Bei der Information Betroffener sind nach Art. 13 Abs. 1 lit. e DSGVO die Empfänger der personenbezogenen Daten anzugeben. Die gleiche Verpflichtung trifft Verantwortliche im Rahmen der Beantwortung einer Auskunft, Art. 15 Abs. 1 lit. c DSGVO. Stattdessen soll nach dem Wortlaut der Verordnung auch die Möglichkeit bestehen, nur die Kategorien von Empfängern anzugeben.

So viel zur Theorie. Was aber sind denn nun Empfänger? In welchen Fällen müssen diese konkret bezeichnet werden? Wann reicht die Angabe der Kategorie aus? Diese Fragen möchte ich im Folgenden beantworten:

Wer ist Empfänger?

Empfänger sind nach Art. 4 Nr. 9 S. 1 DSGVO alle Stellen, denen personenbezogene Daten offengelegt werden. Hierunter können Dienstleister, Auftragsverarbeiter, Kooperationspartner, und ggfs. auch gemeinsam für die Datenverarbeitung Verantwortliche gehören.

Wenn Sie also zum Beispiel Daten Ihrer Mitarbeiter auch gegenüber ihrem Steuerberater offenlegen, dann ist dieser in den Datenschutzhinweisen und bei einer entsprechenden Auskunft auch mitzuteilen.

Nach bisher überwiegender Auffassung sind interne Übermittlungen an Stellen innerhalb eines Verantwortlichen (wie Personalstelle oder Rechtsabteilung) nicht als Empfänger mitzuteilen.

Reicht die Angabe einer Kategorie?

Ein in der Praxis häufig anzutreffender Wunsch ist, den konkreten Dienstleister nicht nach außen mitzuteilen. Statt Steuerberater Müller könnte in den Hinweisen dann nur stehen: Wir haben einen Steuerberater beauftragt.

Der Wortlaut „oder“ im Text der Verordnung suggeriert ein Wahlrecht, dessen Existenz jedoch umstritten ist.

Benennung der Empfänger

Einer vorwiegend in der Literatur vertretene Auffassung nach, sind die konkreten Empfänger zu benennen, wenn sie bei der Datenerhebung absehbar sind.

Das Amtsgericht Wertheim sieht einen Verstoß gegen das Transparenzgebot in der beispielhaften Nennung von Empfängern („z.B.“). Hier sei nicht klar, ob eine Übermittlung an den so bezeichneten Empfänger stattgefunden habe oder nicht. Erforderlich sei auch die konkrete Benennung des Datums, nicht lediglich die der Datenart (AG Wertheim, Beschluss vom 12.12.2019, Aktenzeichen: 1 C 66/19).

Der Landesbeauftragte für den Datenschutz Baden-Württemberg fordert, Empfänger von Daten konkret zu bezeichnen. Das bloße Nennen von Kategorien ( z.B. Autohäuser, Wirtschaftsauskunfteien, Online-Händler) helfe dem Betroffenen nicht weiter (Datenschutz-Tätigkeitsbericht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg 2019, abrufbar unter S. 26).

Angabe nur der Kategorie

Anderer Auffassung nach, soll die Angabe nur der Kategorie bei der Benennung der Empfänger ausreichen.

Als eines der ersten Gerichte hat sich das Amtsgericht Seligenstadt nun mit der Frage beschäftigt. Das Gericht sieht keine Pflicht, die konkreten Personen oder Stellen mitzuteilen, denen gegenüber Daten weitergeleitet wurden. Konkret ging es um die Informationen, welche Art der Datenträger und etwaige Cloudspeicher genutzt wurden. Nach Auffassung des Gerichts besteht gerade keine Verpflichtung, auch die Verarbeitungsmittel darzulegen. Insoweit ist es ausreichend, Kategorien von Drittempfängern zu nennen. Dabei argumentiert es mit dem Wortlaut. Nach Art. 15 Abs. 1 lit. c DSGVO hat der Verantwortliche gerade die Wahl zwischen der Nennung von Kategorien oder konkreten Empfängern (AG Seligenstadt, Urteil vom 23.06.2020 , Aktenzeichen 1 C 7/19 (3).

Fazit

Auch wenn der Wortlaut ein Wahlrecht suggeriert, sollte die weitere Rechtsprechung zu diesem Thema abgewartet werden. Datenschutzhinweise und Auskünfte sind Ausfluss des Transparenz-Grundsatzes aus Art. 5 DSGVO. Ich empfehle daher, auch künftig die konkreten Empfänger zu benennen, wenn sie für eine gewisse Zeit feststehen.

Rechtsanwalt Robert Harzewski