EuGH klärt umstrittene Frage zum Umfang des Auskunftsanspruchs nach Art. 15 DS-GVO: Empfänger müssen konkret benannt werden.
Nach dem Urteil des Europäischen Gerichtshofes (EuGH) vom 12.01.2023, Az.: C-154/21, muss der Verantwortliche im Rahmen einer Auskunft nach Art. 15 DS-GVO dem Betroffenen die Identität der Empfänger von personenbezogenen Daten mitteilen. Die Nennung lediglich von Kategorien von Empfängern ist nicht ausreichend.
Verantwortliche müssen dies zukünftig bei Auskünften unbedingt berücksichtigen, um Bußgelder oder Schadensersatzansprüche der Betroffenen zu vermeiden!
Umfang des Auskunftsanspruchs war umstritten
Bis zu der Entscheidung des EuGH war unklar, ob im Rahmen eines Auskunftsverlangens eines Betroffenen gemäß Art. 15 DS-GVO die Identität der Empfänger der Daten konkret benannt werden muss oder ob es genügt, lediglich Kategorien von Empfängern zu benennen.
Die Problematik ist auf den Wortlaut des Art. 15 Abs. 1 lit. c) DS-GVO zurückzuführen, der die beiden Alternativen gleichwertig nebeneinanderstellt. Danach kann der Betroffene vom Verantwortlichen u.a. Auskunft über die folgenden Informationen verlangen:
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden […]
Entscheidung des EuGH
Der EuGH hat mit seinem Urteil für Klarheit gesorgt und entschieden, dass Verantwortliche im Rahmen einer Auskunft gemäß Art. 15 DS-GVO verpflichtet sind, der betroffenen Person die Identität der Empfänger mitzuteilen.
Hintergrund der Entscheidung war ein Rechtsstreit zwischen einem Betroffenen und der Österreichischen Post. Die Österreichische Post hatte dem Betroffenen auf dessen Auskunftsersuchen lediglich Kategorien von Empfängern seiner personenbezogenen Daten mitgeteilt, vertrat dabei aber die Ansicht, dass die Mitteilung der konkreten Identität der Empfänger nicht erforderlich sei.
Der Streit ging bis vor den Obersten Gerichtshof Österreichs, der die Frage, ob die Österreichische Post die Identität der Empfänger benennen muss, dem EuGH zur Entscheidung vorlegte.
Der EuGH stützt sich bei seiner Entscheidung insbesondere auf die Erwägungsgründe der DS-GVO sowie den Transparenzgrundsatz gemäß Art. 5 Abs. 1 lit. a DS-GVO. Danach muss es dem Betroffenen möglich sein zu überprüfen, ob seine personenbezogenen Daten von dem Empfänger, gegenüber dem sie offengelegt wurden, in zulässiger Weise verarbeitet werden. Dies kann der Betroffene aber nur prüfen, wenn ihm die Identität des jeweiligen Empfängers bekannt ist.
Fazit
Das Urteil hat weitreichende Auswirkungen auf den Umfang zukünftig zu erteilender Auskünfte gemäß Art. 15 DS-GVO. Verantwortliche müssen ab sofort im Rahmen von Auskünften die Identität der jeweiligen Empfänger der personenbezogenen Daten konkret benennen. Ausnahmen gelten nur dann, wenn es nicht möglich ist, den Empfänger zu identifizieren oder wenn es sich bei dem Auskunftsersuchen um einen offenkundig unbegründeten oder exzessiven Antrag handelt. In diesem Fall sind - so der EuGH - der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitzuteilen.
Weitere Informationen
