EuGH, Urteil vom 12.01.2023, Az. C-154/21
Auskunftsersuchen: Konkrete Benennung der Empfänger von Daten i.d.R. erforderlich
Der EuGH hat auf das Vorabentscheidungsersuchen des Obersten Gerichtshofs Österreichs hin entschieden, dass im Rahmen der Beantwortung von Auskunftsersuchen nach § 15 DSGVO konkrete Angaben über den bzw. die Empfänger der personenbezogenen Daten des Betroffenen gemacht werden müssen. Bis auf wenige Ausnahmen sei es nicht ausreichend, die Kategorien von Empfängern zu benennen.
Der Kläger hatte bei der Österreichischen Post nach Art. 15 DSGVO Auskunft über die dort gespeicherten, ihn betreffenden personenbezogenen Daten und darüber gefordert, welche Empfänger diese erhalten hätten. Die Post teilte zunächst mit, dass sie die Daten im Rahmen ihrer Tätigkeit zur Herausgabe von Telefonbüchern Geschäftskunden für Marketingzwecke anbiete. Später gab sie ergänzend an, die Daten an die werbetreibenden Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spenderorganisationen, Nichtregierungsorganisationen oder politischen Parteien weitergegeben zu haben. Konkrete Empfänger wurden nicht benannt.
Der Kläger machte daraufhin die Benennung der konkreten Empfänger gerichtlich geltend, in den ersten beiden Instanzen ohne Erfolg. Der Oberste Gerichtshof Österreichs legte die Frage des Bestehens eines Anspruchs auf Auskunft hinsichtlich der konkreten Adressaten schließlich dem EuGH zur Vorabentscheidung vor.
Dieser urteilte, dass der Auskunftsanspruch grundsätzlich die konkrete Identität der Empfänger umfasst. Eine Ausnahme hiervon gelte nur dann, wenn es nicht möglich ist, die Empfänger zu identifizieren oder wenn der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind.
Zur Begründung des Urteils wird angeführt, dass bei der Auslegung von Art. 15 DSGVO auch der Zusammenhang, in dem die Vorschrift steht, sowie die Zwecke und Ziele der DSGVO zu berücksichtigen seien. Der Wortlaut von Art. 15 Abs. 1 Buchstabe c) DSGVO („die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“) sei nicht eindeutig. Aus dem Zusammenhang und insbesondere aus Erwägungsgrund 63 ergebe sich aber, dass der Auskunftsanspruch das Recht umfasse, die konkreten Empfänger der personenbezogenen Daten zu erfahren. Dafür spreche auch der Grundsatz der Transparenz der Verarbeitung aus Art. 5 Abs. 1 a DSGVO. Um die Wirksamkeit von Betroffenenrechten wie dem Recht auf Berichtigung oder Löschung zu gewährleisten, müsse die betroffene Person über das Recht verfügen, die Identität der konkreten Empfänger zu erfahren, wenn ihre personenbezogenen Daten bereits offengelegt wurden.