EuGH konkretisiert Maßstab von Auskunftsersuchen gem. Art. 15 DSGVO

Vor den nationalen Gerichten hatte ein österreichischer Bürger gegenüber der nationalen Post beantragt, ihm Zugang zu personenbezogenen Daten nach Art. 15 Abs. 1 c) DSGVO zur Verfügung zu stellen, um nachzuvollziehen, wem die ihn betreffenden personenbezogenen Daten durch die Verantwortliche offengelegt wurden. Die Beklagte verstand den Anspruch dahingehend, dass ihr im Rahmen der Auskunft ein Wahlrecht zustünde, dem Betroffenen lediglich die Kategorie von Empfängern mitzuteilen, ohne die konkreten Empfänger der personenbezogenen Daten namentlich nennen zu müssen. Dieser Auffassung schlossen sich auch die angerufenen Instanzgerichte, mit Ausnahme des OGH, an. Dieser formulierte eine entsprechende Vorlagefrage an den EuGH und legte diese dem Gerichtshof zur Entscheidung vor. Der EuGH nutzte diese Detailfrage schlussendlich, um die Reichweite des Auskunftsanspruchs entsprechend zu konkretisieren.

Der Auskunftsanspruch für Betroffene ist ein wirksames und effektives Mittel, die Ziele der Datenschutz-Grundverordnung zu sichern, sich der Verarbeitung seiner personenbezogenen Datenbewusst zu werden und deren Rechtmäßigkeit überprüfen zu können. Gegenwärtig ist die rechtskonforme Information des Betroffenen durch den Verantwortlichen mit erheblichem Aufwand verbunden, insbesondere dann, wenn der Verantwortliche nicht auf eine derartige Auskunft vorbereitet ist und auf kein (effektives) Datenmanagement zurückgreifen kann. Um den mit der Auskunftserteilung verbundenen Aufwand zumindest zu minimieren, beschränkten sich viele Unternehmen darauf, lediglich Auskunft über die Kategorie der Empfänger zu geben. Dies ist nunmehr mitunter nicht mehr ausreichend.

Der EuGH hat im aktuellen Urteil festgestellt, dass ein Auskunftsanspruch gem. Art. 15 Abs. 1 DSGVO in erster Linie darauf gerichtet ist den Verantwortlichen zu verpflichten, die Identität der Empfänger mitzuteilen, wenn personenbezogene Daten des Betroffenen gegenüber Empfängern offengelegt wurden/werden. Diese betroffenenfreundliche Auslegung bestimmt ein grundsätzliches Wahlrecht des Betroffenen. Nach dem Wortlaut der Norm kann damit der Betroffene allein über die Reichweite der Offenlegungspflicht disponieren. Der Normalfall dürfte in Zukunft der sein, dass vom Betroffenen die konkreten Empfängeridentität verlangt wird. Eine rein pauschale Mitteilung der Kategorie der Empfänger ist mithin nur noch in engen Ausnahmefällen zulässig, etwa dann, wenn der Empfänger überhaupt nicht identifiziert werden kann oder der Auskunftsanspruch des Betroffenen offensichtlich unbegründet oder exzessiv ist.

Darüber hinaus wird diskutiert, ob die Entscheidung aufgrund des identischen Wortlauts in Art. 13 Abs. 1 e) und Art. 14 Abs. 1 e) DSGVO zukünftig bedeutet, dass Verantwortliche konkrete Empfänger von Daten in Datenschutzerklärungen nennen müssen. Aus unserer Sicht bleibt es dabei, dass hier der Verantwortliche das Wahlrecht hat, ob er Empfänger oder Empfängerkategorien angibt. Dies wird auch durch die vom EuGH vorgenommene Auslegung von Art. 15 Abs. 1 DSGVO unterstützt: Denn der EuGH begründet die Pflicht zur Information in Art. 15 Abs. 1 c) DSGVO vor allem aufgrund der Systematik und dem Schutzzweck, die bei Art. 13 und Art. 14 DSGVO tatsächlich anders sind. Die weitere Diskussion hierzu sollte allerdings aufmerksam verfolgt werden.

Die Entscheidung ist eine von vielen Vorlagefragen an den EuGH im Zusammenhang mit dem datenschutzrechtlichen Auskunftsanspruch. Das Gericht nimmt solche Vorlagen erfahrungsgemäß dankend an und nutzt sie, wie vorliegend, um Unklarheiten auszuräumen, vorangegangene Entscheidungen zu präzisieren oder das eigene Rechtsverständnis über europarechtlich determinierte Materie zu skizzieren. Vorliegend beseitigt die Entscheidung bestehende Unklarheit über die Auslegung der DSGVO und bestärkt die Rechtsposition der Auskunftssuchenden. Unternehmen müssen sich daher in vielen Fällen auf einen erheblichen Mehraufwand bei der Bearbeitung von Auskunftsersuchen gem. Art. 15 DSGVO einstellen. Unternehmen sollten daher den Prozess zur Beantwortung von Betroffenenanfragen überprüfen und auf die neuen Gegebenheiten anpassen.