EuGH zur DSGVO: Umfang des Auskunftsanspruchs

Eine Person aus Österreich hatte im Jahr 2019 gegenüber der dortigen Post einen Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht. Die österreichische Post teilte daraufhin lediglich mit, dass personenbezogene Daten zu Marketingzwecken an Geschäftskunden weitergegeben wurden, wie zum Beispiel IT-Unternehmen, werbetreibende Händler oder ähnliches. Weitere Angaben wurden nicht gemacht. Die betroffene Person verlangte hingegen die konkrete Nennung der jeweiligen Empfänger der Daten, was die Post ablehnte. Daraufhin erhob der Auskunftsersuchende Klage vor Gericht.
 

Das Gericht gab der Klage des Auskunftssuchenden statt. Nach Ansicht des Europäischen Gerichtshofs müsse der Verantwortliche nicht nur allgemein über die Kategorien der Empfänger informieren, sondern auch über die konkrete Identität unterrichten. Davon könne nur dann abgewichen werden, wenn der Verantwortliche die Empfänger nicht identifizieren kann, oder aber, wenn das Auskunftsverlangen gem. Art. 12 Abs. 5 DSGVO offensichtlich unbegründet oder exzessiv ist. Denn nur wenn das Auskunftsverlangen nach Art. 15 Abs. 1 lit. c DSGVO auch die Identität der Empfänger erfasse, können die weiteren Betroffenenrechte wirksam ausgeübt werden. Hierzu zählen unter anderen das Recht auf Vergessenwerden (Löschung) oder das Recht auf Einschränkung der Verarbeitung. Im Ergebnis müsse daher, abgesehen von den genannten Ausnahmen, stets die konkrete Identität der Empfänger mitgeteilt werden.

Die Entscheidung wird bei den Verantwortlichen wohl nicht für Freude sorgen, sind doch etwaige Konzepte zur Erfüllung von Auskunftsansprüchen zu überarbeiten. Auch die Beantwortung der Anfragen selbst werden Mehraufwand verursachen. Andererseits werden die Betroffenenrechte durch die Entscheidung gestärkt. Konsequent ist die Entscheidung allemal: Denn nur wer exakt weiß, wann, wer, wie und wo Daten verarbeitet, kann seine Rechte gegenüber den jeweiligen Verantwortlichen effektiv ausüben. (sts)