ZUSATZ INFORMATIONEN

EuGH nimmt zu Art. 15 DSGVO Stellung

EuGH konkretisiert DSGVO-Auskunftsanspruch

Werden personenbezogene Daten offengelegt, dann muss der Verantwortliche über die konkrete Identität des Empfängers Auskunft erteilen, so der EuGH in seinem Urteil vom 12. Januar 2023 (Rs. C-154/21). Damit hat der EuGH eine Vorlagefrage des Österreichischen Obersten Gerichtshofs zu Art. 15 Abs. 1 lit. c der DSGVO beantwortet.

Im vorliegenden Fall ging es darum, dass ein Bürger bei der Österreichischen Post beantragte, ihm mitzuteilen, gegenüber welchen Empfängern sie seine personenbezogenen Daten offengelegt habe. Die Österreichische Post beschränkte sich zunächst auf die Mitteilung, sie verwende personenbezogene Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und bietet diese Daten Geschäftskunden für Marketingzwecke an. Daraufhin klagte der Bürger und stützte sich auf Art. 15

Abs. 1 lit. c DSGVO, der einen Anspruch auf Auskunft der Empfänger oder der Kategorien von Empfängern, gegenüber denen personenbezogene Daten offengelegt worden sind oder werden, gewährt.

Im Laufe des Verfahrens ergänzte die Österreichische Post, die Daten des Bürgers seien an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen oder politische Parteien gehört hätten.

Der Österreichische Oberste Gerichtshof hatte Zweifel über die Auslegung von Art. 15 Abs. 1 lit. c DSGVO und legte dem EuGH die Frage vor, inwieweit es dem für die Datenverarbeitung Verantwortlichen freistehe, die konkrete Identität oder nur die Kategorie von Empfängern mitzuteilen. Der EuGH hat diese Frage – wie oben dargelegt – beantwortet.

Anmerkung: Dass der EuGH nun im Grundsatz davon ausgeht, auch die konkrete Identität sei mitzuteilen und eine Beschränkung auf Empfängerkategorien komme nur ausnahmsweise in Betracht, stellt eine Verschärfung der daten- schutzrechtlichen Anforderungen an Unternehmen dar. Das Urteil des EuGH hat dabei über den Auskunftsanspruch aus Art. 15 DSGVO hinaus Bedeutung. Die Implikationen des Urteils beschränken sich nicht unbedingt nur auf Art. 15 DSGVO. Insbesondere erscheint es mit Blick auf den identischen Wortlaut in Art. 13 Abs. 1 lit. e und Art. 14 Abs. 1 lit. e DSGVO möglich, dass Aufsichtsbehörden und Gerichte zukünftig auch bei Datenschutzhinweisen spezifische Angaben zu sämtlichen Empfängern verlangen. Bislang geben viele Unternehmen hier lediglich die Kategorien von Empfängern an.

(Quelle. Legal Tribune Online vom 12. Januar 2023)