Betroffene können gemäß Art. 15 DSGVO eine Auskunft über den Inhalt und Umfang der sie betreffenden Datenverarbeitungen verlangen. Der Europäische Gerichtshof (EuGH) hat nun entschieden, dass eine Konkretisierung der Empfänger der Daten zwingend erforderlich ist. Diese Entscheidung des EuGH zum Auskunftsanspruch sorgt für Klarheit und Rechtssicherheit. Für Unternehmen bedeutet dies allerdings einen nicht unerheblichen Mehraufwand im Rahmen der Beantwortung von datenschutzrechtlichen Anfragen. Die Rechte von betroffenen Personen werden hingegen weiter gestärkt.
Die klar definierten Regelungen dürften Unternehmen in der Praxis vor neue Herausforderungen stellen. Daher sollte die Beantwortung von Auskunftsersuchen und anderen datenschutzrechtlichen Begehren mit den Datenschutzbeauftragten abgestimmt werden.
Pflichtinhalt einer DSGVO-Datenauskunft
Der Art. 15 DSGVO sieht für Betroffene ein Auskunftsrecht vor, nach welchem dieser auf Verlangen über die Art, den Inhalt und die Zwecke der von ihm erhobenen Daten zu informieren ist.
Ordnungsgemäße Auskunftserteilung
Der EuGH hat am 12.01.2023 (Az. C-154/21) eine Entscheidung auf Vorlage des österreichischen Obersten Gerichtshofs getroffen. Das Urteil schreibt vor, dass Verantwortliche, die im Rahmen der DSGVO-Auskunft aufgefordert werden, die Identität der Empfänger angeben müssen. Eine Ausnahme bilden Fälle, in denen der Auskunftspflichtige nachweist, dass der Auskunftsantrag offensichtlich unbegründet oder unverhältnismäßig ist. Daher reicht es nicht mehr aus, lediglich die Kategorien der Empfänger zu nennen. Diese Entscheidung des EuGH ist EU-weit verbindlich und hat entsprechende Auswirkungen auf die Auslegung der ordnungsgemäßen Auskunftserteilung. Zukünftig müssen die einzelnen Empfänger identifizierbar bezeichnet werden. Um dies zu gewährleisten, hat der Verantwortliche Angaben zur Firma und mindestens Anschrift jedes einzelnen Empfängers zu machen.