EuGH verschärft Anforderungen bei DSGVO-Auskünften

Der Europäische Gerichtshof (EuGH) hat entschieden, dass Verantwortliche bei einer DSGVO-Auskunftsanfrage grundsätzlich die Identität der Empfänger, gegenüber denen sie Daten offengelegt haben, mitteilen müssen. Das oft praktizierte Vorgehen, nur Kategorien von Empfängern mitzuteilen, sei nicht ausreichend.

Wichtigste Punkte

Europäischer Gerichtshof (EuGH) entscheidet über DSGVO-Auskunftsanfragen und Identität der Datenempfänger.
Verantwortliche müssen Empfänger von Daten im Regelfall präzise benennen.
Die Nennung nur von Kategorien ist nicht mehr ausreichend.
Wichtigkeit der Transparenz in der Datenverarbeitung betont.
Auskunftsrecht ist Grundlage für weitere Rechte, einschließlich Schadensersatz.
Ausnahme: Kategorien nur bei nicht bestimmbaren Empfängern oder offensichtlicher Unbegründetheit.
Seit 12.01.2023 müssen Auskünfte an die neue Rechtsprechung angepasst werden.

Wer also die genauen Empfänger wissen will, muss sie in der Regel auch genau benannt bekommen.

Damit stärkt der EuGH das Auskunftsrecht aus der Datenschutz-Grundverordnung. Das Gericht betont, wie wichtig Transparenz bei der Datenverarbeitung ist: Betroffene müssen überprüfen können, ob Daten rechtmäßig verarbeitet werden. Das Auskunftsrecht ist die Grundlage für weitere Rechte, von der Berichtigung bis zum Schadensersatz.

Die Nennung von Kategorien von Empfängern genügt ausnahmsweise nur dann, wenn die Empfänger nicht bestimmbar sind oder das Auskunftsbegehren sonst offensichtlich unbegründet oder exzessiv wäre.

Diese Detailfrage war bislang durchaus umstritten, denn der Wortlaut des Art. 15 Abs. 1 lit. c DSGVO lässt eine Auskunft sowohl über die Empfänger als auch nur über Kategorien von Empfängern zu. Der EuGH hat nun aber klargestellt, dass es darauf ankommt, wer die Auskunft verlangt und nicht, wer sie erteilen muss.

Wer also personenbezogene Daten verarbeitet, solltet sich auf diese Rechtsprechung vorbereiten, denn seit dem 12.01.2023 müssen die entsprechenden Auskünfte angepasst werden!

Author: Marian Härtel

Marian Härtel ist Rechtsanwalt und Fachanwalt für IT-Recht mit einer über 25-jährigen Erfahrung als Unternehmer und Berater in den Bereichen Games, E-Sport, Blockchain, SaaS und Künstliche Intelligenz. Seine Beratungsschwerpunkte umfassen neben dem IT-Recht insbesondere das Urheberrecht, Medienrecht sowie Wettbewerbsrecht. Er betreut schwerpunktmäßig Start-ups, Agenturen und Influencer, die er in strategischen Fragen, komplexen Vertragsangelegenheiten sowie bei Investitionsprojekten begleitet. Dabei zeichnet sich seine Beratung durch einen interdisziplinären Ansatz aus, der juristische Expertise und langjährige unternehmerische Erfahrung miteinander verbindet. Ziel seiner Tätigkeit ist stets, Mandanten praxisorientierte Lösungen anzubieten und rechtlich fundierte Unterstützung bei der Umsetzung innovativer Geschäftsmodelle zu gewährleisten.

Tags: Datenschutz Datenschutz-Grundverordnung Personenbezogene Daten Rechtsprechung Schadensersatz Verordnung