Nach Ansicht des EuGH müssen Unternehmen auf Verlangen der betroffenen Personen grundsätzlich offenlegen, an welche konkreten Empfänger personenbezogene Daten übermittelt wurden.

Hierzu im Überblick:

I. Der Auskunftsanspruch

Grundsätzlich hat jede von einer Verarbeitung personenbezogener Daten betroffene Person das Recht, von dem für die Datenverarbeitung Verantwortlichen umfassende Informationen über die Datenverarbeitung zu verlangen. Dies umfasst nicht nur das Recht auf eine abstrakte Beschreibung der Verarbeitungsvorgänge, wie diese in einer Datenschutzerklärung enthalten sind. Die Betroffenen können Informationen zu dem konkret sie betreffenden Verarbeitungsvorgang verlangen, inklusive einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind.

Der Verantwortliche ist grundsätzlich verpflichtet, die Auskunft zu erteilen und insbesondere

„die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind,“ (Art. 15 Abs. 1 lit. c) DSGVO)

mitteilen. Die DSGVO ließ also grundsätzlich zwei Möglichkeiten, sodass diskutiert wurde, wann konkrete Empfänger benannt werden müssen und wann die Kategorien von Empfängern ausreichen.

II. Die Entscheidung des EuGH

Der Europäische Gerichtshof (EuGH) musste diese Frage nunmehr konkretisieren. In diesem Verfahren hatte ein Österreicher von der Österreichischen Post Auskunft u.a. verlangt, an welche Empfänger die ihn betreffenden personenbezogenen Daten übermittelt wurden. Die Österreichische Post erteilte hierzu die Auskunft, seine personenbezogenen Daten seien zu Marketingzwecken verarbeitet und an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT‑Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien gehört hätten.

Die Österreichische Post erteilte daher eine Auskunft, bei der nur die „Kategorien von Empfängern“ erteilt wurden. Dies sei im vorliegenden Fall aber nicht ausreichend gewesen, entschied der EuGH nunmehr in seinem Urteil vom 12.01.2023 (Rs. C-154/21).

Auch der EuGH stellte dabei zunächst fest, dass sich der o.g. Vorschrift nicht eindeutig entnehmen lässt, ob die betroffene Person das Recht hat, über die konkrete Identität der Empfänger dieser Daten unterrichtet zu werden. In Erwägungsgrund 63 zur DSGVO werde jedoch darauf verwiesen, dass der Betroffene ein Anrecht darauf haben müsse, insbesondere zu wissen und zu erfahren, wer die Empfänger der ihn betreffenden personenbezogenen Daten seien.

Die insoweit weite (und unklare) Formulierung des Art. 15 DSGVO legt der EuGH als ein Wahlrecht aus, nach der die betroffene Person

„wählen können muss, ob ihr – falls möglich – Informationen über bestimmte Empfänger, gegenüber denen diese Daten offengelegt wurden (…), oder Informationen über die Kategorien von Empfängern bereitgestellt werden.“ (Hervorhebungen durch den Unterzeichner)

III. Auswirkungen auf die Praxis

Da der EuGH insoweit von einem Wahlrecht des Betroffenen ausgeht, sprechen gute Argumente dafür, dass die Informationen zur Identität nur auf Verlangen des Betroffenen offengelegt werden müssen. Letztlich wird es aber eine organisatorische Frage sein, ob es für den Verantwortlichen zweckmäßig ist, immer die Identität der Empfänger offenzulegen, um Nachfragen und dadurch zusätzlichen Verwaltungsaufwand zu reduzieren.

Voraussetzung hierfür dürften aber klar definierte und gelebte Prozesse und insbesondere eine umfassende datenschutzrechtliche Dokumentation sein. Dies gilt insbesondere vor dem Hintergrund, dass die Auskunft unverzüglich, spätestens aber innerhalb eines Monats erteilt werden muss. Nur in Ausnahmefällen kann diese Frist verlängert werden.

Vor offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen bleibt der Verantwortliche aber auch weiterhin geschützt und kann eine Auskunft verweigern. Da der Verantwortliche hierfür aber beweisbelastet ist, ist auch in solchen Fällen eine ausreichende Dokumentation erforderlich.