Das Auskunftsrecht über die Empfänger von personenbezogenen Daten
Dr. Theresia Leitinger M.A.I.S Jänner 2023
Selin Celikel
Um den Wettbewerb vor Verzerrungen sowie vor Beeinträchtigungen wirtschaftlicher Tätigkeiten zu schützen, wurde die Datenschutz-Grundverordnung (DSGVO) erlassen. Dabei liegt das Hauptaugenmerk der DSGVO darin, natürlichen Personen genügend Transparenz bezüglich der Verwendung, Erhebung sowie Verarbeitung ihrer personenbezogenen Daten zu gewährleisten.
Grundsätzliches zum Auskunftsrecht
Art 15 DSGVO sieht als bedeutendes Element des Selbstdatenschutzes hierbei explizit ein Auskunftsrecht der betroffenen Person vor, welches von dieser konkret geltend gemacht werden muss.
Die Pflicht, dieses Auskunftsrecht des Betroffenen zu wahren, trifft den Verantwortlichen. Dieser muss dafür sorgen, dass geeignete und wirksame Maßnahmen getroffen werden, um dem Betroffenen die Ausübung seiner Rechte zu ermöglichen.
Aufgrund dessen unterliegt der Verantwortliche einer Rechenschaftspflicht. Nur in offenkundig unbegründeten oder exzessiven Anträgen einer betroffenen Person kann der Verpflichtete sich weigern aufgrund des Antrags tätig zu werden. Der Nachweis dessen muss jedoch vom Verantwortlichen zwingend erbracht werden.
Vorlagefrage an den EuGH
In Art 15 Abs 1 lit c DSGVO ist normiert, dass der Verantwortliche die Empfänger oder Kategorien von Empfängern beauskunften muss. Dies stellte Verantwortliche regelmäßig vor die Frage, ob im Fall, dass der Betroffene die Offenlegung der konkreten Empfänger begehrte, dies verweigert werden dürfe und nur die Kategorien von Empfängern beauskunftet werden müssen.
Der EuGH beantwortet in seinem Urteil zur Rechtssache C-154/21 die Vorlagefrage des Obersten Gerichtshofs wie folgt:
Bei der Auskunft muss der Verantwortliche nach dem Gesetzeswortlaut dem Betroffenen die konkrete Identität der Empfänger oder die Kategorie von Empfängern der personenbezogenen Daten mitteilen, wobei diese beiden Empfänger-Gruppen nicht in einem Vorrangverhältnis stehen und sich damit gegenseitig nicht ausschließen. Vor allem muss die Informationen über den Empfänger der personenbezogenen Daten möglichst klar und präzise sein.
Der Betroffene hat jedoch das Recht in seinem Auskunftsbegehren zu entscheiden, ob er Informationen über bestimmte Empfänger seiner Daten erhalten oder lediglich die Kategorie von Empfängern anfordern möchte. Begehrt der Betroffene Auskünfte konkreter Empfänger, hat der Verantwortliche diese zu erteilen.
Ausnahmen:
1.) Ist es dem Verantwortlichen unmöglich, dem Betroffenen eine Auskunft über den konkreten Empfänger zu erteilen, kann die Auskunft verweigert werden. ZB: Sollte dem Verantwortlichen die Identität des konkreten Empfängers nicht kennen, ist ein Beauskunften (noch) nicht möglich.
2.) Wenn der Verantwortliche nachweist, dass die Anträge auf Auskunft über den konkreten Empfänger der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art 12 Abs 5 DSGVO ist, kann der Verantwortliche sie Auskunft über die konkreten Empfänger verweigern. Wann dies der Fall ist bzw konkrete Beispiele führt der EuGH jedoch nicht an. Rechtsunsicherheit bleibt sohin bestehen.
Quellen:
Haidinger in Knyrim, DatKomm Art 15 DSGVO (Stand 1.12.2021, rdb.at)
EuGH – Urteil EuGH, 12.01.2023 C-154/21 (RW wegen Österreichische Post AG).
