Das Auskunftsersuchen ist eines der bedeutsamsten Betroffenenrechte der Datenschutzgrundverordnung (DSGVO). Die Bearbeitung von Auskunftsanfragen muss daher mit besonderer Sorgfalt erfolgen, da bei einer unterlassenen oder nicht vollständigen Auskunft für den Verantwortlichen ein Bußgeld oder Schadenersatzansprüche drohen können.
Empfänger der Daten
Der Fokus in diesem Beitrag liegt insbesondere auf dem Art. 15 Abs. 1 lit. c) DSGVO. Am 12. Januar 2023 hat der EuGH in seinem Urteil entschieden, dass Verantwortliche Betroffenen die Identität der Empfänger der personenbezogenen Daten mitteilen müssen (EuGH, Urteil vom 12.01.2023, Rechtssache C-154/21). Mit dieser Entscheidung wird der Inhalt der Auskunft deutlich verschärft. Eine bloße Nennung der Kategorien der Empfänger ist nur noch möglich, wenn:
es nicht möglich ist, den Empfänger zu identifizieren, insbesondere wenn diese noch nicht bekannt sind, oderwenn der Verantwortliche nachweisen kann, dass die Anträge offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind.
Bei der Annahme eines Ausnahmefalls ist allerdings Vorsicht geboten. Die in der Entscheidung des EuGH offen gelassene Hintertür für Ausnahmefälle ist nämlich sehr klein.
Die konkrete Benennung und detaillierte Auflistung der Empfänger mit Angaben zur Firma und Anschrift dürfte, für die Unternehmen sicherlich einen gewissen Mehraufwand bedeuten. Jedoch wird vor dem Hintergrund diverser Datenskandale von dem Recht immer mehr Gebrauch gemacht. Auf entsprechendes Auskunftsersuchen sollten daher auch entsprechende Vorbereitungen geschaffen werden.
Praktischer Umgang mit dem Recht auf Auskunft Teil 1 - 3
In unseren Miniserien über den praktischen Umgang mit dem Recht auf Auskunft erhalten Sie alle wesentlichen Informationen, die bei der Bearbeitung von Auskunftsanfragen zu beachten sind.
Wichtig ist dabei zunächst, dass die Auskunft nur an die Person erteilt werden darf, deren personenbezogene Daten verarbeitet werden. Hat der Verantwortliche gem. Art. 12 Abs. 6 DSGVO „begründete Zweifel an der Identität“ des Antragstellers, so kann er „zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind“. Welche Maßnahmen der Verantwortliche zur Identifizierung des Antragstellers treffen muss, können Sie in unserer „Miniserie über den praktischen Umgang mit dem Recht auf Auskunft – Teil 1“ nachlesen.
Die Reichweite einer Auskunft nach Art. 15 DSGVO und die zu beauskunfteten Informationen sind in unserer „Miniserie über den praktischen Umgang mit dem Recht auf Auskunft – Teil 2“ zusammenfasst.
In Teil 3 der Miniserie erhalten Sie Informationen über die Formerfordernisse und Fristen sowie Folgen bei Verstößen gegen die Auskunftspflicht.
Fazit
Ein wichtiges Urteil, welches bei dem Artikel Art. 15 Abs. 1 lit. c) DSGVO mehr Klarheit bringt aber auch eventuelle Mehraufwände bei den Verantwortlichen. Lesen Sie alle wichtigen Informationen für Auskunftsbegehren auch in unseren Miniserien.
Autorin: Cansu Muti