14.8.2023 |
Unternehmen müssen „Ross und Reiter“ nennen.
Konnten sich bis Jahresbeginn Unternehmen bei Auskunftsanfragen damit begnügen, nur die Kategorien von Empfängern zu nennen, ist damit Schluss. Sie müssen jetzt konkret die Namen und die Anschriften aller Empfänger mitteilen. Dies hat der Europäische Gerichtshof (EuGH) bereits am 12. Januar 2023 entschieden (Rechtssache C‑154/21). Ob darüber hinaus die Offenlegung von Auftragsverarbeitern verlangt werden kann, bleibt im Dunkeln. Unklar ist ferner, was mit einer „Kopie“ beim Auskunftsanspruch gemeint ist. Wegen der Komplexität gibt es dazu insgesamt drei News von uns.
Natürlichen Personen steht gemäß Artikel 15 der Datenschutzgrundverordnung (DSGVO) ein Recht auf Auskunft gegenüber Firmen (aber auch gegenüber Behörden) zu, an wen diese ihre personenbezogenen Daten übermittelt haben. Der Umfang des Auskunftsanspruchs ist weit und sorgt in der Praxis gerade bei Mittelständlern für einen hohen Verwaltungsaufwand. Deshalb und auch zur Wahrung von Geschäftsgeheimnissen verfahren viele Unternehmen dergestalt, dass sie im Antwortschreiben nur die Kategorien der Empfänger mitteilen, wie beispielsweise „Zahlungsdienstleister“, „Logistiker“ oder „Marketingpartner“. Der EuGH hat aber entschieden, dass anfragende Personen das Recht besitzen, die konkrete Identität zu erfahren.
Klage aus Österreich und Argument des EuGH
Auslöser des Urteils war ein Auskunftsbegehren an die Österreichische Post. Für die Obliegenheit hinsichtlich der Empfänger, an denen die personenbezogenen Daten transferiert wurden, berief sich die Post auf Artikel 15 Absatz 1 Buchstabe c) der DSGVO. Nach dessen Wortlaut besteht ein Wahlrecht dahingehend, dass „die Empfänger oder die Kategorien von Empfängern“ aufgeführt werden müssen. Damit gab sich die anfragende Person nicht zufrieden und zog vor Gericht. Der Oberste Gerichtshof Osterreich (OGH) war sich nicht sicher, wie das Wahlrecht zu verstehen sei. Da es sich bei der DSGVO um einen Rechtsakt der Europäischen Union handelt und für unklare Auslegungsfragen der EuGH zuständig ist, legte der OGH die Sache dem Europäischen Gerichtshof zur Klärung vor.
Für ihr Votum zur vollständigen Mitteilung der Identität der Empfänger führten die Richterinnen und Richter aus Luxemburg maßgeblich die Rechte einer anfragenden Person ins Feld. Demnach sei das Auskunftsrecht aus Artikel 15 DSGVO „insbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung (´Recht auf Vergessenwerden´), ihr Recht auf Einschränkung der Verarbeitung“ ausüben zu können. Ohne eine vollständige Namensnennung einschließlich einer gerichtsfesten Anschrift könnten anfragende Personen genannte Ansprüche nicht geltend machen, so der EuGH. Für die Angabe der gerichtsfesten Anschrift („ladungsfähige Anschrift“) enthält das Urteil die Aussage, dass das Recht aus Artikel 15 der DSGVO auch vorsehe, dass die „Informationen möglichst genau sein müssen“.
Auswirkungen für die Praxis und Tipps
Was auf den ersten Blick als Randnotiz aus Luxemburg erscheint, entpuppt sich auf Unternehmensseite nicht selten als handfeste Herausforderung. Müssen alle Empfänger genannt werden, so muss erst einmal zusammengetragen werden, welchen anderen Unternehmen tatsächlich personenbezogene Daten übermittelt werden.
Hilfreich ist dabei das Verzeichnis von Verarbeitungstätigkeiten, dass nahezu alle Unternehmen in der EU und somit auch in Deutschland gemäß Artikel 30 Absatz 1 der DSGVO führen müssen. Liegt das Verzeichnis in korrekter Form vor, so lassen sich die Empfänger, die mitgeteilt werden müssen, mühelos in das Muster für das Antwortschreiben kopieren. Nur liegt die Crux im Detail: Welches Verzeichnis ist schon immer auf dem aktuellsten Stand, wenn eine Auskunftsanfrage eingeht?
Auf einem ganz anderen Blatt steht es aber, ob Unternehmen auch Auftragsverarbeiter oder gar auch deren Auftragsverarbeiter (so genannte „Unterauftragsverarbeiter“) in einer Auskunftsfrage nennen müssen. Der Frage widmet sich die nächste News auf unserer Homepage.