Aktuelle Judikatur zur Konkretisierung der Empfänger(kategorien) im Rahmen des Auskunftsrechts nach Art 15 DSGVO

Hintergrund dieser Fragestellung war das Auskunftsbegehren einer betroffenen Person nach Art 15 DSGVO. Die betroffene Person begehrte Auskunft über jene konkreten Empfänger und Kategorien von Empfängern, denen gegenüber ihre personenbezogenen Daten offengelegt worden waren oder in Hinkunft noch offengelegt werden.

Im Rahmen dieser Auskunftspflicht führte der Verantwortliche die von ihm eingesetzten Auftragsverarbeiter namentlich und mit vollständiger Adresse an, die für ihn – generell – tätig werden. Weiters gab er an, für welche Zwecke die Daten der betroffenen Person an welche konkreten Empfänger weitergegeben werden konnten. Gleichzeitig stellte der Verantwortliche aber klar, dass nicht jeder dieser Auftragsverarbeiter tatsächlich die Daten der betroffenen Personen verarbeite. Die Auskunft, welcher konkrete Empfänger die Daten der betroffenen Person erhalten habe, erfolgte nicht, da dem Verantwortlichen diese konkreten Empfänger nicht bekannt waren und diese auch nicht nachträglich rekonstruiert werden konnten. Eine betroffenenbezogene Dokumentation der Empfänger war ihm (tatsächlich) nicht möglich und daher eine Auflistung all jener Auftragsverarbeiter, welche die Daten der betroffenen Person tatsächlich erhalten haben, faktisch unmöglich. Sohin nannte der Verantwortliche namentlich nur die potentiellen Empfänger (bzw. Empfängerkategorien). Außerdem wies er auf seine Datenschutzhinweise mit einer Darstellung der Empfängerkategorien hin, welche online abzurufen war.

Als rechtliche Fragestellung ergibt sich sohin, ob die betroffene Person in ihrem Recht auf Auskunft verletzt ist, zumal der Verantwortliche nur eine unvollständige Auskunft erteilte?

Das BVwG stellte dazu klar, dass der Verantwortliche grundsätzlich die konkreten Empfänger nennen muss. Davon ausgenommen sind zwei Fälle: wenn die Feststellung der Identität der konkreten Empfänger tatsächlich nicht möglich ist sowie wenn die Feststellung der Identität der konkreten Empfänger faktisch nicht möglich ist. In diesen Fällen genügt die Mitteilung der Empfängerkategorien, vorausgesetzt die betroffene Person kann sich ein Bild davon machen, an wen die Daten gelangen können. Eine konkrete Pflicht, die konkreten Empfänger zu speichern, ist aus Art 15 Abs 1 lit c DSGVO nicht ableitbar (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 40; sowie Jahnel zur Datenschutz-Grundverordnung Art 15 DSGVO Rz 27). Bei dieser Entscheidung berief sich das BVwG auf das Urteil des EuGH vom 12.01.2023 zu C-154/21 (RW/Österreichische Post AG).

Aufgrund der Tatsache, dass der Verantwortliche alle ihm von den Auftragsverarbeiter zur Verfügung stehenden Informationen, nämlich Name und vollständige Adresse, über die Empfänger bzw. die Empfängerkategorien offengelegt hatte, war er seiner Auskunftspflicht nach Art 15 DSGVO nachgekommen. Mit Kenntnis der Empfängerkategorien und der Auflistung der Auftragsverarbeiter kann sich die betroffene Person ein Bild davon machen, welche Kategorien von Empfängern ihre Daten erhalten haben. Außerdem wies der Verarbeiter aus, für welche Zwecke die Daten der betroffenen Person an welche konkreten Empfänger weitergegeben werden konnten. Damit war es der betroffenen Person möglich, zu überprüfen, ob sie betreffende Daten gegenüber Empfängern offengelegt wurden, denen es erlaubt war, ihre Daten zu verarbeiten.  Eine weitergehende Benennung der tatsächlichen Empfänger konnte hingegen nicht verlangt werden.

Unserer Kanzlei berät Sie gerne zu allen Fragen des Datenschutzrechts, Auskunftsrechts und Betroffenenrechte nach der DSGVO und steht Ihnen für Fragen zu diesem Thema gerne zur Verfügung.