Der EuGH hat mit Urteil vom 12.01.2023 – Rs. C-154/21 entschieden, dass bei einem Auskunftsgesuch nach Art. 15 DSGVO konkrete Angaben über den bzw. die Empfänger der personenbezogenen Daten des Betroffenen gemacht werden müssen. Es reicht damit nicht (mehr) aus, die Kategorie des Empfängers, etwa nur die Branchenzugehörigkeit, zu beauskunften. Der Betroffene hat einen Anspruch auf Offenlegung der konkreten Identität des Empfängers.
Das kürzlich ergangene Urteil des EuGH behandelt eine bislang nicht abschließend geklärte Frage im Zusammenhang mit der Erfüllung eines datenschutzrechtlichen Auskunftsanspruchs gemäß Art. 15 DSGVO. Art. 15 DSGVO gewährt Betroffenen im Sinne der DSGVO einen Anspruch auf Auskunft hinsichtlich Art und Umfang der Verarbeitung von sie betreffenden personenbezogenen Daten. Der Anspruch umfasst neben der Information darüber, ob überhaupt Daten des Betroffenen verarbeitet werden, zahlreiche weitere in Art. 15 Abs. 1 lit. a) – h) DSGVO aufgelistete Aspekte der Verarbeitung, u.a. zu den Zwecken der Verarbeitung, Aufbewahrungsfristen oder den – hier streitgegenständlichen – Empfängern, an die Daten offengelegt werden. Die weiteren Absätze von Art. 15 DSGVO betreffen das Recht zur Mitteilung über geeigneter Garantien im Falle eines Drittstaatentransfers und das Recht auf Erhalt einer Kopie. Auch das Recht auf Erhalt einer Kopie ist derzeit Gegenstand mehrerer am EuGH anhängiger Vorlageverfahren.
Sachverhalt
Der Kläger ist Kunde der beklagten Österreichischen Post und verlangte 2019 von dieser Auskunft unter anderem nach Art. 15 Abs. 1 lit. c) DSGVO zu den konkreten Empfängern, denen die Österreichische Post seine personenbezogenen Daten offenlegte.
Der Streit bezog sich nicht auf die Frage, ob eine Auskunft erteilt werden soll, sondern wie konkret diese erfolgen muss. Die Österreichische Post teilte dem Kunden zunächst nur die Empfängerkategorien mit, statt der konkreten Benennung der Empfänger seiner personenbezogenen Daten. Im weiteren Verlauf wurde die Beklagte konkreter und teilte jedenfalls die Branchenzugehörigkeit der Empfänger mit. Sie berief sich dabei auf den Wortlaut von Art. 15 Abs. 1 lit. c) DSGVO, wonach die „Empfänger oder Kategorien von Empfängern“ genannt werden müssten.
Auch mit dieser Auskunft gab sich der Kunde nicht zufrieden, das Verfahren wanderte vor den obersten Österreichischen Gerichtshof (OGH). Der OGH wertete den Wortlaut von Art. 15 Abs. 1 lit. c) DSGVO als nicht hinreichend klar und legte dem EuGH folgende Frage zur Klärung vor:
Ist Art. 15 Abs. 1 lit. c DSGVO dahin gehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?
Entscheidungsgründe
Der EuGH stellte fest, dass die Varianten „Empfänger“ und „Kategorien von Empfängern“ zunächst gleichrangig zu lesen seien. Anhand des Wortlauts der Norm habe der Betroffene keinen vorrangigen Anspruch auf die Nennung konkreter Empfänger. Eine systematische Auslegung im Lichte der weiteren Betroffenenrechte, wie beispielsweise dem Recht auf Löschung nach Art. 17 DSGVO, und unter Heranziehung der Erwägungsgründe 10 und 63 Satz 3 DSGVO, führe jedoch zu dem Schluss, dass eine Nennung der konkreten, individuellen Empfänger notwendig sei. Weitere Betroffenenrechte könnten ohne eine konkrete Nennung nicht effektiv ausgeübt werden. Ausnahmen griffen nur, wenn der Verantwortliche keinen konkreten Empfänger identifizieren könne.
Bedeutung für die Praxis – Auswirkungen auch auf Informationspflichten?
Hinsichtlich des Auskunftsanspruchs nach Art. 15 Abs. 1 lit. c) DSGVO ist das Urteil fortan maßgeblich. Verantwortliche, die schon bislang im Rahmen der Erfüllung eines datenschutzrechtlichen Auskunftsersuchens die konkreten Empfänger der Daten benannt haben, können sich in dem Urteil bestätigt sehen. Für die Praxis ist die mit dem Urteil verbundene Aussage nicht furchtbar neu. Überraschend ist die Entscheidung des EuGH in keinem Fall.
Interessanter als die durch den EuGH zu entscheidende Frage zum datenschutzrechtlichen Auskunftsanspruch scheint vielmehr, ob aus dem Urteil auch Hinweise zu Art und Umfang der zu vermittelnden Informationen nach Art. 13 und 14 DSGVO abgeleitet werden können. Konkret stellt sich die Frage, ob und wenn ja, wie sich das Urteil des EuGH auf die gemäß Art. 13 Abs. 1 lit. e) bzw. Art. 14 Abs. 1 lit. e) DSGVO zu erfüllende Informationspflicht hinsichtlich der Empfänger bzw. Empfängerkategorien auswirkt.
Das Fazit scheint hier eindeutig: Eine spiegelbildliche Übertragung der Aussagen des Urteils zur Auskunftspflicht auch auf die datenschutzrechtlichen Informationspflichten ist nicht angezeigt.
Zwar verpflichten Art. 13 Abs. 1 lit. e) und Art. 14 Abs. 1 lit. e) DSGVO auch zu der Nennung von „Empfängern oder Kategorien von Empfängern“ personenbezogener Daten. Die beiden Regelungen zur Informations- bzw. Auskunftspflicht haben jedoch unterschiedliche Zwecke und – vor allem – unterschiedliche Zeitpunkte im Blick: Während es im Zusammenhang mit den nach Art. 13 und 14 DSGVO zu erteilenden Informationen um eine eigenständige, proaktive Pflicht geht, die bei Beginn der Datenverarbeitung erfüllt werden muss, d.h. zu einem Zeitpunkt, zu dem im Zweifel noch gar nicht genau feststeht, an welche konkreten Empfänger (Dritte oder Auftragsverarbeiter) Daten weitergegeben werden, sind Auskünfte im Sinne von Art. 15 DSGVO stets reaktiv, auf eine gezielte Nachfrage eines Betroffenen hin zu erteilen. Im Zeitpunkt eines Auskunftsersuchens sind dem Verantwortlichen jedoch alle Empfänger der Daten bekannt. (Zumindest sollte dem so sein.) Der EuGH zieht wohl auch deshalb Art. 13 Abs. 1 lit. e) und Art. 14 Abs. 1 lit. e) DSGVO nicht in einer Weise heran, die eine Art. 15 Abs. 1 lit. c) DSGVO vergleichbare Auslegung naheliegen würde. Das Urteil zitiert vielmehr die Schlussanträge des Generalanwalts, dort Rn. 21, dahingehend, wonach Art. 15 DSGVO einer anderen Logik unterliege als Art. 13, 14 DSGVO. Die Rechte der betroffenen Person werden hierdurch auch nicht ungebührlich beeinträchtigt: Eine abstrakte Nennung von Empfängerkategorien in der Datenschutzinformation hindert die betroffene Person nicht in der Durchsetzung ihrer Rechte. Insbesondere jetzt, da die Pflicht zu einer konkreten Nennung der Empfänger bei gezielten Auskunftsgesuchen nicht mehr wegzudiskutieren ist, hat es die betroffene Person selbst in der Hand, umfassende Transparenz herzustellen.
Zusammenfassung:
- Bei einem datenschutzrechtlichen Auskunftsgesuch müssen gemäß Art. 15 Abs. 1 lit. c) DSGVO die Empfänger der Daten konkret benannt werden.
- Eine Pflicht, auch im Rahmen der Erfüllung von Informationspflichten nach Art. 13, 14 DSGVO entsprechend konkret über (potentielle) Empfänger informieren zu müssen, kann dem Urteil nicht entnommen werden.