Die DSB hat sich in einer erst kürzlich (DSB-D123.921/0005-DSB/2019, 26.7.2019), nach einem Verfahren vor dem BVwG veröffentlichten Entscheidung, zur Frage der „Auskunft über Datenkategorien“ geäußert. Demnach sind „tatsächliche Eintragungen“ (wie Namen, steuerrelevante Angaben) zu beauskunften, und es reicht nicht „Überschriften“ bekannt zu geben.
Die Entscheidung der DSB zu Art 15 Abs 1 lit b DSGVO (Textauszug):
Nach Art. 15 Abs. 1 lit b DSGVO besteht ein Auskunftsanspruch über die Kategorien personenbezogener Daten, die verarbeitet werden.
Aus der Auskunftsbeantwortung der Beschwerdegegnerin vom 23. November 2018 geht hervor, dass die Beschwerdegegnerin die verarbeiteten Datenkategorien „Namen“ sowie „steuerrelevante Angaben zu Personen“ aufzählt. Hinsichtlich der genannte Kategorie „steuerrelevante Angaben zu Personen“ führt die Beschwerdegegnerin beispielsweise „gewöhnlichen Aufenthalt“ sowie „Lebensumstände der Person“ an.
Schon nach der alten Rechtlage waren im Rahmen einer Auskunft die „Kategorien der Daten“, die Gegenstand der Verarbeitung sind, bekanntzugeben (vgl. Art. 12 RL 95/46/EG).
Der EuGH hat dazu im bereits zitierten Urteil vom 7. Mai 2009 festgehalten, dass dieses Recht auf Schutz der Privatsphäre voraussetzt, dass sich die betroffene Person vergewissern kann, dass ihre personenbezogenen Daten fehlerfrei verarbeitet werden und die Verarbeitung zulässig ist, d. h. insbesondere, dass die sie betreffenden Basisdaten richtig sind und dass sie an Empfänger gerichtet sind, die zu ihrer Verarbeitung befugt sind. Dies ist insofern erforderlich, um der betroffenen Person u.a. die Wahrnehmung des Rechts auf Berichtigung zu ermöglichen (vgl. dazu Rz 49 und 51).
Soll aber die Wahrnehmung des Rechts auf Berichtigung ermöglicht werden, so setzt dies die Beauskunftung der genauen Eintragungen voraus. Würde sich eine Auskunft etwa darauf beschränken, dass abstrakte Datenkategorien wie „Name“, „Adresse“ udgl. verarbeitet werden, könnte ein Begehren auf Richtigstellung denkunmöglich geltend gemacht werden (vgl. in diesem Sinne aus der ständigen Rechtsprechung der Datenschutzbehörde den Bescheid vom 13. Februar 2018, GZ: DSB-D122.754/0002-DSB/2018). Eine Ausnahme könnte nur dann erblickt werden, wenn dies unter dem Blickwinkel einer Güterabwägung zugunsten der Rechte Dritter erforderlich ist.
Der europäische Gesetzgeber übernahm in der Bestimmung des Art. 15 Abs. 1 lit. b DSGVO („Kategorien personenbezogener Daten“) fast wortgleich den bisherigen Wortlaut zum Auskunftsrecht („Kategorien der Daten“) in Art. 12 lit. a der RL 95/46/EG.
Sofern die Beschwerdegegnerin lediglich abstrakte Kategorien nennt und nicht, wie die konkreten Eintragungen lauteten, kann die Beschwerdeführerin nicht überprüfen, ob die sie betreffenden personenbezogenen Daten richtig sind. Zudem hat die Beschwerdegegnerin kein substantiiertes Vorbringen erstattet, aus denen sich Gründe ergeben, die einer vollständigen Auskunft hinsichtlich der konkreten Eintragungen dieser Datenkategorien entgegenstehen. Einer Beauskunftung der konkreten Eintragungen kann nach Ansicht der Datenschutzbehörde auch die Anhängigkeit von Verfahren nicht entgegenhalten werden, zumal nicht ersichtlich ist, weshalb durch die Beauskunftung von „Basisdaten“ die eigene Prozesssituation geschwächt werden könnte.
Die Beschwerdegegnerin ist daher angehalten, eine hinreichend klare Auskunft im Hinblick auf die Datenkategorien zu erteilen und der Beschwerdeführerin mitzuteilen, wie die tatsächlichen Eintragungen (wie Namen, steuerrelevante Angaben) lauten.