Informationen über die Empfänger personenbezogener Daten

Generalanwalt Pitruzzella hat sich in seinen vorliegenden Schlussanträgen mit dem Umfang des Auskunftsrechts nach der DSGVO auseinandergesetzt.

Der Sachverhalt:
Ein Betroffener verlangt vor österreichischen Gerichten von der Österreichische Post AG Auskunft u.a. darüber, ob sie personenbezogene Daten über ihn an Dritte weitergegeben habe oder weitergeben werde, und falls ja, wer die konkreten Empfänger gewesen sind bzw. sein werden.

Die Österreichische Post teilte dem Betroffenen letztlich mit, dass sie im Rahmen ihrer Tätigkeit als Adressverlag Daten von ihm zu Marketingzwecken verarbeitet und an Geschäftskunden weitergegeben habe, darunter werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, NGOs oder Parteien. Konkrete Empfänger nannte sie jedoch nicht.

Der Oberste Gerichtshof ersucht den EuGH, das Auskunftsrecht betroffener Personen nach der DSGVO zu präzisieren. Diese bestimmt u.a., dass die Person, deren Daten verarbeitet werden, das Recht hat, vom Verantwortlichen Auskunft über diese personenbezogenen Daten zu verlangen sowie über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Art. 15).

Der OGH möchte wissen, ob die betroffene Person Auskunft über die konkreten Empfänger der Offenlegungen ihrer personenbezogenen Daten verlangen kann oder ob sich der Verantwortliche darauf beschränken kann, lediglich Auskunft über die Kategorien der Empfänger dieser Offenlegungen zu erteilen.

Die Gründe:
Art. 15 Abs. 1 Buchst. c DSGVO ist dahin auszulegen, dass das dort vorgesehene Auskunftsrecht der betroffenen Person auf deren Antrag notwendigerweise auf die Angabe der konkreten Empfänger der Offenlegungen ihrer personenbezogenen Daten zu erstrecken ist. Dieses Auskunftsrecht kann nur dann auf die Angabe von Kategorien von Empfängern beschränkt werden, wenn es aus tatsächlichen Gründen unmöglich ist, die konkreten Empfänger der Offenlegungen der die betroffene Person betreffenden personenbezogenen Daten zu bestimmen, oder wenn der Verantwortliche nachweist, dass die Anträge der betroffenen Person i.S.v. Art. 12 Abs. 5 DSGVO offensichtlich unbegründet oder exzessiv sind.

Die betroffene Person muss zur Gewährleistung der praktischen Wirksamkeit ihrer in der DSGVO vorgesehenen Rechte auf Löschung, Berichtigung oder Beschränkung der Verarbeitung grundsätzlich über ein Recht auf Offenlegung der Person der konkreten Empfänger verfügen, wenn ihre Daten bereits offengelegt wurden. Nur auf diese Weise kann die betroffene Person ihre Rechte diesen gegenüber geltend machen.

Mehr zum Thema:

• Aufsatz: Linardatos – Intelligente Medizinprodukte und Datenschutz (CR 2022, 367)
• Aufsatz: Lejeune – Datenaustausch mit dem Vereinigten Königreich nach dem Brexit (ITRB 2022, 135)
• Beratermodul IT-Recht
  Die perfekte Online-Ausstattung für das IT-Recht (DSGVO/BDSG).
  Stets auf dem aktuellsten Stand mit den Inhalten aller Ausgaben von Computer und Recht und IT-Rechtsberater sowie den Updates von Redeker, Handbuch der IT-Verträge.
  4 Wochen gratis nutzen!