OGH 6Ob215/25y

Spruch:

Die Revision wird zurückgewiesen.

Die beklagte Partei ist schuldig, der klagenden Partei die mit 1.000,75 EUR (darin enthalten 166,79 EUR an Umsatzsteuer) bestimmten Kosten des Revisionsverfahrens zu ersetzen.

Begründung:

[1] Der Kläger nutzt für private Zwecke zwei in seinem Eigentum stehende Tablets, auf denen jeweils ein bei der Beklagten registriertes Konto mit einer dazugehörigen „ID“ aktiviert ist. Damit im Zusammenhang werden von der Beklagten personenbezogene Daten des Klägers verarbeitet.

[2] Im Jahr 2021 begehrte der Kläger außergerichtlich Auskunft über die ihn betreffenden personenbezogenen Daten, die von der Beklagten verarbeitet wurden, sowie die Übermittlung einer Datenkopie und legte dem Auskunftsbegehren für die Identifizierung seiner Person eine Kopie seines Personalausweises bei. Das Auskunftsbegehren langte am 15. 9. 2021 am Sitz der Beklagten in Irland ein. Die Beklagte ließ die zur Beantwortung des Auskunftsbegehrens vorgesehene Frist ungenützt verstreichen und äußerte sich im Rahmen des (nunmehrigen) Verfahrens. Die Beklagte verwies den Kläger für die gänzliche Erfüllung des Auskunftsbegehrens grundsätzlich auf das von ihr zur Verfügung gestellte Datenschutzportal.

[3] Das Erstgericht gab den Auskunftsbegehren des Klägers statt.

[4] Das Berufungsgericht bestätigte die Entscheidung und ließ die ordentliche Revision zu.

[5] Dagegen richtet sich die Revision der Beklagten mit dem Antrag, die angefochtene Entscheidung dahin abzuändern, dass die Klagebegehren abgewiesen werden. Hilfsweise stellt sie einen Aufhebungsantrag.

[6] In der Revisionsbeantwortung beantragt der Kläger, das Rechtsmittel der Gegenseite zurückzuweisen, in eventu diesem nicht Folge zu geben.

Rechtliche Beurteilung​

[7] Da die Beklagte in ihrer Revision das Vorliegen der Voraussetzungen des § 502 Abs 1 ZPO nicht zu begründen vermag, ist die Revision entgegen dem – den Obersten Gerichtshof nicht bindenden (§ 508a Abs 1 ZPO) – Ausspruch des Berufungsgerichts nicht zulässig. Die Zurückweisung eines ordentlichen Rechtsmittels wegen Fehlens einer erheblichen Rechtsfrage kann sich auf die Ausführung der Zurückweisungsgründe beschränken (§ 510 Abs 3 ZPO):

1. Allgemeines

[8] 1.1. Die behauptete Mangelhaftigkeit des Verfahrens wurde geprüft, sie liegt jedoch nicht vor (§ 510 Abs 3 Satz 3 ZPO).

[9] 1.2. Die Anrufung des Obersten Gerichtshofs zur Nachprüfung der Anwendung der Grundsätze der Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH) ist nur dann zulässig, wenn der zweiten Instanz eine gravierende Fehlbeurteilung unterlief (RS0117100; RS0133681; 6 Ob 70/24y [DSGVO]). Auch die Frage, ob ein Verantwortlicher einem Auskunftsbegehren nach Art 15 DSGVO vollständig nachgekommen ist, bildet – außer im Fall einer unvertretbaren Fehlbeurteilung – keine erhebliche Rechtsfrage. Beides ist hier nicht der Fall:

2. Recht auf Auskunft (Art 15 Abs 1 DSGVO)

[10] 2.1. Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten (Art 15 Abs 1 DSGVO).

[11] Beim Anspruch gemäß Art 15 Abs 1 DSGVO ist der Grundsatz der Transparenz zu beachten. Die für die betroffene Person bestimmte Information muss präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein (vgl ErwG 58, Art 12 Abs 1 DSGVO; EuGH ECLI:EU:C:2023:501, C‑579/21, Pankki, Rz 51; ECLI:EU:C:2023:369, C‑487/21, CRIF, Rz 37; vgl auch 6 Ob 56/21k Rz 153: keine „Ostereier‑Suche“). Die vollständige und verständliche Datenauskunft soll gewährleisten, dass die betroffene Person in die Lage versetzt wird, die an sie gerichteten Informationen in vollem Umfang zu verstehen sowie zu überprüfen, ob ihre Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden (EuGH ECLI:EU:C:2025:117, C‑203/22, Magistrat der Stadt Wien, Rz 53; ECLI:EU:C:2023:369, C‑487/21, CRIF, Rz 34; 6 Ob 189/24y Rz 157). Im Besonderen ist das Auskunftsrecht erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, auf Löschung und auf Einschränkung der Verarbeitung nach Art 16, 17 und 18 DSGVO sowie ihr in Art 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr in den Art 79 und 82 DSGVO vorgesehenes Recht auf Einlegung eines gerichtlichen Rechtsbehelfs auszuüben (EuGH ECLI:EU:C:2023:369, C‑487/21, CRIF, Rz 35; ECLI:EU:C:2023:3, C‑154/21, Österreichische Post, Rz 38; 6 Ob 189/24y Rz 157).

[12] 2.2. Die Rechtsansicht der Vorinstanzen, die Auskunft der Beklagten entspreche nicht den Anforderungen des Art 15 Abs 1 DSGVO ist schon deshalb nicht korrekturbedürftig, weil feststeht, dass die Auskunft Daten in Form von Computercodes beinhaltet, die nur von Personen mit fachspezifischen Kenntnissen sinnerfassend gelesen werden können, sowie nicht nachvollziehbare Verknüpfungen und (teilweise) verschachtelte sowie unvollständige Datenstrukturen enthält.

3. Information über Empfänger oder Kategorien von Empfängern (Art 15 Abs 1 lit c DSGVO)

[13] 3.1. Der Verantwortliche ist, wenn die personenbezogenen Daten der betroffenen Person gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, gemäß Art 15 Abs 1 lit c DSGVO verpflichtet, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinn von Art 12 Abs 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen (EuGH ECLI:EU:C:2023:3, C‑154/21, RW gegen Österreichische Post, Rz 51). Es ist daher grundsätzlich die Identität der konkreten Empfänger mitzuteilen (Schmidt‑Wudy in BeckOK DatenschutzR⁵⁵ Art 15 DS‑GVO Rn 58).

[14] Aufgrund des oben angeführten Zwecks des Auskunftsrechts, der betroffenen Person eine Überprüfung zu ermöglichen, ob die sie betreffenden Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden (vgl etwa EuGH ECLI:EU:C:2025:117, C‑203/22, Magistrat der Stadt Wien, Rz 53), müssen die Angaben über die Identität der Empfänger die betroffene Person in die Lage versetzen, die Empfänger derart zu identifizieren, dass sie diesen gegenüber ihre Rechte nach der DSGVO geltend machen kann (vgl EuGH ECLI:EU:C:2009:293, C‑553/07, Rijkeboer, Rz  50 ff [insb Rz 51] zum insofern inhaltsgleichen Art 12 lit a 1. Spiegelstrich Datenschutz‑RL 95/46/EG ; 6 Ob 189/24y Rz 157; Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 39/4).

[15] 3.2. Es steht fest, dass aufgrund der von der Beklagten zur Verfügung gestellten Informationen nicht erhoben werden kann, wer die konkreten Empfänger von Daten des Klägers sind. Soweit zwar die Namen der Empfänger (Anbieter von Applikationen [„Seller“]) angegeben sind, ist die Identität der Empfänger teilweise nicht nachvollziehbar (etwa bei Angabe des „AppNamens“) sowie nicht erkennbar, ob es sich um natürliche oder juristische Personen handelt. Die Beurteilung des Berufungsgerichts, die Auskunft der Beklagten über die Empfänger nach Art 15 Abs 1 lit c DSGVO sei unzureichend, bedarf daher keiner Korrektur durch den Obersten Gerichtshof. Die Frage, ob Auftragsverarbeiter Empfänger im Sinne des Art 15 Abs 1 lit c iVm Art 4 Nr 9 DSGVO sind, ist daher entgegen der Revision im vorliegenden Fall nicht relevant.

[16] 3.3. Die Revision gesteht zu, dass sie dem Kläger auch zur Auskunft über den Inhalt der übermittelten Daten verpflichtet ist, argumentiert aber, sie würde nicht über solche Informationen verfügen.

[17] Nach den erstgerichtlichen Feststellungen erklärte die Beklagte betreffend den Inhalt der Offenlegungen (nur), keine detaillierten Aufzeichnungen aufzubewahren, die dokumentieren, welche spezifischen personenbezogenen Daten an welche Empfänger oder Auftragsverarbeiter weitergegeben wurden. Sie verfüge nicht über solche Informationen. Eine schriftliche Bestätigung darüber, dass wirklich (gar) keine Informationen über den Inhalt von Offenlegungen oder Übermittlungen personenbezogener Daten des Klägers bei der Beklagten vorhanden sind, legte die Beklagte trotz Anbot des Klägers, das (diesbezügliche) Auskunftsbegehren diesfalls einzuschränken, nicht vor.

[18] Wenn das Berufungsgericht angesichts dieser Feststellungen schlussfolgerte, die Beklagte verfüge jedenfalls über irgendwelche (wenn auch bloß „undetaillierte“) Aufzeichnungen über den Inhalt von Offenlegungen, welche demgemäß auch zu beauskunften seien, so bedarf dies keiner Korrektur durch den Obersten Gerichtshof. Die Auslegung der in einer gerichtlichen Entscheidung enthaltenen Feststellungen bildet nämlich – außer im Fall einer hier nicht vorliegenden unvertretbaren Fehlbeurteilung – keine erhebliche Rechtsfrage (RS0118891 [T4, T5]).

4. Information über geeignete Garantien gemäß Art 46 DSGVO (Art 15 Abs 2 DSGVO)

[19] 4.1. Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Art 46 DSGVO im Zusammenhang mit der Übermittlung unterrichtet zu werden (Art 15 Abs 2 DSGVO).

[20] Sofern kein Angemessenheitsbeschluss (Art 45 Abs 3 DSGVO) vorliegt, darf gemäß Art 46 Abs 1 DSGVO ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Für die überwiegende Zahl von Drittländern liegt derzeit noch kein Angemessenheitsbeschluss vor (Lange/Filip in BeckOK DatenschutzR⁵⁵ Art 46 DS‑GVO Rn 1; vgl auch die auf der Website der Europäischen Kommission veröffentlichte Liste).

[21] Die Garantien im Sinn des Art 46 Abs 1 DSGVO können gemäß dessen Abs 2 unter anderem in von der Kommission erlassenen Standarddatenschutzklauseln (lit c) oder in von einer Aufsichtsbehörde angenommenen und von der Kommission genehmigten Standarddatenschutzklauseln, oder gemäß Abs 3 in von durch die zuständige Aufsichtsbehörde genehmigten Ad hoc Standarddatenschutzklauseln (lit a) bestehen.

[22] 4.2. Das Erstgericht stellte fest, dass die Beklagte personenbezogene Daten auch in Länder übermittelt, die nicht Mitglied der Europäischen Union oder des Europäischen Wirtschaftsraums sind. Die Auskunft der Beklagten erschöpfte sich in der Mitteilung, dass Übermittlungen an Drittländer auf Grundlage der „Standardvertragsklauseln“ erfolgen. In den auf dem Datenportal der Beklagten abrufbaren Dateien sind weder Informationen über Übermittlungen von Daten in Drittstaaten enthalten noch liegen Informationen über dementsprechend vorgesehene Sicherheitsgarantien vor.

[23] 4.3. Die Rechtsansicht des Berufungsgerichts, dass die Auskunft der Beklagten nicht Art 15 Abs 2 DSGVO entspricht, bedarf schon deshalb keiner Korrektur, weil für den Kläger völlig unklar bleibt, in welche Drittstaaten aufgrund welcher Standardvertragsklauseln seine personenbezogenen Daten übermittelt werden. Im Übrigen bedeutet allein die Verwendung von Standarddatenschutzklauseln nach der Rechtsprechung des EuGH (ECLI:EU:C:2020:559, C‑311/18, Schrems II, Rz 132 ff) nicht, dass jeglicher auf dieser Grundlage durchgeführte Drittstaatentransfer ein entsprechendes Schutzniveau im Sinn von Art 44 ff DSGVO aufweist; abhängig von der im jeweiligen Drittstaat gegebenen Lage kann es notwendig sein, die in den Standarddatenschutzklauseln enthaltenen Garantien durch zusätzliche Garantien zu ergänzen (vgl 6 Ob 221/23b Rz 86; Lange/Filip in BeckOK DatenschutzR⁵⁵ Art 46 DS‑GVO Rn 25; Pauly in Paal/Pauly, DS‑GVO BDSG⁴ Rn 12a ff).

5. Information über Speicherdauer (Art 15 Abs 1 lit d DSGVO)

[24] 5.1. Nach Art 15 Abs 1 lit d DSGVO hat die betroffene Person falls möglich ein Recht auf Information über die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.

[25] 5.2. Dass und aus welchen Gründen der Beklagten eine Auskunft über die geplante Dauer der Datenspeicherung nicht möglich sei, bringt die Revision nicht vor. Eine Auskunft über die Kriterien zur Festlegung der Speicherdauer ist nach dem Normtext aber nur dann ausreichend, wenn der Verantwortliche die geplante Speicherdauer nicht angeben kann. Mit dem Argument, die Beklagte haben den Kläger über die Kriterien der Speicherdauer informiert, macht die Revision daher keine für die Lösung des Rechtsstreits relevante erhebliche Rechtsfrage geltend.

6. Ergebnis und Kostenentscheidung

[26] 6.1. Die Einleitung eines Vorabentscheidungsverfahrens ist nicht erforderlich, weil keine Auslegungszweifel im Sinn der Rechtsprechung des EuGH (vgl insb Rs 283/81, CILFIT) vorliegen.

[27] 6.2. Sekundäre Feststellungsmängel liegen nicht vor, weil sämtliche relevanten Rechtsfragen auf Basis der getroffenen Feststellungen beurteilt werden konnten (siehe Punkte 2. bis 4. der Entscheidung). Die Revision ist daher zurückzuweisen.

[28] 6.3. Die Kostenentscheidung beruht auf §§ 50, 41 ZPO. Der Kläger hat auf die Unzulässigkeit der Revision hingewiesen. Die Erhöhung gemäß Anmerkung 5. zu TP 3 RATG steht dem Kläger nicht zu, weil es der Einholung eines Vorabentscheidungsersuchens im vorliegenden Fall nicht bedarf.