Begräbt der EuGH die Kategorien von Empfängern oder doch nicht ganz?

Laurenz Strassemeyer Schriftleitung Datenschutz-Berater

Sehr geehrte Leserinnen und Leser,

das Jahr 2023 ist noch nicht alt und schon meldet sich der EuGH aus Luxemburg mit Pauken und Trompeten. Nun steht es fest, eine betroffene Person hat das Recht, Auskunft über jeden einzelnen Empfänger ihre Daten zu erhalten – jedenfalls dann, wenn die betroffene Person dies verlangt. Und genau hier liegt einer der Knackpunkte der Entscheidung. Muss der Verantwortliche ab sofort bei jedem Auskunftsersuchen von sich aus die einzelnen Empfänger benennen oder muss die betroffene Person das Auskunftsersuchen erst spezifizieren und, solange sie dies nicht getan hat, kann der Verantwortliche weiterhin nur Kategorien nennen? In den Medien schien der Eindruck vermittelt zu werden, als sei der erstgenannte Weg vorgesehen. Aber kann das wirklich sein? Schließlich spricht der EuGH von einem Wahlrecht der betroffenen Person. Ein Wahlrecht muss aber ausgeübt werden, damit es sich in eine bestimmte Richtung konkretisieren kann.

Jedenfalls diskutierten wir in der Redaktion nach der Entscheidungsverkündung lebhaft über diesen Aspekt. Einen eindeutigen Sieger in der Argumentation gab es nicht, vielmehr Sympathie und Verständnis für beide Positionen. Deshalb haben wir uns gedacht, dass es jemanden mit besonderer Sachkenntnis und einer gewissen Unabhängigkeit braucht, der die Entscheidung unter die Lupe nimmt. Mit Dr. Stefan Brink – bis vor kurzem noch geschätzter Datenschutzbeauftragter des Landes Baden-Württemberg – konnten wir so jemanden gewinnen, der in seiner Besprechung die Implikationen von beiden Seiten beleuchtet. So viel möchte ich an dieser Stelle vorwegnehmen: Nach dieser Ausgabe steht es 1:0 zugunsten der Notwendigkeit einer Ausübung des Wahlrechts durch die betroffene Person. Sonst gilt: Kategorien leben fort. Aber lesen Sie selbst S. 57 ff.

Wenn Sie sich nun fragen, warum das überhaupt wichtig ist; wird der Verantwortliche zumeist nicht ohnehin früher oder später die einzelnen Empfänger benennen müssen? Da gebe ich Ihnen natürlich recht, das kann durchaus passieren. Allerdings gibt es hier zwei „Aber“: (i) Ein Zeitgewinn kann manchmal Gold wert sein und die Rettung bedeuten, um innerhalb der Frist im notwendigen Umfang zu beauskunften, insbesondere bei einer großen Masse von Anfragen oder Empfängern. Und (ii) bleibt es abzuwarten, ob die betroffene Person tatsächlich stets eine zweite, spezifizierte Anfrage stellen wird.

Geht man diesen Weg, stellt sich als nächstes die Frage, ob die betroffene Person bei einer abstrakten Anfrage proaktiv darauf hingewiesen werden muss, dass sie Auskunft über die konkreten Empfänger verlangen kann. Auch hier dürften beide Seiten gute Argumente haben. Mein Tipp, gehen Sie dem dezent aus dem Weg: Optimieren Sie Ihre Datenschutzerklärung in dieser Hinsicht, d.h. weisen Sie auf das Wahlrecht und dessen mögliche Ausübung hin, und fügen Sie diese dann der Auskunft bei. Ob die Datenschutzerklärung tatsächlich gelesen wird, bleibt abzuwarten; statistisch dürfte dies häufig nicht der Fall sein. Aber zumindest sind Sie abgesichert.

Daneben wollte manch einer der Entscheidung noch eine ganz andere Schlussfolgerung entnehmen. Angesichts des identischen Wortlauts in Art. 13 Abs. 1 lit. e und Art. 14 Abs. 1 lit. e DSGVO sei es gut möglich, das Ergebnis hierauf zu übertragen. Sind jetzt also zukünftig auch in der Datenschutzerklärung stets die konkreten Empfänger zu benennen? Ich hatte dazu vor einiger Zeit ausführlich in der K&R 2020, 176, 177 ff. geschrieben. Kurz gesagt: Eine Pflicht zur Auflistung konkreter Empfänger habe ich damals für Art. 13 DSGVO nicht gesehen und sehe es auch heute nicht. Im Gegenteil, die Entscheidung des EuGH bestärkt mich in meiner damaligen Auffassung. Derselbe Wortlaut ist nämlich in diesem Fall ein in die Leere laufendes Argument. Der EuGH hat in den Gründen zur Entscheidung selbst ausgeführt, dass der Wortlaut unklar sei und sich daraus nicht ergebe, wie die Informationen zu erteilen seien. Und genau deshalb begründet der EuGH die „neue“ Pflicht in Art. 15 Abs. 1 lit. c DSGVO vor allem mit der Systematik und dem Schutzzweck, welche bei. bei Art. 13 und Art. 14 DSGVO aber gänzlich andere sind. Die Schutzrichtung ist vor allem prospektiv und nicht in erster Linie retrospektiv. Auch handelt es sich bei Art. 13 und Art. 14 DSGVO nicht um ein Recht, sondern um eine originäre Pflicht des Verantwortlichen. Das heißt, hier dürfte ihm als Normadressat das Wahlrecht zustehen. Dies deutet meines Erachtens auch der EuGH in den Entscheidungsgründen selbst an (Rn. 25, 36). Für Datenschutzerklärungen hat sich deshalb nur dahingehend etwas geändert, dass durchaus auf das Wahlrecht hingewiesen werden könnte – aber damit hat es sich auch schon.

Ihr

Laurenz Strassemeyer