Foto von Jason Dent

Nach einer Umfrage im Jahr 2022 in Unternehmen mit mindestens 20 Mitarbeitern gaben 78 Prozent der befragten Unternehmen die Rechtsunsicherheit zu genauen Vorgaben der DSGVO als eine der größten Herausforderungen im Datenschutz an.
Insbesondere die Umsetzung der Betroffenenrechte ist für Unternehmen mit viel Unklarheiten verbunden.

Nun hat der EuGH mit seinem Urteil vom 12.01.2023 (AZ: C‑154/21) neues Licht in den Umgang mit Auskunftsanfragen gebracht. Während dieses eine klare Stärkung des Rechts auf informationelle Selbstbestimmung für Betroffene bedeutet, müssen sich Unternehmen nun auf einen erhöhten Aufwand bei der Beantwortung von Auskunftsanfragen einstellen.

Unzufriedenstellende Auskunft an Betroffenen führt zum EuGH

Ein Kunde der österreichischen Post AG machte im Jahr 2019 sein datenschutzrechtliches Auskunftsrecht aus Art. 15 Abs. 1 DSGVO geltend. Dabei wollte dieser unter anderem die Empfänger der Daten in Erfahrung bringen. Im Rahmen der Beantwortung des Auskunftsersuchens teilte die Post gegenüber dem Betroffenen mit, dass sie Geschäftskunden personenbezogene Daten ihrer Kunden für Marketingzwecke anbiete. Weitere Informationen zur Identität der Empfänger wurden nicht erteilt.

Seine bei Gericht eingelegte Klage wurde mit der Begründung abgelehnt, die Verantwortliche träfe ein Wahlrecht, ob sie den Betroffenen die konkrete Identität der Datenempfänger oder nur Kategorien der Empfänger mitteilen möchte. Daraufhin legte der Betroffene Revision beim Obersten Gerichtshof ein. Da dieser Zweifel hinsichtlich des tatsächlichen Bestehens eines Wahlrechts für Unternehmen äußerte, legte es dem EuGH die Frage vor, wie Art. 15 Abs. 1 lit. c) DSGVO auszulegen sei und ob der Umfang der Auskunft im Ermessen des Verantwortlichen liege.

Unsicherheit bei den Anforderungen über die Auskunftserteilung an Betroffene

Das Auskunftsrecht nach Art. 15 Abs. 1 DSGVO ermöglicht es Betroffenen eine umfassende Auskunft zu allen bei einer Organisation gespeicherten Daten zu erhalten.

Gemäß Art. 15 Abs.  1 lit. c) DSGVO müssen Unternehmen den betroffenen Personen auf deren Anfrage hin unter anderem darüber Auskunft geben, an welche Empfänger oder Kategorien von Empfängern die personenbezogenen Daten weitergegeben wurden oder noch weitergegeben werden sollen.

Bisher herrschte hier noch Rechtsunsicherheit in Bezug auf die genauen Anforderungen an die Umsetzung. Denn aus dem Wortlaut des Art. 15 Abs. 1 lit. c) DSGVO ergibt sich nicht eindeutig, ob für Unternehmen tatsächlich ein Wahlrecht besteht.

EuGH schafft Klarheit für Unternehmen und stärkt damit Betroffenenrechte

Der EuGH stellte nun fest, dass es für eine effektive Ausübung der Betroffenenrechte wie etwa die Durchsetzung eines Löschbegehren nach Art. 17 DSGVO erforderlich sei, die konkrete Identität aller Empfänger offenzulegen. Auf Anfrage der Betroffenen müssen daher sowohl alle aktuellen als auch für die Zukunft geplante Empfänger benannt werden. Es besteht daher nach Ansicht des EuGH kein Wahlrecht für Unternehmen.

Zudem muss das in Art. 5 Abs. 1 lit. a) DSGVO verankerte Transparenzgebots gewahrt werden, wonach personenbezogene Daten für Betroffene in nachvollziehbarer Weise verarbeitet werden müssen. Ein bloßer Verweis wie etwa im Fall der österreichischen Post AG auf Empfänger, die Daten zu Marketingzwecken verarbeiten, war demnach nicht ausreichend.

Ausnahmen sieht der EuGH ausschließlich dann, wenn

• es dem Verantwortlich (noch) nicht möglich ist, die Empfänger zu identifizieren oder
• die Auskunftsanfrage des Betroffenen offensichtlich unbegründet oder exzessiv ist.

Denkbar wäre außerdem, im Einzelfall die Auskunft aufgrund von Vertraulichkeitsinteressen des Unternehmens einzuschränken. Auch können nationale Bestimmungen wie etwa der Schutz von Whistleblowern zu beachten sein.

Auswirkungen des Urteils für datenverarbeitende Unternehmen?

Mit dem Urteil geht der EuGH einen klaren Schritt in Richtung Transparenz und Stärkung der Betroffenenrechte. Für datenverarbeitende Unternehmen bedeutet dies nun einen erhöhten Aufwand bei der Informationsbeschaffung zur Vorbereitung etwaiger Auskunftsersuchen. Gerade auf Websites wird eine Vielzahl an Drittanbietertechnologien eingesetzt werden.

Ob das Urteil auch auf andere Bereiche der DSGVO zu übertragen ist, bleibt abzuwarten.  Sollte man die Ansicht des EuGH auch auf die Auslegung der Informationspflichten in Art. 13 Abs. 1 lit. e) DSGVO übertragen, würde dies einen erheblichen Zusatzaufwand durch die Anpassung von Datenschutzhinweisen bedeuten.

Aufgrund des Urteils sollten Unternehmen aktuell sicherstellen, dass sie in der Lage sind, die Identität aller Empfänger auf Anfrage offenlegen zu können, um das Auskunftsrecht nach Art. 15 Abs. 1 DSGVO ausreichend umzusetzen.