Auskunft gem. Art 15 DSGVO über konkrete Empfänger oder über Empfängerkategorien? 

 

Der EuGH wird es klären!

Der OGH hat (GZ 6Ob159/20f am 18.02.2021) dem EuGH eine Frage zum Auskunftsrecht und Empfänger/kategorien vorgelegt.

 

Der Sachverhalt.

Ein Betroffener verlangte von einem Adressverlag um Auskunft iSd Art 15 DSGVO und zwar wollte er wissen,

• welche personenbezogenen Daten über gespeichert werden bzw. in der Vergangenheit gespeichert wurden, sowie
• wo die Speicherung dieser Daten erfolge und,
• wenn es zu einer Weitergabe der Daten gekommen sei, wer die konkreten Empfänger gewesen seien.

Im Zuge der Auskunftserteilung hat der Adressverlag (generische) Kategorien von Empfängern bekannt gegeben, und zwar zB durch einen Verweis auf die Datenschutzinformation wie folgt:

 

„Weitere Empfänger: Im Rahmen der Vertragsbeziehung und insbesondere im Zusammenhang mit unserer Leistungsverpflichtung, kann es – je nach Einzelfall – zu weiteren Übermittlungen Ihrer personenbezogenen Daten kommen (wie andere Postdienstleister [z.B. UPU, IPC], Frächter, Ärzte, Krankenanstalten, Versicherungsunternehmen und -makler, Sachverständige, Gutachter, Rechtsanwälte, Interessenvertretungen, Adressverlage und Direktmarketingunternehmen, Banken und Kapitalanlagegesellschaften, Versicherungen, Wirtschaftsprüfer, Berater, Förderstellen, Aktionäre, Investoren). Außerdem können unter bestimmten Voraussetzungen Ihre Daten an werbetreibende Unternehmen weitergegeben werden. Das sind zum Beispiel Unternehmen wie Handelsunternehmen oder Vereine, die Konsumenten ansprechen wollen.“

 

Im Laufe des Verfahrens hat der Adressverlag der auskunftsersuchenden Person mitgeteilt, dass deren personenbezogene Daten im Rahmen des Adressverlages zu Marketingzwecken verarbeitet und an Geschäftskunden – darunter seien werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, NGOs oder Parteien zu verstehen – weitergegeben worden sind.

Konkrete Empfänger hat der Adressverlag nicht genannt.         

Die Rechtslage.

Art 15 Abs 1 lit c DSGVO sieht vor, dass „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen“ zu beauskunften sind.          

Die Entscheidungen des LG und des OLG.

Sowohl das Landesgericht als auch das Oberlandesgericht wiesen die Klage ab. Beide Gerichte argumentierten:

Aus der Formulierung „Empfänger oder Kategorien von Empfängern“ in Art 15 Abs 1 lit c DSGVO gehe eindeutig ein Wahlrecht des Verantwortlichen (Auskunftspflichtigen) hervor, sodass die Auskunft über Kategorien von Empfängern genüge und die einzelnen Empfänger namentlich nicht genannt werden müssten.

 

Die Vorlagefrage des OGH.

Der OGH legte folgende Frage dem EuGH zur Beantwortung vor:

 

Ist Art 15 Abs 1 lit c DSGVO dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?

Der OGH verweist in diesem Zusammenhang auf die unterschiedlichen Rechtsmeinungen in der Literatur.

 

Haidinger in Knyrim DatKomm und Paal in Paal/Pauly, DS-GVO/BDSG gehen von einem Wahlrecht aus, und andere Kommentatoren differenzieren danach, ob eine Weitergabe bereits erfolgte (Empfänger konkret zu nennen) bzw. noch nicht feststeht, wer der konkrete Empfänger sein wird (Empfängerkategorien).

 

Der OGH weist auch treffend darauf hin, dass ErwGr 63 der DSGVO davon spricht davon, „jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, … wer die Empfänger der personenbezogenen Daten sind, …“. Hier wird also nicht bloß von „Kategorien von Empfängern“ gesprochen, was ebenfalls dafür spricht, dass der Verantwortliche die einzelnen Empfänger namentlich nennen muss.

 

Judikatur der DSB zum gleichen Thema

Die Datenschutzbehörde hat sich mit dieser Frage – auch im Hinblick auf einen Adressverlag – bereits auseinandergesetzt. Wir haben dazu bereits einen Blogbeitrag am 16.09.2020 veröffentlicht.

 

Die DSB verweist auch auf eine Interessenabwägung zwischen der auskunftsersuchenden Person und dem Verantwortlichen, und vertritt die Ansicht, dass ein Adressverlag die konkreten Empfänger der Daten zu nennen hat.

 

 „Aus Sicht der Datenschutzbehörde liegen keine schutzwürdigen Interessen der Beschwerdegegnerin vor, denen ein solches Gewicht zukommen würde, dass sie einer konkreten Beauskunftung der Empfänger entgegenstehen, und hat die Beschwerdeführerin gegenständlich solche auch nicht ins Treffen geführt.

Zusätzlich lässt sich aus der Tatsache der entgeltlichen Überlassung von Daten durch Adressverlage schließen, dass die Beschwerdegegnerin allein aus verrechnungstechnischen Gründen genaue Kenntnis darüber haben muss, an wen die betreffenden Daten weitergegeben wurden. Auch behauptete sie zu keinem Zeitpunkt, dass ihr die konkreten Adressaten unbekannt sind.“

 

 

 

Eigene Schlussfolgerung.

Meines Erachtens sind daher die Empfänger, die die personenbezogenen Daten erhalten haben, konkret zu beauskunften.

 

Im Rahmen der Interessenabwägung kann der Verantwortliche zB bei sonstiger Verletzung von Betriebs- und Geschäfts­geheimnissen die Auskunft zu konkreten Empfängern uU verweigern.

 

Auch im Hinblick darauf, dass im Rahmen bei Verwendung von Daten von Adressverlagen, derjenige, der die Daten angekauft hat, den Adressverlag als „Quelle“ bereits in der Datenschutzinformation gem. Art 14 DSGVO gegenüber den betroffenen Personen bekannt zu geben hat, erscheint es wesentlich, dass betroffene Personen im Rahmen der Auskunft umfassend informiert werden, und auch die konkreten Empfänger ihrer Daten vom Verantwortlichen beauskunftet werden.

 

 

13.03.2021, Autor
Michael Schweiger