DSGVO-Auskunft: Müssen Unternehmen die konkreten Empfänger meiner Daten nennen?
DSGVO-Auskunft: Wer von einem Unternehmen eine Auskunft über seine personenbezogenen Daten verlangt, erwartet zu Recht eine klare Antwort: Welche Daten werden verarbeitet, zu welchem Zweck geschieht das und wer hat diese Informationen erhalten? Eine bloße Aufzählung allgemeiner Gruppen wie „Dienstleister“, „Werbepartner“ oder „Kooperationsunternehmen“ lässt diese Fragen häufig offen.
Gerade bei sensiblen oder umfangreichen Datenverarbeitungen kann dadurch ein erhebliches Gefühl des Kontrollverlusts entstehen. Doch wann ist eine Auskunft tatsächlich unvollständig? Und reicht eine Datenschutzverletzung allein aus, um Schadenersatz zu verlangen?
Was der OGH in einer Entscheidung aus dem Jahr 2023 zur DSGVO-Auskunft klären ließ
Mit diesen Fragen befasste sich der Oberste Gerichtshof in der Entscheidung OGH vom 25.09.2023, 6 Ob 90/23p. Die Entscheidung ist daher nicht als aktuelle Entscheidung zu bezeichnen. Sie zeigt aber weiterhin deutlich, welche rechtlichen Fragen bei Auskunftsbegehren nach der Datenschutz-Grundverordnung eine Rolle spielen. Zur Entscheidung.
Eine Klägerin hatte von einem Unternehmen Auskunft darüber verlangt, welche personenbezogenen Daten über sie verarbeitet wurden. Nach ihrer Auffassung war die Antwort nicht vollständig und nicht verständlich genug. Insbesondere wollte sie wissen, an welche konkreten Empfänger ihre Daten weitergegeben worden waren.
Das Unternehmen hatte offenbar nicht nur einzelne Empfänger genannt, sondern teilweise mit allgemeinen Kategorien gearbeitet. Aus Sicht der Klägerin genügte dies nicht. Zusätzlich verlangte sie 2.500 Euro Schadenersatz. Sie berief sich unter anderem auf den Verlust der Kontrolle über ihre Daten und auf ein ungutes Gefühl, weil das Unternehmen über Informationen verfügte, die sie freiwillig nicht offengelegt hätte.
Die ersten beiden Instanzen wiesen die Klage ab. Der Fall gelangte daraufhin zum OGH.
Der OGH entschied noch nicht endgültig über DSGVO-Auskunft und Schadenersatz
Wichtig ist eine zentrale Einschränkung: Der OGH sprach in dieser Entscheidung der Klägerin nicht endgültig einen Auskunftsanspruch oder Schadenersatz zu. Das Verfahren wurde vielmehr unterbrochen, weil mehrere unionsrechtliche Fragen zunächst durch den Gerichtshof der Europäischen Union geklärt werden sollten.
Der OGH wartete insbesondere Antworten darauf ab, wie die Anforderungen an die konkrete Auskunft und an einen Schadenersatzanspruch nach der DSGVO genau auszulegen sind. Erst danach sollte das österreichische Verfahren fortgesetzt werden.
Aus der Entscheidung folgt daher nicht, dass jede unvollständige Auskunft automatisch zu einer Geldzahlung führt. Ebenso wenig bedeutet sie, dass Unternehmen immer uneingeschränkt jede denkbare Information offenlegen müssen. Entscheidend bleiben die konkreten Umstände des jeweiligen Falls.
Welche Informationen darf ich nach Artikel 15 DSGVO verlangen?
Artikel 15 DSGVO gibt betroffenen Personen grundsätzlich das Recht, von einem Verantwortlichen Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu erhalten. Dazu gehören insbesondere Informationen darüber,
- ob personenbezogene Daten verarbeitet werden,
- welche Daten verarbeitet werden,
- zu welchen Zwecken die Verarbeitung erfolgt,
- wie lange die Daten gespeichert werden sollen,
- aus welcher Quelle die Daten stammen, sofern sie nicht direkt bei der betroffenen Person erhoben wurden, und
- an welche Empfänger oder Kategorien von Empfängern die Daten weitergegeben wurden oder werden.
Besonders relevant ist die Frage nach den Empfängern. Nach der bisherigen Rechtsprechung des EuGH muss grundsätzlich die Identität der konkreten Empfänger genannt werden, wenn personenbezogene Daten tatsächlich an bestimmte Empfänger übermittelt wurden.
Die Nennung bloßer Kategorien wie „Banken“, „Dienstleister“ oder „Werbepartner“ muss daher nicht immer ausreichen. Betroffene sollen grundsätzlich nachvollziehen können, wer ihre Daten erhalten hat. Nur unter bestimmten Voraussetzungen kann die Angabe von Empfängerkategorien genügen, etwa wenn die konkreten Empfänger nicht feststellbar sind oder der Antrag offensichtlich unbegründet oder übermäßig ist.
Für die Praxis bedeutet das: Wer eine DSGVO-Auskunft erhält, sollte genau prüfen, ob das Unternehmen tatsächlich konkrete Empfänger nennt oder sich nur allgemein hält. Eine pauschale Antwort ist nicht automatisch rechtswidrig. Sie darf aber auch nicht dazu dienen, die tatsächlichen Datenflüsse zu verschleiern.
Warum eine Datenschutzverletzung nicht automatisch Schadenersatz bedeutet
Artikel 82 DSGVO sieht grundsätzlich einen Anspruch auf Schadenersatz vor, wenn jemand wegen eines Verstoßes gegen die DSGVO einen materiellen oder immateriellen Schaden erlitten hat. Ein bloßer Verstoß gegen die Datenschutzvorschriften reicht jedoch nicht automatisch aus.
Wer beispielsweise eine unvollständige Auskunft erhalten hat, kann nicht allein deshalb ohne weitere Prüfung einen bestimmten Geldbetrag verlangen. Zusätzlich muss eine tatsächliche Beeinträchtigung vorliegen. Das kann ein finanzieller Nachteil sein. Es kann sich aber auch um einen immateriellen Schaden handeln.
Als mögliche immaterielle Beeinträchtigungen kommen etwa in Betracht:
- eine nachvollziehbare Angst vor dem Missbrauch der eigenen Daten,
- ein konkreter Kontrollverlust über persönliche Informationen,
- eine erhebliche Sorge, welche Personen oder Unternehmen Zugriff auf die Daten haben, oder
- eine sonstige persönliche Belastung, die über den bloßen Ärger über eine schlechte Antwort hinausgeht.
Nach der bisherigen Rechtsprechung des EuGH ist dabei keine starre Mindestschwere erforderlich. Ein Schadenersatzanspruch darf also nicht allein mit der Begründung abgelehnt werden, die Beeinträchtigung sei „zu geringfügig“. Dennoch muss die betroffene Person eine tatsächliche Beeinträchtigung darlegen können. Ein Datenschutzverstoß und ein Schadenersatzanspruch sind daher zwei unterschiedliche Fragen.
Was bedeutet das im Alltag?
1. Das Unternehmen nennt nur „Dienstleister“
Erhält eine betroffene Person auf ihre Auskunft lediglich die Information, dass Daten an „Dienstleister“ weitergegeben wurden, bleibt offen, wer konkret gemeint ist. Wurden Daten tatsächlich an bestimmte Unternehmen übermittelt, kann grundsätzlich deren Identität verlangt werden.
2. Die Antwort kommt, ist aber schwer verständlich
Eine Auskunft muss nicht in Alltagssprache verfasst sein. Sie darf aber nicht so unklar oder pauschal ausfallen, dass die betroffene Person ihre Rechte praktisch nicht ausüben kann. Unverständliche Tabellen, nicht erklärte Abkürzungen oder widersprüchliche Angaben können Anlass sein, eine Ergänzung zu verlangen.
3. Es besteht die Sorge vor Datenmissbrauch
Die bloße Befürchtung, dass Daten missbraucht werden könnten, führt nicht automatisch zu Schadenersatz. Je konkreter und nachvollziehbarer die Sorge jedoch mit dem Datenschutzverstoß zusammenhängt, desto genauer sollte sie dokumentiert werden. Relevant können etwa konkrete Hinweise auf eine unbefugte Weitergabe oder die besondere Sensibilität der Daten sein.
4. Die Auskunft ist verspätet oder unvollständig
Eine verspätete oder unvollständige Antwort kann eine Datenschutzverletzung darstellen. Für einen Geldanspruch muss aber zusätzlich dargelegt werden, welche tatsächliche persönliche oder wirtschaftliche Beeinträchtigung daraus entstanden ist. Pauschale Forderungen ohne konkrete Begründung sind daher oft schwer durchzusetzen.
So gehen Sie bei einer unvollständigen DSGVO-Auskunft vor
Wer seine Rechte nach Artikel 15 DSGVO wahrnehmen möchte, sollte planvoll vorgehen. Folgende Schritte sind sinnvoll:
- Auskunft schriftlich verlangen: Stellen Sie das Begehren per E-Mail oder auf einem anderen nachweisbaren Weg.
- Inhalt klar formulieren: Fragen Sie ausdrücklich nach den verarbeiteten Daten, den Verarbeitungszwecken, der Speicherdauer und den konkreten Empfängern.
- Zugang dokumentieren: Bewahren Sie den Antrag, die Antwort und Nachweise über das Versand- oder Zugangsdatum auf.
- Antwort genau prüfen: Achten Sie darauf, ob konkrete Empfänger genannt oder nur allgemeine Kategorien angeführt werden.
- Ergänzung verlangen: Ist die Antwort unvollständig, sollte konkret benannt werden, welche Informationen fehlen.
- Beeinträchtigungen festhalten: Wenn ein Schadenersatzanspruch geprüft werden soll, dokumentieren Sie konkrete Ängste, Nachteile oder sonstige Belastungen und deren Zusammenhang mit dem Datenschutzverstoß.
- Rechtliche Schritte abwägen: Nicht jede mangelhafte Auskunft rechtfertigt sofort eine Klage. Eine rechtliche Prüfung kann helfen, Aufwand, Beweislage und Erfolgsaussichten realistisch einzuschätzen.
Häufige Fragen zur DSGVO-Auskunft
Muss ein Unternehmen immer jeden Empfänger namentlich nennen?
Grundsätzlich ist die Identität konkreter Empfänger zu nennen, wenn personenbezogene Daten tatsächlich an diese Empfänger übermittelt wurden. Unter bestimmten Voraussetzungen kann jedoch die Angabe von Empfängerkategorien genügen, etwa wenn konkrete Empfänger nicht feststellbar sind oder der Antrag offensichtlich unbegründet oder übermäßig ist.
Bekomme ich automatisch Geld, wenn die Auskunft unvollständig war?
Nein. Ein Verstoß gegen die DSGVO allein führt nicht automatisch zu Schadenersatz. Zusätzlich muss ein materieller oder immaterieller Schaden vorliegen. Eine besondere Mindestschwere ist nach der bisherigen EuGH-Rechtsprechung nicht erforderlich, eine tatsächliche Beeinträchtigung aber schon.
Reicht ein ungutes Gefühl für Schadenersatz aus?
Das hängt vom Einzelfall ab. Ein bloßer allgemeiner Ärger wird nicht ohne Weiteres genügen. Eine nachvollziehbare Angst, ein konkreter Kontrollverlust oder eine sonstige persönliche Belastung kann dagegen grundsätzlich als immaterieller Schaden relevant sein. Entscheidend ist, ob die Beeinträchtigung konkret dargelegt werden kann.
Was, wenn das Unternehmen gar nicht oder nur ausweichend antwortet?
Dann sollte zunächst dokumentiert werden, wann das Auskunftsbegehren gestellt wurde und wie das Unternehmen reagiert hat. Je nach Situation kommen eine ergänzende Aufforderung, eine Beschwerde bei der Datenschutzbehörde oder gerichtliche Schritte in Betracht. Welche Möglichkeit sinnvoll ist, hängt vom Inhalt der Antwort und vom konkreten Ziel ab.
DSGVO-Auskunft prüfen lassen: Rechtsanwalt Wien
Die Entscheidung des OGH vom 25.09.2023, 6 Ob 90/23p zeigt, wie sorgfältig zwischen dem Recht auf eine vollständige Auskunft und einem finanziellen Schadenersatzanspruch unterschieden werden muss. Wer seine Daten nicht ausreichend kontrollieren kann oder keine klare Antwort über deren Weitergabe erhält, sollte die erhaltenen Unterlagen nicht vorschnell akzeptieren.
Als erfahrener Rechtsanwalt berät die Kanzlei Pichler betroffene Personen zur Durchsetzung von Auskunftsrechten und zur Frage, ob eine konkrete Datenschutzverletzung einen Schadenersatzanspruch begründen kann. Mit langjähriger Erfahrung als Rechtsanwalt im Umgang mit rechtlichen Streitfragen unterstützt die Kanzlei bei der Prüfung der Unterlagen und der nächsten Schritte.
Für eine persönliche Einschätzung erreichen Sie die Kanzlei Pichler Rechtsanwalt GmbH, Karlsplatz 3, 1010 Wien, unter 01/5130700 oder per E-Mail an wien@anwaltskanzlei-pichler.at.
Rechtliche Hilfe benötigt?
Kontaktieren Sie unsere Rechtsanwaltskanzlei in 1010 Wien: Beratungstermin vereinbaren.
