OGH zum Auskunftsanspruch nach Art 15 DSVGO

26. Mai 2023 Benn-Ibler Rechtsanwälte

Der Oberste Gerichtshof (OGH) stellt klar: Im Rahmen des Art 15 Datenschutz-Grundverordnung (DSGVO) besteht auch ein Anspruch auf Auskunft, ob die personenbezogenen Daten gegenüber einem konkreten Empfänger offengelegt wurden.

Die beklagte GmbH führte in Tirol PCR-Tests auf das Corona-Virus durch. Der Geschäftsführer der Beklagten versandte 2021 per E-Mail eine Excel-Datei mit mehr als 24.000 Testergebnissen an zumindest eine Person außerhalb der beklagten GmbH. In weiterer Folge wurden diese Daten dem ORF und dem „Standard“ zugespielt. Daraufhin veröffentlichten diese Berichte zu diesem „Massiven Datenleck bei positiven CoV-Tests“.

Der Kläger, der bei der Beklagten positiv getestet wurde, begehrte unter anderem Auskunft darüber, ob er von der Datenpanne betroffen war, also, ob seine personenbezogenen Daten gegenüber einem konkreten Empfänger offengelegt wurden. Die Beklagte habe diese Auskunft entgegen Art 15 DSGVO verweigert, weshalb er sie nun gerichtlich durchsetzen wollte.

Die Beklagte hielt dem entgegen, dass von vornherein kein Anspruch auf Auskunft hinsichtlich bestimmter Empfänger bestehe. Art 15 DSGVO spreche nur von „Empfängern oder Kategorien von Empfängern“. Das Begehren über Auskunft zu bestimmten Empfängern sei daher überschießend.  

Die unteren Instanzen bestätigten den Auskunftsanspruch, wie auch der OGH:

Gem Art 15 DSGVO besteht ein Auskunftsanspruch gegenüber dem Verantwortlichen über die Empfänger oder Kategorien von Empfängern, gegenüber denen personenbezogene Daten offengelegt wurden.

Zweck des Auskunftsrechts nach Art 15 DSGVO ist auch, dass die betroffene Person überprüfen kann, ob ihre Daten in zulässiger Weise verarbeitet wurden, insbesondere ob sie gegenüber Empfängern offengelegt wurden, die zu ihrer Verarbeitung befugt sind. Dies ist insbesondere erforderlich, damit die betroffene Person ihre Rechte ausüben kann, etwa das Recht auf Löschung oder Einschränkung der Verarbeitung aber auch allfällige Schadenersatzansprüche.

Um die praktische Wirksamkeit dieser Rechte zu gewährleisten, muss im Rahmen des Art 15 DSGVO auch mitgeteilt werden, ob die betroffene Person von einer Datenübermittlung an einen konkreten Empfänger tatsächlich betroffen ist.

OGH 6 Ob 227/22h (24.03.2023)