OGH 6Ob20/23v

Spruch:

I. Der Schriftsatz der beklagten Partei vom 24. 1. 2023 sowie der Schriftsatz der klagenden Partei vom 25. 1. 2023 werden zurückgewiesen.

II. Die Einrede der Unzulässigkeit des Rechtswegs wird verworfen.

III. Der Revision wird Folge gegeben.

Die Entscheidungen der Vorinstanzen werden aufgehoben. Die Rechtssache wird zur neuerlichen Verhandlung und Entscheidung an das Erstgericht zurückverwiesen.

Begründung:

[1] Der Kläger ersuchte die Beklagte am 15. 1. 2019 unter Verweis auf Art 15 der Verordnung (EU)2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; im Folgenden „DSGVO“) um Auskunft darüber, welche personenbezogenen Daten über ihn die Beklagte speichere bzw in der Vergangenheit gespeichert habe, sowie um Information, wo die Speicherung dieser Daten erfolge und, wenn es zu einer Weitergabe der Daten gekommen sei, wer die konkreten Empfänger gewesen seien.

[2] Im Antwortschreiben teilte die Beklagte mit, sie verwende Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Adressverlag und biete diese Geschäftskunden für Marketingzwecke an. Im Übrigen verwies sie für detailliertere Informationen und weitere Datenverarbeitungszwecke auf eine Website.

[3] Auf dieser Website werden allgemeine Informationen über die Zwecke der Datenverarbeitung der Beklagten geboten. Schließlich verweist die Beklagte auf der Website darauf, die Kategorien von (Daten-)Empfängern könnten dem Punkt 3 der Datenschutzhinweise entnommen werden, wobei ein Link auf eine weitere Website angegeben ist.

[4] Auf dieser weiteren Website wiederum finden sich allgemeine Datenschutzhinweise der Beklagten. Punkt 3.4 der „Datenschutzhinweise“ lautet folgendermaßen:

„Weitere Empfänger: Im Rahmen der Vertragsbeziehung und insbesondere im Zusammenhang mit unserer Leistungsverpflichtung, kann es – je nach Einzelfall – zu weiteren Übermittlungen Ihrer personenbezogenen Daten kommen (wie andere Postdienstleister [z.B. UPU, IPC], Frächter, Ärzte, Krankenanstalten, Versicherungsunternehmen und -makler, Sachverständige, Gutachter, Rechtsanwälte, Interessenvertretungen, Adressverlage und Direktmarketingunternehmen, Banken und Kapitalanlagegesellschaften, Versicherungen, Wirtschaftsprüfer, Berater, Förderstellen, Aktionäre, Investoren). Außerdem können unter bestimmten Voraussetzungen Ihre Daten an werbetreibende Unternehmen weitergegeben werden. Das sind zum Beispiel Unternehmen wie Handelsunternehmen oder Vereine, die Konsumenten ansprechen wollen.“

[5] Erst im Zuge des vorliegenden Gerichtsverfahrens teilte die Beklagte in der Klagebeantwortung dem Kläger mit, dessen Daten seien im Rahmen des Adressverlags zu Marketingzwecken verarbeitet und an Geschäftskunden – darunter seien werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, NGOs oder Parteien zu verstehen – weitergegeben worden.

[6] Konkrete Empfänger der Daten des Klägers gab die Beklagte diesem zu keinem Zeitpunkt bekannt.

[7] Der Kläger begehrt die Verurteilung der Beklagten dazu, ihm eine (verbesserte) Auskunft gemäß Art 15 DSGVO, beinhaltend die Information, ob personenbezogene Daten des Klägers übermittelt wurden (oder nicht), und bejahendenfalls auch des/der Empfänger(s), gegenüber dem/denen die personenbezogenen Daten des Klägers offengelegt worden sind oder noch offengelegt werden, zu erteilen. Er bringt vor, die Angaben der Beklagten entsprächen nicht den gesetzlichen Anforderungen des Art 15 DSGVO, weil daraus nicht hervorgegangen sei, ob die Beklagte personenbezogene Daten des Klägers an Dritte weitergegeben habe und, falls eine tatsächliche Weitergabe erfolgt sei, wer die konkreten Empfänger dieser Daten gewesen seien. Die Auskunft sei weder dem Genauigkeitsgebot noch dem Verständlichkeitsgebot des Art 12 Abs 1 Satz 1 DSGVO gerecht geworden.

[8] Die Beklagte wendet ein, die vor Klageeinbringung dem Kläger übermittelten Auskünfte entsprächen den Anforderungen des Art 15 DSGVO, jedenfalls reichten die weiteren Angaben in der Klagebeantwortung aus. Überdies würde eine detaillierte Offenlegung der individuellen Empfänger einer Offenlegung der Vertriebswege und der individuellen Kundenbeziehungen der Beklagten gleichkommen und damit in deren Geschäftsgeheimnisse eingreifen. Daher sei eine derart umfassende Offenlegung schon aufgrund Art 15 Abs 4 DSGVO nicht geschuldet.

[9] Die Vorinstanzen wiesen das Klagebegehren ab. Das Berufungsgericht führte aus, aus der Formulierung „Empfänger oder Kategorien von Empfängern“ in Art 15 Abs 1 lit c DSGVO gehe eindeutig ein Wahlrecht des Verantwortlichen (Auskunftspflichtigen) hervor, sodass die Auskunft über Kategorien von Empfängern genüge und die einzelnen Empfänger namentlich nicht genannt werden müssten.

[10] Das Berufungsgericht ließ die ordentliche Revision zu, weil keine oberstgerichtliche Rechtsprechung zur Frage bestehe, ob und gegebenenfalls inwiefern Art 15 Abs 1 lit c DSGVO ein Wahlrecht zur Bekanntgabe von konkreten Empfängern oder – alternativ – von Kategorien von Empfängern vorsehe.

Rechtliche Beurteilung​

[11] Die Revision des Klägers ist aus dem vom Berufungsgericht genannten Grund zulässig; sie ist im Sinne des hilfsweise gestellten Aufhebungsantrags auch berechtigt.

Zu I.

[12] Die nach Einlangen des in dieser Rechtssache ergangenen Urteils des Gerichtshofs der Europäischen Union (EuGH) von den Parteien eingebrachten Schriftsätze waren vom Obersten Gerichtshof weder freigestellt noch aufgetragen und daher – abgesehen vom Kostenbestimmungsantrag der klagenden Partei – unzulässig und zurückzuweisen.

Zu II.

[13] II.1. Die Beklagte hat erstmals in der Revisionsbeantwortung den Einwand der Unzulässigkeit des Rechtswegs erhoben. Sie stützt ihn darauf, dass das Auskunftsbegehren des Klägers keine „Verarbeitung“ personenbezogener Daten im Sinn des Art 79 Abs 1 DSGVO darstelle, weshalb der in dieser Bestimmung gewährte „gerichtliche Rechtsbehelf“ nicht anwendbar sei.

[14] II.2. Nach nunmehr ständiger Rechtsprechung ist für eine bindende Entscheidung über eine Prozessvoraussetzung im Sinn des § 42 Abs 3 JN zwar nicht erforderlich, dass das Gericht über ihr Vorliegen ausdrücklich und spruchmäßig entschieden hat (RS0114196; aA RS0039857; RS0039811). Eine bloß implizite Bejahung der Prozessvoraussetzung durch meritorische Behandlung wird als nicht ausreichend erachtet (RS0114196 [T4, T8]; RS0039857 [T1]), sehr wohl aber wird eine bindende Entscheidung dann angenommen, wenn das Gericht sich mit dem Vorliegen der Prozessvoraussetzung in den Entscheidungsgründen auseinandergesetzt hat (RS0039774; RS0114196 [T6, T7]). Der Entscheidungswille des Gerichts, über die Prozessvoraussetzung zu entscheiden, muss dabei deutlich erkennbar sein (9 Ob 19/18m).

[15] II.3. Beide Vorinstanzen haben weder im Spruch noch in den Entscheidungsgründen die Frage der Zulässigkeit des Rechtswegs behandelt. Somit liegt kein eindeutiger Entscheidungswille der Vorinstanzen und damit auch keine bindende Entscheidung im Sinn des § 42 Abs 3 JN vor. Die Einrede der Unzulässigkeit des ordentlichen Rechtswegs für den auf Art 15 Abs 1 DSGVO gestützten Auskunftsanspruch ist daher gemäß § 42 Abs 1 JN vorweg zu prüfen (vgl RS0046249).

[16] II.4. Die Revisionsgegnerin ist auf die nunmehr gesicherte ständige Rechtsprechung des Senats zu verweisen, wonach (auch) das Auskunftsrecht nach Art 15 DSGVO gerichtlich durchgesetzt werden kann (6 Ob 138/20t; 6 Ob 127/20z; 6 Nc 19/21b; RS0132578 [T3, T4]). Die Einrede der Unzulässigkeit des ordentlichen Rechtswegs war daher zu verwerfen.

Zu III.

III.1. Anzuwendendes Unionsrecht

[17] Aus der DSGVO:

„Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

…

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

...

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

…

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

III.2. Verfahren vor dem Gerichtshof der Europäischen Union

[18] III.2.1. Der Senat hat in dieser Rechtssache mit Beschluss vom 18. 2. 2021, 6 Ob 159/20f, dem Gerichtshof der Europäischen Union gemäß Art 267 AEUV folgende Frage zur Vorabentscheidung vorgelegt:

„Ist Art 15 Abs 1 lit c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; im Folgenden 'DSGVO') dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?“

[19] III.2.2. Der Gerichtshof der Europäischen Union hat mit Urteil vom 12. 1. 2023, C‑154/21 , diese Frage wie folgt beantwortet:

„Art. 15 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung) ist dahin auszulegen, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.“

III.3. Folgerungen

[20] III.3.1. Aus der Antwort des Gerichtshofs der Europäischen Union, die der Rechtsansicht der Vorinstanzen entgegensteht, folgt, dass das Begehren des Klägers auf Bekanntgabe der Empfänger seiner personenbezogenen Daten (und nicht bloß der Kategorien von Empfängern) grundsätzlich berechtigt ist.

[21] III.3.2. Zur Vermeidung einer Überraschungsentscheidung ist jedoch den Parteien Gelegenheit zu geben, vor dem Erstgericht zu folgenden vom Gerichtshof der Europäischen Union aufgezeigten, bisher nicht ausreichend erörterten Gesichtspunkten Vorbringen zu erstatten und Beweisanbote zu stellen: Zum einen erwähnt der Gerichtshof den Ausnahmefall, dass es dem Verantwortlichen nicht möglich ist, die Empfänger zu identifizieren. Zum anderen bedenkt der Gerichtshof den Fall, dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinn von Art 12 Abs 5 der Verordnung 2016/679 sind.