Auf Antrag des obersten Gerichtshofs Österreichs hat der EuGH am 12. Januar 2023 (C-154/21) über den Umfang des Auskunftsanspruchs betroffener Personen aus Art. 15 DSGVO entschieden.
Anders, als bei den Artt. 13 und 14 DSGVO, denen entsprechend allgemeine Informationen zur Verarbeitung personenbezogener Daten den davon betroffenen Personen bereits bei oder im Vorfeld der Datenverarbeitung zu geben sind, bedarf es bei Art. 15 DSGVO eines ausdrücklichen Antrags der betroffenen Person. Insofern sind die Artt. 13 und 14 DSGVO einerseits und Art. 15 DSGVO andererseits strikt voneinander abzugrenzen. Stellt die betroffene Person einen Antrag auf Auskunftserteilung gem. Art. 15 DSGVO, treffen den Verantwortlichen eine Reihe von Auskunftspflichten, die in den Absätzen 1 und 2 katalogartig aufgeführt sind. Leider bestehen aufgrund der durch den Gesetzgeber getroffenen Wortwahl an mehreren Stellen Unklarheiten über den Umfang der Auskunft. Eine dieser Unklarheiten wurde nun durch den EuGH beseitigt.
Vorausgegangen ist dem Verfahren das Auskunftsersuchen eines Betroffenen gegen die Österreichische Post. Diese hatte Adressen für den Eintrag in Telefonbücher zu gewerblichen Zwecken an Unternehmen weitergeleitet. In dem Antwortschreiben an den Anfragenden teilte die Post in diesem Zusammenhang lediglich mit, dass sie diese Daten auch Geschäftskunden zu Zwecken des Marketings zugänglich mache, ohne konkrete Angaben zu diesen Geschäftskunden zu tätigen. Dabei berief sich das Unternehmen auf den Wortlaut des Art. 15 Abs. 1 lit. c) DSGVO, wonach den betroffenen Personen im Zuge eines Auskunftsverlangen u.a. „Empfänger oder Kategorien von Empfängern“ zu nennen sind. Die Post beschränkte sich mit Verweis auf diesen Wortlaut darauf, lediglich „Geschäftskunden“ als Empfängerkategorie anzugeben. Hiergegen wandte sich der Betroffene und klagte auf Beauskunftung konkreter Empfänger. Der Oberste Gerichtshof in Österreich legte die Frage vor, wie Art. 15 Abs. 1 lit. c) DSGVO auszulegen sei.
Bei der zu treffenden Auslegung wandte das Gericht nicht die wörtliche, sondern die Auslegung nach Sinn und Zweck der Norm an. Dabei berücksichtigte es insbesondere den Erwägungsgrund 63 zur DSGVO. Sinn und Zweck des Art. 15 DSGVO ist, den betroffenen Personen gegenüber möglichst vollständige Transparenz über die Verarbeitung (hierzu gehört gem. Art. 4 Nr. 7 DSGVO auch die Übermittlung) ihrer Daten zu verschaffen. Dies wiederum ist die Voraussetzung für die weitere Ausübung von Betroffenenrechten, wie z.B. die Erteilung von Verarbeitungsverboten gegenüber bestimmten Empfängern oder die Ausübung des Widerspruchrechts gem. Art. 21 DSGVO. Sehr viel deutlicher, als Art. 15 Abs. 1 lit. c) DSGVO formuliert dementsprechend auch EG 63 S. 3: „Jede betroffene Person sollte daher ein recht darauf haben, zu wissen und zu erfahren … wer die Empfänger personenbezogener Daten sind…“
Im Ergebnis müssen deshalb, abweichend vom Wortlaut des Art. 15 Abs. 1 lit. c) DSGVO konkrete Empfänger genannt werden. Bloße Angaben zu Empfängerkategorien, wie z.B. „Geschäftskunden“, „Partner“, „angeschlossene Unternehmen“ genügen hingegen nicht. Lediglich in Ausnahmefällen kann man sich noch auf den Begriff der Kategorien von Empfängern zurückziehen. Strittig ist das nach wie vor noch bei Auftragsverarbeitern und Unterauftragsverarbeitern, da hier die betroffenen Personen ohnehin ihre Betroffenenrechte gegenüber dem Verantwortlichen gelten machen müssen, mithin die Nichtkenntnis der Auftragnehmer nicht zu einem Rechtsverlust in diesem Sinne führen kann.
Im Ergebnis herrscht durch das höchstrichterliche Urteil nunmehr in einem weiteren bislang strittigen Punkt Klarheit. Betroffene Personen können ihre Rechte zukünftig vollumfänglich gegenüber anderen Empfängern ihrer personenbezogenen Daten geltend machen. Für Unternehmen werden Aufwand und damit Kosten für Auskünfte nach Art. 15 DSGVO dagegen weiter steigen.