§ 6 Rechte des Betroffenen / c) Empfänger oder Kategorien von Empfängern

Rz. 11

Nach Art. 15 Abs. 1 lit c) DSGVO hat sich der "allgemeine Teil" der Auskunft zudem auf die Empfänger oder Kategorien von Empfängern personenbezogener Daten zu erstrecken. Die Die Auskunftspflicht umfasst damit sämtliche Empfänger, denen zum Zeitpunkt des Auskunftsersuchens der betroffenen Person Daten bereits übermittelt oder sonst offengelegt wurden. Diese sind namentlich zu benennen. Um dem Betroffenen die Kontrolle der Datenverarbeitung insbesondere durch Dritte zu erlauben, hat sich die Auskunft nicht nur auf die Angabe des Namens der Empfänger, sondern darüber hinaus auch auf die Angabe ihrer ladungsfähigen Anschrift zu erstrecken. Da ein Auskunftsverlangen grundsätzlich auch elektronisch an den Verantwortlichen gerichtet werden kann, kann es im Betroffeneninteresse ratsam sein (soweit bekannt) auch über die Möglichkeit der elektronischen Kontaktaufnahme mit dem Empfänger zu informieren (bspw. über die Angabe einer E-Mail-Adresse). Dies ist jedoch kein Auskunftsbestandteil, der vom Verantwortlichen verlangt werden könne und dessen Nichtvorhandensein eine unvollständige Auskunft bedeuten würde. Wer hier "best in class" agieren will, kann die Auskunft gleichwohl auch auf diese Information erstrecken.

Rz. 12

Entsprechend der Rechtsprechung des EuGH^[8] erstreckt sich das Auskunftsrecht im Hinblick auf die Empfänger personenbezogener Daten nicht nur auf die Gegenwart, sondern auch auf die Vergangenheit.^[9] Aus Art. 15 Abs. 1 lit. c) ist eine Verpflichtung des Verantwortlichen zur Speicherung von Informationen zu Empfängern von personenbezogenen Daten und eine hierauf bezogene Aufbewahrungspflicht des Verantwortlichen über die Empfänger oder Kategorien der Empfänger der Daten abzuleiten. Die Aufbewahrungspflicht des Verantwortlichen kann sich insoweit an der Aufbewahrungspflicht der Basisdaten über den Betroffenen orientieren.^[10] Zu beachten ist jedoch, dass die Aufbewahrungspflicht auch den Verantwortlichen nicht "über Gebühr belasten" darf.^[11] Die Dauer ihrer Aufbewahrung, kann daher variieren. Der EuGH^[12] führt aus:

Zitat

"Ist die Dauer der Aufbewahrung der Basisdaten sehr lang, kann das Interesse der betroffenen Person an der Geltendmachung der Auskunftsrechte in bestimmten Fällen nachlassen. Sind z.B. die Empfänger solcher Daten zahlreich oder ist die Frequenz der Übermittlungen an eine geringere Zahl von Empfängern hoch, könnte die Pflicht, die Information über die Empfänger oder Kategorien der Empfänger sowie über den Inhalt der übermittelten Daten genauso lange aufzubewahren, den für die Verarbeitung Verantwortlichen über Gebühr belasten."

Die Aufbewahrung der Empfängerdaten für den Zeitraum von lediglich einem Jahr ist unter Berücksichtigung der Verantwortlicheninteressen zu kurz. Die Kosten für Massenspeicher werden immer geringer, sodass eine Aufbewahrung über einen Mindestzeitraum von jedenfalls fünf Jahren erwartet werden kann.

Rz. 13

Die Auskunft über die Empfänger von Daten bezieht sich zudem auf den genauen Inhalt der den Empfängern übermittelten oder in sonstiger Weise offengelegten Informationen.^[13] Dies schließt eine Information über die von einer Übermittlung oder Offenlegung konkret betroffenen Daten mit ein. Ob diese im Rahmen des "allgemeinen Teils" der Auskunft erfolgen muss oder in den "besonderen Teil" verschoben werden kann, ist fraglich. Nach hier vertretener Ansicht ist letzteres zutreffend, um die Funktion des "allgemeinen Teils", dem Betroffenen einen schnellen Überblick zu verschaffen, nicht ins Leere laufen zu lassen. Dies wäre insbesondere der Fall, wenn zahlreichen Empfängern jeweils zahlreiche und unter Umständen sogar noch unterschiedliche Informationen übermittelt oder offengelegt wurden.

Soweit konkrete Empfänger nicht oder nicht benannt werden können, sind die Kategorien möglicher Empfänger (siehe § 4 Rdn 357) zu benennen. Dies wird vor allem auch bei Internet-(Bewertungs)-Portalen der gangbare Weg sein, die in der Regel nur die "Interessenten" ihres Angebotes clustern, diese jedoch nicht auf konkrete Empfänger herunterbrechen können. Ein Arzt-Bewertungs-Portal, müsste einem Arzt daher bspw., "Patientinnen und Patienten" oder "an einer Behandlung interessierte Patientinnen oder Patienten" oder "Patienten auf der Suche nach Ärzten in der Stadt in der der anfragende tätig ist", mitteilen.

[8] EuGH, Urt. v. 7 5.2009, C-553/07 – College van burgemeester en wethouders van Rotterdam/ M. E. E. Rijkeboer = EuZW 2009, 546, zum Auskunftsrecht des Betroffenen in der Datenschutzrichtlinie.

[9] Der EuGH (Fn 1019, Rz. 43) führt insoweit aus: "Hierzu ist festzustellen, dass das betreffende [Auskunfts-]Recht […] zwingend für die Vergangenheit gelten muss. Denn andernfalls wäre die betroffene Person weder in der Lage, wirksam ihr Recht auf Veranlassung der Berichtigung, Löschung oder Sperrung von Daten wahrzunehmen, die ihrer Ansicht nach unbefugt verarbeitet wurden oder falsch sind, noch, einen gerichtlichen Rechtsbehelf einzulegen und Schadensersatz zu erlangen." Hieran ist auch f...