Auskunftsanspruch Art. 15 DSGVO – EuGH schafft Klarheit und Pflichten

Das Thema

Art. 15 DSGVO regelt das Auskunftsrecht der betroffenen Person. Es ist ein zentrales Element der Transparenz, einem Grundsatz für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO). Der Anspruch ist zweistufig aufgebaut:

• Auf der ersten Stufe ist Auskunft darüber zu erteilen, ob personenbezogene Daten der betroffenen Person verarbeitet werden. Die Antwort kann also nur „ja“ oder „nein“ lauten.
• Auf der zweiten Stufe ist Auskunft über diese Daten zu erteilen sowie über die in Art. 15 DSGVO Buchstaben a bis h aufgeführten Informationen.

Das Auskunftsrecht ist Gegenstand zahlreicher Verfahren, auch vor dem EuGH. In vorliegenden Verfahren ging es nicht um die Frage, ob überhaupt eine Auskunft erteilt werden muss, sondern wie konkret diese Auskunft im Hinblick auf Art. 15 Abs. 1 Buchstabe c) DSGVO sein muss. Danach ist zu informieren über:

„die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen“

Das Wort „oder“ zwischen „Empfänger“ und „Kategorien von Empfängern“ liest sich so, als habe der Verantwortliche ein Wahlrecht, welche Informationen er bereitstellen möchte.

Das Verfahren

Im konkreten Fall wandte sich der spätere Kläger an die Österreichische Post, um gemäß Art. 15 DSGVO die Auskunft darüber zu erhalten, welche personenbezogenen Daten über ihn gespeichert werden und wer die Empfänger bei der Weitergabe der Daten waren. Die Österreichische Post teilte zunächst nur mit, dass sie die Daten im Rahmen ihrer Tätigkeit zur Herausgabe von Telefonbüchern Geschäftskunden für Marketingzwecken anbiete; später ergänzten sie ihre Angaben dahingehend, dass die Daten zu den werbetreibenden Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlagen und Vereinen wie Spenderorganisationen, Nichtregierungsorganisationen oder politischen Parteien weitergegeben wurden. Konkrete Empfänger der Daten nannte die Beklagte zu keinem Zeitpunkt.

Hiergegen klagte der Kläger. Er unterlag in zwei Instanzen (Landesgericht für Zivilrechtssachen Wien, Urt. v. 28.10.2019 – GZ 29 Cg 23/19v-8, und Oberlandesgericht Wien, Urt. v. 24.04.2020 – GZ 14 R 159/19h-13) bevor der Oberste Gerichtshof Österreichs durch Beschluss vom 18.02.2021 (GZ 6 Ob 159/20f) das Verfahren dem EuGH im Rahmen eines Vorabentscheidungsersuchens vorlegte.

Die Entscheidung des EuGH

Der EuGH (Urt. v. 12.01.2023 – C-154/21) versteht Art. 15 Abs. 1 Buchstabe c) DSGVO dergestalt, dass „das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen“.

Der EuGH erteilte damit eine Absage an die für den Verantwortlichen günstige Auslegung und verpflichtet, der betroffenen Person die konkrete Identität der Empfänger mitzuteilen. Dabei lässt der EuGH nur wenige Ausnahmen von dieser Verpflichtung zu, nämlich: wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind.

Der EuGH stützt seine Entscheidung auf folgende Erwägungen:

• Die Auslegung von Unionsrecht und damit auch von Art. 15 DSGVO habe nicht nur anhand des Wortlauts zu erfolgen. Zu berücksichtigen seien auch der Zusammenhang, in dem die Vorschrift stehe, sowie die Zwecke und Ziele, die mit dem Rechtsakt, zu dem sie gehört, verfolgt werden.

• Art. 15 Abs. 1 Buchstabe c) DSGVO sei insoweit nicht eindeutig. Aus dem Zusammenhang, vor allem aus Erwägungsgrund 63 ergebe sich aber, dass die betroffene Person das Recht habe, zu erfahren, wer die Empfänger ihrer personenbezogenen Daten sind.

• Die Verarbeitung müsse auch mit den Grundsätzen der Verarbeitung aus Art. 5 DSGVO in Einklang stehen, wozu die Transparenz der Verarbeitung zähle (Art. 5 Abs. 1 Buchstabe a DSGVO). Dazu wiederum gehöre das Wissen darüber, wie die Daten verarbeitet werden und ein einfacher und leicht verständlicher Zugang zu diesen Informationen (Erwägungsgrund 39).

• Anders als im Rahmen von Art. 13 oder 14 DSGVO, der eine Informationspflicht des Verantwortlichen vorsehe, habe die betroffene Person im Rahmen von Art. 15 DSGVO ein Wahlrecht.

• Außerdem benötige die betroffene Person konkrete Angaben zu den Empfängern, um prüfen zu können, ob ihre Daten in zulässiger Weise verarbeitet werden.

• Ferner stellt der EuGH darauf ab, dass der Verantwortliche nach Art. 19 Satz 2 DSGVO auch zur Unterrichtung über die konkreten Empfänger verpflichtet ist.

Weiterer Verfahrensgang

Mittlerweile hat der Oberste Gerichtshof Österreichs die Entscheidung der Berufungsinstanz aufgehoben (Beschl. v. 17.02.2023 – GZ 6 Ob 20/23v) und das Verfahren an das Landesgericht Wien zurückverwiesen.

Auswirkungen für die Praxis

Die Entscheidung des EuGH ist im Rahmen der Beantwortung von Auskunftsersuchen zwingend zu beachten. Es ist sicherlich zulässig, die betroffene Person zu fragen, ob er/sie alle Empfänger mitgeteilt haben möchte oder ob die Information über die Kategorien von Empfängern genügt. Es ist aber zu erwarten, dass sich die meisten für eine Mitteilung aller Empfänger entscheiden werden, sei es, weil sie es wirklich wissen wollen, sei es, weil sie dem Arbeitgeber zusätzlichen Aufwand machen möchten.

Ob sich diese Entscheidung ohne Weiteres auf die Verpflichtung im Rahmen der Information nach Art. 13 oder 14 DSGVO übertragen lässt, ist fraglich. Sowohl Art. 13 als auch Art. 14 verpflichten in Abs. 1 Buchstabe e) den Verantwortlichen zur Mitteilung von „Empfängern oder Kategorien von Empfängern“. Die Worte sind identisch zu denen in Art. 15 Abs. 1 Buchstabe c) DSGVO.

Wenn vor der Erhebung der Daten, also in dem Zeitpunkt, in dem die Informationspflicht entsteht, bereits Empfänger von Daten bestimmt sind, ließe es sich durchaus vertreten, dass auch insoweit dann eine Pflicht zur Mitteilung dieser Empfänger besteht. Wenn noch nicht klar ist, an wen Daten übermittelt werden, kann diese Pflicht auch noch nicht bestehen.