IT/Datenschutz
EuGH: Bei Auskunftsersuchen nach Art. 15 DS-GVO müssen Empfänger konkret benannt werden
Das Auskunftsrecht ist das stärkste und auch umstrittenste Betroffenenrecht im Datenschutzrecht. Viele Fragen zum Umfang des Auskunftsrechts sind noch ungeklärt, wie z.B. die Frage, wie das Wort „Kopie“ in Art. 15 Abs. 3 DS-GVO auszulegen ist und ob Betroffene Kopien ihrer Daten herausverlangen dürfen.
Seit gestern, dem 12.01.2023, ist nun die Frage, ob dem Verantwortlichen bei einer Auskunftserteilung gemäß Art. 15 Abs. 1 lit. c DS-GVO ein Wahlrecht zwischen der konkreten Nennung der Empfänger oder den Kategorien von Empfängern der personenbezogenen Daten zusteht, beantwortet.
Der EuGH hat in seinem Urteil vom 12.01.2023 (C-154/21) entschieden, dass die Empfänger konkret benannt werden müssen, und die Nennung der Kategorien von Empfängern gerade nicht ausreichend ist.
Hintergrund der Entscheidung war, dass sich die Österreichische Post AG im Rahmen eins Auskunftsersuchens weigerte, die konkreten Empfänger von personenbezogenen Daten zu benennen und diesbezüglich ein Betroffener Klage erhob. Der Oberste Gerichtshof Österreichs (OGH) legte schließlich dem EuGH im Rahmen eines Vorabentscheidungsverfahrens die Frage der Auslegung des Wortlauts des Art. 15 Abs. 1 lit. c DS-GVO vor.
Grund für diese Entscheidung ist nach dem EuGH die Transparenz sowie auch der Sinn und Zweck des Auskunftsanspruches. Das datenschutzrechtliche Auskunftsrecht diene gerade dazu, den betroffenen Personen eine Möglichkeit an die Hand zu geben, zu erfahren, wer personenbezogene Daten erhält bzw. erhalten hat, um die Rechtmäßigkeit der Datenübermittlung zu überprüfen.
Ausnahmen von dieser Verpflichtung der konkreten Benennung der Empfänger bestehe nur, wenn es dem Verantwortlichen nicht möglich ist, die Empfänger zu identifizieren oder wenn der Antrag offenkundig unbegründet oder exzessiv ist.
Diese Entscheidung hat für Unternehmen große praktische Bedeutung, denn ab nun können sich Verantwortliche nicht mehr darauf beschränken lediglich die Kategorien der Empfänger bei Auskunftsersuchen zu benennen. Dies kann ein Bußgeld und auch Schadensersatzansprüche nach Art. 82 DS-GVO zur Folge haben.
Auf Verantwortliche kommt nun deutlich größerer Aufwand bei der Beantwortung von Auskunftsersuchen zu, welche zudem innerhalb eines Monats beantwortet werden müssen.
Es lohnt sich insofern, sich darauf einzustellen und einen Prozess zur Beantwortung von Auskunftsersuchen zu implementieren bzw. den bestehenden Prozess anzupassen.