Werden personenbezogene Daten verarbeitet, haben betroffene Personen nach Art. 15 Abs. 1 DSGVO ein Auskunftsrecht auch über die „Empfänger oder Kategorien von Empfängern“ der Daten. Wie genau die Empfänger benannt werden müssen, hat nun der EuGH konkretisiert.
In seinem Urteil vom 12.01.2023 (Rs. C-154/21 – Österreichische Post) spricht der EuGH Klartext:
Im Rahmen einer Auskunft nach Art. 15 DSGVO müssen der betroffenen Person möglichst genaue Informationen übermittelt werden. Dies bedeutet auch, dass wenn tatsächlich möglich, die konkrete Identität von Empfängern von Daten mitzuteilen ist.
Kann also benannt werden, wer Daten empfangen hat, dürfen nicht nur Kategorien von Empfängern („Druckdienstleister“, „IT-Support“) angegeben werden. Solche Kategorien dürfen damit in der Regel nur noch in Bezug auf künftige Empfänger ausreichen, von Sondersituationen abgesehen.
Der EuGH benennt hier eine konkrete Option: Die Angabe der Identität der Empfänger muss auch dann nicht erfolgen, wenn Rechte anderer dadurch verletzt würden oder der Auskunftsantrag exzessiv oder offensichtlich unbegründet ist.
Der EuGH folgt damit den Schlussanträgen des Generalanwaltes aus dem Sommer 2022; über diese hatten wir in unserem Newsletter von Juni 2022 ausführlich berichtet.