{"id":18007,"date":"2023-02-10T13:53:08","date_gmt":"2023-02-10T11:53:08","guid":{"rendered":"https:\/\/winheller.com\/blog\/?p=18007"},"modified":"2023-05-30T15:48:14","modified_gmt":"2023-05-30T13:48:14","slug":"auskunftsanspruch-datenschutz-identitaet-empfaenger","status":"publish","type":"post","link":"https:\/\/winheller.com\/blog\/auskunftsanspruch-datenschutz-identitaet-empfaenger\/","title":{"rendered":"Auskunftsanspruch im Datenschutz: Unternehmen m\u00fcssen Identit\u00e4t des Empf\u00e4ngers nennen"},"content":{"rendered":"
\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n

In seinem Urteil vom 12.01.2023 (RW .\/. \u00d6sterreichische Post AG) hat der Europ\u00e4ische Gerichtshof (EuGH) nunmehr Klarheit dar\u00fcber geschaffen, dass Unternehmen bei der Beantwortung einer Auskunftsanfrage<\/strong> keine Wahlm\u00f6glichkeit haben, entweder die Identit\u00e4t des Empf\u00e4ngers<\/strong> personenbezogener Daten oder lediglich die Empf\u00e4ngerkategorie<\/strong> (z.B. werbetreibende Unternehmen im Versandhandel) zu nennen. Vielmehr muss der Verantwortliche nach Art. 15 Abs. 1 Buchst. c Alt. 1 DSGVO die Identit\u00e4t des Empf\u00e4ngers gegen\u00fcber dem Betroffenen offenlegen, wenn dieser das begehrt.<\/p>\n\n\n\n

Welche Dritte haben personenbezogene Daten erhalten?<\/h2>\n\n\n\n

Der Entscheidung des EuGH liegt folgender Sachverhalt zugrunde: Der Betroffene wandte sich an die \u00d6sterreichische Post, um Auskunft dar\u00fcber zu erhalten, welche ihn betreffenden personenbezogenen Daten<\/strong> die \u00d6sterreichische Post speichere oder in der Vergangenheit gespeichert habe und, wenn es zu einer Offenlegung der Daten gegen\u00fcber Dritten<\/strong> gekommen sei, wer diese Empf\u00e4nger gewesen seien. Die \u00d6sterreichische Post antwortete daraufhin zun\u00e4chst, dass personenbezogene Daten an Gesch\u00e4ftskunden f\u00fcr Marketingzwecke<\/strong> weitergegeben wurden.<\/p>\n\n\n\n

Durchsetzung der Betroffenenrechte nur \u00fcber konkrete Empf\u00e4nger<\/h2>\n\n\n\n

Die Pflicht zur Auskunft \u00fcber die Identit\u00e4t des Empf\u00e4ngers begr\u00fcndet der EuGH damit, dass der Auskunftsanspruch im Lichte des Transparenzgrundsatzes<\/strong> auszulegen sei, wonach der Betroffene \u00fcber den Umfang der Verarbeitung seiner personenbezogenen Daten informiert werden m\u00fcsse. Zudem diene die Kenntnis \u00fcber den konkreten Empf\u00e4nger der effektiven Durchsetzung der Betroffenenrechte<\/strong>, insbesondere des Rechts auf L\u00f6schung, der Einschr\u00e4nkung und des Widerspruchs. Dar\u00fcber hinaus erleichtere es die Feststellung<\/strong> einer Datenschutzverletzung<\/strong> und dementsprechend die Geltendmachung<\/strong> von Schadensersatzanspr\u00fcchen<\/strong>.<\/p>\n\n\n\n

Nur ausnahmsweise k\u00f6nne sich der Verantwortliche auf die Auskunft \u00fcber die Kategorie des Empf\u00e4ngers beschr\u00e4nken und von der Nennung der Identit\u00e4t absehen, wenn es sich offenkundig um unbegr\u00fcndete oder exzessive Anfragen<\/strong> handelt. Die Ausnahmeregelung<\/strong> ist allerdings eng auszulegen und wird daher nur selten einschl\u00e4gig sein.<\/p>\n\n\n\n

Jetzt interne Prozesse zur Vermeidung hoher Bu\u00dfgelder anpassen!<\/h2>\n\n\n\n

In der Beratungspraxis hat sich gezeigt, dass sich eine Vielzahl von Unternehmen aus unterschiedlichen Gr\u00fcnden dazu entschieden haben, lediglich Auskunft \u00fcber die Kategorie von Empf\u00e4ngern zu erteilen. Im Hinblick auf das EuGH-Urteil besteht nunmehr ein hohes Haftungsrisiko<\/strong>, sollte an diesem Vorgehen weiter festgehalten werden. Neben Schadensersatzanspr\u00fcchen<\/a><\/strong> sehen sich Unternehmen auch mit Bu\u00dfgelder<\/strong>n in H\u00f6he von 4 Prozent des gesamten weltweit erzielten Jahresumsatzes konfrontiert, wenn die unternehmensinternen Auskunftsprozesse<\/strong> nicht schnellstm\u00f6glich angepasst werden und die Identit\u00e4t des Betroffenen nicht genannt wird.<\/p>\n\n\n\n

Umstellung der Datenschutzerkl\u00e4rung zwingend erforderlich?<\/h2>\n\n\n\n

In Anbetracht der vorliegenden EuGH-Entscheidung dr\u00e4ngt sich die Frage auf, ob in Datenschutzerkl\u00e4rungen<\/a><\/strong> (z.B. auf der Webseite) ebenfalls die Identit\u00e4t der Empf\u00e4nger zu nennen ist. Denn die Informationspflichten aus Art. 13 und 14 DSGVO geben dem Verantwortlichen ebenfalls auf, die Empf\u00e4nger oder Kategorien von Empf\u00e4ngern offenzulegen. Allerdings sollten in diesem Zusammenhang keine voreiligen Anpassungen vorgenommen werden, da die Informationspflichten und der Auskunftsanspruch charakteristische Unterschiede aufweisen.<\/p>\n\n\n\n

Wesensverschiedenheit von Informationspflichten und Auskunftsrecht<\/h2>\n\n\n\n

Die Informationspflichten<\/strong> stellen in zeitlicher Hinsicht auf einen Zeitpunkt vor der tats\u00e4chlichen Datenerhebung<\/strong> ab, sodass rein faktisch noch kein Datenfluss stattgefunden hat und dementsprechend keine personenbezogenen Daten an einen Empf\u00e4nger \u00fcbermittelt worden sind. Folglich kann argumentiert werden, dass sich die tats\u00e4chlichen Empf\u00e4nger noch nicht konkretisiert haben und es daher ausreicht, die Kategorien anzugeben. Im Gegensatz hierzu stellt der Auskunftsanspruch<\/strong> aus Art. 15 DSGVO auf einen Zeitpunkt nach der tats\u00e4chlichen Datenerhebung<\/strong> ab, sodass die jeweiligen Empf\u00e4nger die betreffenden Daten schon erhalten haben und diese folglich konkret vorliegen.<\/p>\n\n\n\n

Ebenso hebt der Generalanwalt die Wesensverschiedenheit<\/strong> zwischen den Informationspflichten und dem Auskunftsrecht in seinen Schlussantr\u00e4gen hervor. So regeln die Art. 13 und 14 DSGVO Informationspflichten des Verantwortlichen, weshalb die Wahlm\u00f6glichkeit zwischen der Nennung der Identit\u00e4t des Empf\u00e4ngers und der Empf\u00e4ngerkategorie dem Verantwortlichen obliegt. Demgegen\u00fcber formuliert Art. 15 DSGVO ein Recht des Betroffenen, sodass dem Betroffenen die Wahlm\u00f6glichkeit zusteht (vgl. Schlussantr\u00e4ge des Generalanwalts Pitruzzella vom 09.06.2022, C 154\/21, ECLI:EU:C:2022:452, Rn. 21) und der Verantwortliche an die Wahl des Betroffenen gebunden ist.<\/p>\n\n\n\n

Entwicklungen im Blick behalten<\/h2>\n\n\n\n

W\u00e4hrend einiges daf\u00fcr spricht, dass die Nennung der Empf\u00e4ngerkategorien in Datenschutzerkl\u00e4rungen<\/strong> weiterhin ausreichend ist, sollten dennoch die kommende Rechtsprechung und die k\u00fcnftigen Stellungnahmen der Landesdatenschutzaufsichtsbeh\u00f6rden im Blick gehalten werden. Denn die Gerichte oder Aufsichtsbeh\u00f6rden k\u00f6nnten dem Grundsatz der Transparenz<\/strong> jederzeit eine solch hohe Bedeutung zumessen, dass die Identit\u00e4t des Empf\u00e4ngers<\/strong> nach Art. 13, 14 DSGVO auch in der Datenschutzerkl\u00e4rung <\/strong>genannt werden muss. Wir halten Sie auf dem Laufenden. Kommen Sie gern jederzeit mit Ihren Fragen auf uns zu!<\/p>\n\n\n\n

Weiterlesen:
Datenschutz: Das ist beim Einsatz von Trackingtools zu beachten<\/strong><\/a>
Datenschutzkonzept muss jederzeit nachgewiesen werden k\u00f6nnen<\/strong><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

In seinem Urteil vom 12.01.2023 (RW .\/. \u00d6sterreichische Post AG) hat der Europ\u00e4ische Gerichtshof (EuGH) nunmehr Klarheit dar\u00fcber geschaffen, dass Unternehmen bei der Beantwortung einer Auskunftsanfrage keine Wahlm\u00f6glichkeit haben, entweder die Identit\u00e4t des Empf\u00e4ngers personenbezogener Daten oder lediglich die Empf\u00e4ngerkategorie (z.B. […]<\/p>\n","protected":false},"author":59,"featured_media":18036,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[41,2],"tags":[],"class_list":["post-18007","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-datenschutz","category-wirtschaftsrecht"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/posts\/18007","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/users\/59"}],"replies":[{"embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/comments?post=18007"}],"version-history":[{"count":16,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/posts\/18007\/revisions"}],"predecessor-version":[{"id":18035,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/posts\/18007\/revisions\/18035"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/media\/18036"}],"wp:attachment":[{"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/media?parent=18007"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/categories?post=18007"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/tags?post=18007"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}