Gibt ein Verantwortlicher personenbezogene Daten weiter, hat der Betroffene einen Anspruch die Identität der konkreten Empfänger zu erfahren, so nunmehr der EuGH. Unternehmen können weiterhin das zweistufige Auskunftsverfahren anwenden, müssen aber sehr sorgfältig vorgehen.

Sachverhalt und Verfahrensgang

Der EuGH-Entscheidung liegt ein Rechtsstreit zwischen einem Bürger und der Österreichischen Post AG (im Folgenden Österreichische Post) zu Grunde. Der Bürger hatte gegen die Österreichische Post einen Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht und wollte insbesondere wissen, gegenüber welchen Empfängern sie seine personenbezogenen Daten offengelegt habe. Sein konkretes Auskunftsbegehren stützte der Bürger auf Art. 15 Abs. 1 lit. c DSGVO. Nach dieser Vorschrift hat der Betroffene ein Recht auf Informationen über „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden […]“.

In ihrer ersten Antwort beschränkte die Österreichische Post ihre Auskunft hinsichtlich der Nachfrage nach den Empfängern darauf, dass sie Geschäftskunden personenbezogene Daten für Marketingzwecke anbietet und verwies für detailliertere Informationen und weitere Datenverarbeitungszwecke auf eine Website. Konkrete Empfänger gab die Österreichische Post in ihrer ersten Antwort nicht an.

Im Verfahren vor den österreichischen Gerichten ergänzte die Österreichische Post ihre Antwort dahingehend, dass sie zusätzlich Kategorien von Empfängern angab. So seien personenbezogene Daten zu Marketingzwecken verarbeitet und an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien gehört hätten.

Der österreichische OGH legte dem EuGH die Frage vor, ob es den Vorgaben des Art. 15 Abs. 1 lit. c DSGVO genügt, wenn der Verantwortliche dem Betroffenen die Kategorien von Empfängern mitteilt, oder ob der Betroffene ein Anspruch hat, die Identität der konkreten Empfänger zu erfahren.

EuGH: „Jeder hat das Recht zu erfahren, an wen seine personenbezogenen Daten weitergegeben wurden“

Auf die Vorlagefrage antwortete der EuGH, dass derVerantwortliche verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen. Dementsprechend hat der Betroffene beim Auskunftsanspruch die Möglichkeit, Informationen über konkrete Empfänger anzufordern, oder alternativ nur über Kategorien von Empfängern.

Der EuGH begründet seine Entscheidung u.a. mit einem Verweis auf Erwägungsgrund 63 und betont, dass die praktische Wirksamkeit der Betroffenenrechte unter der DSGVO gewährleistet sein muss. Dies erfordere, dem Betroffenen einen Anspruch auf Mitteilung der Identität der konkreten Empfänger zu gewähren.

Zudem zog das Gericht enge Grenzen des Auskunftsanspruchs: Der Verantwortliche könne seine Auskunft nur dann auf die Nennung von Empfänger-Kategorien beschränken, wenn der Empfänger nicht identifiziert werden kann oder der Auskunftsantrag offenkundig unbegründet oder exzessiv ist.

Die Entscheidung des EuGH, dem Betroffenen einen Auskunftsanspruch über die konkreten Empfänger zuzubilligen, steht im Einklang mit der Auffassung des Europäischen Datenschutzausschusses (EDSA). Dieser hatte in seinen Leitlinien zum Auskunftsrecht (Guidelines 01/2022) ebenfalls betont, dass die Angaben zu den Empfängern im Hinblick auf die Grundsätze der Transparenz und Fairness so konkret wie möglich sein sollen.

Praktische Konsequenzen für die Auskunftserteilung

Das Urteil erfordert nicht per se, dass Unternehmer bei jeder Auskunftserteilung gem. Art. 15 DSGVO die konkreten Empfänger mitteilen. Die gängige Praxis vieler Unternehmer, ein sog. zweistufiges Auskunftsverfahren anzuwenden, ist auch nach dem EuGH-Urteil möglich, kann aber nicht auf alle Anfragen ohne Risiko angewendet werden. Unternehmen sollten aufmerksam sein und Betroffenenanfragen genau prüfen, bevor sie Auskunft erteilen.

Zum zweistufigen Auskunftsverfahren: Bei diesem Verfahren umfasst die Erstauskunft die wichtigsten Informationen nach Art. 15 DSGVO (z.B. Kategorien von Empfängern), die dann entsprechend den Angaben des Betroffenen in einer zweiten Auskunft um detailliertere Informationen ergänzt werden (z.B. konkrete Empfänger).

Es spricht Vieles dafür, dass die mehrstufige Auskunftserteilung weiterhin zulässig ist. Zum einen hat der EDSA in seinen Leitlinien zum Auskunftsrecht (Guidelines 01/2022) das praktische Bedürfnis nach einer mehrschichtigen Auskunftserteilung bereits anerkannt. Zum anderen spricht das Urteil nicht dagegen: Der EuGH geht in seiner Entscheidung an keiner Stelle auf die Möglichkeit einer mehrstufigen Auskunftserteilung ein.

Im Lichte des EuGH-Urteils dürfte vielmehr die Auslegung des Auskunftsersuchens für die Anwendung des zweistufigen Auskunftsverfahrens entscheidend sein, d.h. die Antwort auf die Frage, ob der Betroffene Auskunft über konkrete Empfänger begehrt oder nicht.

(EuGH, Urt. v. 12.01.2023 - Rs. C-154/21)