Der Auskunftsanspruch ist eines der zentralen Betroffenenrechte der DS-GVO. Auch wir berichten immer wieder darüber (siehe hier). Wie hier auch immer wieder erwähnt, korrespondiert das Auskunftsrecht des Betroffenen (Art. 15 DS-GVO) mit der Informationspflicht des Verantwortlichen (Art. 13 DS-GVO). In beiden Normen heißt es, dass zu informieren sei bzw. beauskunftet werden muss: „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“. Da fragt sich der geneigte Leser: Müssen die Empfänger konkret benannt werden oder genügen die Kategorien?

Was ist das Problem?

Ein Beispiel soll dies verdeutlichen: Sie sind froh, dass Sie trotz des Fachkräftemangels eine*n Mitarbeiter*in gefunden haben und stellen ihn oder sie ein. Spätestens ab diesem Moment verarbeiten Sie personenbezogene Daten dieser Person, sie ist also eine betroffene Person im Sinne des Datenschutzrechts. Sie geben die Daten weiter an das Finanzamt, an die Sozialversicherung, aber auch an das Lohnbüro und an den Steuerberater. Auch Ihr IT-Dienstleister kann auf personenbezogene Daten zugreifen. Sie dürfen hier nicht vergessen, dass wir hier auch über besondere Kategorien personenbezogener Daten sprechen – wie der Religionszugehörigkeit. Sie müssen daher neue Mitarbeiter nach Art. 13 DS-GVO über die Datenverarbeitung informieren bzw. gegebenenfalls nach Art. 15 DS-GVO beauskunften. Heißt es dann unter „Empfänger der Daten“ „Lohnbüro“ oder „MusterLohn und andere Dienstleistungen GmbH“?

Warum entscheidet ein Gericht darüber?

Das weitere Beispiel ist ein wahrer Fall: Ein Österreicher verlangte Auskunft nach Art. 15 DS-GVO von der Österreichischen Post. In ihrem Antwortschreiben teilte die Österreichische Post mit, sie verwende Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Adressverlag und biete diese Daten Geschäftskunden für Marketingzwecke an. Zu keinem Zeitpunkt teilte die Österreichische Post jedoch die konkreten Empfänger der Offenlegungen seiner Daten mit. Die betroffene Person erhob Klage. Dieses Verfahren liegt inzwischen beim EuGH.

Der EuGH hat zwar noch nicht geurteilt, aber der Generalanwalt hat seine Stellungnahme abgegeben. Es wird allgemein erwartet, dass das Gericht dieser folgt. In der Stellungnahme hieß es: „Nach dem 63. Erwägungsgrund der DSGVO ist es erstens Ziel dieses Auskunftsrechts, die betroffene Person in eine Lage zu versetzen, in der sie sich der Verarbeitung bewusst sein und deren Rechtmäßigkeit überprüfen kann. Die Ausübung dieses Rechts muss es der betroffenen Person insbesondere ermöglichen, sich nicht nur zu vergewissern, dass ihre personenbezogenen Daten fehlerfrei verarbeitet werden, sondern auch, dass diese an Empfänger gerichtet sind, die zu ihrer Verarbeitung befugt sind. Das setzt grundsätzlich voraus, dass die Mitteilung von Informationen so präzise wie möglich erfolgt. … In diesem Kontext ist festzustellen, dass, wenn in Übereinstimmung mit der Kommission verneint würde, dass das Auskunftsrecht der betroffenen Person gemäß Art. 15 Abs. 1 Buchst. c DSGVO die konkreten Empfänger einschließt, und dieses Recht auf die Mitteilung der bloßen Kategorien von Empfängern beschränkt würde, dies bedeuten würde, dass der betroffenen Person die Möglichkeit genommen würde, in vollem Umfang die Rechtmäßigkeit der vom Verantwortlichen vorgenommenen Verarbeitung und insbesondere die Rechtmäßigkeit der bereits erfolgten Offenlegungen von Daten überprüfen zu können. Bei einer solchen Auslegung der in Rede stehenden Bestimmung könnte die betroffene Person nicht überprüfen, ob ihre Daten – unter Verstoß gegen die in der vorstehenden Nummer dargestellten Anforderungen – nur an befugte Empfänger weitergeleitet wurden.“

Gibt es Ausnahmen?

Ja, die soll es geben. Und zwar zum einen, wenn die Empfänger noch nicht bekannt sind und daher noch nicht identifiziert werden können. In unserem ersten Beispiel ist dies kaum denkbar. Zumindest bei der Beauskunftung ist klar, an wen Daten weitergegeben wurden. Bei der Information am Beginn des Vertragsverhältnisses kann auch noch nur mit den Kategorien der Empfänger gearbeitet werden, weil nicht absehbar ist, ob der Steuerberater nicht gewechselt wird.

Die zweite Ausnahme soll dann gegeben sein, wenn die betroffene Person das Recht in einer unbegründeten und exzessiven Weise geltend macht. Wann dies der der Fall ist, ist aber schwer zu beurteilen. Jedenfalls lag dies im Fall der Österreichischen Post nicht vor.

Was ist mit den Rechten anderer - wie der Empfänger oder des Verantwortlichen?

In Art. 15 Abs. 4 DS-GVO heißt es: „Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“ Der BGH hat hierzu bereits entschieden, dass das nicht nur für das Recht auf Kopie, sondern auch für das Auskunftsrecht allgemein gilt. In dem BGH-Fall ging es um die Rechte des Hinweisgebers (wir haben berichtet). Dasselbe dürfte aber für die Rechte anderer Personen gelten.

Was bedeutet dies nun alles?

Sowohl bei der Information nach Art. 13 DS-GVO als auch und vor allem bei der Auskunft nach Art. 15 DS-GVO sind die konkreten Empfänger der Daten zu benennen. Es sei denn es sprechen gewichtige Gründe dagegen. Dies ist aber die Ausnahme. Die Gründe sollten dokumentiert werden.