Das datenschutzrechtliche Auskunftsrecht (Artikel 15 DSGVO) und dessen Bedeutung für das Recht auf informationelle Selbstbestimmung waren in der Vergangenheit immer wieder Gegenstand von gerichtlichen Auseinandersetzungen. Das Ziel des Auskunftsrechts ist es, Transparenz zu schaffen und betroffene Personen umfassend über die Verarbeitung ihrer Daten aufzuklären. Allerdings gibt es oft Unklarheiten darüber, welchen Umfang die Auskunft haben muss, was auch schon in verschiedenen Gerichtsverfahren behandelt wurde.
Auch deutsche Gerichte haben bereits zum Umfang des Auskunftsrechts entschieden (u.a. BGH, Urteil vom 15.06.2021, Az. VI ZR 576/19; BAG, Urteil vom 27.04.2021, Az. 2 AZR 342/20; LAG Baden-Württemberg, Urteil vom 17.03.2021, Az. 21 Sa 43/20; AG Wiesbaden, Urteil vom 31.05.2021, Az. 93 C 3382/20).
In einem aktuellen Urteil hat nun der Europäische Gerichtshof (EuGH) als oberste rechtsprechende Instanz der EU seine Anforderungen an die Benennung von Datenempfängern in der Auskunft konkretisiert.
Zum Sachverhalt:
Ein Kunde der Österreichischen Post hatte Auskunft über die Verarbeitung seiner Daten verlangt. Die Post nannte jedoch nur die Kategorien von Empfängern und nicht die konkreten Empfänger, gegenüber denen die Daten offengelegt wurden. Daraufhin reichte der Kunde Klage bei den österreichischen Gerichten ein. Im Rahmen des Rechtsstreits wurde unter anderem Art. 15 Abs. 1 lit. c der Datenschutz-Grundverordnung (DSGVO) diskutiert. , der die Benennung der Empfänger oder Kategorien von Empfängern vorsieht, denen die personenbezogenen Daten offengelegt werden. Der Kläger argumentierte, dass die Nennung von Kategorien nicht ausreichend sei.
Um Klarheit zu schaffen, legte der Oberste Gerichtshof in Österreich den Sachverhalt schließlich dem Europäischen Gerichtshof (EuGH) vor.
Urteil des EuGH:
Der EuGH entschied in seinem Urteil vom 12. Januar 2023 (Rechtssache C-154/21), dass Verantwortliche, in diesem Fall die Österreichische Post, verpflichtet sind, betroffenen Personen die konkrete Identität der Empfänger mitzuteilen und sich grundsätzlich nicht nur auf Kategorien von Empfängern zu beschränken.
Zur Urteilsfindung befasste sich der EuGH mit einer Reihe von Artikel und Erwägungsgründen der DSGVO (vgl. Rechtssache C-154/21, Rn. 28-51) und weist darauf hin, „… dass nach ständiger Rechtsprechung bei der Auslegung einer Vorschrift des Unionsrechts nicht nur deren Wortlaut, sondern auch der Zusammenhang, in dem sie steht, sowie die Zwecke und Ziele, die mit dem Rechtsakt, zu dem sie gehört, verfolgt werden, zu berücksichtigen sind…“ (vgl. Rechtssache C-154/21, Rn. 29). Der EuGH begründete die Nennung der konkreten Identität unter anderem auch damit, dass der Erwägungsgrund 63 nicht erwähnt, dass das Auskunftsrecht lediglich auf die Kategorien von Empfängern beschränkt werden könnte.
Fazit für den Verantwortlichen:
Insgesamt verdeutlicht und bestärkt das Urteil des EuGH die Bedeutung des Auskunftsrechts und die damit verbundene Transparenz für betroffene Personen. Verantwortliche müssen sich nun bewusst sein, dass sie künftig in der Regel Auskunft auch über die konkrete Identität der Empfänger angeben müssen.
Wir empfehlen, die Prozesse zur Auskunft und den sonstigen Betroffenenrechten zu prüfen und ggf. anzupassen. Bei Fragen stehen wir gerne zur Verfügung.