EuGH: Empfänger müssen in Auskunft konkret benannt werden

Das Auskunftsrecht nach Art. 15 DS-GVO ist das mit Abstand relevanteste Betroffenenrecht. Viele Fragen hierzu sind nach wie vor umstritten und immer wieder Gegenstand von gerichtlichen Verfahren. Aktuell hat sich der EuGH mit der Frage befasst, wie konkret Empfänger von personenbezogenen Daten zu benennen sind.

Ein Bürger beantragte bei der Österreichischen Post ihm mitzuteilen, gegenüber welchen Empfängern sie seine personenbezogenen Daten offengelegt habe. Die Post beschränkte sich zunächst auf die Mitteilung, sie verwende personenbezogene Daten im Rahmen ihrer Tätigkeit als Herausgeberin von Telefonbüchern und biete diese Daten Geschäftskunden für Marketingzwecke an. Im Laufe des Verfahrens ergänzte sie, die Daten des Bürgers seien an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, NGOs oder politische Parteien gehört hätten.

Dem EuGH wurde daraufhin die Frage vorgelegt, inwieweit es dem für die Datenverarbeitung Verantwortlichen freistehe, die konkrete Identität oder nur die Kategorie von Empfängern mitzuteilen. Diese Frage hat der EuGH nun eindeutig dahingehend beantwortet, dass der Verantwortliche grundsätzlich über die konkrete Identität des Empfängers Auskunft erteilen muss. Nur wenn es nicht oder noch nicht möglich sei, diese Empfänger zu identifizieren, oder der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist, könne sich dieser darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen.

Damit hat der EuGH die datenschutzrechtlichen Pflichten für Unternehmen deutlich verschärft.