Art 15 DSGVO - Auskunft über konkrete Empfänger oder Empfängerkreise?

Art 15 Abs 1 lit c DSGVO

 

Die gesetzliche Bestimmung zur Auskunftserteilung an betroffene Personen an wen der  Verantwortliche personenbezogene Daten übermittelt hat lautet:

 

Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

 

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen

 

In der Gesetzesbestimmung wird nicht eindeutig definiert, ob bei einer Auskunft die  Empfängerkategorien oder die konkreten Empfänger bekannt zu geben sind, daher bedarf die Regelung einer Auslegung.

 

Die Kommentarliteratur ist diesbezüglich „gespalten“ und kommt zu unterschiedlichen  Ergebnissen, wobei alle Varianten von namhaften Datenschutzrechtlern vertreten werden.

 

 

„Es kommt darauf an!“ 

 

„Da dem vom Normengesetzgeber der DSGVO verwendeten „oder“ letzten Endes aber kein kumulativer Charakter unterstellt werden kann (vgl. Haidinger in Knyrim, DatKomm Art 15 DSGVO, RZ 39, Fn. 72), ist auf die Rechtsprechung von Verfassungsgerichtshof und Verwaltungsgerichtshof zu verweisen, die sich (zur entsprechenden alten Rechtslage zu § 26 Abs. 1 DSG 2000 und Art. 12 der RL 95/46/EG) mit der Frage, wann eine Beauskunftung von Empfängerkreisen (in der damaligen Terminologie, entsprechend den Kategorien von Empfängern gemäß Art. 15 Abs. 1 lit. c DSGVO) ausreicht und wann konkrete Empfänger zu benennen sind, auseinandergesetzt haben (VfSlg. 18.230/2007 bzw. VwSlg. 17.680 A/2009 und insbesondere VwSlg. 17.090 A/2006). Demnach bedarf es einer Interessensabwägung im Einzelfall, in welche Gesichtspunkte der Datenschutzinteressen der Beteiligten und öffentliche Geheimhaltungsinteressen einzubeziehen sind, um festzustellen, ob konkrete Empfänger oder lediglich Empfängerkreise zu beauskunften sind (vgl. auch Jahnel, Handbuch Datenschutzrecht, Rz 7/32).“ (Auszug aus der Entscheidung)

 

 

Interessensabwägung ist vom Verantwortlichen durchzuführen

 

Die DSB verweist auf die bisherige Rechtsprechung und damit auf eine Interessensabwägung.

Dies führt dazu, dass ein Verantwortlicher, der sich auf den Standpunkt zurückziehen möchte, dass Empfängerkategorien genannt werden können, sinnvollerweise in der  Auskunft auch die Gründe dafür angeben sollte, weshalb die konkreten Empfänger nicht genannt werden.

 

Das Interesse der betroffenen Person.

Das Interesse der betroffenen Person liegt im nicht weiter begründungsbedürftigen Auskunftsinteresse an einer möglichst vollständigen Auskunft, insbesondere um unionsrechtlich garantierte subjektive Rechte wie beispielsweise Berichtigungs- und Löschungsrechte auch gegenüber Dritten und anderen Verantwortlichen durchsetzen zu können.

 

Daraus wäre mE zu folgern, dass die Auskunft, welche Auftragsverarbeiter im konkreten die Daten erhalten, nicht erfolgen muss, da die Verantwortung für die rechtskonforme Verarbeitung der personenbezogenen Daten der auskunftsersuchenden  Person beim  Verantwortlichen liegt, und Betroffenenrechte gegenüber Auftragsverarbeitern nicht direkt geltend gemacht werden können.

 

Das Interesse des Verantwortlichen.

Aus dem aktuellen Bescheid der DSB ist nicht zu entnehmen, welche Interessen für den Verantwortlichen eine Rolle spielen könnten, um die Auskunft über die konkreten Empfänger „zu verweigern“.

Die DSB führte im konkreten Verfahren bei dem es um eine Auskunftserteilung durch einen Adressverlag ging, der nur die Empfängerkategorien „beauskunftete“ aus:

 

„Aus Sicht der Datenschutzbehörde liegen keine schutzwürdigen Interessen der Beschwerdegegnerin vor, denen ein solches Gewicht zukommen würde, dass sie einer konkreten Beauskunftung der Empfänger entgegenstehen, und hat die Beschwerdeführerin gegenständlich solche auch nicht ins Treffen geführt. Zusätzlich lässt sich aus der Tatsache der entgeltlichen Überlassung von Daten durch Adressverlage schließen, dass die Beschwerdegegnerin allein aus verrechnungstechnischen Gründen genaue Kenntnis darüber haben muss, an wen die betreffenden Daten weitergegeben wurden. Auch behauptete sie zu keinem Zeitpunkt, dass ihr die konkreten Adressaten unbekannt sind.“

 

Jedenfalls ist aus der Entscheidung zu schließen, dass der Verantwortliche gegenüber der betroffenen Person die Gründe dafür, weshalb „nur“ die Empfängerkategorien benannt werden, im Einzelnen darzulegen hat, und diese Gründe die (subjektiven) Interessen der betroffenen Person überwiegen müssen. Nur pauschal zu behaupten, dass die Bekanntgabe der konkreten Empfänger zur Offenlegung der Vertriebswege und der individuellen Kundenbeziehungen führen würde, ist nach Ansicht der DSB nicht ausreichend.

 

Ich denke, dass es uU möglich sein könnte, die Auskunft in dieser Hinsicht zu verweigern, wenn durch die Offenlegung der konkreten Empfänger gegen vertragliche Non-Disclosure-Vereinbarungen verstoßen werden würde, oder wenn dadurch konkrete Betriebs- und Geschäftsgeheimnisse offengelegt werden würden.

 

 

Fazit.

Eine abschließende Beurteilung ist jedoch nur im konkreten Einzelfall möglich, und eine generelle Aussage, welcher Verantwortliche welche konkreten Empfänger bekannt zu geben hat, und gegenüber welchen betroffenen Personen dies zu erfolgen hat, kann nicht getroffen werden.

 

Ein Adressverlag, der die Daten der betroffenen Person „weiterverkauft“, hat jedenfalls die konkreten Empfänger zu nennen, sofern dieser Bekanntgabe nicht konkrete eigene (wirtschaftliche) Interessen entgegenstehen, die das Auskunftsinteresse der betroffenen Person überwiegen.

 

Wenn man jedoch davon ausgeht, dass die Empfänger der Daten, diese zu Zusendung von Werbematerial verwenden, dann sind diese verpflichtet iSd Art 14 Abs 2 lit f DSGVO bei der ersten Verwendung der Daten (dh bei einer Aussendung) bzw. unter den anderen Voraussetzungen des Art 14 die „Quelle“ bekannt zu geben. Da die betroffene Person daher vom Empfänger über die Quelle zu informieren ist, wird auch der Verantwortliche, der als Adressverlag die Daten an dieses Unternehmen, das Werbung betreibt, weitergibt, im Rahmen des Auskunftsverfahrens der betroffenen Person die konkreten Empfänger mitteilen müssen.

 

 

16.09.2020, Autor

Michael Schweiger, zert DSBA