In seinem Urteil vom 12.01.2023 (RW ./. Österreichische Post AG) hat der Europäische Gerichtshof (EuGH) nunmehr Klarheit darüber geschaffen, dass Unternehmen bei der Beantwortung einer Auskunftsanfrage keine Wahlmöglichkeit haben, entweder die Identität des Empfängers personenbezogener Daten oder lediglich die Empfängerkategorie (z.B. werbetreibende Unternehmen im Versandhandel) zu nennen. Vielmehr muss der Verantwortliche nach Art. 15 Abs. 1 Buchst. c Alt. 1 DSGVO die Identität des Empfängers gegenüber dem Betroffenen offenlegen, wenn dieser das begehrt.
Welche Dritte haben personenbezogene Daten erhalten?
Der Entscheidung des EuGH liegt folgender Sachverhalt zugrunde: Der Betroffene wandte sich an die Österreichische Post, um Auskunft darüber zu erhalten, welche ihn betreffenden personenbezogenen Daten die Österreichische Post speichere oder in der Vergangenheit gespeichert habe und, wenn es zu einer Offenlegung der Daten gegenüber Dritten gekommen sei, wer diese Empfänger gewesen seien. Die Österreichische Post antwortete daraufhin zunächst, dass personenbezogene Daten an Geschäftskunden für Marketingzwecke weitergegeben wurden.
Durchsetzung der Betroffenenrechte nur über konkrete Empfänger
Die Pflicht zur Auskunft über die Identität des Empfängers begründet der EuGH damit, dass der Auskunftsanspruch im Lichte des Transparenzgrundsatzes auszulegen sei, wonach der Betroffene über den Umfang der Verarbeitung seiner personenbezogenen Daten informiert werden müsse. Zudem diene die Kenntnis über den konkreten Empfänger der effektiven Durchsetzung der Betroffenenrechte, insbesondere des Rechts auf Löschung, der Einschränkung und des Widerspruchs. Darüber hinaus erleichtere es die Feststellung einer Datenschutzverletzung und dementsprechend die Geltendmachung von Schadensersatzansprüchen.
Nur ausnahmsweise könne sich der Verantwortliche auf die Auskunft über die Kategorie des Empfängers beschränken und von der Nennung der Identität absehen, wenn es sich offenkundig um unbegründete oder exzessive Anfragen handelt. Die Ausnahmeregelung ist allerdings eng auszulegen und wird daher nur selten einschlägig sein.
Jetzt interne Prozesse zur Vermeidung hoher Bußgelder anpassen!
In der Beratungspraxis hat sich gezeigt, dass sich eine Vielzahl von Unternehmen aus unterschiedlichen Gründen dazu entschieden haben, lediglich Auskunft über die Kategorie von Empfängern zu erteilen. Im Hinblick auf das EuGH-Urteil besteht nunmehr ein hohes Haftungsrisiko, sollte an diesem Vorgehen weiter festgehalten werden. Neben Schadensersatzansprüchen sehen sich Unternehmen auch mit Bußgeldern in Höhe von 4 Prozent des gesamten weltweit erzielten Jahresumsatzes konfrontiert, wenn die unternehmensinternen Auskunftsprozesse nicht schnellstmöglich angepasst werden und die Identität des Betroffenen nicht genannt wird.
Umstellung der Datenschutzerklärung zwingend erforderlich?
In Anbetracht der vorliegenden EuGH-Entscheidung drängt sich die Frage auf, ob in Datenschutzerklärungen (z.B. auf der Webseite) ebenfalls die Identität der Empfänger zu nennen ist. Denn die Informationspflichten aus Art. 13 und 14 DSGVO geben dem Verantwortlichen ebenfalls auf, die Empfänger oder Kategorien von Empfängern offenzulegen. Allerdings sollten in diesem Zusammenhang keine voreiligen Anpassungen vorgenommen werden, da die Informationspflichten und der Auskunftsanspruch charakteristische Unterschiede aufweisen.
Wesensverschiedenheit von Informationspflichten und Auskunftsrecht
Die Informationspflichten stellen in zeitlicher Hinsicht auf einen Zeitpunkt vor der tatsächlichen Datenerhebung ab, sodass rein faktisch noch kein Datenfluss stattgefunden hat und dementsprechend keine personenbezogenen Daten an einen Empfänger übermittelt worden sind. Folglich kann argumentiert werden, dass sich die tatsächlichen Empfänger noch nicht konkretisiert haben und es daher ausreicht, die Kategorien anzugeben. Im Gegensatz hierzu stellt der Auskunftsanspruch aus Art. 15 DSGVO auf einen Zeitpunkt nach der tatsächlichen Datenerhebung ab, sodass die jeweiligen Empfänger die betreffenden Daten schon erhalten haben und diese folglich konkret vorliegen.
Ebenso hebt der Generalanwalt die Wesensverschiedenheit zwischen den Informationspflichten und dem Auskunftsrecht in seinen Schlussanträgen hervor. So regeln die Art. 13 und 14 DSGVO Informationspflichten des Verantwortlichen, weshalb die Wahlmöglichkeit zwischen der Nennung der Identität des Empfängers und der Empfängerkategorie dem Verantwortlichen obliegt. Demgegenüber formuliert Art. 15 DSGVO ein Recht des Betroffenen, sodass dem Betroffenen die Wahlmöglichkeit zusteht (vgl. Schlussanträge des Generalanwalts Pitruzzella vom 09.06.2022, C 154/21, ECLI:EU:C:2022:452, Rn. 21) und der Verantwortliche an die Wahl des Betroffenen gebunden ist.
Entwicklungen im Blick behalten
Während einiges dafür spricht, dass die Nennung der Empfängerkategorien in Datenschutzerklärungen weiterhin ausreichend ist, sollten dennoch die kommende Rechtsprechung und die künftigen Stellungnahmen der Landesdatenschutzaufsichtsbehörden im Blick gehalten werden. Denn die Gerichte oder Aufsichtsbehörden könnten dem Grundsatz der Transparenz jederzeit eine solch hohe Bedeutung zumessen, dass die Identität des Empfängers nach Art. 13, 14 DSGVO auch in der Datenschutzerklärung genannt werden muss. Wir halten Sie auf dem Laufenden. Kommen Sie gern jederzeit mit Ihren Fragen auf uns zu!
Weiterlesen:
Datenschutz: Das ist beim Einsatz von Trackingtools zu beachten
Datenschutzkonzept muss jederzeit nachgewiesen werden können
