Datenschutzpflichten für Unternehmen verschärft
EuGH konkretisiert Umfang des DSGVO-Auskunftsrechts
Da Auskunftsersuchen binnen vier Wochen beantwortet werden müssen, empfiehlt es sich, die erforderlichen Informationen zu den Empfängern nicht erst anlässlich eines konkreten Auskunftsersuchens zu beschaffen
In seinem Urteil hat der Europäische Gerichtshof (EuGH) geklärt, inwieweit Verbrauchern ein Auskunftsrecht zu von Unternehmen verarbeiteten Daten nach der DSGVO zusteht. Konkret betraf dies die Frage, ob ein Unternehmen die genauen Kontaktdaten offenlegen muss, an die es die Daten des Betroffenen weitergegeben hat oder lediglich eine Kategorie, wie zum Beispiel NGO, IT-Unternehmen oder ähnliches ausreicht. Das Gericht sprach dem Betroffenen ein umfassendes Auskunftsrecht zu, das auch konkrete Angaben zu den einzelnen Empfängern umfasst. Nur wenn es (noch) nicht möglich ist, diese Empfänger zu identifizieren, kann sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen. Dies ist ebenfalls der Fall, wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist.
Dr. Anna Lena Füllsack, Rechtsanwältin bei der internationalen Wirtschaftskanzlei CMS Deutschland kommentiert das Urteil:
"Mit seiner Entscheidung hat der EuGH wieder einmal die datenschutzrechtlichen Pflichten für Unternehmen verschärft. Verantwortliche müssen bei der Beantwortung eines Auskunftsersuchens nunmehr jeden einzelnen Empfänger offengelegen. Kommen Unternehmen dieser spezifischen Auskunftspflicht nicht nach, können neben Bußgeldern der Aufsichtsbehörden insbesondere Schadensersatzklagen von Betroffenen drohen."
Mit Blick auf Unternehmern, die Kundendaten verarbeiten, erklärt die Rechtsanwältin:
"Da Auskunftsersuchen binnen vier Wochen beantwortet werden müssen, empfiehlt es sich, die erforderlichen Informationen zu den Empfängern nicht erst anlässlich eines konkreten Auskunftsersuchens zu beschaffen. Verantwortliche sollten sich vielmehr losgelöst davon bewusst machen, an welche Empfänger personenbezogene Daten im Einzelnen fließen. Ein detailliertes Verarbeitungsverzeichnis kann dabei eine große Hilfe sein."
Abschließend rät CMS-Anwältin Dr. Füllsack:
"Die Implikationen des Urteils beschränken sich nicht unbedingt nur auf Art. 15 DSGVO. Insbesondere erscheint es mit Blick auf den identischen Wortlaut in Art. 13 Abs. 1 lit. e und 14 Abs. 1 lit. e DSGVO möglich, dass Aufsichtsbehörden und Gerichte zukünftig auch bei Datenschutzhinweisen spezifische Angaben zu sämtlichen Empfängern verlangen. Bislang geben viele Unternehmen hier lediglich die Kategorien von Empfängern an."
(CMS Hasche Sigle: ra)
eingetragen: 25.01.23
Newsletterlauf: 03.04.23
CMS Hasche Sigle: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.