Unternehmen müssen nun einmal mehr auf den Datenschutz achten. Der EuGH urteilte am 12.01.2023 (Rs. C- 154/21) in einem Vorabentscheidungsverfahren, dass jeder das Recht hat zu erfahren, an wen seine personenbezogenen Daten weitergegeben wurden.
Wir fassen für Sie das Wichtigste zu diesem Urteil auf unserem Blog zusammen!
Was sind personenbezogene Daten?
Nach Verständnis des BGH fallen nicht nur „signifikante biografische Informationen, die im Vordergrund eines Dokuments stehen“ unter den Schutz der DSGVO, sondern alle personenbezogenen Daten, unabhängig von ihrer Sensibilität. Das entspricht auch dem Wortlaut des Art. 4 Nr. 1 Hs. 1 DSGVO. Unter den Begriff der personenbezogenen Daten fällt beispielsweise auch der Briefverkehr zwischen dem Betroffenen und dem Verantwortlichen, den der Betroffene schon kennt.
Sachverhalt
Ein Betroffener beantragte bei der Österreichischen Post, ihm mitzuteilen, gegenüber welchen Empfängern die Post seine personenbezogenen Daten offengelegt hat. Er stützte sein Begehren auf die Datenschutz-Grundverordnung (DSGVO).
Rechtstipp: Nach der DSGVO können Betroffene von dem Verantwortlichen Informationen über die Empfänger oder Kategorien von Empfängern erhalten, gegenüber denen ihre personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.
Post bezog sich auf Datenverarbeitung gemäß „rechtlicher Zulässigkeit“
Die Post beantworte die Frage des Betroffenen eher pauschal und äußerst kurz. So verarbeite sie personenbezogene Daten, soweit das im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern rechtlich zulässig sei und biete diese Daten Geschäftskunden nur für Marketingzwecke an.
Klage gegen die Post auf Auskunftserteilung nach DSGVO
Der Bürger erhob daraufhin gegen die Österreichische Post Klage vor den österreichischen Gerichten. Im gerichtlichen Verfahren stellte sich heraus, dass die Daten des Klägers an Kunden weitergegeben worden sind, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien gehörten.
Frage im Vorabentscheidungsverfahren - Wie weit geht der DSGVO-Auskunftsanspruch?
Der Oberste Gerichtshof Österreichs legte die Sache dem EuGH vor. Die zuständigen Richter wollten die Frage geklärt wissen, ob die DSGVO es dem für die Datenverarbeitung Verantwortlichen freistellt, ob er der betroffenen Person die konkrete Identität der Empfänger oder nur die Kategorien von Empfängern mitteilt, oder ob die betroffene Person gemäß der DSGVO das Recht hat, die konkrete Identität dieser Empfänger zu erfahren?
Recht auf Kenntnis des Empfängers der Daten
Der EuGH wurde deutlich: Der Verantwortliche muss, wenn personenbezogene Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, der betroffenen auskunftsberechtigten Person auf Anfrage die Identität der Empfänger mitteilen.
Wie ist die Rechtslage, wenn die Empfängeridentität noch nicht identifizierbar ist?
Es kann vorkommen, dass Unternehmen die jeweilige Identität der Empfänger noch nicht sofort identifizieren können. Nur für diesen Fall können sich die Verantwortlichen darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen.
Einschränkung bei unbegründeten oder exzessiven Anträgen der Betroffenen
Haben Betroffene unbegründete Anträge an ein Unternehmen gestellt oder sich die Anträge offenkundig übermäßig weit (exzessiv), kann der Verantwortliche sich ebenfalls darauf beschränken nur die Kategorien der Empfänger mitzuteilen.
Dreigeteilter Auskunftsanspruch
Der Anspruch aus Art. 15 DSGVO ist dreigeteilt. Betroffene können verlangen, dass der für die Daten Verantwortliche bestätigt, ob ihn betreffende, personenbezogene Daten verarbeitet werden.
Rechtstipp: Werden Daten verarbeitet, steht dem Betroffenen auch ein Recht auf Auskunft über diese Daten zu. Zusätzlich kann er nach Art. 15 Abs. 3 DSGVO den Erhalt einer Kopie der verarbeiteten Daten fordern. Der Anspruch auf Erteilung einer Kopie folgt dabei in dem Umfang dem Auskunftsanspruch.
Fazit
Insgesamt können wir festhalten, dass der EuGH deutlich gemacht hat, dass jeder das Recht hat zu erfahren, an wen seine personenbezogenen Daten weitergegeben wurden.
Es muss demnach grundsätzlich die Identität der Empfänger bekanntgeben werden.
Ist es nicht möglich, die Empfänger (sofort) zu identifizieren, oder ist der Antrag offenkundig unbegründet oder übertrieben weit gefasst, so kann der Verantwortliche sich jedenfalls darauf beschränken, nur die Empfängerkategorien mitzuteilen.
Sie haben Fragen zum Thema Arbeitsrecht und DSGVO? Melden Sie sich bei uns! Wir stehen Ihnen schnell und unkompliziert zur Seite und beraten Sie gerne!