EuGH-Urteil vom 12.01.2023 mit weitreichenden Folgen

Dauerbrenner im Datenschutzalltag ist das Auskunftsersuchen nach Art. 15 Abs. 1 lit. c der DSGVO. Ein Urteil des Europäischen Gerichtshof hat jetzt die Anforderungen an die Beantwortung eines Auskunftsersuchens erheblich erhöht.

Das Auskunftsrecht gehört zu den zentralen Betroffenenrechten und dient der Transparenz.

Betroffene Personen haben demnach das Recht, eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Wenn dies der Fall ist, haben sie weiter ein Recht auf Auskunft über diese Daten und darüberhinausgehende Informationen zur Verarbeitung. Dazu gehört auch die Information, wem gegenüber die personenbezogenen Daten offengelegt werden – die sogenannten Empfänger. Bis dato war es üblich, nur die Kategorien der Empfänger zu nennen – also bspw. „IT-Dienstleister“ oder „Steuerberater“, und diese nicht namentlich zu benennen – also nicht Steuerberater Dr. Muster oder Dienstleister PC Servicehilfe AG. Die DSGVO ist hier nicht eindeutig, denn in Art. 15 heißt es:

„die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden,“

Klarheit bringt ein Urteil des Europäischen Gerichtshofs (EuGH), der sich mit diesem Thema auseinandergesetzt hat.

Um was geht es?


Ein Betroffener hatte gegenüber der österreichischen Post ein Auskunftsersuchen gestellt. Die Österreichische Post hatte daraufhin mitgeteilt, dass sie personenbezogene Daten zu Marketingzwecken an Geschäftskunden weitergegeben habe, darunter bspw. IT-Unternehmen, NGOs oder Händler. Konkrete Empfängerinnen und Empfänger nannte die Post nicht. Damit gab der Betroffene sich nicht zufrieden und klagte gegen die Post. Schließlich landete der Fall beim EuGH.

Der EuGH hat am 12.01.2023 (Az. C-154/21) geurteilt, dass stets die Angabe der konkreten Empfänger erforderlich ist , sofern die betroffene Person dies wünscht, die Angabe dem Verantwortlichen nicht unmöglich ist und kein Missbrauch des Auskunftsrechts vorliegt. Begründet wird die Entscheidung untern anderem damit, dass die Angabe von konkreten Empfängern erforderlich sei, um es der betroffenen Person zu ermöglichen, ggf. die weiteren in Art. 15 ff. DSGVO genannten Betroffenen wahrzunehmen (z.B. das Recht auf Löschung oder Korrektur) oder im Schadensfall den in den Art. 79 und 82 DSGVO vorgesehenen gerichtlichen Rechtsbehelf einzulegen.

Was heißt das für Sie in der Praxis?


Das Urteil des EuGH hat weitreichende Auswirkungen bei der zukünftigen Beantwortung von Auskunftsersuchen von Betroffenen. Es reicht jetzt nicht mehr, lediglich die Kategorien der Empfänger zu benennen, sondern es müssen grundsätzlich alle einzelnen Empfänger identifizierbar bezeichnet werden, mit Angaben des Namens der Firma und zumindest der jeweiligen Anschrift. Hierzu zählen auch die Auftragsverarbeiter inklusive der Unterauftragsverarbeiter, ebenso wie Empfänger, denen gegenüber die Daten in der Vergangenheit
offengelegt worden sind. Folglich sind bspw. beim Wechsel des Steuerberaters sowohl der ehemalige also auch der aktuelle Steuerberater konkret namentlich zu benennen. Das macht die Beantwortung von Auskunftsersuchen erheblich anspruchsvoller und umfangreicher – zumal Sie nur 4 Wochen Zeit haben, um eine Anfrage zu beantworten.

Ob die Auslegung des EuGH in dieser Frage sinnvoll ist oder nicht, überlassen wir gerne Ihrer persönlichen Einschätzung.

Wenn Sie Fragen haben, melden Sie sich gerne bei uns! Gerne unterstützen wir Sie bei der Bearbeitung von Betroffenenanfragen.

Bitte beachten Sie, dass dieser Newsletter der Information dient und keine Rechtsberatung darstellt!