Unternehmen müssen Datenweitergabe an Dritte offenlegen

Auf Unternehmen kommen neue datenschutzrechtliche Pflichten zu. Künftig hat Jede:r hat das Recht zu erfahren, an wen seine personenbezogenen Daten weitergegeben wurden. Der für die Datenverarbeitung Verantwortliche kann sich jedoch darauf beschränken, nur die Empfängerkategorien mitzuteilen, wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn der Antrag offenkundig unbegründet oder exzessiv ist. Das hat der Europäische Gerichtshof in Luxemburg entschieden.

Klage gegen die Österreichische Post

Hintergrund ist die Klage eines Bürgers, der von der Österreichischen Post Auskunft darüber verlangt hatte, gegenüber welchen Empfängern sie seine personenbezogenen Daten offengelegt habe. Zunächst hatte der Post- und Logistdienstleister erklärt, man verwende personenbezogene Daten, soweit das rechtlich zulässig sei, im Rahmen der Tätigkeit als Herausgeberin von Telefonbüchern und biete diese Daten Geschäftskunden für Marketingzwecke an. Im Lauf des gerichtlichen Verfahrens kam zudem heraus, dass die Daten an Kunden weitergegeben wurden zum Beispiel an werbetreibende Unternehmen im Versandhandel und stationären Handel.

Im Streit ging es darum, ob die konkrete Identität der Empfänger oder nur die Kategorien von Empfängern mitteilt werden muss. Der Gerichtshof hat nun entschieden, dass  die Identität der Empfänger mitzuteilen ist. Nur wenn es (noch) nicht möglich ist, diese Empfänger zu identifizieren, kann sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen. Dieses Auskunftsrecht sei erforderlich, um es den Betroffenen zu ermöglichen, die anderen Rechte auszuüben, die ihnen gemäß der DSGVO zukommen, nämlich das Recht auf Berichtigung, das Recht auf Löschung („Recht auf Vergessenwerden“), das Recht auf Einschränkung der Verarbeitung, das Recht auf Widerspruch gegen die Verarbeitung oder auch das Recht auf einen Rechtsbehelf im Schadensfall.