25.01.2023 – Das Jahr 2023 startet bereits mit einem relevanten Urteil aus dem Bereich Datenschutz. Der Europäische Gerichtshof urteilte am 12.01.2023 zum Umfang des Auskunftsanspruchs von Betroffenen gemäß Art. 15 DSGVO.
Wie Ihnen bekannt ist, legt die DSGVO für Personen, deren personenbezogene Daten verarbeitet werden, gewisse Rechte fest. Darunter befindet sich auch der Anspruch auf Auskunft über die die Verarbeitung der Daten. Insbesondere muss dem oder der Betroffenen die Zwecke, Kategorien, aber auch die Empfänger der personenbezogenen Daten (Art 15 Abs. 1c) mitgeteilt werden. In welchem Umfang der oder die Empfänger gegenüber Betroffenen offengelegt werden muss, hat jetzt der EuGH entschieden.
Demnach müssen Verantwortliche den Betroffenen die Identitäten der Empfänger der personenbezogenen Daten mitteilen, auch wenn die Daten den jeweiligen Empfängern erst in Zukunft offengelegt werden sollen. Dazu muss sich allerdings das Begehren auch auf die Identität der Empfänger beziehen.
Dies gilt dann nicht, wenn die Verantwortlichen die Empfänger gar nicht identifizieren können (etwa, weil der Empfänger noch gar nicht feststeht) oder wenn der Verantwortliche nachweisen kann, dass die Auskunftsanträge offenkundig unbegründet oder exzessiv sind.
Es reicht demnach nicht, bei einem begründeten Auskunftsanspruch, den Betroffenen nur eine Kategorie von Empfängern zu nennen, ohne die Namen der Empfänger offen zu legen (z.B. „Wir übermitteln Ihre personenbezogene Daten an Auftragsverarbeiter, mit denen wir eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen haben.“). Dies dient dem Betroffenenschutz und soll sicherstellen, dass diese gegenüber allen Verarbeitern ihrer personenbezogenen Daten ihre Rechte direkt ausüben kann. Insbesondere sollen Betroffene überprüfen können, ob die Daten gegenüber Empfängern offengelegt wurden, die auch zu ihrer Verarbeitung befugt sind.
Auch für Sie ist dieses Urteil relevant. Betroffenen, die Auskunft über die Verarbeitung ihrer personenbezogenen Daten begehren, müssen diese Informationen offengelegt werden können, wenn sich das Begehren auf die Identität der Empfänger richtet. Für Sie bedeutet das, dass Sie Betroffenen etwa auf Anfrage die Identitäten Ihrer Auftragsverarbeiter und Unterauftragnehmer mitteilen müssen. Entsprechende Prozesse sollten daher möglichst zeitnah eingeführt werden.
Sollten Sie weitere Fragen haben, kommen Sie gerne auf uns zu.
