Ungefragte Werbeprospekte in der Post und nervige Anrufe aus Callcentern: Viele Verbraucher müssen solche Erfahrungen machen und fragen sich, wie sie gegen die Weitergabe ihrer Daten, insbesondere an professionelle Adresshändler, vorgehen können. Bisher legen die Unternehmen trotz der EU-Datenschutzgrundverordnung (DSGVO) nur selten offen, an wen die Adresse oder Telefonnummer des Kunden weitergereicht worden ist.
Mit einer aktuellen Entscheidung hat der Europäische Gerichtshof (EuGH) die Rechte von Betroffenen immens gestärkt. Demnach hat jeder ein Auskunftsrecht nach Art. 15 DSGVO, an wen personenbezogene Daten weitergegeben wurden. Die Luxemburger Richter verlangen, dass die Unternehmen auf Nachfrage konkrete Angaben zu den Empfängern machen. Nur so können Ansprüche wie die Löschung von Daten und Haftungsansprüche durchgesetzt werden.
Bußgelder und Schadenersatz drohen
Nach Auffassung von Anna Lena Füllsack, Anwältin in der Wirtschaftskanzlei CMS Deutschland , hat der EuGH damit wieder einmal die datenschutzrechtlichen Pflichten für Unternehmen verschärft. „Verantwortliche müssen bei der Beantwortung eines Auskunftsersuchens nunmehr jeden einzelnen Empfänger offenlegen. Kommen Unternehmen dieser spezifischen Auskunftspflicht nicht nach, können neben Bußgeldern der Aufsichtsbehörden insbesondere Schadenersatzklagen von Betroffenen drohen.“
Ausnahmen lässt das Urteil nur in engen Grenzen zu. Wie bislang soll es nur bei der Nennung der Branchenzugehörigkeit des Empfängers bleiben, wenn diese schlichtweg nicht identifiziert werden können oder der Auskunftsantrag des Verbrauchers erkennbar unbegründet oder zu exzessiv ist. Einen größeren Zeitpuffer für die Antragsprüfung soll es indes für die Unternehmen nicht geben. Sie sollten daher im Geschäftsverkehr mit ihren Dritt- und Werbepartnern mit Weitsicht handeln, betonen IT- und Datenschutzrechtler.
„Da Auskunftsersuchen binnen vier Wochen beantwortet werden müssen, empfiehlt es sich, die erforderlichen Informationen zu den Empfängern nicht erst anlässlich eines konkreten Auskunftsersuchens zu beschaffen“, sagt Anwältin Füllsack. Verantwortliche in Unternehmen sollten sich sehr genau bewusst machen, an welche Empfänger personenbezogene Daten im Einzelnen fließen. „Ein detailliertes Verarbeitungsverzeichnis kann dabei eine große Hilfe sein“, meint Füllsack.
In dem Ausgangsfall geht es um die Weitergabe personenbezogener Daten durch die österreichische Post an ihre Geschäftspartner. Diese gestand die Weitergabe zwar ein, wollte aber keine detaillierten Informationen zu Empfängern nennen. Nun muss der oberste Gerichtshof in Wien, vor dem die Klage anhängig ist, ein Urteil nach den Vorgaben aus Luxemburg sprechen (Rechtssache C-154/2).