Werden personenbezogene Daten offengelegt, dann muss der Verantwortliche über die konkrete Identität des Empfängers Auskunft erteilen, so die Auffassung des EuGHs. Die Entscheidung stärkt die Betroffenenrechte, für Unternehmen oder Einrichtungen bedeutet sie jedoch erheblichen Mehraufwand.

Das Auskunftsrecht gem. Art. 15 DS-GVO ist das mit Abstand relevanteste Betroffenenrecht, da jeder das Recht hat zu erfahren, an wen seine personenbezogenen Daten weitergegeben werden.

Zu der damit in Zusammenhang stehenden Frage, ob die betroffene Person für den Fall, dass ihre Daten gegenüber Dritten offengelegt werden, Auskunft über die konkreten Empfänger ihrer Daten verlangen kann, hat der Europäische Gerichtshof (EuGH) nun entschieden (Urt. v. 12.01.2023 - Rs. C-154/21).

Nach Ansicht des EuGHs hat der für die Datenverarbeitung Verantwortliche dabei grundsätzlich auf Anfrage des Betroffenen die konkrete Identität des Empfängers der offengelegten Daten mitzuteilen. Lediglich dann, wenn der Empfänger (noch) nicht identifiziert werden kann oder der Antrag offenkundig unbegründet oder exzessiv ist, kann sich die Mitteilung auf die Kategorien der Empfänger beschränken.

Die Entscheidung betraf die Auslegung des Art. 15 Abs. 1 lit. c DS-GVO, der wortgleich auch in § 17 Abs. 1 lit c) KDG enthalten ist. Der Wortlaut dieser Vorschrift ist nicht eindeutig und lässt unterschiedliche Interpretationen zu:

„…die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen…“

Danach bleibt offen, ob die betroffene Person Auskunft zu den konkreten Empfängern verlangen kann oder ob die Konkretisierung im Ermessen des Verantwortlichen liegt.

Beide Alternativen stehen sprachlich äquivalent nebeneinander. Der Wortlaut der Vorschrift hilft mithin nicht weiter.

Das Auskunftsrechts hat für betroffene Personen eine erhebliche Bedeutung, da die Informationen, die sie erhält, die Basis bilden können, um möglicherweise weitere Betroffenenrechte wie z.B. das Recht auf Berichtigung nach § 18 KDG (Art. 16 DS-GVO) oder das Recht auf Löschung nach § 19 KDG (Art. 17 DS-GVO) geltend zu machen. Nur beim Vorliegen vollständiger Informationen, welche Daten zu welchen Zwecken verarbeitet werden, ist eine Prüfung möglich, ob die Verarbeitung korrekt erfolgt oder ob längst eine Löschung der Daten hätte erfolgt sein müssen.

Die Entscheidung des EuGHs sorgt für Klarheit und für Rechtssicherheit. Die Konturen des Auskunftsanspruchs werden somit weiter geschärft. Die Entscheidung bedeutet jedoch gewissen Mehraufwand im Rahmen der Beantwortung von datenschutzrechtlichen Auskunftsanfragen, da die konkrete Identität eines jeden Empfängers mitgeteilt werden muss. Entscheidend ist jedoch, dass auf der anderen Seite die Rechte von betroffenen Personen weiter erheblich gestärkt werden.

Umso mehr gilt der Rat: Die Beantwortung von Auskunftsersuchen und anderen datenschutzrechtlichen Begehren sollte daher stets mit dem Datenschutzbeauftragten abgestimmt werden.