OGH 6Ob159/20f

Spruch:

I. Dem Gerichtshof der Europäischen Union wird gemäß Art 267 AEUV folgende Frage zur Vorabentscheidung vorgelegt:

Ist Art 15 Abs 1 lit c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; im Folgenden „DSGVO“) dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?

II.  Das Verfahren vor dem Obersten Gerichtshof wird bis zum Einlangen der Vorabentscheidung des Gerichtshofs der Europäischen Union gemäß § 90a Abs 1 GOG ausgesetzt.

Begründung:

[1] A. Sachverhalt

[2] Der Kläger ersuchte die Beklagte am 15. 1. 2019 unter Verweis auf Art 15 DSGVO um Auskunft darüber, welche personenbezogenen Daten über ihn die Beklagte speichere bzw in der Vergangenheit gespeichert habe, sowie um Information, wo die Speicherung dieser Daten erfolge und, wenn es zu einer Weitergabe der Daten gekommen sei, wer die konkreten Empfänger gewesen seien.

[3] Im Antwortschreiben teilte die Beklagte mit, sie verwende Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Adressverlag und biete diese Geschäftskunden für Marketingzwecke an. Im Übrigen verwies sie für detailliertere Informationen und weitere Datenverarbeitungszwecke auf eine Website.

[4] Auf dieser Website werden allgemeine Informationen über die Zwecke der Datenverarbeitung der Beklagten geboten. Schließlich verweist die Beklagte auf der Website darauf, die Kategorien von (Daten‑)Empfängern könnten dem Punkt 3 der Datenschutzhinweise entnommen werden, wobei ein Link auf eine weitere Website angegeben ist.

[5] Auf dieser weiteren Website wiederum finden sich allgemeine Datenschutzhinweise der Beklagten. Punkt 3.4 der „Datenschutzhinweise“ lautet folgendermaßen:

„Weitere Empfänger: Im Rahmen der Vertragsbeziehung und insbesondere im Zusammenhang mit unserer Leistungsverpflichtung, kann es – je nach Einzelfall – zu weiteren Übermittlungen Ihrer personenbezogenen Daten kommen (wie andere Postdienstleister [z.B. UPU, IPC], Frächter, Ärzte, Krankenanstalten, Versicherungsunternehmen und -makler, Sachverständige, Gutachter, Rechtsanwälte, Interessenvertretungen, Adressverlage und Direktmarketingunternehmen, Banken und Kapitalanlagegesellschaften, Versicherungen, Wirtschaftsprüfer, Berater, Förderstellen, Aktionäre, Investoren). Außerdem können unter bestimmten Voraussetzungen Ihre Daten an werbetreibende Unternehmen weitergegeben werden. Das sind zum Beispiel Unternehmen wie Handelsunternehmen oder Vereine, die Konsumenten ansprechen wollen.“

[6] Erst im Zuge des vorliegenden Gerichtsverfahrens teilte die Beklagte in der Klagebeantwortung dem Kläger mit, Daten des Klägers seien im Rahmen des Adressverlages zu Marketingzwecken verarbeitet und an Geschäftskunden – darunter seien werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, NGOs oder Parteien zu verstehen – weitergegeben worden.

[7] Konkrete Empfänger der Daten des Klägers gab die Beklagte dem Kläger zu keinem Zeitpunkt bekannt.

[8] B. Vorbringen der Parteien

[9] Der Kläger begehrt die Verurteilung der Beklagten dazu, ihm eine (verbesserte) Auskunft gemäß Art 15 DSGVO, beinhaltend die Information, ob personenbezogene Daten des Klägers übermittelt wurden (oder nicht), und bejahendenfalls auch des/der Empfänger(s), gegenüber dem/denen die personenbezogenen Daten des Klägers offengelegt worden sind oder noch offengelegt werden, zu erteilen. Er bringt vor, die Angaben der Beklagten entsprächen nicht den gesetzlichen Anforderungen des Art 15 DSGVO, weil daraus nicht hervorgegangen sei, ob die Beklagte personenbezogene Daten des Klägers an Dritte weitergegeben habe und, falls eine tatsächliche Weitergabe erfolgt sei, wer die konkreten Empfänger dieser Daten gewesen seien. Die Auskunft sei weder dem Genauigkeitsgebot noch dem Verständlichkeitsgebot des Art 12 Abs 1 Satz 1 DSGVO gerecht geworden.

[10] Die Beklagte wendet ein, die vor Klageeinbringung dem Kläger übermittelten Auskünfte entsprächen den Anforderungen des Art 15 DSGVO, jedenfalls reichten die weiteren Angaben in der Klagebeantwortung aus.

[11] C. Bisheriges Verfahren

[12] Die Vorinstanzen wiesen das Klagebegehren ab. Das Berufungsgericht führte aus, solange das in Art 12 DSGVO enthaltene Transparenzgebot gewahrt werde, sei auch eine nachträgliche Vervollständigung oder Präzisierung einer zuvor gemäß Art 15 DSGVO erteilten Datenauskunft als rechtskonform anzusehen. Die in der Klagebeantwortung abgegebene Äußerung entspreche aus der Sicht einer durchschnittlich gebildeten Person in Österreich als Erklärungsempfängerin dem Art 12 Abs 1 DSGVO, auch wenn man sie in Zusammenhalt mit dem vorprozessualen Schreiben der Beklagten und den angegebenen Verlinkungen auf die Websites auffasse. Aus der Formulierung „Empfänger oder Kategorien von Empfängern“ in Art 15 Abs 1 lit c DSGVO gehe eindeutig ein Wahlrecht des Verantwortlichen (Auskunftspflichtigen) hervor, sodass die Auskunft über Kategorien von Empfängern genüge und die einzelnen Empfänger namentlich nicht genannt werden müssten.

[13] Der Oberste Gerichtshof hat über die Revision des Klägers gegen das Urteil des Berufungsgerichts zu entscheiden.

Rechtliche Beurteilung​

[14] Der Oberste Gerichtshof beschließt, das Revisionsverfahren auszusetzen und dem Gerichtshof der Europäischen Union für die Entscheidung der Rechtssache wesentliche unionsrechtliche Fragen vorzulegen.

[15] D. Anzuwendendes Unionsrecht

DSGVO:

„KAPITEL III

Rechte der betroffenen Person

Abschnitt 1

Transparenz und Modalitäten

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; …

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

...“

[16] E. Begründung der Vorlagefrage

[17] 1.1. Zur ersten Frage liegen in Österreich und Deutschland verschiedene Lehrmeinungen vor:

[18] 1.1.1. Für ein Wahlrecht des Verantwortlichen:

[19] Nach Haidinger in Knyrim,DatKomm Art 15 DSGVO Rz 39 ist aus dem Wort „oder“ zu schließen, dass der Verantwortliche das Wahlrecht hat, Empfänger oder lediglich Kategorien von Empfängern bekanntzugeben.

[20] Paal in Paal/Pauly , DS‑GVO/BDSG 2 Art 15 DSGVO Rz 6 steht auf dem Standpunkt, zwischen „Empfängern“ und „Kategorien von Empfängern“ bestehe ein Wahlrecht zugunsten des Verantwortlichen; dieser könne sich demnach stets auf die Angabe von Kategorien von Empfängern beschränken.

[21] 1.1.2. Gegen ein Wahlrecht des Verantwortlichen:

[22] Gegen ein Wahlrecht des Verantwortlichen, soweit künftige Offenlegungen von Daten des Betroffenen an konkrete Empfänger bereits feststehen, und für eine „zwingende“ Erstreckung des Auskunftsanspruchs auf die Namen der Empfänger, wenn eine Offenlegung bereits erfolgt ist, spricht sich etwa Dix in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht [2019] Art 15 Rz 20 aus.

[23] Auch Bäcker in Kühling/Buchner, DS‑GVO/BDSG2 Art 15 DSGVO Rz 16 f vertritt den Standpunkt, der Verantwortliche habe grundsätzlich kein Wahlrecht: Soweit er die Empfänger der Daten noch oder schon kenne, müsse er sie auf Verlangen benennen. Komme es dadurch zu einer Kollision zwischen dem Datenschutzrecht der betroffenen Person auf Auskunft und gegenläufigen Geheimhaltungsinteressen der Datenempfänger, so setze sich nach Art 15 DSGVO das Recht der betroffenen Person durch. Der Betroffene könne diesfalls noch zusätzlich eine Auskunft über die Kategorien der Empfänger verlangen.

[24] Ehmann in Ehmann/Selmayr, DSGVO2 Art 15 Rz 20 argumentiert zunächst, ein Vergleich mit Art 30 Abs 1 lit d DSGVO zeige, dass im Rahmen des Auskunftsanspruchs die Nennung der dort nicht genannten (konkreten) Empfänger von personenbezogenen Daten Vorrang vor der dort ausschließlich genannten Nennung der Kategorien von Empfängern habe, und stellt dann auf den Zweck des Auskunftsanspruchs ab: Nur die Nennung der konkreten Empfänger ermögliche es, die Rechtmäßigkeit der Verarbeitung zu überprüfen.

[25] Schantz in Schantz/Wolff, Das neue Datenschutzrecht [2017] Rz 1198 mwN geht davon aus, der Betroffene könne wählen, ob er vom Verantwortlichen die Namen der Empfänger oder lediglich die Kategorien der verschiedenen Empfänger erfahren möchte. Überließe man dem Verantwortlichen die Entscheidung über den Inhalt der Auskunft, würde dies die praktische Wirksamkeit des Auskunftsrechts erheblich beeinträchtigen, weil die Kenntnis der konkreten Empfänger häufig für den Betroffenen große Bedeutung habe.

[26] Schmidt‑Wudy in Wolff/Brink, BeckOK Datenschutzrecht³² (Stand 1. 5. 2020) Art 15 DSGVO Rz 58 vertritt die Auffassung, es sei fraglich, ob das „oder“ zwischen „Empfänger“ und „Kategorien von Empfängern“ eine Tatbestandsalternativität impliziere oder als „und“ zu verstehen sei. Die Wortlautauslegung überlasse dem Verantwortlichen die Auswahl, ob er die Empfänger oder die Kategorien von Empfängern beauskunftet; ErwGr 63 scheine eher die Ansicht zu stützen, dass in jedem Fall die „Empfänger“ zu beauskunften sind und die Kategorien von Empfängern fakultativ beauskunftet werden können. Es erscheine sachgerecht, in jedem Fall eine Pflicht zur Auskunft über Empfänger, eine solche hinsichtlich der Kategorien von Empfängern aber nur dann anzunehmen, wenn Daten mehrfach beauskunftet worden sind bzw werden sollen, da nur dann „Kategorien von Empfängern“ vorlägen.

[27] 1.2. Erwägungen des Obersten Gerichtshofs:

[28] Der Wortlaut von Art 15 Abs 1 lit c DSGVO lässt keine abschließende Beurteilung der Frage zu.

[29] Die deutsche Fassung deutet, indem sie in Art 15 Abs 1 zweiter Halbsatz DSGVO auf die Reichweite des Auskunftsrechts des Betroffenen und nicht etwa der korrelierenden Auskunftsverpflichtung des Verantwortlichen abstellt, eher auf ein Wahlrecht des Betroffenen hin.

[30] Nichts anderes ergibt sich aus der Formulierung des entsprechenden Textabschnitts in der englischen (arg: „[…] the right to obtain […] access to […] the following information: […] the recipients or categories of recipient to whom the personal data have been or will be disclosed“) und der französischen Sprachfassung (arg: „[…] le droit d'obtenir […] les informations suivantes: les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées […]“).

[31] Anders als in Art 15 DSGVO wird in Art 13 Abs 1 lit e und Art 14 Abs 1 lit e DSGVO kein (Auskunfts-)Recht des Betroffenen auf Informationen über „Empfänger oder Kategorien von Empfängern“ statuiert, sondern vielmehr eine Informationspflicht des Verantwortlichen.

[32] Dazu kommt, dass die in Art 13 und 14 DSGVO vorgesehene Informationspflicht am – zwangsläufig der Datenverarbeitung vorgelagerten – Zeitpunkt der Datenerhebung anknüpft, sodass die Informationen stets vorab, also in einem Stadium zu erteilen sind, in dem es noch zu keiner tatsächlichen Offenlegung von Daten gegenüber Dritten gekommen sein kann. Der Auskunftsanspruch nach Art 15 DSGVO erstreckt sich dagegen nicht bloß auf die aktuell verarbeiteten Daten des Betroffenen, sondern schon nach seiner Zweckrichtung auch auf den in der Vergangenheit verarbeiteten Datenbestand (grundlegend EuGH Rs C‑553/07, Rijkeboer, ECLI:EU:C:2009:293, Rz 51 ff; die überzeugenden auf das Telos des Auskunftsanspruchs abstellenden Erwägungen dieser Entscheidung sind auch auf den Auskunftsanspruch nach Art 15 DSGVO zu übertragen, zumal sich aus ErwGr 9 und 10 der DSGVO ableiten lässt, dass der Europäische Gesetzgeber eine Herabsetzung des Schutzniveaus gegenüber der RL 95/46/EG ganz allgemein nicht intendiert hat).

[33] ErwGr 63 der DSGVO spricht davon, „jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, … wer die Empfänger der personenbezogenen Daten sind, …“. Hier wird also nicht bloß von „Kategorien von Empfängern“ gesprochen, was ebenfalls dafür spricht, dass der Verantwortliche die einzelnen Empfänger namentlich nennen muss.

[34] Vor diesem Hintergrund hat sich die Auslegung des Art 15 Abs 1 lit c DSGVO in erster Linie am Normzweck zu orientieren: Dabei ist zunächst auf das bereits dargelegte Telos des Auskunftsrechts als Hilfsanspruch zur effektiven Rechtsdurchsetzung, insbesondere der Betroffenenrechte nach Art 16  ff DSGVO, zu verweisen. Dieser Regelungszweck spricht klar für ein – vom Wortlaut der Bestimmung durchaus gedecktes – Verständnis dahingehend, dass nicht dem Verantwortlichen ein Auswahlermessen hinsichtlich der Frage zukommt, wie konkret er dem Ersuchen um Auskunft über die Empfänger personenbezogener Daten nachkommen will; vielmehr soll grundsätzlich der Betroffene die Wahl haben, ob er Auskunft nur über abstrakte Empfängerkategorien oder über die konkreten Empfänger seiner Daten begehrt. Das gegenteilige Normverständnis, aufgrund dessen sich der Verantwortliche letztlich immer darauf zurückziehen könnte, bloß über die Empfängerkategorie zu informieren, führte zu einer erheblichen Beeinträchtigung der vom Europäischen Gesetzgeber angestrebten Effektivität der dem Betroffenen zum Schutz seiner Daten zur Verfügung stehenden Rechtsbehelfe: Hat nämlich der Verantwortliche – wie das Berufungsgericht und die Beklagte meinen – die freie Wahl, wird kaum jemals ein Verantwortlicher die mit erheblichem Mehraufwand verbundene Detailauskunft über konkrete Empfänger erteilen. Diesfalls wird der Betroffene in aller Regel nur über abstrakte Empfängerkategorien informiert werden.

[35] 1.3. Wird die Frage bejaht, hätte die Beklagte die Auskunftspflicht nach Art 15 DSGVO mangels namentlicher Nennung der konkreten Empfänger noch nicht vollständig erfüllt und wäre dem Klagebegehren stattzugeben.

[36] F. Der Ausspruch über die Aussetzung des Verfahrens gründet sich auf § 90a Abs 1 GOG.