der Rechtssache C‑154/21 betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Obersten Gerichtshof (Österreich) mit Entscheidung vom 18. Februar 2021, beim Gerichtshof eingegangen am 9. März 2021,
dem Verfahren RW gegen Österreichische Post AG erlässt DER GERICHTSHOF (Erste Kammer) unter Mitwirkung des Kammerpräsidenten A. Arabadjiev, des Vizepräsidenten des Gerichtshofs L. Bay Larsen
Wahrnehmung der Aufgaben eines Richters der Ersten Kammer, der Richter P. G. Xuereb und A. Kumin sowie der Richterin I. Ziemele (Berichterstatterin), Generalanwalt: G. Pitruzzella, Kanzler: A. Calot Escobar, aufgrund des schriftlichen Verfahrens, unter Berücksichtigung der Erklärungen – von RW, vertreten durch Rechtsanwalt R. Haupt, – der Österreichischen Post AG, vertreten durch Rechtsanwalt R. Marko, – der österreichischen Regierung, vertreten durch G. Kunnert, A. Posch und J. Schmoll als Bevollmächtigte, – der tschechischen Regierung, vertreten durch M. Smolek und J. Vláčil als Bevollmächtigte, – der italienischen Regierung, vertreten durch G. Palmieri als Bevollmächtigte im Beistand von M. Russo, Avvocato dello Stato, – der lettischen Regierung, vertreten durch J. Davidoviča, I. Hūna und K. Pommere als Bevollmächtigte, – der rumänischen Regierung, vertreten durch L.‑E. Baţagoi, E. Gane und A. Wellman als Bevollmächtigte, – der schwedischen Regierung, vertreten durch H. Eklinder, J. Lundberg, C. Meyer‑Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev und O. Simonsson als Bevollmächtigte, – der Europäischen Kommission, vertreten durch F. Erlbacher und H. Kranenborg als Bevollmächtigte, nach Anhörung der Schlussanträge des Generalanwalts
der Sitzung vom
dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind;
diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen. Gründe Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 15 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO). Es ergeht im Rahmen eines Rechtsstreits zwischen RW und der Österreichischen Post AG (im Folgenden: Österreichische Post) über einen Antrag auf Zugang zu personenbezogenen Daten nach Art. 15 Abs. 1 Buchst. c DSGVO. Rechtlicher Rahmen Die Erwägungsgründe 4, 9, 10, 39, 63 und 74 DSGVO lauten wie folgt: "
der [Europäischen] Union unterschiedlich gehandhabt wird, Rechtsunsicherheit besteht oder
der Öffentlichkeit die Meinung weit verbreitet ist, dass erhebliche Risiken für den Schutz natürlicher Personen bestehen,
sbesondere im Zusammenhang mit der Benutzung des
ternets. Unterschiede beim Schutzniveau für die Rechte und Freiheiten von natürlichen Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten
den Mitgliedstaaten, vor allem beim Recht auf Schutz dieser Daten, können den unionsweiten freien Verkehr solcher Daten behindern. Diese Unterschiede im Schutzniveau können daher ein Hemmnis für die unionsweite Ausübung von Wirtschaftstätigkeiten darstellen, den Wettbewerb verzerren und die Behörden an der Erfüllung der ihnen nach dem Unionsrecht obliegenden Pflichten hindern. Sie erklären sich aus den Unterschieden bei der Umsetzung und Anwendung der Richtlinie 95/46/EG.
der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten
allen Mitgliedstaaten gleichwertig sein. ... ...
welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden. Der Grundsatz der Transparenz setzt voraus, dass alle
formationen und Mitteilungen zur Verarbeitung dieser personenbezogenen Daten leicht zugänglich und verständlich und
klarer und einfacher Sprache abgefasst sind. ... ...
angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. ... Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren,
sbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest
Fällen,
denen die Verarbeitung auf Profiling beruht. ... Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und
sbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. ... ...
seinem Namen erfolgt, sollte geregelt werden.
sbesondere sollte der Verantwortliche geeignete und wirksame Maßnahmen treffen müssen und nachweisen können, dass die Verarbeitungstätigkeiten im Einklang mit dieser Verordnung stehen und die Maßnahmen auch wirksam sind. Dabei sollte er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten natürlicher Personen berücksichtigen." Art. 1 ("Gegenstand und Ziele") Abs. 2 DSGVO bestimmt: "Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und
sbesondere deren Recht auf Schutz personenbezogener Daten." Art. 5 ("Grundsätze für die Verarbeitung personenbezogener Daten") DSGVO sieht vor: "
einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ('Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz'); ...
("Transparente
formation, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person") DSGVO heißt es: "
formationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen,
präziser, transparenter, verständlicher und leicht zugänglicher Form
einer klaren und einfachen Sprache zu übermitteln; dies gilt
sbesondere für
formationen, die sich speziell an Kinder richten. Die Übermittlung der
formationen erfolgt schriftlich oder
anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die
formation mündlich erteilt werden, sofern die Identität der betroffenen Person
anderer Form nachgewiesen wurde.
den
Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht
der Lage ist, die betroffene Person zu identifizieren. ...
formationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder –
sbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
formationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person") Abs. 1 DSGVO sieht vor: "Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit: ... e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten ... ..." Art. 14 ("
formationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden") Abs. 1 DSGVO bestimmt: "Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit: ... e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten; ..." Art. 15 ("Auskunftsrecht der betroffenen Person") DSGVO lautet: "
formationen:
sbesondere bei Empfängern
Drittländern oder bei
ternationalen Organisationen;
formationen über die Herkunft der Daten; h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest
diesen Fällen – aussagekräftige
formationen über die
volvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
ternationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
formationen
einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
Bezug auf angebotene Dienste der
formationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.
formieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat. ..." Art. 18 ("Recht auf Einschränkung der Verarbeitung") Abs. 1 DSGVO bestimmt: "Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:
DSGVO heißt es: "Der Verantwortliche teilt allen Empfängern, denen [personenbezogene] Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung nach Artikel 16, Artikel 17 Absatz 1 und Artikel 18 mit, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Der Verantwortliche unterrichtet die betroffene Person über diese Empfänger, wenn die betroffene Person dies verlangt." Art. 21 ("Widerspruchsrecht") DSGVO sieht vor: "
teressen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Verbindung steht.
den Absätzen 1 und 2 genannte Recht hingewiesen werden; dieser Hinweis hat
einer verständlichen und von anderen
formationen getrennten Form zu erfolgen.
formationsgesellschaft kann die betroffene Person ungeachtet der Richtlinie 2002/58/EG [des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre
der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. 2002, L 201, S. 37)] ihr Widerspruchsrecht mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.
teresse liegenden Aufgabe erforderlich." Art. 79 ("Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter") Abs. 1 DSGVO lautet: "Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte
folge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden." Art. 82 ("Haftung und Recht auf Schadenersatz") Abs. 1 DSGVO sieht vor: "Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter." Ausgangsrechtsstreit und Vorlagefrage Am 15. Januar 2019 wandte sich RW an die Österreichische Post, um gemäß Art. 15 DSGVO Auskunft darüber zu erhalten, welche ihn betreffenden personenbezogenen Daten die Österreichische Post speichere oder
der Vergangenheit gespeichert habe und, wenn es zu einer Offenlegung der Daten gegenüber Dritten gekommen sei, wer diese Empfänger gewesen seien. Bei der Beantwortung dieser Anfrage beschränkte sich die Österreichische Post auf die Mitteilung, sie verwende Daten, soweit das rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und biete diese personenbezogenen Daten Geschäftskunden für Marketingzwecke an. Im Übrigen verwies sie für detailliertere
formationen und weitere Datenverarbeitungszwecke auf eine Website. Sie teilte RW nicht mit, wer die konkreten Empfänger dieser Daten sind. RW erhob gegen die Österreichische Post Klage vor den österreichischen Gerichten und beantragte, ihr aufzugeben, ihm u. a. mitzuteilen, wer der oder die Empfänger seiner offengelegten personenbezogenen Daten waren. Im Lauf dieses angestrengten gerichtlichen Verfahrens teilte die Österreichische Post RW mit, seine personenbezogenen Daten seien zu Marketingzwecken verarbeitet und an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien gehört hätten. Das erstinstanzliche Gericht und das Berufungsgericht wiesen die Klage von RW ab, weil Art. 15 Abs. 1 Buchst. c DSGVO durch den Verweis auf die "Empfänger oder Kategorien von Empfängern" dem Verantwortlichen die Wahlmöglichkeit einräume, der betroffenen Person lediglich die Kategorien von Empfängern mitzuteilen, ohne die konkreten Empfänger der personenbezogenen Daten namentlich nennen zu müssen. RW legte beim Obersten Gerichtshof (Österreich), dem vorlegenden Gericht, Revision ein. Das vorlegende Gericht fragt sich, wie Art. 15 Abs. 1 Buchst. c DSGVO auszulegen ist, da der Wortlaut dieser Bestimmung nicht eindeutig erkennen lasse, ob sie der betroffenen Person ein Auskunftsrecht hinsichtlich der konkreten Empfänger der offengelegten Daten einräume oder ob es im Ermessen des Verantwortlichen liege, wie er einem Ersuchen um Auskunft über die Empfänger nachkommen wolle. Das vorlegende Gericht weist jedoch darauf hin, dass der Regelungszweck dieser Bestimmung eher für die Auslegung spreche, dass die betroffene Person die Wahl habe, ob sie Auskunft über die Kategorien von Empfängern oder über die konkreten Empfänger ihrer personenbezogenen Daten begehre. Jede gegenteilige Auslegung würde zu einer erheblichen Beeinträchtigung der Effektivität der der betroffenen Person zum Schutz ihrer Daten zur Verfügung stehenden Rechtsbehelfe führen. Hätten nämlich die Verantwortlichen die Wahl, den betroffenen Personen die konkreten Empfänger oder nur die Kategorien von Empfängern mitzuteilen, sei zu befürchten, dass letztlich kaum jemals ein Verantwortlicher Auskunft über konkrete Empfänger erteilen werde. Außerdem werde
1 DSGVO anders als
1 Buchst. e und Art. 14 Abs. 1 Buchst. e DSGVO, die die Pflicht des Verantwortlichen vorsähen, die von diesen Artikeln erfassten
formationen bereitzustellen, der Schwerpunkt auf den Umfang des Auskunftsrechts der betroffenen Person gelegt, was auch darauf hindeute, dass die betroffene Person das Recht habe, zu entscheiden, ob sie Auskunft über die konkreten Empfänger oder über die Kategorien von Empfängern anfordern wolle. Schließlich ergänzt das vorlegende Gericht, dass sich das Auskunftsrecht nach Art. 15 Abs. 1 DSGVO nicht bloß auf die aktuell verarbeiteten personenbezogenen Daten erstrecke, sondern auch auf alle
der Vergangenheit verarbeiteten Daten. Hierzu weist es darauf hin, dass die im Urteil vom 7. Mai 2009, Rijkeboer ( C-553/07 , EU:C:2009:293 ), angestellten Erwägungen, die auf den Zweck des
der Richtlinie 95/46 vorgesehenen Auskunftsrechts abstellten, auf das Auskunftsrecht nach Art. 15 DSGVO übertragen werden könnten,
sbesondere da sich aus den Erwägungsgründen 9 und 10 der DSGVO ableiten lasse, dass der Unionsgesetzgeber das Schutzniveau gegenüber dieser Richtlinie nicht habe herabsetzen wollen. Unter diesen Umständen hat der Oberste Gerichtshof das Verfahren ausgesetzt und dem Gerichtshof folgende Frage zur Vorabentscheidung vorgelegt: Ist Art. 15 Abs. 1 lit. c DSGVO dahin gehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind? Zur Vorlagefrage Mit seiner Vorlagefrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 15 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass das
dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die konkrete Identität der Empfänger mitzuteilen. Zunächst ist darauf hinzuweisen, dass nach ständiger Rechtsprechung bei der Auslegung einer Vorschrift des Unionsrechts nicht nur deren Wortlaut, sondern auch der Zusammenhang,
dem sie steht, sowie die Zwecke und Ziele, die mit dem Rechtsakt, zu dem sie gehört, verfolgt werden, zu berücksichtigen sind (Urteil vom
formationen über die Empfänger oder Kategorien von Empfängern, gegenüber denen diese personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden. Die
dieser Bestimmung enthaltenen Begriffe "Empfänger" und "Kategorien von Empfängern" sind nebeneinander aufgeführt, ohne dass daraus geschlossen werden kann, dass zwischen ihnen ein Vorrangverhältnis besteht. Somit ist festzustellen, dass sich dem Wortlaut von Art. 15 Abs. 1 Buchst. c DSGVO nicht eindeutig entnehmen lässt, ob die betroffene Person, wenn sie betreffende personenbezogene Daten offengelegt worden sind oder noch offengelegt werden, das Recht hat, über die konkrete Identität der Empfänger dieser Daten unterrichtet zu werden. Was sodann den Zusammenhang betrifft,
dem Art. 15 Abs. 1 Buchst. c DSGVO steht, ist erstens darauf hinzuweisen, dass nach dem 63. Erwägungsgrund dieser Verordnung die betroffene Person ein Anrecht darauf haben muss,
sbesondere zu wissen und zu erfahren, wer die Empfänger dieser personenbezogenen Daten sind, und dass, wie der Generalanwalt
Nr. 23 seiner Schlussanträge ausgeführt hat, dieser Erwägungsgrund nicht erwähnt, dass dieses Recht lediglich auf die Kategorien von Empfängern beschränkt werden könnte. Zweitens ist auch darauf hinzuweisen, dass jede Verarbeitung personenbezogener Daten von natürlichen Personen mit den
DSGVO aufgestellten Grundsätzen im Einklang stehen muss, damit das Auskunftsrecht gewahrt wird (vgl.
diesem Sinne Urteil vom
formiert wird, wie ihre personenbezogenen Daten verarbeitet werden, und dass diese
formationen leicht zugänglich und verständlich sind. Drittens ist festzustellen, dass, wie der Generalanwalt
Nr. 21 seiner Schlussanträge hervorgehoben hat, Art. 15 DSGVO im Gegensatz zu den Art. 13 und 14 DSGVO,
denen die Pflicht des Verantwortlichen festgelegt ist, der betroffenen Person
formationen über die Kategorien von Empfängern oder die konkreten Empfänger von sie betreffenden personenbezogenen Daten bereitzustellen, wenn diese Daten bei der betroffenen Person oder nicht bei der betroffenen Person erhoben werden, ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person vorsieht, so dass diese wählen können muss, ob ihr – falls möglich –
formationen über bestimmte Empfänger, gegenüber denen diese Daten offengelegt wurden oder noch offengelegt werden, oder
formationen über die Kategorien von Empfängern bereitgestellt werden. Viertens hat der Gerichtshof bereits entschieden, dass es der betroffenen Person durch die Ausübung dieses Auskunftsrechts nicht nur ermöglicht werden muss, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob sie
zulässiger Weise verarbeitet werden (vgl. entsprechend Urteile vom
sbesondere ob sie gegenüber Empfängern offengelegt wurden, die zu ihrer Verarbeitung befugt sind (vgl. entsprechend Urteil vom 7. Mai 2009, Rijkeboer, C-553/07 , EU:C:2009:293 , Rn. 49). Dieses Auskunftsrecht ist
sbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung ("Recht auf Vergessenwerden"), ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art. 16 , 17 bzw. 18 DSGVO zukommen (vgl. entsprechend Urteile vom 17. Juli 2014, YS u. a., C-141/12 und C-372/12 , EU:C:2014:2081 , Rn. 44, sowie vom 20. Dezember 2017, Nowak, C-434/16 , EU:C:2017:994 , Rn. 57), sowie ihr
DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten auszuüben oder im Schadensfall den
den Art. 79 und 82 DSGVO vorgesehenen gerichtlichen Rechtsbehelf einzulegen (vgl. entsprechend Urteil vom 7. Mai 2009, Rijkeboer, C-553/07 , EU:C:2009:293 , Rn. 52). Um die praktische Wirksamkeit sämtlicher
der vorstehenden Randnummer des vorliegenden Urteils angeführten Rechte zu gewährleisten, muss die betroffene Person somit
sbesondere über das Recht verfügen, dass ihr die Identität der konkreten Empfänger mitgeteilt wird, wenn ihre personenbezogenen Daten bereits offengelegt wurden. Fünftens wird diese Auslegung schließlich durch Art. 19 DSGVO bestätigt, der
Satz 1 vorsieht, dass der Verantwortliche grundsätzlich allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung mitteilt. Satz 2 sieht vor, dass der Verantwortliche die betroffene Person über diese Empfänger unterrichtet, wenn die betroffene Person dies verlangt. Somit hat die betroffene Person gemäß Art. 19 Satz 2 DSGVO ausdrücklich das Recht, von dem Verantwortlichen im Rahmen seiner Verpflichtung, alle Empfänger über die Ausübung der Rechte zu
formieren, über die diese Person nach Art. 16 , Art. 17 Abs. 1 und Art. 18 DSGVO verfügt, über die konkreten Empfänger der sie betreffenden Daten unterrichtet zu werden. Aus der vorstehenden kontextbezogenen Analyse ergibt sich, dass es sich bei Art. 15 Abs. 1 Buchst. c DSGVO um eine der Bestimmungen handelt, die die Transparenz der Art und Weise der Verarbeitung der personenbezogenen Daten gegenüber der betroffenen Person gewährleisten sollen, und dass es dieser Artikel der betroffenen Person, wie der Generalanwalt
Nr. 33 seiner Schlussanträge ausgeführt hat, ermöglicht, die u. a.
den Art. 16 bis 19 , 21 , 79 und 82 DSGVO vorgesehenen Befugnisse auszuüben. Folglich ist davon auszugehen, dass die
formationen, die der betroffenen Person gemäß dem
1 Buchst. c DSGVO vorgesehenen Auskunftsrecht erteilt werden, möglichst genau sein müssen.
sbesondere umfasst dieses Auskunftsrecht die Möglichkeit für die betroffene Person, von dem Verantwortlichen
formationen über bestimmte Empfänger zu erhalten, gegenüber denen Daten offengelegt worden sind oder noch offengelegt werden, oder alternativ zu entscheiden, nur
formationen über die Kategorien von Empfängern anzufordern. Was schließlich das Ziel betrifft, das mit der DSGVO verfolgt wird, ist festzustellen, dass diese Verordnung, wie sich aus ihrem zehnten Erwägungsgrund ergibt, namentlich darauf abzielt,
nerhalb der Union ein hohes Datenschutzniveau für natürliche Personen zu gewährleisten (Urteil vom 6. Oktober 2020, La Quadrature du Net u. a., C-511/18 , C-512/18 und C-520/18 , EU:C:2020:791 , Rn. 207).
soweit werden – wie der Generalanwalt
Nr. 14 seiner Schlussanträge im Wesentlichen ausgeführt hat – mit dem durch die DSGVO geschaffenen allgemeinen Rechtsrahmen die Erfordernisse umgesetzt, die sich aus dem durch Art. 8 der Charta der Grundrechte der Europäischen Union geschützten Grundrecht auf Schutz personenbezogener Daten ergeben,
sbesondere die ausdrücklich
Abs. 2 dieses Artikels vorgesehenen Erfordernisse (vgl.
diesem Sinne Urteil vom 9. März 2017, Manni, C-398/15 , EU:C:2017:197 , Rn. 40). Dieses Ziel bestätigt die
Rn. 43 des vorliegenden Urteils dargelegte Auslegung von Art. 15 Abs. 1 DSGVO. Aus dem mit der DSGVO verfolgten Ziel ergibt sich daher auch, dass die betroffene Person das Recht hat, von dem Verantwortlichen
formationen über die konkreten Empfänger zu verlangen, gegenüber denen sie betreffende personenbezogene Daten offengelegt worden sind oder noch offengelegt werden. Schließlich ist jedoch darauf hinzuweisen, dass das Recht auf Schutz der personenbezogenen Daten – wie aus dem vierten Erwägungsgrund der DSGVO hervorgeht – kein uneingeschränktes Recht ist. Wie der Gerichtshof
Rn. 172 des Urteils vom 16. Juli 2020, Facebook Ireland und Schrems ( C-311/18 , EU:C:2020:559 ), im Wesentlichen bekräftigt hat, muss dieses Recht nämlich im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Grundsatzes der Verhältnismäßigkeit gegen andere Grundrechte abgewogen werden. Folglich ist denkbar, dass es unter bestimmten Umständen nicht möglich ist,
formationen über konkrete Empfänger zu erteilen. Daher kann das Auskunftsrecht auf
formationen über die Kategorien von Empfängern beschränkt werden, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen,
sbesondere wenn diese noch nicht bekannt sind. Außerdem ist darauf hinzuweisen, dass sich der Verantwortliche gemäß Art. 12 Abs. 5 Buchst. b DSGVO im Einklang mit dem
2 sowie im 74. Erwägungsgrund dieser Verordnung niedergelegten Grundsatz der Rechenschaftspflicht weigern kann, aufgrund von Anträgen der betroffenen Person tätig zu werden, wenn es sich um offenkundig unbegründete oder exzessive Anträge handelt; hierbei hat der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter der Anträge zu erbringen. Im vorliegenden Fall geht aus dem Vorabentscheidungsersuchen hervor, dass die Österreichische Post den von RW auf der Grundlage von Art. 15 Abs. 1 DSGVO gestellten Antrag, ihm die Identität der Empfänger mitzuteilen, gegenüber denen die ihn betreffenden personenbezogenen Daten offengelegt wurden, abgelehnt hat. Das vorlegende Gericht wird zu prüfen haben, ob die Österreichische Post unter Berücksichtigung der Umstände des Ausgangsverfahrens nachgewiesen hat, dass dieser Antrag offenkundig unbegründet oder exzessiv ist. Nach alledem ist auf die Vorlagefrage zu antworten, dass Art. 15 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass das
dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind;
diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen. Kosten Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig. Permalink: https://openjur.de/u/2461341.html ( https://oj.is/2461341 ) Volltext Druckansicht PDF Download Zitate 0 Zitiert 0 Referenzen 0 Schlagworte Problem melden Impressum Datenschutz Nutzungsbedingungen Über openJur English openJur e.V.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.