Update Datenschutz Nr. 133
EuGH mit Machtwort zum Auskunftsanspruch – Verantwortliche müssen die konkreten Empfänger benennen
Mit Urteil vom 12.01.2023 (Rechtssache C 154/21) hat der Europäische Gerichtshof („EuGH“) entschieden, dass Verantwortliche im Rahmen der Abhilfe eines Auskunftsanspruchs grundsätzlich dazu verpflichtet sind, konkrete Empfänger zu benennen, gegenüber denen sie die personenbezogenen Daten des anfragenden Betroffenen offengelegt haben oder noch offenlegen werden. Lediglich die Kategorien der Empfänger zu benennen, reicht hingegen nicht bzw. nur in Ausnahmefällen aus.
Zum Hintergrund
Dem Urteil liegt ein Verfahren unter Beteiligung der Österreichischen Post zugrunde, in dem ein Betroffener die Offenlegung der konkreten Empfänger seiner personenbezogenen Daten begehrte.
Betroffene einer Datenverarbeitung können nach Art. 15 Abs. 1 S. 1 DSGVO Auskunft über die Verarbeitung sie betreffender personenbezogenen Daten verlangen. Gemäß Art. 15 Abs. 1 lit. c DSGVO umfasst dies auch das Recht auf Auskunft über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.
Die Österreichische Post hatte dem Betroffenen auf sein Auskunftsersuchen hin nicht die konkreten Empfänger benannt, gegenüber denen sie personenbezogene Daten des Auskunftssuchenden offengelegt hat, sondern lediglich Informationen über Empfängerkategorien bereitgestellt. Der zuletzt mit dem Verfahren befasste Oberste Österreichische Gerichtshof legte dem EuGH entsprechende Fragen im Wege eines Vorabentscheidungsverfahrens vor. Im Zentrum stand die Frage, ob der Verantwortliche hierbei nach freiem Ermessen entscheiden kann, dem Betroffenen die konkreten Empfänger oder nur die Empfängerkategorien mitzuteilen. Der EuGH hatte sich also – einmal mehr – mit Art. 15 DSGVO zu befassen.
Entscheidung
Der EuGH entschied, dass die Verantwortlichen in der Regel Auskunft über die konkreten Empfänger der personenbezogenen Daten des Betroffenen erteilen müssen. Sie können sich grundsätzlich nicht darauf beschränken, nur Auskunft über die Empfängerkategorien zu geben.
Klarstellend stellte der EuGH zunächst fest, dass der Wortlaut von Art. 15 Abs. 1 lit. c DSGVO weder für die eine noch für die andere Auffassung spricht. Allerdings sei schon dem 63. Erwägungsgrund zur DSGVO zu entnehmen, dass die betroffene Person ein Anrecht darauf haben muss, zu erfahren, wer der Empfänger seiner personenbezogenen Daten ist. Zudem sehe der 63. Erwägungsgrund zur DSGVO keine Beschränkungsmöglichkeit der Auskunft auf die Benennung von Empfängerkategorien vor (vgl. Rz. 33). Zudem müsse die betroffene Person in leicht zugänglicher Weise über die Verarbeitung informiert werden (vgl. Rz. 35).
Im Zusammenhang mit den datenschutzrechtlichen Informationspflichten (meint z. B. Datenschutzhinweise auf Webseiten) ist es bislang regelmäßig ausreichend, die Empfängerkategorien zu benennen. Der EuGH begründet seine Entscheidung weiter mit einem systematischen Vergleich zwischen den Bestimmungen zu dem Umfang des Auskunftsanspruchs (Art. 15 DSGVO) und den korrespondieren Bestimmungen zum Umfang der Informationspflichten (Art. 13 und 14 DSGVO). Der Auskunftsanspruch regele – im Gegensatz zu den benannten Informationspflichten – ein tatsächliches Auskunftsrecht der betroffenen Person (vgl. Rz. 36). Aus diesem Unterschied leitet der EuGH ab, dass die betroffene Person im Rahmen des Auskunftsanspruchs daher wählen können muss, ob sie – sofern möglich – Informationen über bestimmte Empfänger verlangt oder sich mit Informationen über die Kategorien von Empfängern zufriedengibt (vgl. Rz. 36).
Der EuGH begründet mit dem Zweck des Auskunftsrechts weiter, dass das Auskunftsrecht zu der „praktischen Wirksamkeit“ der Wahrnehmung der Betroffenenrechte (wie z. B. Recht auf Löschung nach Art. 17 DSGVO) oder auch der Wahrung effektiven gerichtlichen Rechtsschutzes diene. Deswegen „muss die betroffene Person somit insbesondere über das Recht verfügen, dass ihr die Identität der konkreten Empfänger mitgeteilt wird, wenn ihre personenbezogenen Daten bereits offengelegt wurden“ (Rz. 39).
Auskunftsrecht jedoch nicht unbeschränkt
Der EuGH stellt gleichsam heraus, dass das Auskunftsrecht jedoch nicht in allen Fällen die Preisgabe von Informationen über die konkreten Empfänger verlange. Unter bestimmten Umständen könne es unmöglich sein, die Identität der konkreten Empfänger mitzuteilen (insbesondere, wenn diese noch nicht bekannt sind). In diesen Fällen ist es nach seiner Auffassung dann ausreichend, die Auskunft auf Kategorien von Empfängern zu beschränken (vgl. Rz. 47 f.)
Verantwortliche können auch weiterhin bei offenkundig unbegründeten oder exzessiven Anträgen die Auskunft verweigern, wie der EuGH klarstellt. Dabei habe der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Auskunftsbegehren zu erbringen (vgl. Rz 49).
Auswirkungen für Verantwortliche
Wieder einmal nimmt die Rechtsprechung des EuGH großen Einfluss auf die Unternehmenspraxis in Bezug auf die DSGVO-Compliance. Unternehmen ist es nicht mehr ohne weiteres möglich, die Auskunft gegenüber Betroffenen auf die Nennung der Empfängerkategorien zu beschränken und den Aufwand der Auskunft dementsprechend schlank zu halten.
Unabhängig von der stets zu prüfenden Frage, ob eine Weitergabe von personenbezogenen Daten zulässig ist, ist es Unternehmen nunmehr dringend anzuraten, die entsprechende Weitergabe von personenbezogenen Daten stets adäquat zu dokumentieren. Die Datenschutz-Compliance sollte so organisiert sein, dass die Weitergabe ohne großen Aufwand umfassend nachvollzogen werden kann, um alle Empfänger benennen zu können. Nachlässigkeiten können ansonsten zu erheblichen Aufwänden und vor allem zu Rechtsfolgen führen. Denn auch die unvollständige Auskunft kann ein Datenschutzverstoß sein, der aufsichtsbehördliche Sanktionen und zivilrechtliche Schadensersatzbegehren nach sich ziehen kann.
Weiterhin steht die Entscheidung des EuGH zu dem Umfang einer Kopie im Zusammenhang mit Art. 15 Abs. 3 S.1 DSGVO aus (Rechtssache C-487/21). Im Dezember 2022 hatte der Generalanwalt hierzu seine Schlussanträge veröffentlicht. Wir berichteten. Die Entscheidung könnte den Aufwand zur Abhilfe von Auskunftsansprüchen weiter erhöhen.
