Urteil : Recht auf Auskunft kann Mitteilung der konkreten Identität von Empfängern umfassen : aus der RDV 3/2023 Seite 194 bis 195

Zur Vorlagefrage:

Mit seiner Vorlagefrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 1 c) DS-GVO dahin auszulegen ist, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die konkrete Identität der Empfänger mitzuteilen. […]

Die in dieser Bestimmung enthaltenen Begriffe „Empfänger“ und „Kategorien von Empfängern“ sind nebeneinander aufgeführt, ohne dass daraus geschlossen werden kann, dass zwischen ihnen ein Vorrangverhältnis besteht.

Somit ist festzustellen, dass sich dem Wortlaut von Art. 15 Abs. 1 c) DS-GVO nicht eindeutig entnehmen lässt, ob die betroffene Person, wenn sie betreffende personenbezogene Daten offengelegt worden sind oder noch offengelegt werden, das Recht hat, über die konkrete Identität der Empfänger dieser Daten unterrichtet zu werden.

Was sodann den Zusammenhang betrifft, in dem Art. 15 Abs. 1 c) DS-GVO steht, ist erstens darauf hinzuweisen, dass nach dem 63. Erwägungsgrund dieser Verordnung die betroffene Person ein Anrecht darauf haben muss, insbesondere zu wissen und zu erfahren, wer die Empfänger dieser personenbezogenen Daten sind, und dass, wie der Generalanwalt in Nr. 23 seiner Schlussanträge ausgeführt hat, dieser Erwägungsgrund nicht erwähnt, dass dieses Recht lediglich auf die Kategorien von Empfängern beschränkt werden könnte.

Zweitens ist auch darauf hinzuweisen, dass jede Verarbeitung personenbezogener Daten von natürlichen Personen mit den in Art. 5 DS-GVO aufgestellten Grundsätzen im Einklang stehen muss, damit das Auskunftsrecht gewahrt wird (vgl. in diesem Sinne Urt. v. 16. Januar 2019, Deutsche Post, C 496/17, EU:C:2019:26, Rn. 57).

Zu diesen Grundsätzen gehört der Grundsatz der Transparenz gemäß Art. 5 Abs. 1 a) DS-GVO, der, wie aus dem 39. Erwägungsgrund dieser Verordnung hervorgeht, voraussetzt, dass die betroffene Person darüber informiert wird, wie ihre personenbezogenen Daten verarbeitet werden, und dass diese Informationen leicht zugänglich und verständlich sind.

Drittens ist festzustellen, dass, wie der Generalanwalt in Nr. 21 seiner Schlussanträge hervorgehoben hat, Art.  15 DS-GVO im Gegensatz zu den Artt. 13 und 14 DS-GVO, in denen die Pflicht des Verantwortlichen festgelegt ist, der betroffenen Person Informationen über die Kategorien von Empfängern oder die konkreten Empfänger von sie betreffenden personenbezogenen Daten bereitzustellen, wenn diese Daten bei der betroffenen Person oder nicht bei der betroffenen Person erhoben werden, ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person vorsieht, so dass diese wählen können muss, ob ihr – falls möglich – Informationen über bestimmte Empfänger, gegenüber denen diese Daten offengelegt wurden oder noch offengelegt werden, oder Informationen über die Kategorien von Empfängern bereitgestellt werden.

Viertens hat der Gerichtshof bereits entschieden, dass es der betroffenen Person durch die Ausübung dieses Auskunftsrechts nicht nur ermöglicht werden muss, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob sie in zulässiger Weise verarbeitet werden (vgl. entsprechend Urt. v. 17. Juli 2014, YS u.a., C 141/12 und C 372/12, EU:C:2014:2081, Rn. 44, sowie vom 20. Dezember 2017, Nowak, C 434/16, EU:C:2017:994, Rn. 57), insbesondere ob sie gegenüber Empfängern offengelegt wurden, die zu ihrer Verarbeitung befugt sind (vgl. entsprechend Urt. v. 7. Mai 2009, Rijkeboer, C 553/07, EU:C:2009:293, Rn. 49).

Dieses Auskunftsrecht ist insbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“), ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Artt.  16, 17 bzw. 18 DS-GVO zukommen (vgl. entsprechend Urt. v. 17. Juli 2014, YS u.a., C 141/12 und C 372/12, EU:C:2014:2081, Rn. 44, sowie vom 20. Dezember 2017, Nowak, C 434/16, EU:C:2017:994, Rn. 57), sowie ihr in Art.  21 DS-GVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten auszuüben oder im Schadensfall den in den Artt. 79 und 82 DS-GVO vorgesehenen gerichtlichen Rechtsbehelf einzulegen (vgl. entsprechend Urt. v. 7. Mai 2009, Rijkeboer, C 553/07, EU:C:2009:293, Rn. 52).

Um die praktische Wirksamkeit sämtlicher in der vorstehenden Rn. des vorliegenden Urteils angeführten Rechte zu gewährleisten, muss die betroffene Person somit insbesondere über das Recht verfügen, dass ihr die Identität der konkreten Empfänger mitgeteilt wird, wenn ihre personenbezogenen Daten bereits offengelegt wurden.

Fünftens wird diese Auslegung schließlich durch Art.  19 DS-GVO bestätigt, der in S. 1 vorsieht, dass der Verantwortliche grundsätzlich allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung mitteilt. S. 2 sieht vor, dass der Verantwortliche die betroffene Person über diese Empfänger unterrichtet, wenn die betroffene Person dies verlangt.

Somit hat die betroffene Person gemäß Art. 19 S. 2 DS-GVO ausdrücklich das Recht, von dem Verantwortlichen im Rahmen seiner Verpflichtung, alle Empfänger über die Ausübung der Rechte zu informieren, über die diese Person nach Art. 16, Art. 17 Abs. 1 und Art. 18 DS-GVO verfügt, über die konkreten Empfänger der sie betreffenden Daten unterrichtet zu werden.

Aus der vorstehenden kontextbezogenen Analyse ergibt sich, dass es sich bei Art. 15 Abs. 1 c) DS-GVO um eine der Bestimmungen handelt, die die Transparenz der Art und Weise der Verarbeitung der personenbezogenen Daten gegenüber der betroffenen Person gewährleisten sollen, und dass es dieser Artikel der betroffenen Person, wie der Generalanwalt in Nr. 33 seiner Schlussanträge ausgeführt hat, ermöglicht, die u.a. in den Artt. 16 bis 19, 21, 79 und 82 DS-GVO vorgesehenen Befugnisse auszuüben.

Folglich ist davon auszugehen, dass die Informationen, die der betroffenen Person gemäß dem in Art. 15 Abs. 1 c) DS-GVO vorgesehenen Auskunftsrecht erteilt werden, möglichst genau sein müssen. Insbesondere umfasst dieses Auskunftsrecht die Möglichkeit für die betroffene Person, von dem Verantwortlichen Informationen über bestimmte Empfänger zu erhalten, gegenüber denen Daten offengelegt worden sind oder noch offengelegt werden, oder alternativ zu entscheiden, nur Informationen über die Kategorien von Empfängern anzufordern. […]

Aus dem mit der DS-GVO verfolgten Ziel ergibt sich daher auch, dass die betroffene Person das Recht hat, von dem Verantwortlichen Informationen über die konkreten Empfänger zu verlangen, gegenüber denen sie betreffende personenbezogene Daten offengelegt worden sind oder noch offengelegt werden. […]

Folglich ist denkbar, dass es unter bestimmten Umständen nicht möglich ist, Informationen über konkrete Empfänger zu erteilen. Daher kann das Auskunftsrecht auf Informationen über die Kategorien von Empfängern beschränkt werden, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, insbesondere wenn diese noch nicht bekannt sind.