Weitergabe personenbezogener Daten: Verantwortlicher muss Betroffenem Identität der Empfänger nennen

Jeder hat das Recht zu erfahren, an wen seine personenbezogenen Daten weitergegeben wurden. Daher muss der für die Datenverarbeitung Verantwortliche grundsätzlich die Identität der Empfänger bekanntgeben. Etwas anderes gilt nur dann, wenn es nicht möglich ist, die Empfänger zu identifizieren, oder der Antrag offenkundig unbegründet oder exzessiv ist. In diesen Fällen könne ausnahmsweise die Mitteilung der Empfängerkategorien ausreichen, so der Europäische Gerichtshof (EuGH).

Ein Bürger beantragte bei der Österreichischen Post, der größten Anbieterin von Post- und Logistikdiensten in Österreich, ihm mitzuteilen, gegenüber welchen Empfängern sie seine personenbezogenen Daten offengelegt habe. Er stützte sich auf die Datenschutz-Grundverordnung (DS-GVO). Diese sieht vor, dass eine betroffene Person das Recht hat, vom Verantwortlichen Informationen über die Empfänger oder Kategorien von Empfängern zu erhalten, gegenüber denen ihre personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.

Bei der Beantwortung der Anfrage des Bürgers beschränkte sich die Österreichische Post auf die Mitteilung, sie verwende personenbezogene Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und biete diese Daten Geschäftskunden für Marketingzwecke an. Der Bürger klagte daraufhin gegen die Österreichische Post vor den österreichischen Gerichten. Im Lauf des Verfahrens teilte die Österreichische Post dem Bürger weiter mit, seine Daten seien an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen oder politische Parteien gehört hätten.

Der Oberste Gerichtshof (Österreich), bei dem der Rechtsstreit in letzter Instanz anhängig ist, bat den EuGH um Klärung, ob die DS-GVO es dem für die Datenverarbeitung Verantwortlichen freistellt, ob er der betroffenen Person die konkrete Identität der Empfänger oder nur die Kategorien von Empfängern mitteilt, oder ob die betroffene Person gemäß der DS-GVO das Recht hat, die konkrete Identität dieser Empfänger zu erfahren.

Laut EuGH muss der Verantwortliche, wenn personenbezogene Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, der betroffenen Person auf Anfrage die Identität der Empfänger mitteilen. Nur wenn es (noch) nicht möglich ist, diese Empfänger zu identifizieren, könne sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen. Dies sei ebenfalls der Fall, wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist.

Der EuGH weist darauf hin, dass dieses Auskunftsrecht der betroffenen Person erforderlich ist, um es ihr zu ermöglichen, die anderen Rechte auszuüben, die ihr gemäß der DS-GVO zukommen, nämlich das Recht auf Berichtigung, das Recht auf Löschung ("Recht auf Vergessenwerden"), das Recht auf Einschränkung der Verarbeitung, das Recht auf Widerspruch gegen die Verarbeitung oder auch das Recht auf einen Rechtsbehelf im Schadensfall.

Europäischer Gerichtshof, Urteil vom 12.01.2023, C-154/21