Dieser Inhalt ist frei verfügbar. Mit einem Abonnement der RdW erhalten Sie die Zeitschrift in Print und vollen digitalen Zugriff im Web, am Smartphone und Tablet. Mehr erfahren…
Testen Sie
ALLE 13 Zeitschriftenportale
30 Tage lang kostenlos.
Der Zugriff endet nach 30 Tagen automatisch.
DSGVO: Art 15
Nach Art 15 Abs 1 DSGVO hat die betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden; ist dies der Fall, hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und (lit c) “die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insb bei Empfängern in Drittländern oder bei internationalen Organisationen“.
Der OGH möchte vom EuGH wissen, ob Art 15 Abs 1 lit c DSGVO dahingehend auszulegen ist, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind.
Fraglich ist für den OGH, ob der Verantwortliche das Wahlrecht hat, Empfänger oder lediglich Kategorien von Empfängern bekanntzugeben. Der Wortlaut von Art 15 Abs 1 lit c DSGVO lässt keine abschließende Beurteilung der Frage zu.
Sachverhalt
Im Antwortschreiben auf das Auskunftsersuchen des Kl hatte die Bekl nur mitgeteilt, sie verwende Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Adressverlag und biete diese Geschäftskunden für Marketingzwecke an. Für detailliertere Informationen erwies sie auf eine Website, auf der allerdings nur allgemeine Informationen über die Zwecke der Datenverarbeitung der Bekl geboten werden; auch in den Datenschutzhinweisen auf einer weiteren verlinkten Website finden sich nur allgemeine Datenschutzhinweise der Bekl.
Erst im Zuge des vorliegenden Gerichtsverfahrens teilte die Bekl in der Klagebeantwortung mit, Daten des Kl seien im Rahmen des Adressverlages zu Marketingzwecken verarbeitet und an Geschäftskunden weitergegeben worden – darunter seien werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, NGOs oder Parteien zu verstehen.
Konkrete Empfänger der Daten des Kl gab die Bekl dem Kl zu keinem Zeitpunkt bekannt.
Wird die Vorlagefrage bejaht, hätte die Bekl die Auskunftspflicht nach Art 15 DSGVO mangels namentlicher Nennung der konkreten Empfänger noch nicht vollständig erfüllt und wäre dem Klagebegehren stattzugeben.
Entscheidung
Die Auslegung des Art 15 Abs 1 lit c DSGVO hat sich in erster Linie am Normzweck zu orientieren (Auskunftsrecht als Hilfsanspruch zur effektiven Rechtsdurchsetzung, insb der Betroffenenrechte nach Art 16 ff). Dieser Regelungszweck spricht klar für ein – vom Wortlaut der Bestimmung durchaus gedecktes – Verständnis dahingehend, dass dem Verantwortlichen nicht ein Auswahlermessen hinsichtlich der Frage zukommt, wie konkret er dem Ersuchen um Auskunft über die Empfänger personenbezogener Daten nachkommen will; vielmehr soll grundsätzlich der Betroffene die Wahl haben, ob er Auskunft nur über abstrakte Empfängerkategorien oder über die konkreten Empfänger seiner Daten begehrt.
Das gegenteilige Normverständnis, aufgrund dessen sich der Verantwortliche letztlich immer darauf zurückziehen könnte, bloß über die Empfängerkategorie zu informieren, führte zu einer erheblichen Beeinträchtigung der angestrebten Effektivität der Rechtsbehelfe, die dem Betroffenen zum Schutz seiner Daten zur Verfügung stehen: Hat nämlich der Verantwortliche die freie Wahl, wird kaum jemals ein Verantwortlicher die mit erheblichem Mehraufwand verbundene Detailauskunft über konkrete Empfänger erteilen. Diesfalls wird der Betroffene in aller Regel nur über abstrakte Empfängerkategorien informiert werden.
Vorabentscheidungsersuchen
Der OGH hat dem EuGH folgende Frage zur Vorabentscheidung vorgelegt:
Ist Art 15 Abs 1 lit c der VO (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. 4. 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der RL 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. 5. 2016, S 1; im Folgenden „DSGVO“) dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?
