Auskunftsanspruch präzisiert - Urteil EuGH: Konkrete Mitteilung von Empfängern an Betroffene notwendig

von Nadja-Maria

Mit Urteil vom 12.01.2023 stärkte der Europäische Gerichtshof (EuGH) erneut die Rechte betroffener Personen im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten. Konkret geht es um den Auskunftsanspruch, den Betroffene gegenüber Unternehmen und Behörden haben, die ihre Daten verarbeiten. Das Urteil fordert, dass diese Unternehmen und Behörden den Betroffenen konkrete Empfänger mitteilen müssen, wenn diese ihre Daten erhalten haben.

Wie kam es zu diesem Urteil?

Dem Urteil des EuGH lag der Datenskandal der Österreichischen Post AG aus dem Jahr 2019 zugrunde. Die österreichische Post hatte personenbezogene Daten von Millionen von Kunden an politische Parteien und andere Organisationen weitergegeben, ohne die Betroffenen darüber zu informieren. Dies führte zu einer öffentlichen Debatte über den Umgang mit personenbezogenen Daten und die Frage, wer Zugriff auf diese Daten haben sollte.

Streitig war insbesondere, ob im Rahmen einer datenschutzrechtlichen Auskunft jeder Empfänger personenbezogener Daten namentlich offengelegt werden muss. Erforderlich war das Urteil deswegen, da die Datenschutzgrundverordnung in Art. 15 DSGVO nicht ganz eindeutig von „Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ spricht.

Hohe Anforderungen an die Transparenz

Der EuGH urteilt nun unter Bezugnahme auf die grundlegenden Transparenzanforderungen aus der Datenschutzgrundverordnung, dass eine betroffene Person das Recht hat, eine Information über jeden einzelnen Empfänger der Daten zu erhalten. Bis auf wenige, eng begrenzte Ausnahmen ist es gerade nicht ausreichend, nur Kategorien von Empfängern zu nennen. Vielmehr muss namentlich benannt werden, an welche Institutionen die Daten weitergegeben wurden beziehungsweise werden.

Auswirkungen des Urteils

Dieses Urteil ist von großer Bedeutung, da es die Transparenz in Bezug auf die Verarbeitung personenbezogener Daten erhöht. Es ermöglicht den Betroffenen einen Überblick darüber zu erhalten, wer Zugriff auf ihre Daten hat und wie diese genutzt werden.

Nicht unterschätzt werden darf jedoch, dass dieses Urteil mit erheblichem Umsetzungsaufwand für Unternehmen verbunden ist. So ist es jetzt insbesondere im Rahmen einer Auskunftserteilung erforderlich, der betroffenen Person im Grundsatz jeden einzelnen Empfänger der Daten beziehungsweise jedes Unternehmen, dass die Daten weitergegeben wurden oder werden zu nennen. Hierunter sind auch in die Verarbeitung einbezogenen Auftragsverarbeiter zu fassen, und daher sind diese ebenfalls aufzuführen.

Des Weiteren ist damit zu rechnen, dass die Ausführungen des EuGH auch bei der Lösung anderen datenschutzrechtlichen Fragestellungen von Gerichten und Behörden herangezogen werden. So wird zum Beispiel derzeit diskutiert, ob die detaillierte Darstellung aller Empfänger auch bei der Ausarbeitung der Datenschutzinformationen nach Art. 13 und Art. 14 DSGVO erforderlich ist.

Fazit

Insgesamt zeigt das Urteil des EuGH, dass der Schutz personenbezogener Daten in Europa ernst genommen wird. Unternehmen und Behörden müssen sicherstellen, dass sie den Anforderungen der Datenschutzgesetze entsprechen und den Betroffenen den Schutz ihrer Daten garantieren. Unternehmen müssen sich darauf einstellen, dass die Inanspruchnahme des Auskunftsrechts von Kunden oder (ehemaligen) Mitarbeitern in Zukunft komplizierter werden kann. Wir werden weiterhin beobachten, wie sich die Entscheidung auf die Ausgestaltung der Informationspflichten nach der DSGVO auswirkt. Diese müssen möglicherweise in Zukunft nicht nur ausführlicher, sondern auch dynamischer gestaltet werden.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.

assets/images/e/Nadja-Maria-Becke-1-e4dcbac5.jpg
Nadja-Maria

Nadja-Maria leitet unser Inhouse-Juristen-Team. Sie studierte an der Universität Passau Rechtswissenschaften mit anschließendem Referendariat sowie erstem und zweitem Staatsexamen. Ihr Spezialgebiet ist Datenschutzrecht. Ihr fundiertes Wissen hält sie jederzeit aktuell. Für unsere Kunden und unser Team hat sie so immer einen Rat für eine passgenaue Lösung parat.