EuGH-Urteil vom 12.1.2023, Rechtssache C‑154/21
Sachverhalt:
Ein Bürger wandte sich an die Österreichische Post, um gemäß Art. 15 DSGVO Auskunft darüber zu erhalten, welche ihn betreffenden personenbezogenen Daten die Post speichert und, sofern es zu einer Offenlegung der Daten gegenüber Dritten gekommen ist, wer diese Empfänger waren.
Bei der Beantwortung dieser Anfrage beschränkte sich die Post auf die Mitteilung, sie verwende Daten im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und biete diese personenbezogenen Daten Geschäftskunden für Marketingzwecke an. Wer die konkreten Empfänger dieser Daten waren, gab die Post nicht bekannt.
Der Bürger klagte daraufhin die Post. Der OGH setzte das Verfahren aus und legte es und dem EuGH zur Vorabentscheidung vor.
Entscheidung:
Der EuGH wies zunächst darauf hin, dass dem Wortlaut von Art. 15 Abs. 1 Buchst. c DSGVO zufolge eine betroffene Person nach dieser Bestimmung das Recht hat, Auskunft darüber zu verlangen, ob (diese Person betreffende) personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat die Person ein Recht auf Auskunft über diese personenbezogenen Daten und auf Informationen über die Empfänger oder Kategorien von Empfängern, gegenüber denen diese personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.
Die Begriffe „Empfänger“ und „Kategorien von Empfängern“ sind nebeneinander aufgeführt, ohne dass daraus geschlossen werden kann, dass zwischen ihnen ein Vorrangverhältnis besteht. Um die Wirksamkeit der gewährten Rechte zu gewährleisten, muss eine betroffene Person aber über das Recht verfügen, dass ihr die Identität der konkreten Empfänger mitgeteilt wird, wenn ihre personenbezogenen Daten bereits offengelegt wurden. Die Informationen, die der betroffenen Person gemäß dem in Art. 15 Abs. 1 Buchst. c DSGVO vorgesehenen Auskunftsrecht erteilt werden, müssen daher möglichst genau sein.
Aus dem mit der DSGVO verfolgten Ziel ergibt sich daher auch, dass die betroffene Person das Recht hat, von dem Verantwortlichen Informationen über die konkreten Empfänger zu verlangen. Es mag zwar unter bestimmten Umständen nicht möglich sein, Informationen über konkrete Empfänger zu erteilen. In solchen Fällen kann eine Auskunft verweigert werden, wenn es sich um offenkundig unbegründete oder exzessive Anträge handelt (wofür der Verantwortliche den Nachweis zu erbringen hat). Im vorliegenden Fall hat daher der OGH zu prüfen, ob die Österreichische Post unter Berücksichtigung der Umstände des Ausgangsverfahrens nachgewiesen hat, dass dieser Antrag offenkundig unbegründet oder exzessiv ist.
Generell kam der EuGH aber zu dem Ergebnis, dass Art. 15 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass betroffenen Person die Identität der Empfänger mitzuteilen ist, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.
Weitere Blog-Beiträge zum Thema Datenschutzrecht:
DSGVO-Verbandsklage des VKI gegen Autovermietung erfolgreich
Zahlungserfahrungsdaten in Bonitätsdatenbanken: OGH zu Fristen/Kriterien für Löschung.