Unternehmen müssen Empfänger von personenbezogenen Daten preisgeben

13.01.2023
Lesezeit 2 Minuten

Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 12. Januar 2023 in der Rechtssache C-154/21 entschieden, dass grundsätzlich jeder das Recht hat zu erfahren, an wen seine Daten weitergegeben werden. Der Verantwortliche ist verpflichtet, der betroffenen Person auf Anfrage die Identität der Empfänger mitzuteilen.

Europäische Gerichtshof (EuGH): Urteil vom 12. Januar 2023 in der Rechtssache C-154/21

Nur wenn es (noch) nicht möglich ist, diese Empfänger zu identifizieren, kann sich der Verantwortliche auf die Mitteilung der Kategorien der betreffenden Empfänger beschränken.

Nur so könne die betroffene Person effektiv ihre Ansprüche aus der Datenschutzgrundverordnung wahrnehmen, insbesondere das Recht auf Berichtigung, das Recht auf Löschung („Recht auf Vergessenwerden“), das Recht auf Einschränkung der Verarbeitung, das Recht auf Widerspruch gegen die Verarbeitung oder auch das Recht auf einen Rechtsbehelf im Schadensfall.

Hintergrund: DSGVO gibt Recht auf Auskunft

Personen haben nach Artikel 15 Abs. 1 der Datenschutzgrundverordnung (DSGVO) ein Recht Auskunft zu erhalten, ob und welche personenbezogenen Daten von Ihnen verarbeitet werden. Unter anderem umfasst der in der DSGVO konstituierte Anspruch Auskunft darüber zu erhalten, gegenüber welchen Empfängern oder Kategorien von Empfängern, personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden.

Bisher war im Hinblick auf das Auskunftsrecht höchstrichterlich nicht geklärt, ob es ausreicht, der Auskunft verlangenden Person lediglich die Kategorien der Empfänger zu nennen oder ob die Identität aller Empfänger mitzuteilen ist. In der Folge haben sich viele Unternehmen auf die Information der Kategorien der Empfänger beschränkt, was bisher auch möglich war. Dieses Vorgehen sollten Unternehmen ab sofort bei der Beantwortung eines Auskunftsersuchens anpassen, um den Auskunftsanspruch weiterhin datenschutzkonform zu erfüllen.

Was ist zu tun?

Unternehmen sollten sich zeitnah bewusst machen, an welche Empfänger Daten betroffener Personen weitergegeben werden. Nur so kann mitunter im Falle eines Auskunftsersuchens die kurze Frist von vier Wochen zur Beantwortung der Anfrage eingehalten werden. Darüber hinaus kann es sinnvoll sein, die Datenschutzhinweise hinsichtlich der Identität der Empfänger anzupassen. Es ist möglich, dass zukünftig Aufsichtsbehörden und Gerichte auch bei Datenschutzhinweisen Angaben zu sämtlichen Empfängern verlangen.