DSGVO-Auskunft: Konkrete Empfänger müssen benannt werden

Was passiert mit meinen Daten? Eine Frage, die sich in der heutigen digitalen Welt mehr denn je stellt. Die Datenschutz-Grundverordnung (DSGVO) gibt Ihnen als betroffene Person weitreichende Rechte an die Hand – allen voran das Auskunftsrecht nach Art. 15 DSGVO.

Doch wie konkret muss ein Unternehmen antworten, wenn Sie eine solche Auskunft verlangen? Reicht es, wenn Ihnen mitgeteilt wird, dass Ihre Daten „an Werbepartner“ oder „an IT-Dienstleister“ weitergegeben wurden? Oder haben Sie Anspruch darauf zu erfahren, welche konkreten Firmen Ihre Daten erhalten haben?

Der Europäische Gerichtshof (EuGH) hat diese praxisrelevante Frage in seinem Urteil vom 12. Januar 2023 (Az.: C-154/21) entschieden – mit deutlichen Worten.

Der rechtliche Hintergrund: Art. 15 DSGVO

Artikel 15 Absatz 1 lit. c DSGVO garantiert Ihnen als betroffene Person einen Anspruch auf Auskunft über „die Empfänger oder Kategorien von Empfängern“, gegenüber denen personenbezogene Daten offengelegt wurden oder werden.

Diese Formulierung lässt auf den ersten Blick vermuten, dass es dem Verantwortlichen freisteht, ob er konkrete Empfänger benennt oder bloß Kategorien nennt. Doch genau diese Deutung hat der EuGH nun korrigiert – zugunsten des Datenschutzes.

Der Fall vor dem EuGH: Worum ging es konkret?

Ein österreichischer Bürger wandte sich an die Österreichische Post AG und verlangte nach Art. 15 DSGVO Auskunft über die konkreten Empfänger seiner personenbezogenen Daten. Die Post berief sich jedoch darauf, dass sie nur Kategorien von Empfängern mitteilen müsse – nicht jedoch deren konkrete Namen.

Der Fall landete schließlich beim EuGH – und dieser hat mit seinem Urteil vom 12.01.2023 (Az.: C-154/21) Klarheit geschaffen.

Die Entscheidung des EuGH: Konkrete Empfänger müssen genannt werden

Der EuGH stellte klar:

„Art. 15 Abs. 1 Buchst. c DSGVO ist dahin auszulegen, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche […] verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen […].“

Mit anderen Worten: Wenn ein Unternehmen Ihre Daten an andere Stellen weitergibt, muss es Ihnen auf Verlangen auch mitteilen, wer genau diese Empfänger sind.

Nur ausnahmsweise darf sich der Verantwortliche auf die bloße Nennung von Kategorien beschränken – und zwar nur dann:

• wenn es objektiv nicht möglich ist, die Empfänger zu identifizieren, oder
• wenn der Verantwortliche nachweisen kann, dass Ihr Auskunftsverlangen offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO ist.

Warum dieses Urteil so bedeutsam ist

Für Unternehmen bedeutet die Entscheidung eine erhebliche Verschärfung ihrer Pflichten. Sie müssen künftig strukturierte Dokumentationen darüber führen, an wen sie personenbezogene Daten weitergeben – selbst dann, wenn es sich um externe Dienstleister handelt.

Für betroffene Personen dagegen ist die Entscheidung ein klarer Gewinn:

• Sie erhalten echte Transparenz über die Verbreitung ihrer Daten
• Sie können gezielter prüfen, ob und gegen wen gegebenenfalls Ansprüche geltend zu machen sind
• Sie können die Rechtmäßigkeit der Verarbeitung besser beurteilen

Was heißt das konkret für Ihre Rechte?

Wenn Sie von einem Unternehmen wissen möchten, was mit Ihren Daten passiert ist, dann reicht es nicht aus, wenn dieses Ihnen schreibt:

„Ihre Daten wurden an Marketingdienstleister und Kooperationspartner weitergegeben.“

Sie dürfen vielmehr verlangen zu erfahren:

„Ihre Daten wurden weitergegeben an: Firma XY GmbH, Firma Z Services AG und ABC Ltd.“

Nur wenn sich das Unternehmen auf einen konkreten Ausnahmefall berufen kann – etwa weil es unmöglich ist, die Empfänger zu benennen –, darf es bei allgemeinen Kategorien bleiben. Aber auch dann muss es diesen Umstand begründet darlegen.

Pflichten für Unternehmen: Was müssen Verantwortliche jetzt beachten?

1. Dokumentation:
   Halten Sie genau fest, an wen personenbezogene Daten offengelegt wurden oder künftig offengelegt werden sollen.
2. Transparente Auskunft:
   Reagieren Sie auf Auskunftsersuchen vollständig und konkret. Die pauschale Nennung von Kategorien ist nur in Ausnahmefällen zulässig.
3. Ausnahmen belegen:
   Wenn Sie sich auf eine Ausnahme berufen, müssen Sie nachweisen, warum eine konkrete Benennung nicht möglich oder unzumutbar ist.
4. Datenschutz-Folgenabschätzung:
   Überprüfen Sie Ihre Datenschutzprozesse. Die Entscheidung des EuGH betrifft nicht nur einzelne Auskünfte, sondern zwingt zum Umdenken im Umgang mit Datenweitergaben.

Fazit: Transparenz ist kein Wunschkonzert – sondern Pflicht

Mit seiner Entscheidung hat der EuGH ein deutliches Signal gesetzt: Datenschutz darf nicht im Ungefähren bleiben. Wer Daten weitergibt, muss dazu auch stehen – und zwar mit Namen.

Als betroffene Person können Sie sich nun mit größerem Nachdruck auf Ihr Auskunftsrecht berufen. Unternehmen hingegen sollten ihre internen Prozesse jetzt kritisch auf den Prüfstand stellen und ihr Datenschutzmanagement gegebenenfalls anpassen.

Wenn Sie als Verbraucher oder Unternehmer Fragen zum Thema DSGVO-Auskunft haben oder unsicher sind, wie Sie reagieren sollen – kontaktieren Sie uns gerne für eine rechtssichere Beratung.

Wir unterstützen Sie bei der Geltendmachung Ihrer Rechte ebenso wie bei der rechtssicheren Umsetzung datenschutzrechtlicher Anforderungen in Ihrem Unternehmen.