- Europäischer Gerichtshof (EuGH) entscheidet über DSGVO-Auskunftsanfragen und Identität der Datenempfänger.
- Verantwortliche müssen Empfänger von Daten im Regelfall präzise benennen.
- Die Nennung nur von Kategorien ist nicht mehr ausreichend.
- Wichtigkeit der Transparenz in der Datenverarbeitung betont.
- Auskunftsrecht ist Grundlage für weitere Rechte, einschließlich Schadensersatz.
- Ausnahme: Kategorien nur bei nicht bestimmbaren Empfängern oder offensichtlicher Unbegründetheit.
- Seit 12.01.2023 müssen Auskünfte an die neue Rechtsprechung angepasst werden.
Der Europäische Gerichtshof (EuGH) hat entschieden, dass Verantwortliche bei einer DSGVO-Auskunftsanfrage grundsätzlich die Identität der Empfänger, gegenüber denen sie Daten offengelegt haben, mitteilen müssen. Das oft praktizierte Vorgehen, nur Kategorien von Empfängern mitzuteilen, sei nicht ausreichend.
Wer also die genauen Empfänger wissen will, muss sie in der Regel auch genau benannt bekommen.
Damit stärkt der EuGH das Auskunftsrecht aus der Datenschutz-Grundverordnung. Das Gericht betont, wie wichtig Transparenz bei der Datenverarbeitung ist: Betroffene müssen überprüfen können, ob Daten rechtmäßig verarbeitet werden. Das Auskunftsrecht ist die Grundlage für weitere Rechte, von der Berichtigung bis zum Schadensersatz.
Die Nennung von Kategorien von Empfängern genügt ausnahmsweise nur dann, wenn die Empfänger nicht bestimmbar sind oder das Auskunftsbegehren sonst offensichtlich unbegründet oder exzessiv wäre.
Diese Detailfrage war bislang durchaus umstritten, denn der Wortlaut des Art. 15 Abs. 1 lit. c DSGVO lässt eine Auskunft sowohl über die Empfänger als auch nur über Kategorien von Empfängern zu. Der EuGH hat nun aber klargestellt, dass es darauf ankommt, wer die Auskunft verlangt und nicht, wer sie erteilen muss.
Wer also personenbezogene Daten verarbeitet, solltet sich auf diese Rechtsprechung vorbereiten, denn seit dem 12.01.2023 müssen die entsprechenden Auskünfte angepasst werden!
