Vorabentscheidungsersuchen zum Auskunftsrecht nach Art 15 DSGVO und dem Recht auf Schadenersatz nach Art 82 DSGVO
Der Beklagte organisiert als Leiter einer Volksschule regelmäßig Fortbildungsprogramme für seine Lehrer. Die Pädagogische Hochschule stellt dafür Fortbildungsprogramme und organisatorisches Unterstützungspersonal, sogenannte Prozessbegleiter, zur Verfügung. Der Kläger war von der Pädagogischen Hochschule als Prozessbegleiter vorgeschlagen worden.
Nachdem sich der Beklagte in einem mündlichen Gespräch bei einem Lehrer über den Kläger erkundigt hatte, äußerte er in einem E-Mail an den zuständigen Mitarbeiter der Pädagogischen Hochschule seine Bedenken zur Besetzung der Position des Prozessbegleiters mit dem Kläger. Unter anderem schrieb er darin, der Kläger sei „im Bildungsbereich kein unbeschriebenes Blatt“, stelle „das öffentliche Schulwesen in Frage“ und liege „mit [der zuständigen Bildungsdirektion] im Dauerstreit“.
Der Kläger begehrt vom Beklagten die Erteilung der Auskunft nach Artikel 15 DSGVO, die Ausfolgung einer Kopie seiner personenbezogenen Daten und die Zahlung von 800 EUR an immateriellem Schadenersatz. Der Beklagte wendet ein, es hafte nur der zuständige Rechtsträger.
Der Oberste Gerichtshof legte dem Gerichtshof der Europäischen Union (EuGH) folgende Fragen vor:
- Ist Art 4 Z 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (im Weiteren: DSGVO) dahin auszulegen, dass eine natürliche Person, die in Ausübung ihrer Tätigkeit mittels der ihr zur Verfügung gestellten und vorgegebenen Mittel bei der Verarbeitung von personenbezogenen Daten nicht in eigenem persönlichen Interesse, sondern als Leiter einer Organisation (Einrichtung oder andere Stelle ohne Rechtspersönlichkeit), hinter der aber ein Rechtsträger steht, handelt, „Verantwortlicher“ ist, der vor Gericht in Anspruch genommen werden kann?
2.a) Ist Art 15 Abs 1 lit g) DSGVO dahin auszulegen, dass in einem Fall, in dem die verarbeiteten Daten in einer faktischen Äußerung oder wertenden Einschätzung über die betroffene Person in einer E-Mail bestehen, zu „allen verfügbaren Informationen über die Herkunft der Daten“ nur der Verfasser der E-Mail zählt oder zählt dazu auch der Personenkreis, mit dem der Verfasser über die betroffene Person gesprochen hat?
2.b) Für den Fall, dass nicht gespeicherte Namen der Gesprächspartner „verfügbare Informationen über die Herkunft der Daten“ iSd Art 15 Abs 1 lit g) DSGVO sind:
Hat bei der Abwägung der Interessen der von der Datenverarbeitung betroffenen Person mit den Interessen eines solchen Gesprächspartners der Umstand Bedeutung, dass für diesen nicht absehbar war, dass seine Äußerungen zum Gegenstand einer Datenverarbeitung gemacht werden?
- Ist Art 82 Abs 2 DSGVO dahin auszulegen, dass in negativen Folgen für den Betroffenen, die auf einem zeitlich nach der Verarbeitung der personenbezogenen Daten liegenden, allein gegen die Verpflichtung zur Auskunft nach Art 15 Abs 1 DSGVO liegenden Verstoß gegen diese Verordnung beruhen, ein Schaden liegt, der durch „eine nicht dieser Verordnung entsprechende Verarbeitung“ verursacht wurde und die Verpflichtung des Verantwortlichen zur Leistung von Ersatz nach sich zieht?
4. Für den Fall der Bejahung der Fragen 1 oder 3: Steht Art 82 DSGVO innerstaatlichen Regelungen, wonach der Ersatz des Schadens, den ein Organ eines Rechtsträgers in hoheitlicher Vollziehung des Gesetzes einem Geschädigten zugefügt hat, gegen das Organ selbst nicht geltend gemacht werden kann, entgegen?
