Konkrete Empfänger statt austauschbarer Kategorien
Bezeichnungen wie Werbepartner, Dienstleister oder verbundene Unternehmen lassen häufig offen, wer die Daten tatsächlich erhalten hat. Für die Kontrolle einer konkreten Verarbeitung kann aber gerade diese Identität entscheidend sein. Die Empfängerauskunft ist deshalb von einer allgemeinen Datenschutzerklärung zu unterscheiden. Eine solche Erklärung beschreibt typischerweise Datenverarbeitungen im Voraus. Der individuelle Auskunftsanspruch betrifft dagegen die Verarbeitung der eigenen Daten und die gesetzlich vorgesehenen Zusatzinformationen.
Das Urteil Österreichische Post
Am 12. Januar 2023 entschied der EuGH in der Rechtssache C-154/21 über die Reichweite der Empfängerinformation. Nach dem hier zitierten Tenor ist die konkrete Identität grundsätzlich mitzuteilen, wenn Daten gegenüber Empfängern offengelegt wurden oder noch offengelegt werden. Die Formulierung Empfänger oder Kategorien eröffnet dem Verantwortlichen damit kein beliebiges Wahlrecht, stets die unbestimmtere Variante zu wählen. Das Gericht begründet den Anspruch insbesondere mit der wirksamen Kontrolle und Durchsetzung weiterer Datenschutzrechte. Die individuelle Auskunft darf nicht auf eine für diesen Zweck unbrauchbare abstrakte Beschreibung reduziert werden.
Wann Kategorien ausnahmsweise genügen können
Ist die Identifizierung der Empfänger nicht möglich, kann nach dem Urteil eine Mitteilung der Kategorien genügen. Entsprechendes gilt, wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv im gesetzlichen Sinn ist. Diese Ausnahmen müssen anhand der konkreten Situation geprüft werden. Eine pauschale Behauptung, die Nennung einzelner Unternehmen sei zu aufwendig, ist nicht automatisch mit rechtlicher Unmöglichkeit gleichzusetzen. Umgekehrt kann bei noch nicht feststehenden künftigen Empfängern keine beliebige Namensliste erfunden werden. Die Antwort muss verständlich erkennen lassen, was tatsächlich bekannt ist.
Ein Beispiel aus dem Adresshandel
Eine Kundin erfährt, dass ihre Adresse zu Werbezwecken weitergegeben wurde. Sie fragt den ursprünglichen Anbieter, an welche konkreten Unternehmen ihre Daten übermittelt wurden. Eine Antwort mit ausschließlich Marketingpartner kann die nach dem Urteil geschuldete Empfängerauskunft verfehlen. Ob die Weitergabe rechtmäßig war, ist anschließend eine weitere Frage. Die Auskunft macht die Datenflüsse zunächst überprüfbar. Das Beispiel begründet keinen automatischen Schadensersatz: Dafür müssten die gesonderten Voraussetzungen vorliegen. Ein Auskunftsrecht und ein möglicher Zahlungsanspruch dürfen daher nicht allein wegen derselben Datenweitergabe gleichgesetzt werden.
Interne Beschäftigte gesondert einordnen
Nicht jede Person, die innerhalb eines Unternehmens weisungsgemäß Daten abfragt, ist deshalb in gleicher Weise als externer Empfänger zu behandeln. Die Identität interner Beschäftigter und Angaben über Zeitpunkt und Zweck ihrer Zugriffe werfen eigene Fragen auf. Die Empfängerentscheidung darf daher nicht pauschal als Anspruch auf die Namensliste sämtlicher beteiligter Mitarbeiter verstanden werden. Entscheidend sind die datenschutzrechtliche Rolle und der konkrete Vorgang. Bei einer Anfrage hilft es, tatsächliche Übermittlungen an andere Stellen von internen Verarbeitungsschritten getrennt zu benennen, damit die Antwort nicht unterschiedliche Rechtsfragen vermischt.
Welche weiteren Rechte die Auskunft unterstützt
Wer die Empfänger kennt, kann eine unrichtige Weitergabe gezielter überprüfen und gegebenenfalls Berichtigung, Löschung oder Einschränkung verlangen. Auch die Prüfung eines Widerspruchs oder eines gerichtlichen Rechtsbehelfs kann dadurch erleichtert werden. Daraus folgt jedoch nicht, dass jeder Empfänger automatisch alle Daten löschen muss. Aufbewahrungspflichten, Rechtsgrundlagen und der jeweilige Anspruch bleiben gesondert zu untersuchen. Die Auskunft liefert eine Tatsachengrundlage. Ein nachvollziehbarer Datenfluss ist besonders wichtig, wenn mehrere Unternehmen beteiligt sind und eine betroffene Person sonst nicht erkennen kann, woher eine unerwartete Verarbeitung stammt.
Eine konkrete Anfrage und Antwort dokumentieren
Sinnvoll ist die ausdrückliche Bitte, die tatsächlich erfolgten beziehungsweise vorgesehenen Offenlegungen eigener Daten mit den konkreten Empfängern zu erläutern. Eingang, Antwort und etwaige Ausnahmen sollten aufbewahrt werden. Artikel 12 DSGVO enthält die einschlägigen Kommunikations- und Fristregeln. Eine unvollständige Antwort lässt sich präziser beanstanden, wenn benannt wird, welche konkrete Empfängerinformation fehlt. Unnötige fremde Daten sollten dafür nicht mitgeschickt werden. Bei verbleibenden Streitpunkten kommen die datenschutzrechtlichen Beschwerde- und Rechtsbehelfswege in Betracht; sie ersetzen nicht die sachliche Aufklärung des tatsächlich betroffenen Verarbeitungsvorgangs.