In einem aktuellen Urteil des EuGH vom 12.01.2023 (C?154/21), hat dieser auf eine Vorlagefrage aus ?sterreich hin, weitere Rechtssicherheit bezüglich der Erteilung von Auskünften geschaffen. Streitgegenst?ndlich war im ursprünglichen Verfahren insbesondere die Frage, ob der betroffenen Person ausschlie?lich Kategorien von Empf?nger ihrer personenbezogenen Daten mitgeteilt werden müssen oder die konkreten Empf?nger benannt werden würden. Der EuGH hat klargestellt, dass immer die konkreten Empf?nger benannt werden müssen, soweit diese bekannt sind.
Nach Art. 15 Abs. 1 lit. b DSGVO k?nnen betroffene Personen vom Verantwortlichen einer Datenverarbeitung Informationen über ?die Empf?nger oder Kategorien von Empf?ngern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ verlangen. Strittig war, ob ein Wahlrecht des Verantwortlichen besteht, ob er lediglich die Kategorien der Empf?nger benennen darf oder ob er jeden einzelnen Empf?nger konkret benennen muss.
In dem Rechtsstreit wollte eine betroffene Person von der ?sterreichischen Post Auskunft darüber, welche personenbezogenen Daten über sie gespeichert seien und ob und an wen die Daten weitergegeben wurden. Die ?sterreichische Post teilte daraufhin unter anderem mit, dass sie in ihrer Eigenschaft als Telefonbuchherausgeberin die personenbezogenen Daten auch an Gesch?ftskunden für Marketingzwecke weitergebe. Die konkreten Empf?nger nannte sie nicht. Im Verlauf des Rechtsstreits konkretisierte die ?sterreichische Post die Art von Empf?nger und nannte beispielsweise Handelsunternehmen, Adressverlage und politische Parteien, nicht jedoch die konkreten Empf?nger.
Der Oberste Gerichtshof legte dem EuGH die Frage vor, ob die konkreten Empf?nger zu benennen seien.
{web_name}er stellte fest, dass aufgrund des Transparenzgrundsatzes und der effektiven Durchsetzung der Betroffenenrechte grunds?tzlich eine konkrete Benennung der Empf?nger erforderlich ist. Die ausschlie?liche Nennung der Kategorien von Empf?ngern sieht er als m?glich, sofern kollidierende Grundrechte entgegenstehen oder die konkrete Nennung unverh?ltnism??ig ist. Letzteres ist insbesondere der Fall, wenn die Empf?nger (noch) nicht bekannt sind. Auch exzessive Antr?ge müssen nicht beantwortet werden.
Insgesamt ergibt sich als praktische Folge aus dem Urteil, dass stets nachverfolgt werden k?nnen muss, welcher Empf?nger die Daten einer konkreten Person erhalten hat, um im Falle eines Auskunftsersuchens die gewünschte Auskunft erteilen zu k?nnen. Die Frist für die Auskunftserteilung betr?gt einen Monat. Im ?brigen ergab sich diese Pflicht auch schon zuvor, da auch in dem Fall, dass eine betroffene Person ihre Rechte wahrnimmt, dies an die Datenempf?nger weitergegeben werden muss. Wenn beispielsweise die Person die L?schung ihrer Daten verlangt, muss der Verantwortliche s?mtliche Datenempf?nger über dieses L?schgesuch informieren.
Darüber hinaus lassen sich die Rechtsgedanken und die Begründung auch auf die Informationspflichten übertragen. Auch hier sind dem Wortlaut nach die ?Empf?nger oder Kategorien von Empf?ngern“ zu nennen. Und auch hier ist es wichtig, dass die betroffene Person genau wei?, wer ihre Daten erh?lt. Die Begründung des EuGH, dass dies aufgrund des für die gesamte Datenverarbeitung geltenden Transparenzgrundsatzes und zur Durchsetzung von Betroffenenrechten notwendig ist, greift auch hier. Soweit die konkreten Empf?nger zum Zeitpunkt der Information noch nicht bekannt sind, kann natürlich auch hier auf Kategorien von Empf?ngern verwiesen werden. Soweit sie jedoch bereits bekannt sind, sind sie zu benennen. Wenn es sich um eine Vielzahl von Empf?ngern handelt, kann dies zur besseren ?bersicht auch durch eine Verlinkung oder Anlage der Liste der Empf?nger umgesetzt werden.