Der Europäische Gerichtshof EuGH hat sich in seinem am 12.01.2023 erschienen Urteil (Az.: C-154/21) mit der Frage befasst, ob im Rahmen der Geltendmachung des Rechts auf Auskunft durch eine betroffene Person gemäß Artikel 15 DSGVO die Nennung von Empfängerkategorien ausreichend ist, oder ob konkrete Empfänger genannt werden müssen.
So hat die betroffene Person u. a. laut Art. 15 Abs. 1 lit c) DSGVO das Recht auf Auskunft über „(…) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;“
Laut EuGH reicht es, anders als beispielsweise bei einer Datenschutzinformation auf der Website, bei einem Auskunftsbegehren eines Betroffenen regelmäßig nicht aus, lediglich die Empfängerkategorien zu nennen.
Konkret heißt es im Urteil: „Art. 15 Abs. 1 Buchst. c der DSGVO ist dahin auszulegen, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.“
Durch das Urteil wurden seitens des EuGH die Betroffenenrechte weiter gestärkt. Für Unternehmen könnte das mitunter einen hohen Aufwand bedeuten. Umso wichtiger ist es, dass Unternehmen eine klare Organisation und gute Übersicht über die Datenempfänger haben. Insbesondere da die Beantwortung eines Auskunftsanspruchs gemäß Artikel 12 Abs. 3 innerhalb eines Monats erfolgen muss.
Herr Dennis Dase hat sein Studium des Wirtschaftsrechts an der Hochschule Osnabrück abgeschlossen und ist seitdem als Consultant für das Rechtsgebiet Datenschutz tätig. Zusätzlich besitzt Herr Dase eine Zertifizierung als Datenschutzbeauftragter und Datenschutzauditor (TÜV) und zeichnet sich durch seine hohe IT-Affinität und juristische Expertise im Datenschutzrecht aus. Herr Dase unterstützt als externer Datenschutzbeauftragter und Datenschutzauditor internationale Konzerne, kleine und mittlere Unternehmen (KMU) und Start-ups bei der praxisnahen Umsetzung datenschutzrechtlicher Anforderungen unter Berücksichtigung der wirtschaftlichen Interessen der Unternehmen.
