Empfänger von personenbezogenen Daten
Gemäß der Datenschutz-Grundverordnung (DSGVO) sind Empfänger von personenbezogenen Daten natürliche oder juristische Personen, Behörden, Einrichtungen oder Stellen, denen personenbezogene Daten offengelegt werden. In der Praxis können das zum Beispiel Online-Zahlungsanbieter, öffentliche Stellen und Institutionen, Ermittlungsbehörden oder Logistikdienstleister sein. In der Regel liegt dabei eine Datenweitergabe vor. Empfänger müssen in diesem Fall verschiedene datenschutzrechtliche Pflichten beachten.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Gründe für die Übermittlung von personenbezogenen Daten
Gründe für die Übermittlung personenbezogener Daten ergeben sich häufig aus einem Vertrag. So übernehmen oftmals Dienstleister eine Auftragsverarbeitung nach Art. 28 DSGVO, in dessen Rahmen sie personenbezogene Daten empfangen. Dritte sind jedoch auch Empfänger von personenbezogenen Daten, wenn sie diese kaufen (z. B. über Adresshandel).
Daneben kann die Übermittlung von Daten auch auf eine Pflicht aus dem Gesetz zurückzuführen sein. Das ist beispielsweise der Fall, wenn Ärzte eine Krankheit oder die Nebenwirkungen eines Medikaments dem Gesundheitsamt oder dem Bundesinstitut für Arzneimittel und Medizinprodukte melden müssen.
Praxisbeispiel
Kauft ein Verbraucher ein physisches Produkt in einem Onlineshop, fragt der Shop-Betreibers für den Kaufabschluss personenbezogene Daten wie den Namen und die Adresse des Verbrauchers ab. Um die Ware zuzustellen, beauftragt er dann einen externen Logistikdienstleister. In diesem Rahmen gibt er den Namen und Adresse des Verbrauchers an den Dienstleister weiter. Der Logistikdienstleister ist damit Empfänger von personenbezogenen Daten.
Pflichten von Empfängern personenbezogener Daten
Haben Dritte personenbezogene Daten empfangen, müssen sie diesen datenschutzrechtlichen Pflichten nachkommen:
Rechtmäßigkeit, Fairness und Transparenz
Der Empfänger von personenbezogenen Daten muss sicherstellen, dass die Verarbeitung der Daten auf rechtmäßige Weise und transparent erfolgt sowie fair gegenüber den betroffenen Personen ist. Das bedeutet: Der Empfänger muss über die Zustimmung der betroffenen Person zur Verarbeitung der Daten oder über eine andere Rechtsgrundlage verfügen. Und: Die betroffene Person muss über die Verarbeitung ihrer Daten informiert werden.
Vertrag zur Auftragsverarbeitung
Handelt es sich um eine Auftragsverarbeitung gemäß Art. 28 DSGVO, müssen die Empfänger mit der Stelle, von der sie die personenbezogenen Daten erhalten haben, einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Dieser sollte festhalten, welche Daten der Empfänger erhält, wie lange er die Daten speichert, zu welchem Zweck er die Daten speichert und welche sonstigen Rechte und Pflichten beide Parteien haben.
Zweckbindung
Der Empfänger darf personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke verarbeiten. Er darf sie nicht in einer Weise verwenden, die mit diesen Zwecken unvereinbar ist. Wenn der Empfänger beabsichtigt, die Daten für einen anderen Zweck zu verwenden, muss er die betroffenen Personen darüber informieren und gegebenenfalls deren Zustimmung einholen.
Datenminimierung
Der Empfänger darf nur die personenbezogenen Daten verarbeiten, die für den jeweiligen Zweck erforderlich sind. Der Grundsatz der Datenminimierung zielt darauf ab, die Privatsphäre der betroffenen Personen zu schützen, indem nur die Informationen gesammelt werden, die wirklich benötigt werden.
Richtigkeit
Der Empfänger ist verpflichtet, sicherzustellen, dass die personenbezogenen Daten korrekt und auf dem neuesten Stand sind. Unrichtige Daten müssen unverzüglich berichtigt oder gelöscht werden.
Speicherbegrenzung
Der Empfänger darf personenbezogene Daten nur für die erforderliche Dauer speichern. Nach Ablauf dieser Frist müssen die Daten gelöscht oder anonymisiert werden.
Integrität und Vertraulichkeit
Der Empfänger ist verpflichtet, angemessene technische und organisatorische Maßnahmen zu treffen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz vor unbefugtem Zugriff, Verlust, Zerstörung oder Beschädigung der Daten. Der Empfänger sollte auch sicherstellen, dass nur autorisierte Personen Zugriff auf die Daten haben und dass diese Personen einer Vertraulichkeitspflicht unterliegen.
Rechenschaftspflicht
Der Empfänger ist verpflichtet, die Einhaltung der DSGVO nachzuweisen. Darüber hinaus muss er belegen, dass er die oben genannten Pflichten erfüllt. Dafür muss er Verarbeitungstätigkeiten, die Zusammenarbeit mit Datenschutzbehörden und die Umsetzung von Datenschutzmaßnahmen dokumentieren.
Rechtsprechung zum Empfang von personenbezogenen Daten
Der Europäische Gerichtshof (EuGH) entschied am 12. Januar 2023: Grundsätzlich hat jeder das Recht zu erfahren, an wen seine Daten weitergegeben werden. Dabei muss der Verantwortliche der betroffenen Person die Identität der Empfänger mitteilen, wenn dieser das einfordert. Das gilt nur nicht, wenn der Verantwortliche die Empfänger nicht identifizieren kann. Dann reicht es aus, dass der Verantwortliche die Kategorien der betreffenden Empfänger nennt (C-154/21).
Der EuGH verwies in seinem Urteil darauf, dass betroffene Personen nur so ihre Rechte aus der DSGVO wahrnehmen können. Dazu gehört unter anderem das Recht auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung, Löschung sowie einen Rechtsbehelf im Schadensfall.
