Auskunftsanspruch präzisiert - Urteil EuGH: Konkrete Mitteilung von Empfängern an Betroffene notwendig

Dem Urteil des EuGH lag der Datenskandal der Österreichischen Post AG aus dem Jahr 2019 zugrunde. Die österreichische Post hatte personenbezogene Daten von Millionen von Kunden an politische Parteien und andere Organisationen weitergegeben, ohne die Betroffenen darüber zu informieren. Dies führte zu einer öffentlichen Debatte über den Umgang mit personenbezogenen Daten und die Frage, wer Zugriff auf diese Daten haben sollte.

Streitig war insbesondere, ob im Rahmen einer datenschutzrechtlichen Auskunft jeder Empfänger personenbezogener Daten namentlich offengelegt werden muss. Erforderlich war das Urteil deswegen, da die Datenschutzgrundverordnung in Art. 15 DSGVO nicht ganz eindeutig von „Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ spricht.

Der EuGH urteilt nun unter Bezugnahme auf die grundlegenden Transparenzanforderungen aus der Datenschutzgrundverordnung, dass eine betroffene Person das Recht hat, eine Information über jeden einzelnen Empfänger der Daten zu erhalten. Bis auf wenige, eng begrenzte Ausnahmen ist es gerade nicht ausreichend, nur Kategorien von Empfängern zu nennen. Vielmehr muss namentlich benannt werden, an welche Institutionen die Daten weitergegeben wurden beziehungsweise werden.

Dieses Urteil ist von großer Bedeutung, da es die Transparenz in Bezug auf die Verarbeitung personenbezogener Daten erhöht. Es ermöglicht den Betroffenen einen Überblick darüber zu erhalten, wer Zugriff auf ihre Daten hat und wie diese genutzt werden.

Nicht unterschätzt werden darf jedoch, dass dieses Urteil mit erheblichem Umsetzungsaufwand für Unternehmen verbunden ist. So ist es jetzt insbesondere im Rahmen einer Auskunftserteilung erforderlich, der betroffenen Person im Grundsatz jeden einzelnen Empfänger der Daten beziehungsweise jedes Unternehmen, dass die Daten weitergegeben wurden oder werden zu nennen. Hierunter sind auch in die Verarbeitung einbezogenen Auftragsverarbeiter zu fassen, und daher sind diese ebenfalls aufzuführen.

Des Weiteren ist damit zu rechnen, dass die Ausführungen des EuGH auch bei der Lösung anderen datenschutzrechtlichen Fragestellungen von Gerichten und Behörden herangezogen werden. So wird zum Beispiel derzeit diskutiert, ob die detaillierte Darstellung aller Empfänger auch bei der Ausarbeitung der Datenschutzinformationen nach Art. 13 und Art. 14 DSGVO erforderlich ist.

Insgesamt zeigt das Urteil des EuGH, dass der Schutz personenbezogener Daten in Europa ernst genommen wird. Unternehmen und Behörden müssen sicherstellen, dass sie den Anforderungen der Datenschutzgesetze entsprechen und den Betroffenen den Schutz ihrer Daten garantieren. Unternehmen müssen sich darauf einstellen, dass die Inanspruchnahme des Auskunftsrechts von Kunden oder (ehemaligen) Mitarbeitern in Zukunft komplizierter werden kann. Wir werden weiterhin beobachten, wie sich die Entscheidung auf die Ausgestaltung der Informationspflichten nach der DSGVO auswirkt. Diese müssen möglicherweise in Zukunft nicht nur ausführlicher, sondern auch dynamischer gestaltet werden.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.