Unternehmen müssen auf Nachfrage der Betroffenen grundsätzlich konkrete Angaben zu den Empfängern personenbezogener Daten machen können. Dies hat nun der Europäische Gerichtshof in Auslegung des Auskunftsanspruchs (Artikel 15 DS-GVO) entschieden (Urt. v. 12.01.2023 - Rs. C-154/21). Eine konkrete Angabe sei nur dann nicht erforderlich, wenn der Verantwortliche die Empfänger nicht identifizieren kann oder der Antrag auf Auskunft offenkundig unbegründet oder exzessiv ist. In diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen. Damit konkretisiert der Gerichtshof in erwartbarer Weise den Erfüllungsanspruch der Betroffenen. Eine entsprechende Vorgehensweise empfiehlt der DDV bereits im DDV-Best Practice Guide "Europäische Datenschutz-Grundverordnung" auf S. 37. Bei Auskunftsanfragen ist stets zu prüfen, ob bestimmte Informationen, wie beispielsweise über Empfänger, konkreter gegeben werden können. Der EuGH schafft nun Klarheit über die Reichweite dieser Verpflichtung. Kommen die Verantwortlichen der spezifischen Auskunftspflicht nicht nach, drohen unter Umständen Bußgelder der Aufsichtsbehörden oder Schadensersatzklagen der Betroffenen.

Anders verhält es sich mit der Datenschutzinformation nach den Artikel 13 und 14 DS-GVO. Hier kann der Verantwortliche entscheiden, ob er konkrete Empfänger oder Kategorien von Empfängern benennt. Auf den Unterschied hat der EuGH dankenswerterweise hingewiesen. Unter Artikel 15 kann die betroffene Person wählen, dass sie die konkreten Empfänger erfahren will. Ist dies der Fall, muss der Verantwortliche entsprechend beauskunften, wenn ihm die Empfänger konkret bekannt sind. Darunter fallen Werbetreibende, denen Adressdaten übermittelt werden, oder Auftragsverarbeiter im Rahmen des Lettershop-Verfahrens, die die Adressen erhalten.

Das Urteil des Europäischen Gerichtshofs wirft die Frage auf, wie lange ein Unternehmen protokollieren soll, welche Empfänger bestimmte Daten erhalten haben. Hierauf geben weder die DS-GVO noch das Bundesdatenschutzgesetz eine Antwort. Im Bereich der Kreditauskunfteien werden Informationen über erteilte Kreditauskünfte in der Regel für ein Jahr gespeichert. Solange es aber keine gesetzliche Klärung zur Frage der Frist gibt, empfiehlt der DDV die Informationen zu Empfängern eher länger aufzubewahren. Sieht man in der Auskunft über die Empfänger eine gesetzliche Pflicht, dann ist eine solche Speicherung nach Art. 6 Abs. 1 Buchst. c DS-GVO gerechtfertigt. Der DDV wird auf eine Klärung der Speicherfrist hinwirken.

Zweck des Auskunftsanspruchs ist es, der betroffenen Person Kenntnis von der Verarbeitung zu verschaffen und deren Rechtmäßigkeit überprüfen zu können (Erwägungsgrund 63). Verarbeitet der Verantwortliche beispielsweise eine große Menge von Informationen über die betroffene Person, kann der Verantwortliche von der betroffenen Person zunächst Auskunft darüber verlangen, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht (vgl. auch DDV-Best Practice Guide "Europäische Datenschutz-Grundverordnung", S. 38 f.).

Wenn eine Auskunftsanfrage gestellt wird und das Unternehmen die betroffene Person nicht identifizieren kann (Artikel 12 Abs. 2) oder keine Daten über die betroffene Person vorliegen (Artikel 15 Abs. 1), dann ist der betroffenen Person dies mitzuteilen. Gleiches gilt, wenn der Antrag Ein weitergehender Auskunftsanspruch besteht in diesem Fall nicht.

Zum Auskunftsanspruch fand am 17. Januar 2023 ein DDV-Webcast statt. Die Aufzeichnung und die Vortragsunterlagen sind für Mitglieder hier kostenfrei abrufbar.