EuGH, Urt. 12.1.2023 - C-154/21
Reichweite des Auskunftsanspruchs nach Art. 15 Abs. 1 lit. c DSGVO
Autor: RAin Victoria JohnsonRA Jörg Kornbrust, FPS Rechtsanwälte, Berlin
Aus: IT-Rechtsberater, Heft 02/2023
Aus: IT-Rechtsberater, Heft 02/2023
Art. 15 Abs. 1 Buchst. c der DSGVO ist dahin auszulegen, dass der Verantwortliche, wenn personenbezogene Daten gegenüber Dritten offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die genaue Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv i.S.v. Art. 12 Abs. 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.
DSGVO Art. 12 Abs. 5 Satz 2, 15 Abs. 1c, 19 Satz 2
Die Österreichische Post obsiegte in den ersten beiden Instanzen. Daraufhin legte die Privatperson bei dem Obersten Gerichtshof in Österreich Revision ein. Das Oberste Gericht setzte das Verfahren aus und legte die Frage nach der Interpretation von Art. 15 Abs. 1 lit. c DSGVO dem EuGH zur Vorabentscheidung vor.
Auslegung der DSGVO: Unionsrecht sei nicht nur anhand des Wortlauts einer Norm auszulegen, sondern auch der Gesamtkontext sowie die mit dem zugrunde liegenden Rechtsakt verfolgten Zwecke und Ziele seien zu berücksichtigen. Dem Wortlaut von Art. 15 Abs. 1 lit. c DSGVO sei jedenfalls kein Vorrangverhältnis hinsichtlich der enthaltenen Begriffe „Empfänger“ und „Kategorien von Empfängern“ zu entnehmen.
Gesamtzusammenhang von Art. 15 und DSGVO: Nach dem mit Art. 15 Abs. 1 lit. c DSGVO in Zusammenhang stehenden Erwgrd. 63 habe die betroffene Person ein Anrecht darauf zu erfahren, wer die konkreten Empfänger der personenbezogenen Daten seien. Eine Möglichkeit der Beschränkung dieses Rechts auf die bloße Nennung der Kategorien von Empfängern sei der Norm nicht zu entnehmen. Zudem müsse jede Verarbeitung personenbezogener Daten auch mit den in Art. 5 DSGVO aufgestellten Grundsätzen, hier insb. dem Grundsatz der Transparenz, in Einklang stehen.
Betroffenenrechte: Anders als die Art. 13 und 14 DSGVO mit ähnlichem Wortlaut enthalte Art. 15 DSGVO ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person. Demnach bestehe für die betroffene Person ein Wahlrecht hinsichtlich der Bereitstellung von Informationen über die konkreten Empfänger oder die bloßen Kategorien von Empfängern ihrer personenbezogenen Daten. Des Weiteren ermögliche das Auskunftsrecht der betroffenen Person die Ausübung etwaiger weiterer Rechte, bspw. auf Berichtigung, Löschung oder Einschränkung der Verarbeitung. Die praktische Wirksamkeit dieser Rechte könne in Bezug auf bereits offengelegte personenbezogene Daten nur durch die Mitteilung der Identität der konkreten Empfänger gewährleistet werden.
Bestätigender Umkehrschluss: Nach Art. 19 DSGVO treffe den Verantwortlichen eine Mitteilungspflicht über jede Berichtigung, Löschung oder Einschränkung der Verarbeitung personenbezogener Daten gegenüber grundsätzlich allen Empfängern, denen die Daten offengelegt worden seien. Auf Verlangen der betroffenen Person sei diese zudem über die Empfänger zu unterrichten. Art. 19 DSGVO bestätige somit die Auslegung von Art. 15 DSGVO.
Konklusion: Die im Rahmen des Auskunftsrechts an die betroffene Person erteilten Informationen müssten möglichst genau sein.
Einschränkung: Das Recht auf Schutz der personenbezogenen Daten sei kein uneingeschränktes Recht. Eine Beschränkung des Auskunftsrechts, verbunden mit der bloßen Mitteilung der Kategorien von Empfängern, wäre demnach denkbar, wenn die Mitteilung der konkreten Identität der Empfänger mangels noch fehlender Kenntnis nicht möglich sei. Des Weiteren könne sich der Verantwortliche gem. Art. 12 Abs. 5 lit. b DSGVO aufgrund von Anträgen der betroffenen Person weigern, sofern es sich hierbei um offensichtlich unbegründete oder exzessive Anträge handele. Die Nachweispflicht liege allerdings bei dem Verantwortlichen.
DSGVO Art. 12 Abs. 5 Satz 2, 15 Abs. 1c, 19 Satz 2
Das Problem
Eine Privatperson in Österreich wandte sich im Januar 2019 mit einem Auskunftsverlangen gem. Art. 15 DSGVO an die Österreichische Post, um u.a. zu erfahren, inwiefern es zu einer Offenlegung der personenbezogenen Daten gegenüber Dritten gekommen ist und wer diese Empfänger sind. Die Österreichische Post beschränkte sich auf die Aussage, personenbezogene Daten an Geschäftskunden zu Marketingzwecken weitergegeben zu haben und verwies für detaillierte Informationen auf eine Webseite. Mit ihrer daraufhin erhobenen Klage begehrte die Privatperson Mitteilung der Identitäten der Empfänger ihrer personenbezogenen Daten.Die Österreichische Post obsiegte in den ersten beiden Instanzen. Daraufhin legte die Privatperson bei dem Obersten Gerichtshof in Österreich Revision ein. Das Oberste Gericht setzte das Verfahren aus und legte die Frage nach der Interpretation von Art. 15 Abs. 1 lit. c DSGVO dem EuGH zur Vorabentscheidung vor.
Die Entscheidung des Gerichts
Der EuGH hat die Vorlagefrage dahingehend beantwortet, dass es grundsätzlich nicht im Ermessen des Verantwortlichen liegt, ob die bloße Nennung von Kategorien von Empfängern ausreicht oder die konkrete Identität der Empfänger genannt werden muss. Es bestehe jedenfalls kein Wahlrecht des Verantwortlichen.Auslegung der DSGVO: Unionsrecht sei nicht nur anhand des Wortlauts einer Norm auszulegen, sondern auch der Gesamtkontext sowie die mit dem zugrunde liegenden Rechtsakt verfolgten Zwecke und Ziele seien zu berücksichtigen. Dem Wortlaut von Art. 15 Abs. 1 lit. c DSGVO sei jedenfalls kein Vorrangverhältnis hinsichtlich der enthaltenen Begriffe „Empfänger“ und „Kategorien von Empfängern“ zu entnehmen.
Gesamtzusammenhang von Art. 15 und DSGVO: Nach dem mit Art. 15 Abs. 1 lit. c DSGVO in Zusammenhang stehenden Erwgrd. 63 habe die betroffene Person ein Anrecht darauf zu erfahren, wer die konkreten Empfänger der personenbezogenen Daten seien. Eine Möglichkeit der Beschränkung dieses Rechts auf die bloße Nennung der Kategorien von Empfängern sei der Norm nicht zu entnehmen. Zudem müsse jede Verarbeitung personenbezogener Daten auch mit den in Art. 5 DSGVO aufgestellten Grundsätzen, hier insb. dem Grundsatz der Transparenz, in Einklang stehen.
Betroffenenrechte: Anders als die Art. 13 und 14 DSGVO mit ähnlichem Wortlaut enthalte Art. 15 DSGVO ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person. Demnach bestehe für die betroffene Person ein Wahlrecht hinsichtlich der Bereitstellung von Informationen über die konkreten Empfänger oder die bloßen Kategorien von Empfängern ihrer personenbezogenen Daten. Des Weiteren ermögliche das Auskunftsrecht der betroffenen Person die Ausübung etwaiger weiterer Rechte, bspw. auf Berichtigung, Löschung oder Einschränkung der Verarbeitung. Die praktische Wirksamkeit dieser Rechte könne in Bezug auf bereits offengelegte personenbezogene Daten nur durch die Mitteilung der Identität der konkreten Empfänger gewährleistet werden.
Bestätigender Umkehrschluss: Nach Art. 19 DSGVO treffe den Verantwortlichen eine Mitteilungspflicht über jede Berichtigung, Löschung oder Einschränkung der Verarbeitung personenbezogener Daten gegenüber grundsätzlich allen Empfängern, denen die Daten offengelegt worden seien. Auf Verlangen der betroffenen Person sei diese zudem über die Empfänger zu unterrichten. Art. 19 DSGVO bestätige somit die Auslegung von Art. 15 DSGVO.
Konklusion: Die im Rahmen des Auskunftsrechts an die betroffene Person erteilten Informationen müssten möglichst genau sein.
Einschränkung: Das Recht auf Schutz der personenbezogenen Daten sei kein uneingeschränktes Recht. Eine Beschränkung des Auskunftsrechts, verbunden mit der bloßen Mitteilung der Kategorien von Empfängern, wäre demnach denkbar, wenn die Mitteilung der konkreten Identität der Empfänger mangels noch fehlender Kenntnis nicht möglich sei. Des Weiteren könne sich der Verantwortliche gem. Art. 12 Abs. 5 lit. b DSGVO aufgrund von Anträgen der betroffenen Person weigern, sofern es sich hierbei um offensichtlich unbegründete oder exzessive Anträge handele. Die Nachweispflicht liege allerdings bei dem Verantwortlichen.