Vorgeschichte
Der Kläger ersuchte die beklagte Post Anfang 2019 unter Verweis auf Art 15 DSGVO ua um Auskunft darüber, welche personenbezogenen Daten die Beklagte über ihn gespeichert habe und, wenn es zu einer Weitergabe der Daten gekommen sei, wer die konkreten Empfänger gewesen seien. Die Post verwies in ihrer Antwort bzgl der Kategorien von (Daten-)Empfängern auf ihre Website, die wiederum auf eine weitere Website verwies. Dort waren allerlei Empfängerkategorien. Im Zuge des Gerichtsverfahrens teilte die Beklagte dem Kläger mit, Daten des Klägers seien an Geschäftskunden – darunter seien werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, NGOs oder Parteien zu verstehen – weitergegeben worden. Konkrete Empfänger der Daten des Klägers gab die Beklagte dem Kläger zu keinem Zeitpunkt bekannt.
Das Auskunftsrecht einer betroffenen Person nach Art 15 DSGVO ((EU) 2016/6791) umfasst auch „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ (lit c).
Der Kläger brachte ua vor, dass die Post damit nicht Art 15 DSGVO entsprochen habe, weil aus ihren Angaben nicht hervorgegangen sei, wer die konkreten Empfänger dieser Daten nach Weitergabe gewesen seien.
Die Frage war nun, ob Art 15 Abs 1 lit c „die Empfänger oder Kategorien von Empfängern“ ein Wahlrecht des Verantwortlichen (hier die Post) beinhaltet.
Der OGH legte dem EuGH folgende Frage zur Vorabentscheidung vor:
„Ist Art 15 Abs 1 Buchst c der Verordnung (EU) 2016/6791 dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?“
Der Generalanwalt führt nun dazu Folgendes aus:
Art 15 Abs 1 DSGVO sieht ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person vor. Die Ausübung dieses Auskunftsrechts durch die betroffene Person setzt logischerweise voraus, dass dem Inhaber dieses Rechts die Wahlmöglichkeit eröffnet wird, ob er Auskunft über die Informationen erhalten möchte, die, soweit möglich, die konkreten Empfänger betreffen, oder ob er, alternativ, sich damit zufriedengibt, Informationen über Kategorien von Empfängern zu verlangen.
Erwägungsgrund 63 der DSGVO sieht ausdrücklich vor, dass die betroffene Person „ein Anrecht darauf haben [sollte,] zu wissen und zu erfahren, insbesondere … wer die Empfänger der personenbezogenen Daten sind“.
Die DSGVO zielt darauf ab, innerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten.
Das Auskunftsrecht nach Art 15 DSGVO ist auch erforderlich, damit die betroffene Person ua ihre Rechte auf Berichtigung, Löschung („Recht auf Vergessenwerden“) und Einschränkung der Verarbeitung ausüben kann. Wenn die betroffene Person keine Kenntnis hätte über die konkreten Empfänger, könnte sie diese Rechte gegenüber diesen Empfängern entweder gar nicht oder nur mit unverhältnismäßigem Aufwand ausüben könnte.
Art 19 DSGVO verpflichtet den Verantwortlichen, alle Empfänger, an die er die personenbezogenen Daten weitergegeben hat, über alle von ihm zu befolgenden Anträge auf Berichtigung, Löschung oder Beschränkung der Verarbeitung dieser Daten zu informieren. Die Bestimmung des Art 19 DSGVO bestätigt, dass die betroffene Person zur Gewährleistung der praktischen Wirksamkeit ihrer Rechte auf Löschung, Berichtigung oder Beschränkung der Verarbeitung grundsätzlich über ein Recht auf Offenlegung der Person der konkreten Empfänger verfügen muss, wenn ihre Daten bereits offengelegt wurden. Nur auf diese Weise kann die betroffene Person ihre Rechte diesen gegenüber geltend machen.
Zusammenfassung:
Art 15 Abs 1 lit c DSGVO ist im Hinblick auf das Ziel der Gewährleistung der praktischen Wirksamkeit aller oben genannten Bestimmungen der DSGVO dahin auszulegen, dass das von dieser Bestimmung vorgesehene Auskunftsrecht grundsätzlich zwingend der Möglichkeit Rechnung tragen muss, vom Verantwortlichen Auskunft über die konkreten Empfänger von Offenlegungen der personenbezogenen Daten der betroffenen Person zu erlangen; dies jedoch mit Grenzen: Und zwar, wenn dem Verantwortlichen aus tatsächlichen Gründen die Erteilung einer Auskunft über konkrete Empfänger nicht möglich ist, zB wenn diese tatsächlich noch nicht identifiziert wurden. Weiters dürfen die Anträge der betroffenen Person keinen offensichtlich unbegründeten oder exzessiven Charakter haben (iSv Art 12 Abs 5 DSGVO). Den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags hat der Verantwortliche zu erbringen.
Schlussanträge des Generalanwalts des EuGH 9.6.2022, C-154/21 (Post)
Anmerkung:
Der EuGH ist nicht an den Schlussantrag des Generalanwalts gebunden, hält sich aber meist daran.
