EuGH zum Umfang des Auskunftsanspruchs nach Art. 15 DSGVO

Art. 15 DSGVO gibt betroffenen Personen ein Auskunftsrecht über sie betreffende personenbezogene Daten. Der Umfang dieses Auskunftsrechts wirft jedoch eine Reihe von Fragen auf, die zu Unsicherheiten in der Praxis führen. Mehr Klarheit hat nun der EuGH mit seiner Entscheidung vom 12.01.2023 in der Rechtssache C-154/21 gebracht.

Frage war, ob sich das Auskunftsrecht auf die konkrete Identität der Datenempfänger erstreckt oder eine Mitteilung der Kategorien der Empfänger (zum Beispiel „Dienstleister“) bereits ausreicht, um den Auskunftsanspruch nach Art. 15 Abs. 1 lit. c DSGVO zu erfüllen.

Der EuGH entschied, dass der Verantwortliche verpflichtet ist, der betroffenen Person die Identität des Empfängers mitzuteilen, wenn sie betreffende personenbezogene Daten offengelegt worden sind oder noch offengelegt werden.

Ausnahmsweise genügt die Mitteilung der Empfängerkategorie dann, wenn eine Identifikation der Empfänger nicht möglich ist oder der Verantwortliche nachweist, dass die Auskunftsanträge der betroffenen Person „offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO“ sind.

Zusammenfassend ist festzuhalten, dass die Entscheidung die Rechte Einzelner zwar stärkt, für Unternehmen aber wahrscheinlich zu einer zusätzlichen Belastung führt, da sie künftig eben nicht nur zur Mitteilung von Empfängerkategorien verpflichtet sind, sondern einzelner Identitäten.

Thomas Haschert Mag. iur., Fachanwalt für Arbeitsrecht, Fachanwalt für internationales Wirtschaftsrecht, Datschutzauditor, Datenschutzbeauftragter der Kanzlei