Auskunftsanspruch verpflichtet zur Nennung der Empfänger

5. Mai 2023

Datenschutz und IT-Recht | Urteile

EuGH: Datenschutzrechtlicher Auskunftsanspruch verpflichtet Verantwortliche zur Mitteilung der Identität der Empfänger

Mit Urteil vom 12.01.2023 (Rechtssache C 154/21) hat sich der Europäische Gerichtshof (EuGH) mit der Frage befasst, ob im Rahmen eines Auskunftsverlangens nach Art. 15 Abs. 1 lit. c DSGVO die konkreten Empfänger der offengelegten Daten mitzuteilen sind. Das Gericht hat dies bejaht und dies mit einer kontextbezogenen Auslegung des Art. 15 Abs. 1 lit. c DSGVO begründet. Ausnahmen von diesem umfassenden Auskunftsrecht bestehen nur dann, wenn die Identität der Empfänger nicht feststeht oder der Verantwortliche nachweist, dass das Auskunftsersuchen offensichtlich unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO ist.

Die Entscheidung des EuGH stützt sich auf Erwägungsgrund 63 der Datenschutz-Grundverordnung, wonach betroffene Personen das Recht haben zu erfahren, wer die Empfänger ihrer personenbezogenen Daten sind. Darüber hinaus verpflichtet der Transparenzgrundsatz in Art. 5 Abs. 1 lit. a DSGVO Verantwortliche dazu, betroffene Personen in leicht verständlicher Weise über die Art und Weise der Verarbeitung zu informieren.

Das Gericht stellt fest, dass betroffene Personen durch das Auskunftsrecht in die Lage versetzt werden sollen, zu überprüfen, ob ihre Daten rechtmäßig verarbeitet werden. Dies schließe auch die Offenlegung gegenüber berechtigten Empfängern ein. Nur eine möglichst konkrete Auskunft über die Empfänger kann dies gewährleisten und ist für die Geltendmachung weiterer Rechte erforderlich.

Auskunftsanspruch verpflichtet zur Nennung der Empfänger – Abwägung mit den Interessen der Unternehmen fehlt!

Das Urteil zeigt, dass der Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten oberste Priorität hat. Es stellt Unternehmen jedoch vor weitere organisatorische Herausforderungen, um ihren datenschutzrechtlichen Verpflichtungen nachzukommen. Es ist zu hinterfragen, ob die Kenntnis der konkreten Identität der Empfänger für eine effektive Rechtsdurchsetzung erforderlich ist.

Das Urteil berücksichtigt nicht die wirtschaftliche Dimension der Information für Unternehmen, da die Offenlegung konkreter Empfängeridentitäten Rückschlüsse auf Geschäftsprozesse zulassen könnte, die für Unternehmen wirtschaftlich schädlich sein könnten. Eine für die Betroffenen günstige Rechtsprechung könnte auch zu rechtsmissbräuchlichen Auskunftsbegehren führen.

Es wäre wünschenswert gewesen, das Recht auf Schutz personenbezogener Daten im Rahmen einer Interessenabwägung mit entgegenstehenden unternehmerischen Rechten anzuwenden, um Kriterien zur Begrenzung des Auskunftsanspruchs zu schaffen und den Unternehmen mehr Rechtssicherheit bei der Beantwortung von Auskunftsersuchen zu geben.

Konsequenzen des EuGH-Urteils für Unternehmen:

  • erweiterte Auskunftspflichten: Unternehmen müssen bei Auskunftsersuchen die konkreten Empfänger der offengelegten personenbezogenen Daten nennen und nicht nur die Kategorien von Empfängern.
  • erhöhte organisatorische Anforderungen: Die erweiterten Auskunftspflichten erfordern eine detailliertere Dokumentation und Nachvollziehbarkeit der Datenweitergabe an Dritte.
  • Mögliche Offenlegung sensibler Geschäftsprozesse: Die Bekanntgabe konkreter Empfängeridentitäten kann Rückschlüsse auf wirtschaftlich sensible Geschäftsbeziehungen und -prozesse zulassen.

Handlungsempfehlungen für Unternehmen

  • Prozesse überprüfen und anpassen: Überprüfen Sie Ihre internen Prozesse zur Bearbeitung von Auskunftsersuchen und stellen Sie sicher, dass diese den neuen Anforderungen des EuGH-Urteils entsprechen. Passen Sie die Prozesse gegebenenfalls an, um die konkreten Empfängeridentitäten rechtzeitig und korrekt mitteilen zu können.
  • Verbesserung der Dokumentation: Stellen Sie sicher, dass Ihre Dokumentations- und Datenverwaltungssysteme die Identität der Empfänger personenbezogener Daten klar und präzise erfassen, damit Auskunftsersuchen effizient beantwortet werden können.
  • Mitarbeiterschulung: Schulen Sie Ihre Mitarbeiterinnen und Mitarbeiter in den neuen Anforderungen und Verfahren zur Beantwortung von Auskunftsersuchen, um sicherzustellen, dass sie in der Lage sind, die Identität der Empfänger korrekt und rechtzeitig mitzuteilen.
  • Risikobewertung und Schutzmaßnahmen Bewertung der potenziellen Risiken, die sich aus der Bekanntgabe der konkreten Identität des Empfängers ergeben, und gegebenenfalls Ergreifen zusätzlicher Schutzmaßnahmen zum Schutz sensibler Geschäftsinformationen.
  • Kommunikation mit den betroffenen Personen: Informieren Sie die Betroffenen offen und transparent über die Verarbeitung ihrer personenbezogenen Daten und stellen Sie sicher, dass sie über ihr Auskunftsrecht und die Möglichkeit, die konkreten Empfänger zu erfahren, informiert sind.