EuGH konkretisiert Umfang des DSGVO-Auskunftsrechts

Mit Urteil vom 12. Januar 2023 (Rs. C 154/21) hat der Europäische Gerichtshof (EuGH) geklärt, inwieweit Verbrauchern ein Auskunftsrecht zu von Unternehmen verarbeiteten Daten nach der DSGVO zusteht.

Konkret hatte der EuGH die Frage in einem Vorabentscheidungsersuchen zu klären, ob ein Unternehmen die genauen Kontaktdaten offenlegen muss, an die es die Daten des Betroffenen weitergegeben hat oder lediglich eine Kategorie, wie zum Beispiel NGO, IT-Unternehmen oder ähnliches ausreicht. Der EuGH sprach dem Betroffenem ein umfassendes Auskunftsrecht zu, das auch konkrete Angaben zu den einzelnen Empfängern umfasst. Nur wenn es nicht möglich ist, diese Empfänger zu identifizieren, kann sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen. Dies ist ebenfalls der Fall, wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist.

„Mit seiner Entscheidung hat der EuGH wieder einmal die datenschutzrechtlichen Pflichten für Unternehmen verschärft“, kommentiert Dr. Anna Lena Füllsack, Rechtsanwältin bei CMS Deutschland die Entscheidung. „Verantwortliche müssen bei der Beantwortung eines Auskunftsersuchens nunmehr jeden einzelnen Empfänger offengelegen. Kommen Unternehmen dieser spezifischen Auskunftspflicht nicht nach, können neben Bußgeldern der Aufsichtsbehörden insbesondere Schadensersatzklagen von Betroffenen drohen.“

Mit Blick auf Unternehmen, die Kundendaten verarbeiten, empfiehlt Füllsack, die erforderlichen Informationen zu den Empfängern nicht erst anlässlich eines konkreten Auskunftsersuchens zu beschaffen. Denn Auskunftsersuchen müssten binnen vier Wochen beantwortet werden können. Daher sollten Verantwortliche sich vielmehr losgelöst von konkreten Auskunftsersuchen bewusst machen, an welche Empfänger personenbezogene Daten im Einzelnen fließen. Ein detailliertes Verarbeitungsverzeichnis könne dabei eine große Hilfe sein.

Füllsack sieht in dem Urteil über den konkreten Fall des Art. 15 DSGVO hinaus auch Relevanz für den identischen Wortlaut in Art. 13 Abs. 1 lit. e und 14 Abs. 1 lit. e DSGVO. Es sei „möglich, dass Aufsichtsbehörden und Gerichte zukünftig auch bei Datenschutzhinweisen spezifische Angaben zu sämtlichen Empfängern verlangen. Bislang geben viele Unternehmen hier lediglich die Kategorien von Empfängern an.“

chk