In einem Urteil vom 12. Januar 2023 bestätigte der Gerichtshof der Europäischen Union (EUGH), dass der für die Verarbeitung Verantwortliche nicht mehr nur gemäß Artikel 15, Abs. 1, Buchst. c), der DSGVO verpflichtet ist, auf Anfrage der betroffenen Person, Auskunft über die Kategorien der Empfänger, der mit Dritten geteilten Daten, zu übermitteln. Die Anforderungen an für die Verarbeitung von Daten Verantwortliche wurden durch das neue Urteil bedeutend präzisiert.
Nach Auslegung der Datenschutzgrundverordnung (DSGVO) haben betroffene Personen künftig das Recht vom Verantwortlichen ganz konkret zu erfahren, mit wem dieser ihre personenbezogenen Daten tatsächlich geteilt hat, oder insofern diese noch nicht geteilt wurden, in Zukunft teilen wird. Eine Ausnahme besteht nur dann, wenn es aufgrund besonderer Umstände nicht möglich ist die Empfänger zu identifizieren (ein Nachweis durch den Verantwortlichen wird hierbei schwer zu erbringen sein), oder wenn der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv sind.
Dies bedeutet zum Beispiel, dass es für Unternehmen künftig nicht mehr ausreichen wird, in ihrem Verzeichnis der Verarbeitungstätigkeiten, in der Sparte „Empfänger“ von personenbezogenen Daten, Einträge wie zum Beispiel „Lohnbüro“, „Marketingdienstleister“, „Software-Provider“ oder „Personalvermittlungsagentur“ anzugeben.
Für den für die Verarbeitung Verantwortlichen ist es daher äußerst ratsam, eine vollständige und aktuelle Liste der Empfänger personenbezogener Daten zu führen und in der Lage zu sein, diese zur Verfügung zu stellen, sei es im Rahmen des Verzeichnisses der Verarbeitungstätigkeiten oder in einer gesonderten Datei.
Der EuGH stärkt erneut die Rechte der EU-Bürger im Bereich des Datenschutzes (EU-Grundrechtscharta Artikel 8). Diese Präzisierung wird vor allem für rechenschaftspflichtige KMU zu nicht unerheblichem Mehraufwand führen. Gut vorbereitet, werden diese jedoch künftig in der Lage sein schnell, fristgerecht und aussagekräftig auf Anfragen betroffener Personen zu antworten. Eine unvollständige oder unspezifische Antwort auf eine Auskunftsanfrage nach der neuen Rechtsprechung des EuGH kann zu einer Verletzung der DSGVO sowie daraus resultierenden Bußgeldern führen.
Für weitere Informationen steht Ihnen Ihr Neoviaq Team gerne zur Verfügung ip@neoviaq.eu.