EuGH: Jeder hat das Recht zu erfahren, an wen seine personenbezogenen Daten weitergegeben werden
Jeder hat das Recht zu erfahren, an wen seine personenbezogenen Daten weitergegeben werden. Der für die Datenverarbeitung Verantwortliche kann sich jedoch darauf beschränken, nur die Empfängerkategorien mitzuteilen. Dies ist der Fall, wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn der Antrag offenkundig unbegründet oder exzessiv ist. So entschied der Europäische Gerichtshof (EuGH) am 12.01.2023, Az. C-154/21.
Der Sachverhalt:
Ein Bürger beantragte bei der Österreichischen Post, der größten Anbieterin von Post- und Logistikdiensten in Österreich, ihm mitzuteilen, gegenüber welchen Empfängern sie seine personenbezogenen Daten offengelegt habe. Er stützte sich auf die EU Datenschutz-Grundverordnung (DS-GVO). Nach DS-GVO hat eine betroffene Person das Recht, von dem Verantwortlichen Informationen über die Empfänger oder Kategorien von Empfängern zu erhalten, gegenüber denen seine personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.
Bei der Beantwortung der Anfrage des Bürgers beschränkte sich die Österreichische Post auf die Mitteilung, sie verwende personenbezogene Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und biete diese Daten Geschäftskunden für Marketingzwecke an. Der Bürger erhob daraufhin gegen die Österreichische Post Klage vor den österreichischen Gerichten. Im Lauf des gerichtlichen Verfahrens teilte die Österreichische Post dem Bürger weiter mit, seine Daten seien an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen oder politische Parteien gehört hätten.
Konkrete Identität der Empfänger oder nur die Kategorien der Empfänger mitteilen?
Der Oberste Gerichtshof Österreich, bei dem der Rechtsstreit in letzter Instanz anhängig ist, möchte wissen, ob die DS-GVO dem für die Datenverarbeitung Verantwortlichen freistellt, ob er nur die Kategorien von Empfängern mitteilt oder die konkrete Identität dieser Empfänger darlegen muss.
Identität der Empfänger personenbezogener Daten sind mitzuteilen
Mit seinem Urteil antwortet der EuGH, dass der Verantwortliche, wenn personenbezogene Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person auf Anfrage die Identität der Empfänger mitzuteilen. Nur wenn es noch nicht möglich ist, diese Empfänger zu identifizieren, kann sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen. Dies ist ebenfalls der Fall, wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist.
Der Gerichtshof weist darauf hin, dass dieses Auskunftsrecht der betroffenen Person erforderlich ist, um es ihr zu ermöglichen, die anderen Rechte auszuüben, die ihr gemäß der DS-GVO zukommen. Dazu zählen:
- das Recht auf Berichtigung,
- das Recht auf Löschung,
- das Recht auf Einschränkung der Verarbeitung,
- das Recht auf Widerspruch gegen die Verarbeitung oder auch
- das Recht auf einen Rechtsbehelf im Schadensfall.
+49 3681 362-114
