Datenschutzrecht 2023: Empfänger von personenbezogenen Daten müssen namentlich genannt werden

12. August 2023
Geschrieben von: Henrik Noszka

Der datenschutzrechtliche Auskunftsanspruch in der Datenschutzgrundverordnung ("DSGVO") bringt Gerichte immer wieder vor Probleme, die deshalb den Europäischen Gerichtshof anrufen. Dies ist in einem Fall in Österreich wieder passiert. Ein Kunde der österreichischen Post wollte darüber Auskunft, wem seine personenbezogenen Daten mitgeteilt worden sind. Der Gerichtshof äußerte sich in der Beantwortung der Frage zur Reichweite des Auskunftsanspruchs: Empfänger der Daten müssen namentlich genannt werden. 

Der datenschutzrechtliche Auskunftsanspruch

Art. 15 Abs. 1 DSGVO statuiert den datenschutzrechtlichen Auskunftsanspruch. Nach dieser Vorschrift hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob Daten, die diese Person betreffen, verarbeitet werden. Betroffen ist eine Person dann, wenn Daten Rückschlüsse auf ihre Person zulassen (personenbezogene Daten, Art. 4 Nr. 1 DSGVO); verantwortlich ist grundsätzlich, wer über die Speicherung der Daten entscheidet (Art. 4 Nr. 8 DSGVO).

Werden vom Verantwortlichen personenbezogene Daten verarbeitet, so hat die betroffene Person einen Auskunftsanspruch über diese personenbezogenen Daten und zusätzlich Anspruch auf bestimmte weitere Informationen. Der Verantwortliche muss hinsichtlich der personenbezogenen Daten darlegen, welche Daten vorliegen. Es ist jedoch noch nicht abschließend geklärt, wie weit diese Auskunftspflicht tatsächlich reicht.

Schon gewusst? IT-Recht 2023: Die Datenschutzerklärung

Reichweite des Anspruchs

Die Informationen, die ebenfalls bekanntgegeben werden müssen, umfassen unter anderem: 

  • die Verarbeitungszwecke;
  • die Kategorien personenbezogener Daten, die verarbeitet werden;
  • die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden;
  • falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer

Besonders strittig in der Entscheidung war der dritte Punkt ("die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden")

Der Auskunftsanspruch ist häufig Gegenstand von richterlichen Entscheidungen. Hierzu von uns:

- DSGVO und der Auskunftsanspruch

- Kein Auskunftsanspruch für Insolvenzverwalter

- Unterlassungsanspruch bei Verstoß gegen den Datenschutz? 

- Auswirkungen Praxisübernahme auf Auskunftsanspruch

Schon gewusst? Datenschutzrecht 2023: Weiterleitung personenbezogener Daten an Arbeitgeber ist schadensersatzpflichtig

Der Sachverhalt

Ein österreichischer Bürger verlangte von der Österreichischen Post, der größten Anbieterin von Post- und Logistikdiensten in Österreich, ihm gegenüber mitzuteilen, an welche Empfänger sie seine personenbezogenen Daten offengelegt hatte. Er berief sich also auf Art. 15 DSGVO. 

Die Post nannte die Empfänger aber nicht namentlich, sondern führte nur auf, dass sie  Daten weitergebe, "soweit das rechtlich zulässig sei, [etwa] im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und [zudem biete sie] personenbezogenen Daten Geschäftskunden für Marketingzwecke an." Dagegen klagte der Bürger, woraufhin die österreichischen Gerichte den Europäischen Gerichtshof anriefen. 

Schon gewusst? Datenschutzrecht 2023: Dürfen Falschparker fotografiert werden?

EuGH: Umfassender Anspruch

Der Gerichtshof in Luxemburg betonte, dass allgemeine Aussagen, wie sie die Österreichische Post getätigt habe, nicht ausreichen würden. Es müssten die Empfänger der personenbezogenen Daten namentlich aufgeführt werden: 

"[…] der Verantwortliche [ist], wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet […], der betroffenen Person die Identität der Empfänger mitzuteilen […]"

Allgemeine Ausführen, wie sie die Österreichische Post gemacht habe, dürften nur angegeben werden, wenn der Empfänger der Daten noch nicht bekannt sei oder, wenn Antrage exzessiv und unbegründet gestellt werden. 

Schon gewusst? Löschungsanspruch auch gegen identische Social Media Posts

EuGH: Transparenz als Regelungsziel

Die Richter*innen in Luxemburg beriefen sich zunächst darauf, dass der Wortlaut der Vorschrift kein Rangverhältnis zwischen Empfängern und Kategorien von Empfängern aufstelle. Damit könnte sich der Verantwortliche (also der Datenverarbeitende) grundsätzlich auch nur mit allgemeinen Ausführungen aus der Affäre ziehen. Allerdings legte der Gerichtshof die Vorschrift umfassend aus und kam zum Ergebnis, dass Art. 15 DSGVO vorrangig auf Transparenz abziele. 

Schon gewusst? Datenschutzrecht 2023: Google muss Links zu "unrichtigen" Daten löschen

Fazit

Die Entscheidung des Europäischen Gerichtshofes stärkt die Rechte von Verbraucher*innen - Datenverarbeitende müssen nun explizit angeben, wer Empfänger von personenbezogenen Daten ist. Das stellt Unternehmen vor Herausforderungen - diese müssen Systeme implementieren, um derartigen Anfragen gerecht zu werden. 

Noch Fragen?

Bei weiteren Fragen zum Thema IT- und Datenschutzrecht, stehen wir Ihnen gerne auch persönlich zur Seite. Terminvereinbarungen können Sie während unserer Bürozeiten unter der Telefonnummer 0201-24030 oder per Email unter info@schumacherlaw.com vornehmen.

Ihre Kanzlei Schumacher & Partner
Rechtsanwälte für IT- und Datenschutzrecht in Essen

Sie haben noch Fragen?
Wir sind für Sie da!
Bei weiteren Fragen stehen wir Ihnen gerne auch persönlich zur Seite. Terminvereinbarungen können Sie während unserer Bürozeiten unter der Telefonnummer 0201-24030 oder per Email unter info@schumacherlaw.com vornehmen.
Bürozeiten: Mo - Do: 08:00 – 17:00 Uhr, Fr: 08:00 – 15:00 Uhr
Telefon: 0201-24030
info@schumacherlaw.com
chevron-down
linkedin facebook pinterest youtube rss twitter instagram facebook-blank rss-blank linkedin-blank pinterest youtube twitter instagram