Das Wichtigste in Kürze
- Der EuGH verlangt die Mitteilung der konkreten Identität von Datenempfängern bei DSGVO-Auskunftsanfragen.
- Das Urteil stärkt das Auskunftsrecht von Betroffenen und fördert die Transparenz der Datenverarbeitung.
- Die Nennung von Empfängerkategorien ist nur in eng definierten Ausnahmefällen zulässig.
- Unternehmen müssen ihre Auskunftspraktiken seit dem 12.01.2023 an die neue Rechtsprechung anpassen.
Der Europäische Gerichtshof (EuGH) hat entschieden, dass Verantwortliche bei einer DSGVO-Auskunftsanfrage grundsätzlich die Identität der Empfänger, gegenüber denen sie Daten offengelegt haben, mitteilen müssen. Das oft praktizierte Vorgehen, nur Kategorien von Empfängern mitzuteilen, sei nicht ausreichend.
Wer also die genauen Empfänger wissen will, muss sie in der Regel auch genau benannt bekommen.
Damit stärkt der EuGH das Auskunftsrecht aus der Datenschutz-Grundverordnung. Das Gericht betont, wie wichtig Transparenz bei der Datenverarbeitung ist: Betroffene müssen überprüfen können, ob Daten rechtmäßig verarbeitet werden. Das Auskunftsrecht ist die Grundlage für weitere Rechte, von der Berichtigung bis zum Schadensersatz.
Die Nennung von Kategorien von Empfängern genügt ausnahmsweise nur dann, wenn die Empfänger nicht bestimmbar sind oder das Auskunftsbegehren sonst offensichtlich unbegründet oder exzessiv wäre.
Diese Detailfrage war bislang durchaus umstritten, denn der Wortlaut des Art. 15 Abs. 1 lit. c DSGVO lässt eine Auskunft sowohl über die Empfänger als auch nur über Kategorien von Empfängern zu. Der EuGH hat nun aber klargestellt, dass es darauf ankommt, wer die Auskunft verlangt und nicht, wer sie erteilen muss.
Wer also personenbezogene Daten verarbeitet, solltet sich auf diese Rechtsprechung vorbereiten, denn seit dem 12.01.2023 müssen die entsprechenden Auskünfte angepasst werden!