Das am weitesten reichende Betroffenenrecht gemäß Artikel 15 der DSGVO ist das Auskunftsrecht. Die Erfüllung eines Auskunftsbegehrens ist jedoch nicht ganz einfach, da viele Fragen nach wie vor umstritten sind und immer wieder Gegenstand gerichtlicher Auseinandersetzungen sind.
Beispiele für Fragen sind, welche Punkte von dem Auskunftsanspruch umfasst sind und ob der Betroffene Kopien der Daten beantragen kann. Der Europäische Gerichtshof (EuGH) hat sich kürzlich mit dem Thema auseinandergesetzt.
Es ist umstritten, welchen Umfang der Auskunftsanspruch aus Art. 15 DSGVO hat. Der EuGH hatte in dem Verfahren zu entscheiden, ob die betroffene Person ein Recht auf Information über die spezifischen Empfänger ihrer Daten haben kann, oder ob eine Auskunft über die Kategorien der Empfänger ausreichend ist. Dieser Fall bezog sich auf einen Vorfall im Jahr 2019 bei der Österreichischen Post AG. Der betroffene Bürger hatte sein Recht auf Auskunft gemäß Art. 15 DSGVO geltend gemacht und die Post teilte mit, dass personenbezogene Daten für Marketingzwecke an Geschäftskunden weitergegeben wurden. Die Österreichische Post nannte jedoch keine konkreten Empfänger.
Das Gericht hat am 12.01.2023 laut Rechtssache C-154/21 entschieden, dass eine Auskunftsanfrage nach Artikel 15 der Verordnung 2016/679 der Europäischen Union (Datenschutz-Grundverordnung) konkrete Angaben über die Empfänger der personenbezogenen Daten des Betroffenen beinhalten muss. Somit hat der Betroffene einen Anspruch auf Offenlegung der Identität des Empfängers. Der EuGH stellte fest, dass die betroffene Person den Anspruch auf Auskunft gemäß Art. 15 DSGVO hat und eine bloße Darstellung der Empfängerkategorien nicht ausreichend ist, um dem Anspruch auf Auskunft gerecht zu werden.
Fazit:
Die Entscheidung gibt Klarheit, welche Inhalte die Beantwortung des Anspruchs auf Auskunft haben muss. Die Umsetzung dieser Entscheidung wird eine zusätzliche Last für die Verantwortlichen darstellen, jedoch die Rechte von betroffenen Personen verstärken. Wie die Umsetzung von Auskunftsersuchen einzeln aussehen wird, bleibt abzuwarten. Bei dieser Art von Anfragen sollte stets der Datenschutzbeauftragte konsultiert werden.
Es können Ausnahmen in Betracht gezogen werden, wenn der Verantwortliche nicht in der Lage ist, die betreffenden Empfänger zu identifizieren. Dieses ist gemäß Artikel 15 Absatz 1 lit. c DSGVO vorgesehen, wenn es um künftige Datenübermittlungen geht. Darüber hinaus könnten Ausnahmen gelten, wenn der Verantwortliche nachweist, dass die Anfragen der betroffenen Person offensichtlich unbegründet oder übertrieben gemäß Artikel 12 Absatz 5 DSGVO sind.
Es stellt sich gleichzeitig die Frage, ob man aus dem Urteil auch Anhaltspunkte zur Art und dem Umfang der zur Verfügung zu stellenden Informationen nach Art. 13 und 14 des DSGVO ableiten kann. Insbesondere gilt es zu erfahren, inwiefern das Urteil des EuGH die Pflicht zur Erfüllung der Informationspflicht hinsichtlich der Empfänger beziehungsweise Empfängerkategorien beeinflussen kann.
Haben Sie Fragen? Wir freuen uns auf Ihren Anruf oder Ihre eMail.
