Einen Tag nach dem von uns bereits besprochenen Urteil des Gerichtes der Europäischen Union (EuG) in der Rechtssache T-553/23 und der (vorläufigen) Entscheidung über den Fortbestand des Data Privacy Framework, ist auch beim Europäischen Gerichtshof (EuGH) eine für das Datenschutzrecht bedeutende Entscheidung gefallen. Mit der Entscheidung in der Rechtssache C-413/23 P hat sich der EuGH mit dem Begriff der personenbezogenen Daten befasst. Inhalt und Bedeutung des Urteils wollen wir im heutigen Beitrag näher beleuchten.

Der EuGH und der Personenbezug

First at all ist das aktuelle Urteil des EuGH nicht die erste Entscheidung in der jüngeren Datenschutzvergangenheit, welche sich mit dem Vorliegen und den Voraussetzungen des Personenbezuges auseinandersetzt.

Der EuGH selbst hat sich in seinem Urteil vom 9. November 2023 (Rs. C-319/22) mit dem Begriff der personenbezogenen Daten beschäftigt. Konkret klärt der EuGH anhand der sogenannten Fahrzeug-Identifizierungsnummer (FIN) die Personenbeziehbarkeit einer Information. In zwei weiteren Entscheidungen vom 7. März 2024 befasst sich der EuGH wiederrum mit dem Begriff der personenbezogenen Daten und in der konkreten Fallkonstellation, ob sogenannte TC-Strings als personenbezogenes Daten einzuordnen sind (Rs. C-604/22). Hieran anknüpfend setzte sich der EuGH zudem mit Fragen auseinander, welche zusätzlichen Informationen bzw. Mittel zur Identifizierung einer natürlichen Person zusätzlich zum vorliegenden Datum heranzuziehen sind (Rs. C-479/22 P).

In diesen Entscheidungskanon reiht sich auch das Urteil des EuG vom 26. April 2023 (Rs. T-557/20), in welchem sich das Gericht zudem mit den Begriffen der pseudonymen und anonymen Daten auseinandersetzt, ein. Das Urteil haben wir zwar bereits im Rahmen eines separaten Beitrages näher beleuchtet, zum besseren Verständnis der aktuellen Entscheidung – welcher das Verfahren beim EuG vorausgegangen ist – fassen wir noch einmal kurz zusammen:

Gegenstand des Verfahrens sind Fragen rund um ein Abwicklungsverfahren einer spanischen Bank. Im Rahmen dieses Abwicklungsverfahrens koordinierte der Einheitliche Abwicklungsausschuss, der Single Resolution Board (SRB), entsprechende Stellungnahmen mittels eines Online-Fragebogens von Gläubigern und Schuldnern im Rahmen eines Konsultationsverfahrens. Den eingegangenen Stellungnahmen erfolgte jeweils die Zuordnung eines alphanumerischen Codes, der aus einer 33-stelligen eindeutigen Identifikationsnummer bestand. Die mit dem Code versehenen Stellungnahmen wurden durch den SRB an externe Empfänger weitergegeben. Die Empfänger haben und hatten laut Angaben des SRB nie einen Zugriff auf die zur Identifizierung der betroffenen Personen erforderlichen Informationen.

In Bezug auf dieses Verfahren wandten sich betroffene Personen mit einer Beschwerde an den Europäischen Datenschutzbeauftragten (EDSB), dass diese Weitergabe aus den datenschutzrechtlichen Informationen des SRB nicht ersichtlich gewesen sei. Nach Ansicht des EuGH sei darauf abzustellen, ob den Empfängern anhand der übermittelten Informationen überhaupt eine Identifizierung der betroffenen Personen möglich gewesen wäre. Darüber wird keine absolute Anonymität von Daten derart gefordert, dass eine Identifizierung der betroffenen Personen für jedermann ausgeschlossen sein muss. Für die Beurteilung ist insoweit auf die Sicht des Datenempfängers abzustellen.

Die Möglichkeiten der Re-Identifizierung sind entscheidend

Zunächst setzt sich der EuGH mit dem Personenbezug der Stellungnahmen auseinander, welche auch persönliche Meinungen enthielten:

„Der Gerichtshof hat entschieden, dass in der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Bestimmung des Begriffs „personenbezogene Daten […] das Ziel des Unionsgesetzgebers zum Ausdruck kommt, diesem Begriff eine weite Bedeutung beizumessen, die potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt […] Es handelt sich um eine Information über eine identifizierte oder identifizierbare natürliche Person, wenn sie aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer identifizierbaren Person verknüpft ist.“

Mithin kann es sich also auch bei den Stellungnahmen wie im streitgegenständlichen Fall um personenbezogene Daten handeln. So weit so gut. Für die Weitergabe dieser Daten ist mit dem EuGH nunmehr entscheidend, ob der Datenempfänger einen Rückschluss auf die betroffene Person ziehen kann und ob eine Re-Identifizierung möglich ist: „In diesem Zusammenhang ist darauf hinzuweisen, dass sich eine Information […] auf eine „identifizierte oder identifizierbare“ natürliche Person beziehen muss, um unter den Begriff der personenbezogenen Daten im Sinne dieser Bestimmung zu fallen. Die Anwendung […] setzt grundsätzlich also eine Prüfung voraus, ob die von der in Rede stehenden Information betroffene Person identifiziert oder identifizierbar ist.“

Diesbezüglich verweist der EuGH ebenfalls auf die pseudonymisierten Daten. Durch einen Blick in Art. 4 Nr. 5 DS-GVO erhalten wir sogleich eine Definition, was unter einer Pseudonymisierung zu verstehen ist: „„Pseudonymisierung“  [meint] die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.“

Nach dem EuGH gilt zudem zu berücksichtigen: „der Begriff „Pseudonymisierung“ [setzt] das Vorliegen von Informationen [voraus], die eine Identifizierung der betroffenen Person ermöglichen […]. Sofern solche technischen und organisatorischen Maßnahmen nämlich tatsächlich ergriffen werden und geeignet sind, eine Zuordnung der in Rede stehenden Daten zu der betroffenen Person zu verhindern, so dass diese nicht oder nicht mehr identifizierbar ist, kann sich die Pseudonymisierung auf die Personenbezogenheit dieser Daten […] auswirken.“

Und weiter: „Außerdem hat der Gerichtshof bereits entschieden, dass ein Mittel nach allgemeinem Ermessen wahrscheinlich nicht genutzt wird, um die betreffende Person zu identifizieren, wenn das Risiko einer Identifizierung de facto unbedeutend erscheint, weil die Identifizierung dieser Person gesetzlich verboten oder praktisch nicht durchführbar ist, z. B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft erfordern würde.“

Zudem „[…] wirkt sich dieser Umstand insbesondere im Zusammenhang mit einer etwaigen späteren Übermittlung an Dritte nämlich nicht auf die Beurteilung der Personenbezogenheit dieser Daten aus. Sofern nämlich nicht ausgeschlossen werden kann, dass diese Dritten nach allgemeinem Ermessen in der Lage sind, die pseudonymisierten Daten anhand von Mitteln wie etwa einem Abgleich mit anderen ihnen zur Verfügung stehenden Daten der betroffenen Person zuzuordnen, ist diese Person sowohl in Bezug auf die Übermittlung der Daten als auch in Bezug auf die spätere Verarbeitung dieser Daten durch Dritte als identifizierbar anzusehen. Unter solchen Umständen müssten pseudonymisierte Daten als personenbezogene Daten betrachtet werden.“

Im Ergebnis handelt es sich demnach um personenbezogene Daten, solange besagte Re-Identifizierung technisch und/oder organisatorisch möglich ist: „[…] die Pseudonymisierung kann – je nach den Umständen des Einzelfalls – andere Personen als den Verantwortlichen tatsächlich an einer Identifizierung der betroffenen Person hindern, so dass letztere für sie nicht oder nicht mehr identifizierbar ist.“

Fazit

Der EuGH bestätigt damit den sogenannten subjektiven Ansatz zur Bestimmung des Personenbezugs beziehungsweise den sogenannten relativen Personenbezug und auch die Breyer-Rechtsprechung. Es kommt bei einer Datenübermittlung mithin entscheidend auf die Mittel an, welche potenziellen Empfängern zur Verfügung stehen, um bestimmten zu können, ob es sich um personenbezogene Daten handelt. Hierdurch entsteht durch das Urteil in der Praxis unter Umständen neue Bedeutung rund um die Verschlüsselung.

Überlegenswert erscheint zudem die Überlegung zu hinterfragen, wie hoch das „Risiko“ einer Identifizierung ist, wenn diese gesetzlich verboten ist, z. B. in Fällen von Cyber-Angriffen und damit in Zusammenhang stehenden Datenexfiltrationen.Für die Praxis weiterhin relevant sein dürfte die Auseinandersetzung über die Informationspflichten im Zusammenhang mit potenziellen Pseudonymisierung sein (vgl. Rn. 111-113). Zur Vertiefung der Thematik empfehle ich schließlich die Lektüre dieses Blog-Beitrages von den Kollegen von Piltz Legal.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Mit dem Urteil vom Urteil vom 22. Juni 2023 in der Rs. C‑579/21 befasste sich der Europäische Gerichtshof (EuGH) mit der Reichweite von datenschutzrechtlichen Auskunftsansprüchen. Genauer ging es um die Frage, ob Betroffene das Recht haben, im Rahmen ihres Auskunftsanspruchs Kenntnis über die Identität der Beschäftigten zu erhalten, die auf die personenbezogenen Daten zugegriffen haben. Hintergrund war eine Klage eines ehemaligen Beschäftigten und zugleich Kunde einer finnischen Bank. Der Kläger fand heraus, dass auch nach seinem Ausscheiden Beschäftigte auf personenbezogene Daten von ihm zugegriffen haben. Daraufhin verlangt der Kläger detaillierte Auskunft nach Art 15 Abs. 1 DS-GVO und verlangte zudem die Nennung der Beschäftigten, welche auf seine Daten zugegriffen haben.

Zur Anwendbarkeit der DS-GVO

Da es sich in dem vorliegenden Sachverhalt um einen recht alten Fall handelt, in dem personenbezogene Daten betroffen sind, welche Jahre vor Inkrafttreten der DS-GVO erhoben wurden, befasste sich das Gericht zunächst mit der Frage, ob Betroffenenrechte auch bei Datenverarbeitungen geltend gemacht werden können, die vor Inkrafttreten der DS-GVO geschehen sind. Das Gericht kam (kurz gesagt) zu dem Ergebnis, dass Auskunftsansprüche auch personenbezogene Daten umfassen, die noch vor Inkrafttreten der DS-GVO erhoben wurden.

Darf ich wissen, wer Zugriff auf meine Daten hatte?

Gemäß Art. 15 Abs. 1 DS-GVO haben Betroffene das Recht, von dem Verantwortlichen informiert zu werden, ob sie personenbezogene Daten von dem Betroffenen verarbeiten. Wenn dem so ist, dürfen Betroffene Auskunft über die verarbeiteten personenbezogenen Daten verlangen. Das Auskunftsrecht erstreckt sich dabei unter anderem auf Informationen zu den Verarbeitungszwecken sowie zu den Empfängern oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder noch offengelegt werden.

Allerdings liegt der Schwerpunkt in dem Sachverhalt nicht darin, dem Betroffenen eine vollständige Auskunft nach Art. 15 DS-GVO auszustellen, sondern beruht auf der Tatsache, dass der Betroffene von dem Unternehmen verlangt hat, ihm die Identitäten der Personen, die Zugriff auf seine Daten hatten, mitzuteilen. In diesem Kontext rückt die Frage nach der Definition des Empfängers der personenbezogenen Daten in den Vordergrund. Insbesondere bedurfte es einer näheren Klärung, ob Beschäftigte der verantwortlichen Stelle als Empfänger im Sinne des Art. 4 Nr. 9 DS-GVO zu klassifizieren sind und somit im Rahmen der Auskunftserteilung konkret genannt werden müssen.

Zur Beantwortung der Frage verweist das Gericht auf die Legaldefinition des Empfängers gemäß Art. 4 Nr. 9 DS-GVO. Demnach handelt es sich bei einem Empfänger um „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht.“ Das Gericht verneinte nach eingehender Prüfung hierauf basierend, dass Beschäftigte des Verantwortlichen Empfänger darstellten – zumindest soweit diese personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen verarbeiten (vgl. Art. 29 DS-GVO).

Das Gericht kam somit zu dem Ergebnis, dass vom Auskunftsrecht lediglich nähere Informationen zur Verarbeitung der personenbezogenen Daten, wie zum Beispiel Zeitpunkt und Zweck jeweiliger Abfragen umfasst sind. Informationen über die Identität der Beschäftigten des Verantwortlichen, die personenbezogene Daten ausschließlich nach dessen Weisung verarbeiten, können dagegen im Wege eines geltendgemachten Auskunftsanspruchs nur unter bestimmten Voraussetzungen – keinesfall standardmäßig – offengelegt werden. Dies bedarf einer Prüfung im Einzelfall.

Tipp für die Praxis

Derartige Fallkonstellationen sind in der Praxis nicht selten. Sobald Betroffene herausfinden, dass eine Person womöglich unzulässigerweise auf die eigenen personenbezogenen Daten zugegriffen hat, liegt die Geltendmachung des Rechts auf Auskunft oftmals nahe. Aus diesem Grund sollten Verantwortliche stets die Reichweite von datenschutzrechtlichen Auskunftsansprüchen kennen, um so womöglich auch die Identität beschäftigter Personen zu schützen. Unternehmen sind gut beraten, bei der Beurteilung und Beantwortung von Betroffenenanfragen den Datenschutzbeauftragten zu konsultieren.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Betroffene Personen sind in präziser, transparenter, verständlicher und leicht zugänglicher Form, in einer klaren und einfachen Sprache über die Verarbeitung personenbezogener Daten zu informieren. Doch wie präzise ist präzise genug? In einer kürzlichen Veröffentlichung umriss die Berliner Beauftragte für Datenschutz und Informationsfreiheit typische Fehler in Datenschutzinformationen. Darunter auch der Hinweis, dass – obwohl interne Empfänger konkret bekannt sind – in einer Datenschutzinformation ausschließlich Kategorien interner Empfänger benannt werden. Diese Forderung zur Nennung konkreter interner Empfänger ist nicht unumstritten und zum Stand Mitte August wurde die Mitteilung der Berliner Aufsichtsbehörde nun von der Internetseite genommen. Wir fragen uns: Wie präzise muss eine Datenschutzinformation sein?

Gesetzliche Anforderungen

Neben den einleitend aufgeführten formalen Anforderungen gemäß Art. 12 Abs. 1 Satz 1 DS-GVO an eine Datenschutzinformation, muss diese ebenfalls den inhaltlichen Anforderungen der Artikel 13 und 14 DS-GVO genügen. In der Regel sind die Datenschutzinformationen den betroffenen Personen zum Zeitpunkt der Erhebung der personenbezogenen Daten bereitzustellen. Zudem sollten die Informationen in der Sprache der Zielgruppe bereitgehalten werden. Sofern beispielsweise eine Internetseite in mehreren Sprachen angeboten wird, sind in den gleichen Sprachen auch die Datenschutzinformationen zur Verfügung zu stellen.

Zweck einer Datenschutzinformation

Erwägungsgrund 60 zur DS-GVO führt aus, dass „die Grundsätze einer fairen und transparenten Verarbeitung […] es erforderlich [machen], dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird.“ Und: „Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten.“

In eigenen Worten ausgedrückt bedeutet es, dass einerseits jede von einer Datenverarbeitung betroffene Person darüber in Kenntnis gesetzt werden muss, dass eine Datenverarbeitung stattfindet und andererseits sämtliche Informationen erhalten muss, die es ihr ermöglichen, den Zweck und Umfang der Datenverarbeitung zu verstehen. Dies wird insbesondere dem Ziel nach Art. 1 Abs. 2 DS-GVO gerecht, das Recht auf den Schutz personenbezogener Daten zu gewährleisten. Dies ist nur möglich, sofern die betroffene Person Interventionsmöglichkeiten in Form von Betroffenenrechten besitzt und als Voraussetzung hierfür zuallererst über das „ob“ und „wie“ einer Datenverarbeitung informiert wird.

„Präzise“ und „verständlich“

Unter Berücksichtigung der einschlägigen Kommentarliteratur kann sodann von einer präzisen Information die Rede sein, wenn diese hinreichend genau die wesentlichen Aspekte der Datenverarbeitung beschreibt. Vorausgesetzt wird demnach eine wahrheitsgetreue Abbildung der Verarbeitungsvorgänge. Eine abschließende Beschreibung einschließlich unwesentlicher Details wird jedoch zumindest dann nicht zu fordern sein, sofern hierunter die Verständlichkeit der Datenschutzinformation in ihrer Gesamtheit leidet. Schließlich kann die Verständlichkeit auch als konkrete Anforderung hinsichtlich einer klaren und einfachen Sprache zu verstehen sein.

Die Artikel 29-Gruppe beschreibt in den Leitlinien für Transparenz gemäß der DS-GVO aus April 2018, „dass die Verantwortlichen die Informationen / Mitteilungen auf eine einfache Formel gebracht und griffig formuliert vorlegen sollten, um einer Informationsermüdung vorzubeugen.“ Hieraus wird ersichtlich, dass bei der Erstellung von Datenschutzinformationen auch die Gesamtheit der Informationsfülle zu berücksichtigen ist. Ein solcher Ansatz entspricht auch der Rechtsprechung des Landgericht Frankfurt am Main (Urt. v. 10.6.2016 – 2-03 O 364/15), wonach datenschutzrelevante Darstellungen mit einem Umfang von 56 Seiten im Fließtext  nicht dazu geeignet sind, eine rechtswirksame Einwilligung einzuholen. Stattdessen sollten in einem solchen Fall Datenschutzinformationen in einer mehrschichtigen Form oder mit Unterteilung in sinnvolle Absätze bereitgestellt werden.

Leider lassen sich aus der Rechtsprechung und der Literatur keine griffigen Leitplanken für die Erstellung einer präzisen Datenschutzinformationen entnehmen. Mit einem Blick auf die Praxis der datenschutzrechtlichen Aufsichtsbehörden dürfte durchgehend von der Anforderung einer möglichst umfassenden Erläuterung der Datenschutzinformationen auszugehen sein. Als Ziel steht die möglichst umfassende Aufklärung der betroffenen Person im Vordergrund. Fraglich ist jedoch, ob dies auch tatsächlich im Sinne der betroffenen Personen ist. Entsprechend einer repräsentativen Umfrage aus dem Jahr 2019, lesen sich 73 Prozent deutscher Internetnutzer die bereitgestellten Datenschutzinformationen von Internetdiensten nicht durch, da sie es für „zwecklos“ halten.

Benennung von Empfängern

Mit Blick auf die eingangs dargestellte Auffassung der Berliner Aufsichtsbehörde, wonach auch interne Empfänger in einer Datenschutzinformation zu benennen sind, können im Sinne einer präzisen und verständlichen Datenschutzinformation sicherlich Pro- und Kontra-Argumente gefunden werden. Ausschlaggebend dürfte hierbei jedoch vielmehr die Definition des Empfängers gemäß Art. 4 Nr. 9 Satz 1 DS-GVO sein. Demnach handelt es sich bei einem Empfänger, um „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht.“

Nach der wohl herrschenden Literaturauffassung kann es sich bei Empfängern ausschließlich um Stellen außerhalb des Verantwortlichen bzw. um Stellen mit einem gewissen Grad an Eigenständigkeit handeln. Diese Auffassung scheint insbesondere mit Blick auf die Regelung des Art. 19 DS-GVO zutreffend. Hierbei besteht für den Verantwortlichen die Pflicht, allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede seitens betroffener Personen geforderte Berichtigung, Löschung oder Einschränkung der Verarbeitung mitzuteilen, die diese personenbezogenen Daten betreffen. Sinnfrei wäre eine gesetzliche Verpflichtung zur Mitteilung des Verantwortlichen an die eigenen Beschäftigten, obwohl dem Verantwortlichen selbst die Gewährleistung der Betroffenenrechte obliegt.

Selbst wenn die Regelung des Art. 4 Nr. 9 Satz 1 DS-GVO bzw. Art. 13 Abs. 1 lit. e) DS-GVO dahingehend zu verstehen ist, interne Empfänger im Rahmen einer Datenschutzinformation anzugeben, erscheint eine Angabe der Kategorien von Empfängern (z.B. Beschäftigte der Personalabteilung) gegenüber der Nennung konkreter Personen (z.B. Herr Müller, Frau Meier) bereits aus datenschutzrechtlichen Gesichtspunkten vorzugswürdig.

Fazit

Die Darstellungen zeigen, dass hinsichtlich der konkreten Anforderungen an eine gesetzeskonforme Datenschutzinformation eine gewisse Unschärfe besteht. Datenschutzinformationen müssen einerseits die Datenverarbeitung zutreffend beschreiben, andererseits muss jedoch auch die Gefahr der Informationsermüdung gebührend berücksichtigt werden. Dabei scheinen auch die tatsächlichen Anforderungen der betroffenen Personen und der Aufsichtsbehörden deutlich auseinander zu gehen. Anhand der Veröffentlichung der Berliner Aufsichtsbehörde wird jedoch auch deutlich, dass nicht alle Ausführungen einer Aufsichtsbehörde zwingend den zutreffenden Rechtsstand wiedergeben.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Muss man bei einer Auskunft nach Art. 15 DS-GVO die konkreten Empfänger personenbezogener Daten mitteilen? – Die verbindliche Antwort des Europäischen Gerichtshofs (EuGH) lautet: Ja! Im Folgenden eine Anmerkung zum Urteil des EuGH vom 12. Januar 2023 in der Rechtssache C-154/21, abrufbar hier.

Zum Sachverhalt

Art. 15 DS-GVO gibt betroffenen Personen unter anderem „das Recht […] auf folgende Informationen: […] die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ (Art. 15 Abs. 1 lit. c) DS-GVO).

Die Österreichische Post AG erteilte auf Anfrage eines Betroffenen die Auskunft, sie habe seine Daten als Herausgeberin von Telefonbüchern „Geschäftskunden für Marketingzwecke“ angeboten. Diese Geschäftskunden wurden nicht konkret benannt. Nach Klage des Betroffenen wurde die Österreichische Post AG etwas konkreter, aber nicht konkret: Zu den Empfängern hätten „werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nicht-Regierungsorganisationen (NGO) oder politische Parteien gehört.“

Der Betroffene wollte die konkreten Empfänger benannt haben.

Zwei Gerichtsinstanzen wiesen die Klage des Betroffenen ab mit der Begründung, die Post dürfe nach Art. 15 Abs. 1 lit. c) DS-GVO wählen, ob sie „Empfänger oder Kategorien von Empfängern“ mitteile.

Die Entscheidung

Der Oberste Gerichtshof Österreichs war als letzte Instanz nach Art. 267 Satz 3 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) verpflichtet, den EuGH zu befragen, wie Art. 15 DS-GVO zu verstehen ist. Nach der einschlägigen Rechtsprechung des EuGH besteht Klärungsbedarf auch dann, wenn das entscheidende Gericht selbst die richtige Antwort zu kennen glaubt.

Der OGH tat seine Pflicht und fragte in Luxemburg nach, ob „oder“ bei Art. 15 Abs. 1 lit. c) DS-GVO auch wirklich „oder“ bedeutet – der Verantwortliche also bei der Auskunft frei entscheiden kann, den Empfänger oder die Empfängerkategorie zu nennen. Und er schrieb seine Meinung gleich dazu: Sinnvollerweise müsse die Auswahl bei der betroffenen Person und nicht beim Verantwortlichen liegen, weil sonst kaum ein Verantwortlicher jemals konkrete Empfänger benennen würde. Juristisch zwingend ist dieses Argument allerdings nicht. Es lässt sich auch umdrehen: Welcher Betroffene wird jemals lieber Kategorien von Empfängern als konkrete Empfänger abfragen?

EuGH und OGH sind einer Meinung: Art. 15 Abs. 1 lit. c) DS-GVO bedeutet nach der juristisch maßgeblichen Lesart des EuGH, dass „der Verantwortliche […] verpflichtet ist, der betroffenen Person die Identität für der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv […] sind.„

Daraus ergibt sich für die Praxis: Wenn der Verantwortliche die Daten-Empfänger kennt, muss er sie im Rahmen einer Auskunft nach Art. 15 DSGVO auch konkret benennen. Soweit, so klar. Dank EuGH.

Doch oft liegt hinter einer Antwort schon die nächste Frage – und so auch hier: Was bedeutet Empfänger? Sind dies andere verantwortliche Stellen oder zum Beispiel auch die einzelnen Beschäftigten in einer verantwortlichen Stelle? Auch dies wird demnächst in Luxemburg geklärt. Das Verwaltungsgericht Ostfinnland hat diese Rechtsfrage dem EuGH vorgelegt (Rs. C-579/21) und die Schlussanträge des Generalanwalts (denen der EuGH bei seinen Entscheidungen sehr oft folgt) liegen bereits vor:

Art. 15 Abs. 1 lit. c) DS-GVO gebe dem Betroffenen keinen Anspruch auf konkrete Benennung von Beschäftigten, die in der verantwortlichen Stelle personenbezogene Daten empfangen haben. Der Generalanwalt begründet dies hauptsächlich mit dem Schutz der entsprechenden Beschäftigten. Eine ausdrückliche Stellungnahme zur umstrittenen Frage, ob Art. 15 Abs. 4 DS-GVO (entgegen seinem Urteil) nicht nur auf Abs. 3, sondern auch auf Abs. 1 anwendbar ist – das Auskunftsrecht also durch Interessen anderer Personen eingegrenzt wird – findet sich nicht.

Wenn der EuGH dem Verwaltungsgericht Ostfinnland geantwortet hat, ist vielleicht als Nächstes die Frage zu Art. 15 Abs. 4 DSGVO an der Reihe …

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz, Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) sowie Mitglied des Ausschusses für Datenschutzrecht der Bundesrechtsanwaltskammer (BRAK). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.