Auskunftspflichten nach DSGVO: Wann Namen der Empfänger personenbezogener Daten preisgegeben werden müssen

Im Januar 2023 entschied der Europäische Gerichtshof (EuGH) in einem wegweisenden Urteil (Rechtssache C-154/21) über das Auskunftsrecht betroffener Personen nach Art. 15 Abs. 1 Buchst. c DSGVO. Dieses Urteil hat erhebliche Auswirkungen auf die Auslegung und Anwendung der datenschutzrechtlichen Bestimmungen, insbesondere im Hinblick auf die Transparenzanforderungen für die Weitergabe personenbezogener Daten.

Was bedeutet das Urteil des EuGH für Unternehmen?

Das Gericht stellte klar, dass betroffene Personen ein umfassendes Recht auf Auskunft über die konkreten Empfänger ihrer personenbezogenen Daten haben, wenn diese bereits offengelegt wurden. Das bedeutet, dass Unternehmen, die personenbezogene Daten an Dritte weitergegeben haben, den Betroffenen auf Anfrage die Identität der Empfänger mitteilen müssen. Es reicht nicht mehr aus, lediglich Kategorien von Empfängern zu benennen, außer in bestimmten Ausnahmefällen.

Konkretisierung der Pflichten der Verantwortlichen

Unternehmen, die personenbezogene Daten verarbeiten, müssen besonders sorgfältig auf Auskunftsanfragen reagieren. Der EuGH hat entschieden, dass die betroffenen Personen nicht nur Informationen über die Kategorien von Empfängern verlangen können, sondern auch explizit nach den Namen der Empfänger fragen dürfen. Dies ist von Bedeutung, um den betroffenen Personen zu ermöglichen, ihre Rechte auf Berichtigung, Löschung oder Widerspruch effizient auszuüben.

Einschränkungen der Auskunftspflicht

Der EuGH räumte jedoch ein, dass es in bestimmten Fällen nicht möglich sein könnte, die konkreten Empfänger zu benennen. Dies kann insbesondere dann der Fall sein, wenn die Empfänger zum Zeitpunkt der Anfrage noch nicht feststehen oder wenn die Offenlegung der konkreten Empfängerinformationen unverhältnismäßig oder exzessiv wäre. In solchen Fällen kann der Verantwortliche die betroffene Person lediglich über die Kategorien von Empfängern informieren.

Praktische Auswirkungen für die Umsetzung von Auskunftsanfragen

Für Unternehmen bedeutet das Urteil des EuGH, dass sie in ihren Datenverarbeitungssystemen Mechanismen implementieren müssen, die es ermöglichen, die Identität der Empfänger personenbezogener Daten festzustellen und auf Anfrage offenzulegen. Besonders relevant ist dies für Unternehmen, die regelmäßig personenbezogene Daten zu Marketingzwecken an Dritte weitergeben, wie im Fall der Österreichischen Post.

Schlüsselmaßnahmen, die Unternehmen ergreifen sollten:

1. Datenverarbeitungsprozesse überprüfen: Unternehmen müssen sicherstellen, dass alle Offenlegungen personenbezogener Daten dokumentiert und im Rahmen von Auskunftsanfragen nachvollziehbar sind.
2. Mitarbeiterschulungen: Es ist wichtig, Mitarbeitende in der korrekten Handhabung von Auskunftsanfragen zu schulen, um sicherzustellen, dass den Anforderungen des EuGH-Urteils entsprochen wird.
3. Kategorien und Empfänger: Unternehmen sollten klare Unterscheidungen zwischen Kategorien und konkreten Empfängern festlegen, um gegebenenfalls die erforderlichen Informationen schnell liefern zu können.

FAQ zum EuGH-Urteil zum Auskunftsrecht

1. Was regelt das Urteil des EuGH vom Januar 2023?

Das Urteil legt fest, dass Unternehmen verpflichtet sind, betroffenen Personen auf Anfrage die konkreten Empfänger ihrer personenbezogenen Daten mitzuteilen, wenn diese bereits offengelegt wurden.

2. Müssen Unternehmen immer die Namen der Empfänger nennen?

Ja, es sei denn, die Nennung der Empfänger ist unverhältnismäßig oder nicht möglich, zum Beispiel, wenn die Empfänger zum Zeitpunkt der Anfrage noch nicht bekannt sind.

3. Was passiert, wenn ein Unternehmen die Empfänger nicht nennen kann?

In diesem Fall darf das Unternehmen lediglich die Kategorien der Empfänger nennen.

4. Welche Konsequenzen drohen bei einer Nichtbeachtung des Urteils?

Unternehmen, die den Auskunftsanspruch nicht vollständig erfüllen, riskieren Sanktionen und Bußgelder gemäß der Datenschutz-Grundverordnung (DSGVO).

5. Wie können Unternehmen sicherstellen, dass sie den Anforderungen gerecht werden?

Unternehmen sollten ihre internen Prozesse zur Dokumentation und Offenlegung von Datenübertragungen überarbeiten und sicherstellen, dass auf Auskunftsanfragen schnell und präzise reagiert werden kann.

Das Urteil stellt einen wichtigen Schritt zur Stärkung der Rechte betroffener Personen dar und fordert Unternehmen zu einer transparenten und nachvollziehbaren Datenverarbeitung auf.

Haben Sie Fragen zum Auskunftsrecht nach der DSGVO?

Unsere Anwälte für Datenschutzrecht unterstützen Sie dabei, Ihre Prozesse rechtskonform zu gestalten und rechtliche Risiken zu minimieren. Wir unterstützen Sie auch dabei eine korrekte Auskunft zu erhalten. Kontaktieren Sie uns noch heute für eine Erstberatung und stellen Sie sicher, dass Sie rechtlich auf der sicheren Seite stehen!