OGH: Zum Auskunftsrecht nach Art 15 Abs 1 lit c DSGVO iZm Datenpannen
Ob eine von der Beklagten zu vertretende „Datenpanne“ iSe Verletzung des Schutzes personenbezogener Daten vorlag, ist für die Ausübung des Auskunftsrechts nicht entscheidend
Art 15 DSGVO, Art 12 DSGVO, Art 82 DSGVO
GZ 6 Ob 241/22t, 24.03.2023
OGH: Nach stRsp kann (auch) das Auskunftsrecht nach Art 15 DSGVO gerichtlich durchgesetzt werden. Der EuGH hat jüngst zu Art 15 Abs 1 lit c DSGVO klargestellt, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv iSd Art 12 Abs 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen. Der betroffenen Person muss es durch die Ausübung des Auskunftsrechts nach Art 15 DSGVO nicht nur ermöglicht werden zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob sie in zulässiger Weise verarbeitet werden, insbesondere ob sie gegenüber Empfängern offengelegt wurden, die zu ihrer Verarbeitung befugt sind. Dieses Auskunftsrecht ist insbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“), ihr Recht auf Einschränkung der Verarbeitung sowie ihr in Art 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten auszuüben oder im Schadensfall den in den Art 79 und 82 DSGVO vorgesehenen gerichtlichen Rechtsbehelf einzulegen.
Um die praktische Wirksamkeit sämtlicher der oben angeführten Rechte zu gewährleisten, muss der Kläger nicht nur über das Recht verfügen, dass ihm die Identität der konkreten Empfänger mitgeteilt wird, wenn seine personenbezogenen Daten bereits offengelegt wurden. Die effiziente Rechtsverfolgung, etwa - wie hier - auf einer unbefugten Offenlegung basierender Schadenersatzansprüche nach Art 82 DSGVO, setzt auch voraus, Kenntnis über eine tatsächliche Betroffenheit von einer Datenübermittlung erlangen zu können. Der Kläger hat daher gem Art 15 Abs 1 lit c DSGVO auch das Recht, dass ihm mitgeteilt wird, ob durch eine konkret genannte Datenübermittlung an einen Empfänger (Art 4 Z 9 DSGVO), selbst wenn dieser nicht bekannt sein sollte, seine personenbezogenen Daten offengelegt wurden. Dadurch wird ihm ermöglicht, in der Folge seine obgenannten Rechte auszuüben. Ob eine von der Beklagten zu vertretende „Datenpanne“ iSe Verletzung des Schutzes personenbezogener Daten (Art 4 Z 12 DSGVO) vorlag, ist für die Ausübung dieses Auskunftsrechts nicht entscheidend.
