Das Auskunftsrecht Art. 15 DSGVO konkrete Datenempfaenger steht im Mittelpunkt des EuGH-Urteils vom 12. Januar 2023. Der Europäische Gerichtshof stellt klar, dass betroffene Personen nicht nur Empfängerkategorien, sondern die tatsächlichen Empfänger ihrer personenbezogenen Daten verlangen dürfen. Mit dem EuGH-Urteil vom 12. Januar 2023 zum Auskunftsrecht nach Art. 15 DSGVO rückt eines der zentralen Betroffenenrechte der Datenschutz-Grundverordnung stärker in den Fokus. Der Auskunftsanspruch gemäß Art. 15 DSGVO – insbesondere das Recht auf Auskunft über konkrete Datenempfaenger – entwickelt sich zunehmend zum juristischen Instrument im Arbeitsverhältnis und darüber hinaus. Damit verschärft der EuGH die Anforderungen an Unternehmen erheblich: Verantwortliche müssen künftig in der Lage sein, konkrete Datenempfaenger DSGVO-konform zu benennen, Prozesse zu dokumentieren und transparente Auskünfte zu erteilen. Das Urteil bestätigt: Das Auskunftsrecht ist kein formaler Anspruch, sondern ein wesentliches Kontrollrecht innerhalb der DSGVO-Compliance.
Hintergrund des EuGH-Urteils zum Auskunftsrecht nach Art. 15 DSGVO
Bislang bestand weitgehende Unsicherheit darüber, ob Unternehmen im Rahmen des Auskunftsrechts gem. Art. 15 DSGVO durch Betroffene nur die Kategorien der Empfänger mitteilen müssen – etwa „Marketingunternehmen“ oder „Adressverlage“ – oder ob sie die Namen und Adressen jeder einzelnen Organisation oder Person offenlegen müssen, an die sie personenbezogene Daten weitergegeben haben. Im EuGH-Urteil zum Auskunftsrecht wurde nun zugunsten der betroffenen Personen entschieden und ein klares Recht auf konkrete Empfängerinformationen gem. Art. 15 DSGVO, sofern diese bekannt und identifizierbar sind, bejaht.
Dieses EuGH-Urteil zum Auskunftsrecht hat nicht nur erhebliche Auswirkungen auf die Praxis der Datenverarbeitung und die Einhaltung von Compliance-Anforderungen nach der DSGVO, sondern zwingt Verantwortliche dazu, ihre internen Prozesse und Dokumentationen neu zu überdenken. Unternehmen müssen künftig ein Empfängerverzeichnis führen, um jederzeit dem Auskunftsrecht gem. Art. 15 DSGVO nachkommen zu können. Der Transparenzgrundsatz (Art. 5 Abs. 1 lit. a DSGVO) wird mit dem EuGH-Urteil gestärkt – gleichzeitig wachsen jedoch die DSGVO-Compliance-Pflichten.
Der Fall Österreichische Post AG vor dem EuGH: Auskunft über konkrete Empfänger personenbezogener Daten
Der Anlass für das EuGH-Urteil zum Auskunftsrecht war ein Rechtsstreit zwischen einem österreichischen Bürger (Kläger „RW“) und der Österreichischen Post AG, einem der größten Post- und Logistikunternehmen des Landes. Der Kläger forderte gemäß Art. 15 DSGVO die Geltendmachung seines Auskunftsrechts. Konkret verlangte er eine umfassende Auskunft über die bei der Österreichischen Post gespeicherten und verarbeiteten personenbezogenen Daten – insbesondere, an wen diese Daten weitergegeben wurden.
Reaktion der Österreichischen Post bezüglich des Auskunftsrechts auf konkrete Datenempfaenger nach Art. 15 DSGVO
Die Antwort der Post auf die Geltendmachung des Auskunftsrechts aus Art. 15 DSGVO blieb vage. Man teilte mit, dass personenbezogene Daten im Rahmen der Tätigkeit als Herausgeberin von Telefonbüchern sowie zu Marketingzwecken an Geschäftskunden weitergegeben würden. Wer diese Kunden konkret waren, wurde nicht genannt. Stattdessen verwies man auf eine Website mit allgemeinen Informationen. Erst später – während des gerichtlichen Verfahrens – gab die Post an, dass zu den Datenempfaengern unter anderem werbetreibende Unternehmen, IT-Firmen, Adressverlage, Spendenorganisationen, NGOs und politische Parteien gehörten.
Das reichte dem Kläger zur Geltendmachung des Auskunftsrechts gem. Art. 15 DSGVO nicht. Er wollte wissen, wer genau seine Daten erhalten hatte. Während die ersten beiden Instanzen in Österreich dies ablehnten und der Post ein Wahlrecht einräumten, ob sie konkrete Namen oder nur Kategorien nennt, legte der Oberste Gerichtshof (OGH) die Frage dem EuGH zur Vorabentscheidung vor. Ziel war es, zu klären, ob es dem Verantwortlichen freisteht, zwischen konkreten Empfängern und Empfängerkategorien zu wählen – oder ob Betroffene auf Wunsch immer Anspruch auf die individuelle Offenlegung haben. Es ging somit um die konkrete Auslegung des Auskunftsrechts nach Art. 15 DSGVO.
Pflicht zur Nennung konkreter Datenempfaenger nach Art. 15 DSGVO
Der EuGH hat sich in seinem Urteil nicht nur auf den Wortlaut von Art. 15 Abs. 1 lit. c DSGVO gestützt, sondern vor allem eine systematisch-teleologische Auslegung vorgenommen. Zwar lässt der Wortlaut die Wahl zwischen „Empfängern“ oder „Kategorien von Empfängern“ zunächst offen, doch der EuGH betont: Die betroffene Person hat ein Wahlrecht, ob sie die konkreten Empfänger oder nur die Kategorien gemäß dem Auskunftsrecht nach Art. 15 DSGVO erfahren möchte.
Das Auskunftsrecht aus Art. 15 DSGVO & seine Bedeutung für weitere Betroffenenrechte der DSGVO
Besonders hervorgehoben wird der Zusammenhang des Auskunftsrechts aus Art. 15 DSGVO mit anderen Datenschutzrechten: Die Kenntnis der konkreten Empfänger ist notwendig, damit Betroffene ihre Rechte wie das Recht auf Berichtigung (Art. 16 DSGVO), das Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO), das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und das Widerspruchsrecht (Art. 21 DSGVO) effektiv ausüben können. Auch mögliche Schadensersatzansprüche (Art. 82 DSGVO) können nur geltend gemacht werden, wenn die Datenempfaenger bekannt sind.
Ein weiterer Ankerpunkt für das Auskunftsrecht gem. Art. 15 DSGVO ist der Grundsatz der Transparenz (Art. 5 Abs. 1 lit. a DSGVO), der fordert, dass alle Informationen zur Verarbeitung personenbezogener Daten nachvollziehbar, klar und verständlich kommuniziert werden. Hieraus folgert der EuGH, dass eine bloße Angabe von Empfängerkategorien – etwa „NGOs“ oder „IT-Unternehmen“ – nicht ausreicht, wenn konkrete Datenempfaenger bekannt sind.
Der EuGH stellt zudem klar, dass eine Beschränkung auf Kategorien nur in Ausnahmefällen beim Auskunftsrecht gem. Art. 15 DSGVO zulässig ist: wenn die Identität der Empfänger nicht (mehr) bekannt ist oder wenn der Antrag der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO ist. Dabei trägt der Verantwortliche die Beweislast für diese Ausnahmen.
Auswirkungen des EuGH-Urteils auf Unternehmen und Datenschutzpraxis
Mit dem EuGH-Urteil zum Auskunftsrecht aus Art. 15 DSGVO wird deutlich: Verantwortliche Stellen müssen künftig präzise dokumentieren, an wen personenbezogene Daten weitergegeben wurden – und diese Informationen auf Anfrage in konkreter Form mitteilen, um dem Auskunftsrecht aus Art. 15 DSGVO gerecht zu werden. Für Unternehmen bedeutet das eine signifikante Erweiterung ihrer datenschutzrechtlichen Pflichten im Rahmen der DSGVO-Compliance.
In der Praxis kann dies zu umfangreichen organisatorischen und technischen Herausforderungen führen. Unternehmen müssen nun damit beginnen, Empfängerverzeichnisse zu führen, die auch historische Datenübermittlungen nachvollziehbar dokumentieren. Die DSGVO verpflichtet Verantwortliche zwar nach Art. 30 DSGVO lediglich zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten, in dem auch die „Kategorien von Empfängern“ genannt werden – doch das neue EuGH-Urteil setzt de facto höhere Anforderungen an das Auskunftsrecht aus Art. 15 DSGVO.
Datenschutzbeauftragte und Verantwortliche im Unternehmen werden gut beraten sein, ihre Datenflüsse zu analysieren, zu dokumentieren und auf dieser Basis auskunftsfähig zu sein. Das betrifft vor allem Dienstleister, Geschäftspartner, Plattformen oder Werbenetzwerke, die regelmäßig personenbezogene Daten erhalten. Moderne Datenkataloge, automatisierte Audit-Trails oder DSGVO-konforme CRM-Systeme können hier helfen.
Nicht zuletzt birgt das EuGH-Urteil auch rechtliche Risiken im Falle der Nichtbeachtung: Wird dem konkreten Auskunftsrecht nach Art. 15 DSGVO nicht nachgekommen oder nur unvollständig erteilt, kann dies einen Verstoß gegen die DSGVO darstellen und zu Schadensersatzansprüchen oder aufsichtsbehördlichen Maßnahmen führen.
Fazit: EuGH-Urteil stärkt Auskunftsrecht aus Art. 15 DSGVO über konkrete Datenempfaenger
Das EuGH-Urteil stärkt das Auskunftsrecht Art. 15 DSGVO konkrete Datenempfaenger nachhaltig und macht deutlich, dass Transparenz kein bloßer Formalismus ist. Unternehmen sind verpflichtet, konkrete Datenempfaenger nachvollziehbar zu dokumentieren und auf Anfrage offenzulegen, um DSGVO-konform zu handeln. Damit macht der EuGH deutlich, dass Unternehmen im Rahmen des Auskunftsrechts nach Art. 15 DSGVO verpflichtet sind, konkrete Datenempfaenger personenbezogener Daten zu benennen und nicht lediglich abstrakte Empfängerkategorien. Zugleich löst es kontroverse Diskussionen aus – insbesondere aus Sicht von Unternehmen und Datenschutzpraktikern, die in der Umsetzung mit praktischen Problemen konfrontiert sind.
Kritik am EuGH-Urteil zum Auskunftsrecht aus Art. 15 DSGVO
Kritiker bemängeln, dass sich aus dem Wortlaut des Art. 15 Abs. 1 lit. c DSGVO kein zwingender Vorrang der Nennung konkreter Empfänger gegenüber Empfängerkategorien bezüglich des Auskunftsrechts ergebe. Tatsächlich war dies auch lange umstritten. Der EuGH hat mit seinem Urteil jedoch klargestellt, dass das Interesse der betroffenen Person auf effektive Rechtsdurchsetzung des Auskunftsrechts gem. Art. 15 DSGVO – etwa bei der Ausübung von Berichtigung, Löschung oder Widerspruch – Vorrang vor etwaigen Interessen des Verantwortlichen an Geschäftsgeheimnissen hat.
Zukunft des Auskunftsrechts nach Art. 15 DSGVO: Konkrete Empfängerpflichten & offene Fragen für Unternehmen
Offen bleibt, wie weit sich das EuGH-Urteil zum Auskunftsrecht aus Art. 15 DSGVO auf andere Informationspflichten – etwa nach Art. 13 oder 14 DSGVO – übertragen lässt. Auch bleibt unklar, wann ein Antrag als „exzessiv“ oder „offenkundig unbegründet“ gelten kann – ein Interpretationsspielraum, der in der Praxis vermutlich für neue Rechtsstreitigkeiten sorgen wird.
Gleichwohl markiert dieses EuGH-Urteil einen Wendepunkt im europäischen Datenschutzrecht: Es rückt die betroffene Person in den Mittelpunkt und zwingt Unternehmen zu mehr Transparenz und Struktur. Wer sich frühzeitig mit der Umsetzung befasst, kann nicht nur Rechtskonformität sichern, sondern auch Vertrauen bei Kunden, Nutzern und Aufsichtsbehörden aufbauen.
Fragen zum DSGVO-Auskunftsrecht oder weiteren rechtlichen Themen?
Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie dabei, das Auskunftsrecht nach Art. 15 DSGVO, die Offenlegung konkreter Datenempfaenger und Ihre internen Datenschutzprozesse rechtskonform und revisionssicher umzusetzen.
Jetzt Beratung anfordern.
❓ FAQ zum EuGH-Urteil über das Auskunftsrecht gem. Art. 15 DSGVO
Der EuGH hat entschieden, dass konkrete Datenempfaenger für Betroffene offengelegt werden müssen – nicht nur Empfängerkategorien.
Das Urteil zu Art. 15 Abs. 1 lit. c DSGVO verpflichtet Unternehmen daher, bei Auskunftsersuchen die tatsächlichen Empfänger personenbezogener Daten mitzuteilen, sofern diese identifizierbar sind.
Unternehmen müssen künftig konkrete Datenempfaenger dokumentieren und transparent auskunftsfähig sein.
Das EuGH-Urteil verlangt systematische Empfängerverzeichnisse, interne Dokumentation und klare Prozesse für Auskunftserteilungen. Fehlende Transparenz kann zu aufsichtsbehördlichen Maßnahmen oder Schadenersatzansprüchen nach Art. 82 DSGVO führen.
In der Regel müssen keine internen Datenempfaenger bennant werden.
Interne Stellen gelten nicht als „Empfänger“, da sie Teil des Verantwortlichen sind. Eine Auskunftspflicht über interne Weitergaben besteht üblicherweise nicht.
Der EuGH hat hierzu nicht ausdrücklich entschieden; die herrschende Meinung lehnt eine Benennungspflicht interner Empfänger ab.
Ja.
Ein Verantwortlicher darf sich auf Empfängerkategorien beschränken, wenn:
- der Antrag nach Art. 12 Abs. 5 DSGVO offenkundig unbegründet oder exzessiv ist, oder
- die konkreten Empfänger nicht bekannt oder nicht identifizierbar sind.
In allen anderen Fällen ist die Nennung konkreter Empfänger verpflichtend.
Eine zentrale.
Ohne Kenntnis der konkreten Empfänger können Betroffene weitere Rechte wie Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung (Art. 18 DSGVO) oder Widerspruch (Art. 21 DSGVO) nicht wirksam ausüben.
Damit ist das Auskunftsrecht nach Art. 15 DSGVO eine Schlüsselvoraussetzung für die Durchsetzung aller anderen Betroffenenrechte.
Unternehmen sollten:
- ihre Verzeichnisse von Verarbeitungstätigkeiten erweitern
- konkrete Datenempfänger systematisch dokumentieren
- Prozesse für strukturierte Auskunftserteilungen etablieren
- die Datenschutz-Policy und Betroffenenrechteprozesse überarbeiten
- Ihre Mitarbeiter diesbezüglich schulen. Dies ist beispielsweise über unsere DSGVO-Schulung möglich
Ein Unternehmen muss ein Auskunftsersuchen nach Art. 15 DSGVO grundsätzlich innerhalb eines Monats beantworten, einschließlich der Auskunft über konkrete Datenempfaenger, sofern diese personenbezogene Daten erhalten haben. Diese Frist beginnt mit dem Eingang des Antrags bei dem Verantwortlichen. Nur in begründeten Ausnahmefällen – etwa bei besonders komplexen Anfragen – darf die Frist um bis zu zwei weitere Monate verlängert werden. Die betroffene Person ist hierüber jedoch innerhalb der ersten Monatsfrist transparent zu informieren.
Ja, Unternehmen müssen auch frühere bzw. historische konkrete Datenempfaenger offenlegen, sofern diese bekannt oder noch identifizierbar sind. Das EuGH-Urteil zu Art. 15 DSGVO stellt klar, dass das Auskunftsrecht nicht auf aktuelle Empfänger beschränkt ist. Verantwortliche müssen daher ihre Datenweitergaben dokumentieren und in der Lage sein, auch vergangene Übermittlungen nachvollziehbar darzustellen, um dem Auskunftsanspruch vollständig nachzukommen.
Bei einer unvollständigen oder fehlerhaften Auskunft nach Art. 15 DSGVO drohen erhebliche rechtliche Konsequenzen. Dazu zählen aufsichtsbehördliche Maßnahmen, Bußgelder nach Art. 83 DSGVO sowie mögliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO. Zudem kann eine mangelhafte Auskunft als eigenständiger DSGVO-Verstoß gewertet werden und das Risiko weiterer rechtlicher Auseinandersetzungen deutlich erhöhen.
Nein, Unternehmen können die Auskunft nach Art. 15 DSGVO grundsätzlich nicht mit dem Hinweis auf Geschäftsgeheimnisse verweigern. Der EuGH hat klargestellt, dass das effektive Auskunftsrecht der betroffenen Person Vorrang hat. Nur in eng begrenzten Ausnahmefällen, etwa bei offenkundig unbegründeten oder exzessiven Anträgen nach Art. 12 Abs. 5 DSGVO, ist eine Einschränkung zulässig – die Beweislast liegt beim Unternehmen.
Weiterführende Themen
Schrems II Urteil – Folgen für DSGVO Datentransfer
Das Schrems-II-Urteil des EuGH kippt das Privacy Shield und verschärft die Anforderungen an internationale Datentransfers nach der DSGVO. Der Beitrag zeigt, wann Datentransfers in die USA noch zulässig sind, welche Rolle Standardvertragsklauseln spielen und welche Pflichten Unternehmen jetzt erfüllen müssen.
EuGH zur DSGVO: Verarbeitung personenbezogener Daten erfordert aktive Einwilligung
Der Europäische Gerichtshof hat klargestellt: Ohne echte, freiwillige Zustimmung ist die Verarbeitung personenbezogener Daten unzulässig. Vorgekreuzte Kästchen und pauschale Klauseln reichen nicht aus. Warum dieses Urteil für Unternehmen ein Weckruf ist – und wie Sie Ihre Einwilligungsprozesse rechtssicher gestalten sollten. Jetzt weiterlesen!
EuGH-Urteil staerkt Auskunftsrecht nach Art. 15 DSGVO
Der EuGH staerkt das Auskunftsrecht nach Art. 15 DSGVO: Betroffene koennen konkrete Datenempfaenger verlangen – nicht nur Kategorien. Das Urteil hat weitreichende Folgen fuer Unternehmen, Datenschutzprozesse und DSGVO-Compliance. Jetzt informieren.