Das Auskunftsrecht Betroffener nach Art. 15 DSGVO ist in seiner praktischen Bedeutung das wichtigste Betroffenenrecht der DSGVO. Sein Umfang ist nach wie vor in etlichen Details unklar und umstritten. Erste Verfahren zur Klärung liegen beim EuGH. Von dort kommt nun auch ein erster Hinweis auf das Verständnis dieses Rechts: Werden personenbezogene Daten offengelegt, muss Betroffenen jeder Empfänger genannt werden. Nur, wenn diese Angabe aus tatsächlichen Gründen unmöglich ist, soll es ausreichen, die Kategorien von Empfängern zu nennen.
Derzeit liegen eine Reihe von datenschutzrechtlich relevanten Verfahren zur Vorabentscheidung beim EuGH. Dies ist für die Konkretisierung der vielen unbestimmten Rechtsbegriffe in der DSGVO von erheblicher Bedeutung. In einem aus Österreich zum EuGH gelangten Verfahren geht es um die Reichweite des Auskunftsrechts, konkret: Muss Betroffenen, die Auskunft verlangen, konkret dargelegt werden, welchen Dritten ihre Daten offengelegt wurden oder reicht es, wenn die Kategorie der Empfänger genannt werden, gegenüber denen eine Offenlegung erfolgte?
Die Frage bezieht sich auf Art. 15 Abs. 1 lit. c DSGVO. Danach haben Betroffene das Recht auf Auskunft „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden …“. In der Praxis macht es ganz erhebliche Unterschiede, ob die Empfänger oder „nur“ die Kategorien benannt werden, muss im ersten Fall doch eine womöglich umfassende Liste mit Einzelangaben zu den juristischen und natürlichen Personen angefertigt und überlassen werden, die Daten vom Betroffenen erhalten haben, während die Angabe der Kategorie von Empfängern (z.B. „Kunden“, „Social Media Anbieter“) mit deutlich weniger Aufwand und einem deutlich geringerem Risiko einer Verletzung von Rechten der Dritten erfolgen kann.
In Luxemburg hat nun der Generalanwalt am 09.06.2022 seine Position in den Schlussanträgen zum Verfahren veröffentlicht (C-154/21 – RW gegen Österreichische Post). Diese Schlussanträge binden das Gericht nicht. In den weit überwiegenden Fällen folg der EuGH aber den Schlussanträgen des Generalanwalts. Grund genug, schon diese in den Blick zu nehmen.
Und, um dies gleich vorweg zu nehmen: Der Generalanwalt vertritt eine weite Auslegung des Auskunftsrechts. Er stärkt die Rechte der Betroffenen und verschärft die auf den Unternehmen liegende Last, Auskunftsrechte ordnungsgemäß zu erfüllen. Nach seiner Auffassung müssen immer die einzelnen Empfänger genannt werden, wenn ein Betroffener dies wünscht. Davon abgesehen werden könne nur, wenn dies tatsächlich unmöglich ist oder das Auskunftsbegehren offensichtlich unbegründet oder exzessiv ist.
Tatsächlich unmöglich sei die Angabe etwa, wenn die Empfänger z. B. tatsächlich noch nicht identifiziert wurden, weil eine Offenlegung erst künftig erfolgen soll (es könne vom Verantwortlichen zweifellos nicht verlangt werden, dass er Informationen mitteilt, die noch nicht vorliegen). In diesem Fall müssten nur die Kategorien von Empfängern angegeben werden. Von offensichtlich unbegründeten oder exzessiven Anträgen kann nach der bisherigen Positionierung der Behörden und Gerichte nur in absoluten Ausnahmefällen ausgegangen werden; die aktuellen Schlussanträge bringen dazu keine neuen Erkenntnisse.
Die wichtigsten Aussagen des Generalanwalts dazu in aller Kürze:
- Die Struktur des Auskunftsrechts lege es nahe, dass Betroffene ein Wahlrecht haben, ob sie die Empfänger erfahren wollen oder „nur“ die Kategorien von Empfängern.
- Ein Recht, die individuellen Empfänger zu erfahren, würde auch dem Zweck des Auskunftsrechts am besten gerecht: Nach den Erwägungsgründen hätten Betroffene ein Anrecht darauf, zu erfahren, wer Empfänger ihrer personenbezogenen Daten sind (EG 63 DSGVO). Gerade dies würde ein hohes Datenschutzniveau gewährleisten.
- Würde es ausreichen, die Kategorien von Empfängern zu nennen, würde dies bedeuten, dass der betroffenen Person die Möglichkeit genommen würde, in vollem Umfang die Rechtmäßigkeit der vom Verantwortlichen vorgenommenen Verarbeitung und insbesondere die Rechtmäßigkeit der bereits erfolgten Offenlegungen von Daten überprüfen zu können. Die Information sei auch erforderlich, um weitere Rechte, etwa auf Berichtigung oder Löschung, wirksam geltend zu machen.
Für die Praxis bedeutet dies: Im Zweifel sind Auskünfte umfassender zu erteilen. Rechte Dritter (hier der Empfänger personenbezogener Daten) dürfen dabei aber nicht aus dem Blick geraten. Verantwortliche stehen daher einmal mehr der Herausforderung gegenüber, die korrekte Abwägung widerstreitender Interessen zu finden. In jedem Fall sollte geprüft werden, ob die Auskunftsprozesse anzupassen sind.