(31.01.2023)
In einem aktuellen Urteil hat der Europäische Gerichtshof (EuGH) festgestellt, dass in einer Auskunft für einen Betroffenen die konkreten Empfänger seiner personenbezogenen Daten genannt werden müssen.
Das Auskunftsrecht ist eines der wichtigsten Rechte von Betroffenen im Datenschutz. So darf jeder Mensch erfragen, ob und welche Daten über ihn verarbeitet werden. Dazu zählt auch die Frage, an wen die Daten weitergegeben werden.
Diese Empfänger von Daten müssen bei Auskünften konkret angegeben werden, sagt nun der EuGH (Rs. C‑154/21, Urteil vom 12.01.2023). Es genügt nicht, bloß die „Kategorien von Empfängern“ zu nennen (z.B. „IT-Dienstleister“, wie dies bisher oft der Fall war). Vielmehr müssen die einzelnen Empfänger identifiziert werden, also die konkreten Namen angegeben werden (z.B. „Meier Systemtechnik GmbH“).
Es gibt allerdings Ausnahmen. Es genügt, doch bloß die Kategorie der Empfänger zu nennen, wenn die konkreten Empfänger (noch) nicht bekannt sind, wenn eine konkrete Angabe aus anderen Gründen unmöglich ist oder wenn das Auskunftsersuchen offenkundig unbegründet oder exzessiv ist.
Was heißt das in der Praxis?
- Vorlage für die Erteilung von Auskünften anpassen: Falls Sie eine Vorlage für Auskünfte haben, sollte sie präzisiert/kommentiert werden. Dann kann diese neue Anforderung im konkreten Fall nicht übersehen werden.
- Anleitung zum Umgang mit Betroffenenrechten: Falls in Ihrem Unternehmen das fox-on-„Handbuch Datenschutz-Rechte der Betroffenen“ zum Einsatz kommt, muss auch dieses aktualisiert werden.
Zur Vorbereitung auf zukünftige Auskunftsbegehren (sie müssen ja innerhalb der gesetzlichen Frist von einem Monat beantwortet werden): Um schnell an die benötigten Informationen zu kommen, können Sie in Ihrer foxondo-Dokumentation nachsehen. Eigentlich sollten dort alle relevanten Angaben stehen. Falls foxondo nicht auf einem aktuellen Stand sein sollte, wäre das jetzt eine gute Gelegenheit, sich wieder damit zu beschäftigen.
Zusammenfassung:
Wenn Auskunftsbegehren eingehen, müssen Sie dafür sorgen, jeden Empfänger der personenbezogenen Daten konkret zu nennen. Eine gut gepflegte Dokumentation z.B. in foxondo hilft dabei.
Übrigens: Nach derzeitiger Auffassung ist es weiterhin in Ordnung, wenn in den Datenschutz-Informationen („Datenschutzerklärung“) nur die Kategorie von Empfängern genannt wird, so wie bisher.