Verpflichtende namentliche Nennung von Empfängern personenbezogener Daten im Rahmen des Auskunftsrechts nach der DSGVO?

von RA Mag. Clemens Handl

 

Einleitung

Die DSGVO sieht – neben Pflichten für Personen, Unternehmen oder Stellen, die über die Verarbeitung von personenbezogenen Daten natürlicher Personen entscheiden („Verantwortliche“) – umfassende Rechte für Personen vor, deren Daten verarbeitet wurden („Betroffene“). Dem Betroffenen steht unter anderem das Recht zu, vom Verantwortlichen darüber informiert zu werden, wem gegenüber Daten offengelegt oder übermittelt wurden („Empfänger“).

Der Umfang dieses Auskunftsrechts war kürzlich Gegenstand einer Entscheidung des Obersten Gerichtshofs (OGH 18.02.2021, 6 Ob 159/20f). Strittig ist im Wesentlichen, ob die Empfänger vom Verantwortlichen nur abstrakt nach ihrer Kategorie (zB Bank, Versicherungsunternehmen etc.) oder konkret (zB. AB Bank AG, XY Versicherungs GmbH etc.) beauskunftet werden müssen.

 

Auskunftsrecht des Betroffenen

Nach Art 15 Abs 1 lit c DSGVO hat der Betroffene das Recht, Auskunft darüber zu verlangen, an welche Empfänger oder Kategorien von Empfängern Daten offengelegt wurden oder noch offengelegt werden.

Nach dem Wortlaut der Bestimmung kommen drei unterschiedliche Auslegungsvarianten in Betracht: (i) Entweder der Betroffene kann wählen, ob er die konkreten Empfänger oder bloß die Kategorien der Empfänger erfahren will, oder (ii) der Verantwortliche kann diese Entscheidung treffen. Nach einer dritten Variante besteht kein Wahlrecht, sondern (iii) der Verantwortliche muss zwingend so präzise wie möglich beauskunften. Hat der Verantwortliche die Daten Dritten noch nicht offengelegt, muss er so konkret wie möglich angeben, wem gegenüber er die Daten offenlegen will. Steht der konkrete Empfänger bereits fest oder wurden die Daten bereits übermittelt, so muss der Name des Empfängers offengelegt werden. Ist noch nicht absehbar, wer Empfänger sein soll, was beispielsweise dann der Fall sein könnte, wenn ein Lieferant noch nicht beauftragt wurde, so wäre in diesem Fall lediglich die Kategorie (zB Hostingprovider) bekannt zu geben.

Der Oberste Gerichtshof hat in seiner Entscheidung festgestellt, dass eher ein Wahlrecht des Betroffenen vorliegt, da in Art 15 Abs 1 DSGVO ein Recht des Betroffenen und keine Pflicht des Verantwortlichen geregelt wird. Nach dieser Bestimmung soll der Betroffene das Recht haben, Auskunft über die Empfänger oder die Kategorien der Empfänger zu erhalten. Auch der Erwägungsgrund 63 spreche dafür, da dort erläutert wird, dass der Betroffene erfahren können soll, wem gegenüber seine Daten offengelegt wurden. Letztlich lasse der Wortlaut von Art 15 DSGVO aber keine eindeutige Auslegung zu. Diese Frage wurde daher dem für die Auslegung zuständigen Europäischen Gerichtshof („EuGH“) zur Entscheidung vorgelegt.

 

Empfehlung

Insgesamt handelt es sich bei dem Umfang des Auskunftsrechts um eine Frage besonderer praktischer Bedeutung. Verantwortliche sind häufig mit Auskunftsanfragen von Betroffenen konfrontiert. Folgt der EuGH der Auffassung des Obersten Gerichtshofs, so fällt ein erheblicher Mehraufwand für die korrekte Beantwortung der Anfragen beim Verantwortlichen an. Unternehmen sollten daher – unabhängig von einem Auskunftsbegehren – eine Liste mit Unternehmen erstellen, an die personenbezogene Daten offengelegt werden. Mit dieser Liste können allfällige Anfragen der Datenschutzbehörde oder des Betroffenen schnell und korrekt beantwortet werden. Über die Entscheidung des EuGH werden wir natürlich wieder berichten.

 

Disclaimer

Die vorstehenden Ausführungen geben einen allgemeinen Überblick. Der Beitrag kann die Beratung im Einzelfall allerdings nicht ersetzen. Gerne stehen wir Ihnen für datenschutzrechtliche Fragen zur Verfügung.

 

Clemens Handl ist Partner bei CHG Czernich Rechtsanwälte.