EuGH: Empfänger sind bei einer Auskunftsanfrage iSd Art 15 DSGVO (grundsätzlich) zu nennen. Die Ausnahmen werden vom EuGH sehr eng definiert.

Der Verantwortliche hat keine Auswahlmöglichkeit, sich zu entscheiden, ob er nur die Kategorien der Empfänger nennt, oder die konkreten Empfänger.

Die Regelung des Art 15 DSGVO

Art 15 Abs 1 lit c DSGVO verpflichtet den Verantwortlichen der betroffenen Person eine Auskunft über

„die Empfänger oder

Kategorien von Empfängern,

gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen“

zu geben.

Fraglich war bis zur Entscheidung des EuGH, ob dem Verantwortlichen ein Wahlrecht zukommt (Arg: „oder“), sich darauf zu beschränken, die Kategorien von Empfängern zu nennen, oder der Verantwortliche alle Empfänger, denen die personenbezogenen Daten übermittelt wurden und noch offengelegt werden, konkret nennen muss.

Die Entscheidung des EuGH

Der EuGH hat nun in seinem Urteil vom 12.01.2023 (C-154/21) entschieden, dass die betroffene Person ein Recht hat konkret zu erfahren wer die Empfänger der personenbezogenen Daten war, sind oder sein werden.

Der EuGH begründet dies insbes. mit der notwendigen Transparenz sowie auch dem Sinn und Zweck des Auskunftsanspruches. Die betroffene Person hat ein Recht, zu erfahren, wer die Daten erhalten hat bzw. wird, damit die Rechtmäßigkeit der Datenübermittlung von ihr überprüft werden kann.

„Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.“  (Auszug aus dem Urteil)

Ausnahmen

Ausnahmen von der Verpflichtung zur Bekanntgabe der (bisherigen oder zukünftigen) Empfänger der personenbezogenen Daten der auskunfts­ersuchenden Person sind:

(1) Unmöglichkeit der Bekanntgabe, dh der Verantwortliche ist nicht in der Lage die Empfänger der personenbezogenen Daten zu identifizieren. Dies ist zB bei einer Veröffentlichung in einem Werbeprospekt oder dem Internet der Fall.       

(2) Offenkundig unbegründter oder exzessiver Antrag der betroffenen Person     
Der EuGH schränkt unter Verweis auf Art 12 Abs 5 lt. Absatz DSGVO ein, wenn die betroffene Person bezüglich der Auskunft exzessiv handelt, oder der Antrag unbegründet ist.