Nachschärfung des Auskunftsrechts durch den EuGH

Co-Autorin: Dr. Nathalie Alon, LL.M.
Mit seiner jüngsten Entscheidung im Zusammenhang mit Auskunftsbegehren iSd Datenschutz-Grundverordnung (DSGVO) schärft der Europäische Gerichtshof (EuGH) das Auskunftsrecht jedes Einzelnen.

 

1) Unklarer Wortlaut

Eines der zentralen Betroffenenrechte ist das Auskunftsrecht gemäß Art 15 DSGVO. Jede natürliche Person, deren personenbezogene Daten verarbeitet werden, hat das Recht, vom Verantwortlichen Auskunft über diese personenbezogenen Daten sowie eine Reihe zusätzlicher Informationen über die Verarbeitung zu erhalten. Davon umfasst sind auch Informationen zu den Empfängern der personenbezogenen Daten.

Der Wortlaut des Art 15 Abs 1 lit c DSGVO lässt allerdings offen, ob es ausreichend ist, der betroffenen Person lediglich die Empfängerkategorien mitzuteilen, oder ob zwingend auch die konkreten Empfänger zu beauskunften sind:

“Die betroffene Person hat das Recht […] auf folgende Informationen […] Die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, […].”

Der Wortlaut lässt demgemäß auch eine Interpretation dahingehend zu, dass es dem Verantwortlichen obliegt zu entscheiden, ob die konkreten Empfänger oder doch bloß Empfänger Kategorien mitgeteilt werden.

 

2) Klarstellung durch den EuGH

Vor dem Hintergrund dieser Unklarheit hat der österreichische Oberste Gerichtshof den EuGH im Wege eines Vorabentscheidungsverfahrens angerufen. Der EuGH sollte die Frage nach der Reichweite des Auskunftsrechts beantworten.

Er stellte dabei zunächst fest, dass eine Bestimmung der DSGVO unter Berücksichtigung des Ziels und Zwecks derselben auszulegen ist und dabei jener Auslegung der Vorzug zu geben ist, die die praktische Wirksamkeit der auszulegenden Vorschrift sichert. Weiters hält er fest, dass in den Erwägungsgründen der DSGVO auf das Recht der natürlichen Person hingewiesen wird, wonach diese das Recht haben muss, zu erfahren, wer die Empfänger ihrer personenbezogenen Daten sind. Dieses Recht kann auch nicht dahingehend eingeschränkt werden, dass lediglich die Empfängerkategorien mitgeteilt werden. Außerdem sei auch die Ausübung des Rechts auf Berichtigung bzw Löschung erst sinnvoll möglich, wenn eine betroffene Person vollumfänglich über die Identität der Empfänger ihrer personenbezogenen Daten aufgeklärt wird.

 

Der EuGH legt Art 15 DSGVO somit dahingehend aus, dass Verantwortliche die Identität der Empfänger zu beauskunften haben und sich grundsätzlich nicht auf bloße Kategorien beschränken dürfen. Einschränkungen sieht der EuGH nur wenn:

  • es nicht möglich ist, die Empfänger zu identifizieren, oder
  • das Auskunftsbegehren offenkundig unbegründet oder exzessiv ist.

In diesen Fällen darf der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.

In Österreich ist außerdem zu beachten, dass nach dem österreichischen Datenschutzgesetz das Auskunftsrecht in der Regel dann nicht besteht, wenn durch die Auskunft ein Geschäfts- oder Betriebsgeheimnis gefährdet werden würde.

 

3) Praxistipp

Durch die vom EuGH ergangene Präzisierung des Auskunftsrechts gemäß Art 15 Abs 1 lit c DSGVO kann sich ein dringender Anpassungsbedarf für manche Unternehmen bei der Erfüllung ihrer Auskunftsverpflichtungen ergeben. Auch darf nicht übersehen werden, dass allfällige Sub-Auftragsverarbeiter ebenfalls Empfänger darstellen, die vom Verantwortlichen zu beauskunften sind. Eine gründliche Dokumentation sämtlicher weiterer Auftragsverarbeiter schon bei Vertragsabschluss ist daher auch aus diesem Grund dringend geboten. Sofern sich Verantwortliche auf Ausnahmen berufen, sollte die Entscheidung samt der Begründung sorgfältig dokumentiert werden.

 

Wir unterstützen Sie gerne bei der Vornahme der notwendigen Anpassungen.

FB twitter Linkedin
Tags