Der Europäische Gerichtshof (EuGH) hat am 12.01.2023 entschieden, dass die pauschale Nennung von Empfängerkategorien im Rahmen eines Auskunftsbegehrens nicht ausreichend ist. Das Auskunftsrecht der betroffenen Person nach Artikel 15 DSGVO ist nach dem EuGH in einem weiten Auslegungskontext zu handhaben. Konkret hat die auskunftsersuchende Person Anspruch auf Nennung der Identitäten der Empfänger, gegenüber welchen eine Offenlegung personenbezogene Daten gegeben oder zu erwarten ist. Eine bloße Nennung von Empfängerkategorien ist nicht ausreichend.

Hintergrund der Entscheidung war die Geltendmachung eines Österreichers auf Auskunft gegenüber der Post dahingehend, welchen Empfängern seine personenbezogenen Daten offengelegt wurden oder in Zukunft offengelegt werden. Der Kern des Auskunftsbegehren bildete dabei die Nennung der konkreten Identitäten der Empfänger und nicht etwa die bloße Beschränkung auf Empfängerkategorien. Der österreichische OGH hatte den Auslegungskontext des Auskunftsanspruchs nach Artikel 15 Abs. 1 lit. c) DSGVO sodann im Rahmen eines Vorabentscheidungsverfahrens beim EuGH klären lassen.

Der EuGH begründet die weite Normenauslegung des Artikel 15 DSGVO damit, dass der Sinn des Auskunftsrechts der Schutz der personenbezogenen Daten der betroffenen Person sei, in welchem denklogisch auch der Grundsatz der Transparenz wurzele. Dieses Transparenzgebot konkretisiere sich dabei in dem Auskunftsanspruch. Diese Prämisse dürfe nicht durch eine restriktive Auslegungspraxis konterkariert werden. Dies ergebe sich aus dem Grundsatz der praktischen Konkordanz, also dem schonenden Ausgleich bei sich diametral gegenüberstehenden Interessen. Denklogisch falle dieses Abwägungsergebnis nur dann zuungunsten der auskunftsbegehrenden Person aus, wenn die Identifizierung der Identität der Empfänger nicht möglich oder das Auskunftsbegehren offensichtlich unbegründet oder exzessiv sei, so der EuGH.

Die Entscheidung des EuGH impliziert im Ergebnis weitreichende Folgen für Unternehmen hinsichtlich datenschutzrechtlicher Verpflichtungen betreffend des DSGVO-Auskunftsanspruchs. Da die Auskunft der betreffenden Person innerhalb eines Monats nach Eingang des Antrags zur Verfügung gestellt werden muss, sollte dieser zeitliche Kontext im Hinblick auf den Mehraufwand betreffend der Dokumentation der Identitäten der Empfänger beachtet werden. Zu empfehlen ist daher eine präventive Dokumentation aller Empfängeridentitäten, welchen personenbezogene Daten offengelegt worden sind oder noch offengelegt werden.

EuGH, Urteil vom 12.01.2023, Az.: C-154/21