Information zu den Empfängern personenbezogener Daten

In einem unseren früheren Beiträge gingen wir bereits auf die Mindestangaben einer Datenschutzinformation ein. In diesem Beitrag möchten wir uns aufgrund eines der neuesten EuGH-Urteile nun dem Thema der Information zu den Empfängern personenbezogener Daten zuwenden.

Das EuGH-Urteil

Im EuGH-Urteil vom 04.09.2025 (Rechtssache: C-413/23 P) geht es u. a. um die Übermittlung personenbezogener Daten an eine Wirtschaftsprüfungs- und Beratungsgesellschaft. Vor Übermittlung der Daten nahm der Verantwortliche eine Pseudonymisierung der personenbezogenen Daten vor. In Folge dessen ging der Verantwortliche dann davon aus, dass diese Daten für den Empfänger anonym wären und dieser somit keine personenbezogenen Daten verarbeite. Teil der Klage war es demnach auch, dass die betroffenen Personen in der Datenschutzinformation gem. Art. 13 DSGVO nicht darüber informiert wurden, dass die Wirtschaftsprüfungs- und Beratungsgesellschaft Empfängerin ihrer Daten sei. Hierin sah der EuGH einen Verstoß gegen Art. 13 Abs. 1 lit. e) DSGVO.

Art. 13 Abs. 1 lit. e) DSGVO – Angabe der Empfänger oder Kategorien der Empfänger

Die Datenschutzinformation stellt eine Pflicht des Verantwortlichen dar, die betroffene Person zur Verarbeitung ihrer personenbezogenen Daten zu informieren. Dies hat ein Verantwortlicher umzusetzen, bevor die jeweilige Verarbeitung beginnt. Sofern es nicht anders umsetzbar ist, beispielsweise beim Betrieb einer Website, hat er die Information, in dem Moment, wenn die Verarbeitung beginnt, bereitzustellen. Mit Blick auf die Empfänger von personenbezogenen Daten – so stellte es der EuGH klar – sind diese anzugeben, wenn sie bekannt sind. Sobald ein Verantwortlicher weiß, an welchen Empfänger er personenbezogene Daten übermitteln wird, hat er diesen explizit zu benennen. Es ist also nicht ausreichend, nur die Kategorie von Empfängern zu benennen.

Nur die Kategorie von Empfängern zu nennen ist ausreichend, wenn für einen Verantwortlichen feststeht, dass – wenn wir das betrachtete Urteil als Beispiel heranziehen – dass personenbezogene Daten an eine Wirtschaftsprüfungs- und Beratungsgesellschaft gesendet werden, er aber noch nicht weiß, an welche, da er sich noch nicht für einen oder mehrere Dienstleister entschieden hat.

Handlungsbedarf

Hat ein Verantwortlicher die Angaben zu Datenempfängern bisher also in den bereitgestellten Datenschutzinformationen auf die Empfängerkategorie beschränkt, zeigt dieses Urteil einen ggf. notwendigen Anpassungsbedarf.

Fazit

Dieses Urteil macht auch deutlich, dass solch eine vermeintliche Kleinigkeit in einer Datenschutzinformation schwerwiegende Folgen haben kann. Schließlich ging es hier um ein Verfahren, mit welchem sich der EuGH beschäftigte. Weiterführend kann dies zusätzliche Kosten bei einem Verantwortlichen verursachen, das Vertrauen von Kunden und Geschäftspartnern negativ beeinflussen und generell den Ruf schädigen.

Damit Sie dies vermeiden können, unterstützen wir Sie gern.