Jeder darf wissen, an wen seine Daten weitergegeben wurden

Nach Ansicht des Europäischen Gerichtshofs (EuGH) muss der Verantwortliche, wenn personenbezogene Daten offengelegt werden über die konkrete Identität des Empfängers Auskunft erteilen. Die Angabe nur von Kategorien von Empfängern reiche nur dann aus, wenn die Bestimmung der konkreten Empfänger unmöglich oder der Antrag offensichtlich unbegründet ist (Urt. v.12.01.2023, Az. C-154/21).

Ein Mann wollte Anfang 2019 von der österreichischen Post wissen, ob bzw. an wen die Post personenbezogene Daten über ihn weitergegeben hatte. Gestützt hatte der Mann seinen Auskunftsanspruch auf Art. 15 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 (kurz: Datenschutz-Grundverordnung (DSGVO)). Dieser sieht vor, dass eine betroffene Person das Recht hat, von dem Verantwortlichen Informationen über die Empfänger oder Kategorien von Empfängern zu erhalten, gegenüber denen ihre personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden. Bei der Beantwortung der Anfrage des Bürgers beschränkte sich die Österreichische Post jedoch auf die Mitteilung, sie verwende personenbezogene Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und biete diese Daten Geschäftskunden für Marketingzwecke an.

Vorinstanzen bejahten Wahlrecht des Verantwortlichen

Der Mann erhob daraufhin gegen die Post Klage vor den österreichischen Gerichten – jedoch zunächst ohne Erfolg. Im Laufe des Verfahrens konkretisierte die Post zwar ihre Angabe und erklärte, dass die Geschäftskunden unter anderem Handelsunternehmen, Adressverlage und politische Parteien seien. Dennoch wiesen sowohl das erstinstanzlich zuständige Gericht als auch das Berufungsgericht die Klage des Mannes ab. Demnach räume Art. 15 DSGVO dem Verantwortlichen durch den Verweis auf die „Empfänger oder Kategorien von Empfängern“ die Wahlmöglichkeit ein, der betroffenen Person lediglich die Kategorien von Empfängern mitzuteilen, ohne die konkreten Empfänger der personenbezogenen Daten namentlich nennen zu müssen.

Dagegen legte der Mann Revision beim Obersten Gerichtshof in Österreich ein, der das Verfahren daraufhin aussetzte. Im Wege des Vorabentscheidungsverfahrens legte das Gericht dem EuGH die Frage vor, inwieweit es dem für die Datenverarbeitung Verantwortlichen nach Art. 15 Abs. 1 Buchst. C DSGVO freistehe, die konkrete Identität oder nur die Kategorie von Empfängern mitzuteilen. Diese Frage hat der EuGH nun beantwortet.

EuGH: Jeder darf wissen, an wen seine personenbezogenen Daten weitergegeben wurden

Der EuGH legte Art. 15 Abs. 1 Buchst. c DSGVO so aus, dass dem Betroffenen grundsätzlich die konkrete Identität der Empfänger mitzuteilen sei. Dabei stellte das Gericht zwar fest, dass der Wortlaut zunächst keinen Vorrang der Mitteilung der konkreten Identität des Empfängers erkennen lasse. Für die praktische Wirksamkeit vieler DSGVO-Rechte sei allerdings erforderlich, dem Betroffenen einen vorrangigen Anspruch auf Mitteilung der konkreten Identität zu gewähren. Dazu verwies der EuGH unter anderem auf das Recht auf Berichtigung, das Recht auf Löschung („Recht auf Vergessenwerden“), das Recht auf Einschränkung der Verarbeitung, das Recht auf Widerspruch gegen die Verarbeitung und das Recht auf einen Rechtsbehelf im Schadensfall. Diese für den Betroffenen günstige Auslegung stehe außerdem im Einklang mit dem Ziel, ein möglichst hohes Datenschutzniveau für natürliche Personen zu gewährleisten und trage dem Grundsatz der Transparenz Rechnung.

Eine Ausnahme von diesem Grundsatz bestünde nach Ansicht der Luxemburger Richter allerdings dann, wenn es dem Verantwortlichen (noch) nicht möglich sei, die Empfänger zu identifizieren. Dann könne sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen. Dies sei ebenfalls der Fall, wenn der Verantwortliche nachweist, dass der Antrag offensichtlich unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO ist.

Ob die österreichische Post im konkreten Fall nun genauere Auskünfte über die Daten-Empfänger erteilen muss, muss nun der Oberste Gerichtshof in Österreich entscheiden.

aha