Die Konkretisierung trat dahingehend ein, dass die Österreichische Post mitteilte, dass die Geschäftskunden, an welche die Daten aufgrund von Marketingzwecken weitergegeben wurden, unter anderem werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien seien. Trotzdem war die Klage anfangs erfolglos, denn sowohl das erstinstanzlich zuständige Gericht als auch das Berufungsgericht wies die Klage des Bürgers ab. Demnach wurde das Verfahren vom Obersten Gerichtshof dem EuGH vorgelegt. Geklärt werden sollte dabei die Auslegung der DSGVO, nämlich ob die DSGVO es dem für die Datenverarbeitung Verantwortlichen offen lässt, ob er der betroffenen Person die konkrete Identität der Empfänger oder nur die Kategorien von Empfängern mitteilt oder ob die betroffene Person gemäß der DSGVO das Recht hat, die konkrete Identität der Empfänger der Daten zu erfahren. 

In Art. 15 DSGVO heißt es: Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen (…). 

In lit c) heißt es: die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen.

So räume Art. 15 DSGVO dem Verantwortlichen durch den Verweis auf die „Empfänger oder Kategorien von Empfängern“ die Wahlmöglichkeit ein, der betroffenen Person lediglich die Kategorien von Empfängern mitzuteilen, ohne die konkreten Empfänger der personenbezogenen Daten samt des Namens nennen zu müssen.

Entscheidung des EuGH: Grundsätzlich ist Identität der Empfänger mitzuteilen

Jetzt entschied der EuGH die oben erörterte Frage. Dem EuGH zufolge muss der Verantwortliche, wenn personenbezogene Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, der betroffenen Person auf ihre Anfrage hin die Identität der Empfänger konkret mitteilen. Lediglich gibt es eine Ausnahme und zwar wenn der Empfänger noch nicht identifizierbar sei, könne sich der Verantwortliche darauf berufen, “nur” die Kategorien der betreffenden Empfänger mitzuteilen. Dies ist ebenfalls der Fall, wenn der Verantwortliche nachweisen kann, dass der Antrag offenkundig unbegründet oder exzessiv ist. 

Mit dem Urteil des EuGH ist somit wieder ein wichtiges Urteil für den Datenschutz gefällt worden, welches zur Auslegung der DSGVO herangezogen werden kann. Zudem wird vom Gerichtshof zusätzlich bemerkt, dass dieses Auskunftsrecht der betroffenen Person gem. Art. 15 DSGVO erforderlich ist, um die anderen in der DSGVO verankerten Rechte auszuüben, so das Recht auf Berichtigung, das Recht auf Löschung, das Recht auf Einschränkung der Verarbeitung, das Recht auf Widerspruch gegen die Verarbeitung oder auch das Recht auf einen Rechtsbehelf im Schadensfall.

Bildquelle: Bild von geralt auf pixabay (163426)