Kurzbeitrag : Ganz oder gar nicht? Kategorisierung der Empfänger bei Auskunftsersuchen : aus der RDV 5/2021, Seite 268 bis 272

Die Auskunft muss nach Art. 15 Abs. 1 Hs. 2 DS-GVO zahlreiche Kriterien und Informationen enthalten, die sich nicht aus einer bloßen Kopie sämtlicher gespeicherter personenbezogener Daten ergeben würden. Das betrifft insbesondere die Speicherdauer, die Information über Betroffenenrechte und die Datenherkunft (Art. 15 Abs. 1 lit. d, e, g DS-GVO). Daher liegt es nahe, dass die Ansprüche aus Art. 15 Abs. 1, 3 DS-GVO dergestalt nebeneinanderstehen, dass die Datenkopie ein Abbild gespeicherter Daten umfasst, während der Auskunftsanspruch die strukturierte Herausgabe und Information entsprechend den in Art. 15 Abs. 1 DS-GVO genannten Kriterien meint.^[2]

Diese Aufbereitung der Informationen kann für den Verantwortlichen mit einem erheblichen Aufwand einhergehen. Insoweit stellt sich insbesondere die Frage, ob und wann statt konkreten Empfängern nach Art. 15 Abs. 1 lit. c DSGVO lediglich Empfängerkategorien angegeben werden dürfen. Eine Frage in diese Richtung hat jüngst auch der Österreichische OGH dem EuGH zur Vorabentscheidung vorgelegt.^[3]

I. Art. 15 Abs. 1 lit. c DS-GVO als Ausgangspunkt

Im Ausgangspunkt lässt der Wortlaut des Art. 15 Abs. 1 lit. c DS-GVO die Information über „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ ausreichen. Dies entspricht dem Wortlaut der Vorgängernorm unter der Datenschutz-Richtlinie 95/46/EG, namentlich Art. 12 Abs. 1 lit. a Spiegelstrich 1. Gleichwohl hat sich, soweit ersichtlich, unter der Datenschutz-Richtlinie und beispielsweise für § 34 Abs. 1 S. 1 Nr. 2 BDSG keine vorherrschende Meinung im Hinblick auf die Differenzierung zwischen Empfängern und Empfängerkategorien herausgebildet. Nach den Wortlauten konnten und können Empfänger kategorien als gleichwertige Alternative zu konkreten Empfängern durch den Verantwortlichen angegeben werden.^[4]

Da der Wortlaut das Auskunftsrecht und nicht die Auskunftspflicht statuiert, wird zwar angenommen, das Wahlrecht müsse auch der durch die Norm berechtigten betroffenen Person zustehen.^[5] Gleichwohl nimmt der Europäische Gesetzgeber nicht stringent nur die Perspektive der betroffenen Person ein. Die Möglichkeit der Angabe der konkreten Speicherdauer (Art. 15 Abs. 1 lit. d DS-GVO) ist beispielsweise aus der Perspektive des Verantwortlichen zu beurteilen. Dementsprechend erscheint es auch nicht ausgeschlossen, dass die Frage nach der Alternativität der Empfänger und Empfängerkategorien in Art. 15 Abs. 1 lit. c DS-GVO ebenfalls aus Sicht des Verantwortlichen beurteilt werden kann.

II. Das Argument der Effektivität des Datenschutzrechts

Überwiegend wird angenommen, dass keine Alternativität nach Wahl des Verantwortlichen zwischen der Angabe von konkreten Empfängern und Empfängerkategorien besteht.^[6] Dies wird nicht nur mit dem Telos in Form des effektiven Betroffenenschutzes (vgl. Art. 1 Abs. 2 DS-GVO, Art. 8 GRCh) begründet, sondern auch mit Blick auf die Bedeutung der Kenntnis der konkreten Empfänger für die Betroffenen.^[7] Auch der zugehörige Erwägungsgrund 63 S. 3 DS-GVO könnte nahe legen, dass die konkreten Empfänger anzugeben sind („Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen […] wer die Empfänger der personenbezogenen Daten sind […].“).^[8] Das Argument des Betroffenen-Schutzes wird dabei insoweit fruchtbar gemacht, als dass sich aus der Angabe der Empfänger Rückschlüsse auf weitere Verantwortliche ziehen lassen. Für Betroffene kann die Angabe daher von Bedeutung sein, um die Risiken, die mit einer Datenverarbeitung einhergehen können, zutreffend einzuschätzen und die Rechtmäßigkeit zu prüfen.^[9] Außerdem kann die Kenntnis der konkreten Empfänger gegebenenfalls erst die Geltendmachung möglicher Ansprüche gegen die Empfänger ermöglichen, etwa in Gestalt der Betroffenenrechte.^[10] Die Aufsichtsbehörden, namentlich die Artikel-29-Datenschutzgruppe bzw. der Europäische Datenschutzausschuss (EDSA) schließen sich dieser Betrachtungsweise an und verlangen unter Berufung auf den Grundsatz von Treu und Glauben (Art. 5 Abs. 1 lit. a DS-GVO) nach Art. 13 Abs. 1 lit. e, Art. 14 Abs. 1 lit. e DS-GVO die konkrete Angabe der Empfänger.^[11] Ausnahmsweise sollen stattdessen die Kategorien von Empfängern angegeben werden können, wobei diese Informationen „unter Angabe der Empfängerart (d.h. der von diesen durchgeführten Aktivitäten), der Industrie, des Sektors und Teilsektors sowie des Standorts der Empfänger so genau wie möglich ausfallen“ sollten.^[12] Da die Art. 13, 14 DS-GVO geringeren Anforderungen unterliegen und insbesondere kein Ersuchen der betroffenen Person erfordern, wäre bei Fortführung dieser Ansicht wohl erst recht die Angabe der konkreten Empfänger nach Art. 15 Abs. 1 lit. c DS-GVO erforderlich.^[13]

III. Eingeschränkte Alternativität der Angabe von Empfängern und Empfängerkategorien

Der pauschale Verweis auf den Schutz betroffener Personen kann allerdings nicht jede Auslegung der Vorschriften der DS-GVO tragen.^[14] Dies gilt insbesondere, wenn starke systematische Argumente dafürsprechen, die Angabe der Empfängerkategorien im Rahmen von Auskunftsersuchen grundsätzlich genügen zu lassen.

Dabei sei vorangestellt, dass auch im Hinblick auf die Systematik zwischen Art. 15 Abs. 1 und Abs. 3 DS-GVO zu differenzieren ist und in diesem Beitrag die strukturierte Angabe aller Empfänger nach Art. 15 Abs. 1 lit. c DS-GVO im Vordergrund stehen soll. Gleichwohl ergeben sich Parallelen zwischen Art. 15 Abs. 1 und Abs. 3 DS-GVO, etwa wenn aufgrund der Rechte Dritter (s. sogleich unter 3.) weder nach Art. 15 Abs. 3 DS-GVO noch nach Art. 15 Abs. 1 lit. c DSGVO konkrete Empfänger angegeben werden müssen.

1. Alternativität

Ein Vergleich mit anderen Vorschriften der DS-GVO zeigt, dass ein Vorrang der Angabe konkreter Empfänger jedenfalls nicht zwingend ist. So steht in Bezug auf Informationen über die Dauer der Speicherung personenbezogener Daten die Angabe der relevanten Kriterien anstelle der konkreten Speicherdauer explizit unter der Voraussetzung, dass die Angabe der konkreten Speicherdauer nicht möglich ist (Art. 13 Abs. 2 lit. a, Art. 14 Abs. 2 lit. a, Art. 15 Abs. 1 lit. d DS-GVO). Dieser Vorbehalt wurde durch das Europäische Parlament aufgenommen. Eine entsprechende Formulierung wurde für die Empfängerangabe allerdings nicht übernommen, sodass der Schluss naheliegt, dass insoweit keine entsprechende Einschränkung greift.^[15]

Darüber hinaus sind in systematischer Hinsicht aber vor allem die zahlreichen Schutzmechanismen zu berücksichtigen, die die DS-GVO im Hinblick auf die Weitergabe personenbezogener Daten (an Empfänger nach Art. 4 Nr. 9 DSGVO) bereithält. Schon nach Art. 6 DS-GVO bedarf grundsätzlich jede Übermittlung (auch im Rahmen einer Beauskunftung nach Art. 15 DS-GVO) einer Rechtfertigung.^[16] Im Fall von erfolgten Übermittlungen und einer Berichtigung, Löschung oder Einschränkung der Verarbeitung personenbezogener Daten ist der Verantwortliche zur Weiterleitung an die Empfänger verpflichtet (Art. 19 S. 1 DSGVO), sodass die Betroffeneninteressen insoweit berücksichtigt sind. Überdies ist die betroffene Person auf ihr Verlangen hin über die konkreten Empfänger zu unterrichten (Art. 19 S. 2 DS-GVO). Da unter den Begriff der Empfänger auch gemeinsam Verantwortliche fallen können,^[17] wird dieses Schutzregime gegebenenfalls um Transparenzpflichten gegenüber dem Betroffenen und eine gesamtschuldnerische Haftung nach Art. 26 DS-GVO ergänzt.^[18] Diese Schutzmechanismen lassen das Bedürfnis nach einer Auslegung des Art. 15 Abs. 1 lit. c DS-GVO, nach der stets über konkrete Empfänger zu beauskunften ist, gering erscheinen.

Zudem sind auch im Verzeichnis der Verarbeitungstätigkeiten gem. Art. 30 Abs. 1 S. 2 lit. c DS-GVO, welches regelmäßig die Grundlage einer Bewertung seitens der Datenschutzbehörden ist, stets nur Empfängerkategorien anzugeben.^[19]

2. Abgrenzungskriterien

Im Einklang mit der DS-GVO sollten also weder stets sämtliche konkrete Empfänger (s. unter I. und II.) noch lediglich sämtliche Empfängerkategorien (s. zuvor unter 1.)^[20] anzugeben sein. Stattdessen bedarf es handhabbarer Kriterien zur Abgrenzung von Art. 15 Abs. 1 lit. c Alt. 1 und 2 DS-GVO.^[21]

a) Treu und Glauben; Transparenz

Dabei kann mit dem EDSA^[22] das Kriterium der Verarbeitung nach Treu und Glauben (Art. 5 Abs. 1 lit. a DS-GVO) Anwendung finden. Der Transparenzgrundsatz als Ausprägung hiervon ist insoweit zu beachten. Schließlich dienen die Art. 13, 14 DS-GVO mit der Pflicht zur Informationsbereitstellung unmittelbar der Transparenz im Sinne der Nachvollziehbarkeit und Vorhersehbarkeit^[23] Betroffenen gegenüber. Allerdings wird ein Regel-Ausnahme-Verhältnis zugunsten der Bereitstellung konkreter Empfängerdaten der zuvor dargestellten Systematik nicht gerecht. Dies gilt auch und gerade mit Blick auf den Anspruch auf eine Datenkopie nach Art. 15 Abs. 3 DS-GVO, die die konkreten Empfängerangaben in der Regel – wenn auch ungeordnet – enthalten wird (s. auch im Folgenden unter III. 2. b.). So ergeben sich beispielsweise aus der Bereitstellung von E-Mail-Kopien bereits die konkreten Empfänger dieser E-Mails.

Stattdessen ist die Bereitstellung der konkreten Empfängerangaben im Sinne der Vorhersehbarkeit für die Betroffenen notwendig bei Empfängern, die sich nicht aus der Datenkopie ergeben. Das umfasst etwa feststehende zukünftige Übermittlungen an konkrete Empfänger.^[24]

b) Einwand der Unverhältnismäßigkeit

Auf Seiten des Verantwortlichen kann der Grundsatz der Verhältnismäßigkeit (vgl. Art. 14 Abs. 5 lit. b, Art. 19 S. 1, Erwägungsgrund 4 S. 2 DS-GVO) mit Blick auf deren unternehmerische Freiheit (Art. 16 GRCh) für eine Nennung bloß der Empfängerkategorien sprechen. Diesen Befund bestätigt Erwägungsgrund 63 S. 7 DS-GVO, wonach die betroffene Person bei einer großen Menge an personenbezogenen Daten zur Präzisierung eines Auskunftsersuchens aufgefordert werden kann.[25]

Der Verhältnismäßigkeitseinwand soll beispielsweise relevant werden, wenn die Empfänger oft wechseln und eine Kategorisierung damit einen deutlich geringeren Aufwand für die Verantwortlichen bedeuten würde.^[26] Dem ist im Grundsatz zwar zuzustimmen; gleichwohl darf dies den Verantwortlichen nicht von der Angabe konkreter Empfänger entlasten, wenn ihm ohne Weiteres technische und organisatorische Maßnahmen (Art. 24 Abs. 1 DS-GVO) möglich wären, um die zum Zeitpunkt der Beantwortung des Auskunftsersuchens relevanten Empfänger auszulesen und in ein strukturiertes Format zu überführen.^[27] Das wird insbesondere der Fall sein, soweit es sich nur um gleichartige Datensätze handelt, z.B. auf einem Onlinemarktplatz ausgetauschte Nachrichten mit stets einem „Empfängerfeld“.

Im Übrigen empfiehlt sich eine Orientierung an Art. 15 Abs. 3 DS-GVO und den hierzu entwickelten Grundsätzen. Das Recht auf Datenkopie (Art. 15 Abs. 3 DS-GVO) wurde in der Vergangenheit etwa dann eingeschränkt, wenn der Aufwand im Hinblick auf E-Mails „nach personenbezogenen Daten […] in sämtlichen Servern, Datenbanken, Web-Anwendungen, E-Mail-Postfächern, Verzeichnisstrukturen, Speichermedien, Smartphones, Notebooks und diversen anderen Endgeräten […] zu suchen“ im groben Missverhältnis zum Leistungsinteresse der betroffenen Person steht.^[28] Entsprechende Erwägungen müssen folgerichtig für die Ermittlung konkreter Empfänger nach Art. 15 Abs. 1 lit. c DS-GVO gelten, die mit einem vergleichbaren Aufwand wie die Identifikation der relevanten personenbezogenen Daten in den Dateisystemen selbst einhergeht.

c) Einschränkungen aufgrund der Rechte Dritter und des Verantwortlichen

Darüber hinaus kann im Einzelfall mit Blick auf die Rechte Dritter die Angabe (nur) der Empfängerkategorien erforderlich (Art. 15 Abs. 1 lit. c DS-GVO) und zugleich deren Entfernung in der Datenkopie gerechtfertigt sein (Art. 15 Abs. 3 DS-GVO).

Die Bereitstellung der Information über andere natürliche Personen als Empfänger stellt eine Verarbeitung (Art. 4 Nr. 2 DS-GVO) dar, die wiederum über Art. 6 DS-GVO eines Rechtfertigungstatbestands bedarf. Im Grundsatz ist die Verarbeitung als eine rechtliche Verpflichtung des Verantwortlichen nach Art. 6 Abs. 1 lit. c DS-GVO gerechtfertigt.^[29] Freilich kommt es damit darauf an, wie weit die rechtliche Verpflichtung reicht und inwieweit sie auch die Preisgabe von Informationen verlangt, die Rückschlüsse auf andere (betroffene) Personen zulassen. Letztlich bedarf es insoweit einer Abwägung der divergierenden Rechtspositionen (vgl. auch Art. 15 Abs. 4 DS-GVO).^[30]

Darüber hinaus sind auch Geheimhaltungsinteressen des Verantwortlichen und Dritter zu berücksichtigen (vgl. Erwägungsgrund 63 S. 5 DS-GVO). Das gilt nicht nur mit Blick auf die Datenkopie, wie es Art. 15 Abs. 4 DS-GVO suggeriert, sondern auch für Art. 15 Abs. 1 DS-GVO^[31] und damit auch mit Blick auf die im Einzelfall geheimhaltungsbedürftige Angabe eines konkreten Empfängers (vgl. auch § 29 Abs. 1 S. 2 BDSG).

IV. Weitere Ausschlussgründe

Unabhängig von den zuvor genannten Kriterien kann sich eine Einschränkung des Auskunftsanspruchs insgesamt daraus ergeben, dass die betroffene Person bereits über die Informationen verfügt. Anders als in Art. 13 Abs. 4, Art. 14 Abs. 5 lit. a DS-GVO geregelt, sieht Art. 15 DS-GVO für diesen Fall nicht ausdrücklich einen (Teil-)Ausschluss des Auskunftsanspruchs vor. Schon das LG Köln^[32] und – wenn auch vor der DS-GVO – das LAG Hessen^[33] schränkten Auskunftsansprüche für den Fall ein, dass Betroffene bereits anderweitig (z.B. über einen bestehenden E-Mail-Zugriff) an die Informationen gelangen können.^[34]

Zum einen ist dabei an die Konstellation eines weiterhin bestehenden Zugriffs über Systeme zu denken, z.B. die Zugriffsmöglichkeit über E-Mail-Programme als aktiver Mitarbeiter. In diesem Fall kann der Auskunftsanspruch durch die Bereitstellung des Systems erfüllt werden. Erwägungsgrund 63 S. 4 DS-GVO sieht nämlich ausdrücklich vor, dass das Auskunftsrecht durch „den Fernzugang zu einem sicheren System“ erfüllt werden kann. Die DS-GVO verhält sich nicht eindeutig dazu, ob dieser Anspruch nach Wahl des Verantwortlichen stets durch einen solchen Fernzugang erfüllt werden kann. Die in übrigen Vorschriften, wie etwa Art. 12 Abs. 3 S. 4, Art. 15 Abs. 15 Abs. 3 DS-GVO, verankerte Orientierung an dem Betroffenenersuchen liegt nahe, dass dies nicht dem Verantwortlichen anheimgestellt ist.^[35] In der Praxis wird die betroffene Person bei sich vollständig online abspielenden Sachverhalten gegen eine solche Form der Auskunftserteilung in der Regel keine (berechtigten) Einwände haben.^[36] Abhängig von dem zur Verfügung gestellten Fernzugang (z.B. über einen E-Mail-Zugang), kann es aber an der strukturierten Wiedergabe der Empfänger fehlen, sodass gegebenenfalls zusätzlich die separate Angabe der Empfänger bzw. Empfängerkategorien erforderlich sein kann und es auf die zuvor genannten Kriterien ankommt.

Zum anderen lässt sich an die (nur) ursprünglich mögliche Einsichtnahme denken, z.B. bei ausgeschiedenen Mitarbeitern. Sobald ein solcher Zugriff nicht mehr besteht, kann die betroffene Person für ein neu gestelltes Auskunftsersuchen nicht mehr auf den Zugriff in der Vergangenheit verwiesen werden. Dies gilt jedenfalls insoweit, als dass die betroffene Person keine Kenntnis über die Empfänger der Daten hat (anders mag dies etwa in Bezug auf Empfänger sein, mit denen die betroffene Person korrespondiert hat). Zudem rechtfertigen rechtsmissbräuchlich gestellte Betroffenenanträge^[37] und eine mögliche Kostentragungspflicht nach Art. 12 Abs. 3 S. 2 DS-GVO im Einzelfall eine andere Beurteilung.

Eine bloße „Differenzauskunft“, also die Auskunft über die sich seit der Einsichtnahme geänderten Umstände, ist in solchen Fällen ebenfalls grundsätzlich nicht ausreichend.^[38] Eine solche „gestückelte“ Auskunft vermittelt den Betroffenen nämlich keinen transparenten Überblick über die Verarbeitung.

V. Exkurs: Drittlandsempfänger

Empfänger in Drittländern werden in Art. 15 Abs. 1 lit. c DS-GVO hervorgehoben („insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen“). Der Wortlaut kann so verstanden werden, dass Empfänger in Drittländern stets konkret anzugeben sind. Gleichzeitig kann der Zusatz aber bloß als eine Klarstellung des schon Selbstverständlichen, der Angabe bzw. Kategorisierung aller Empfänger, angesehen werden.^[39]

Zumindest für das Verarbeitungsverzeichnis mit dem etwas eindeutigeren Wortlaut in Art. 30 Abs. 2 lit. d DS-GVO fordern die DSK und Teile der Literatur die konkrete Benennung der Empfänger^[40] oder aber deren separate Kategorisierung.^[41]

Im Umkehrschluss zum Wortlaut des Art. 30 DS-GVO liegt wiederum eine divergierende Auslegung des Art. 15 Abs. 1 lit. c DS-GVO nahe. Zwar sind die betroffenen Personen bei der Einschaltung von Empfängern in Drittländern besonders schutzwürdig und haben grundsätzlich ein größeres Interesse an der Angabe der konkreten Empfänger und der konkreten Drittländer. Allerdings stellen die Art. 44 ff. DS-GVO bereits entsprechend hohe Anforderungen an Drittlandsübermittlungen und können als insoweit abschließende Schutzmaßnahmen für betroffene Personen angesehen werden.

VI. Schlussbetrachtung

Der vorliegende Beitrag hat gezeigt, dass die Auslegungsfrage nach dem Verhältnis der Nennung von konkreten Empfängern und Empfängerkategorien (Art. 15 Abs. 1 lit. c DSGVO) weder zugunsten der Betroffenen noch der Verantwortlichen eindeutig beantwortet werden kann. Im Einzelfall ist entsprechend der Wertungen des Verhältnismäßigkeits-, Transparenzgrundsatzes und der Verarbeitung nach Treu und Glauben insbesondere zu berücksichtigen, ob entsprechende Informationen bereits in der Datenkopie enthalten sind bzw. wären, ob dem Betroffenen gegebenenfalls eine Spezifizierung der gewünschten Informationen zumutbar ist und inwieweit Rechte Dritter einschließlich anderer betroffener Personen einer Nennung konkreter Empfänger entgegenstehen können. Soweit Empfängerangaben in einer Datenkopie nach Art. 15 Abs. 3 DS-GVO enthalten sind, bedeutet dies nicht zwangsläufig, dass auch in strukturierter Form über diese nach Art. 15 Abs. 1 lit. c DS-GVO zu informieren ist. Eine gesonderte Differenzierung bezüglich Drittlandsempfängern ist dabei nicht angezeigt.

* RA Fabian Kreis ist Rechtsanwalt und Partner bei Evolution Rechtsanwälte in Düsseldorf. Dr. Tristan Radtke absolviert derzeit einen LL.M. an der NYU School of Law in New York City.

_{[1] Vgl. Paal/Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 15 Rn. 33}

_{[2] So auch Simitis/Hornung/Spiecker gen. Döhmann/Dix, Datenschutzrecht, 1. Aufl. 2019, DS-GVO Art. 15 Rn. 28; Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 15 Rn. 39; wohl auch zust. Brink/Joos, ZD 2019, 483 (483).}

_{[3] Österreichischer OGH, Beschl. v. 18.02.2021 – 6Ob 159/20 f.}

_{[4] BeckOK DatenschutzR/Schmidt-Wudy, 36. Ed. 01.05.2021, DS-GVO Art. 15 Rn. 58; im Hinblick auf Art. 13 DS-GVO Walter, DSRITB 2016, 367 (371)}

_{[5] Österreichischer OGH, Beschl. v. 18.02.2021 – 6Ob 159/20 f., Rn. 29 ff.}

_{[6] Österreichischer OGH, Beschl. v. 18.02.2021 – 6Ob159/20f, Rn. 34; Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 15 Rn. 16; Ehmann/Selmayr/Ehmann, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 20; Schantz/ Wolff/Schantz, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 1198; LAG BW, Urt. v. 20.12.2018 – 17 Sa 11/18; zust. auch Ambrock, ZD 2020, 492 (496); konkrete Angabe im Sinne der Transparenz befürwortend Gola DS-GVO/Franck, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 12; so schon unter der DSRL und BDSG a.F. Liedke, K&R 2014, 709 (712); nicht klar bei LG Köln, ZD 2019, 313 (314).}

_{[7] Ehmann/Selmayr/Ehmann, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 20; Schantz/ Wolff/Schantz, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 1198.}

_{[8] BeckOK DatenschutzR/Schmidt-Wudy, 36. Ed. 01.05.2021, DS-GVO Art. 15 Rn. 58.}

_{[9] Vgl. BeckOK DatenschutzR/Schmidt-Wudy, 36. Ed. 01.05.2021, DS-GVO Art. 15 Rn. 2; Paal/Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 15 Rn. 3.}

_{[10] Vgl. Ambrock, ZD 2020, 492 (496).}

_{[11] Artikel-29-Datenschutzgruppe, WP 260 rev. 01, https://www.bfdi.bund.de/SharedDocs/Publikationen/DokumenteArt29Gruppe_EDSA/Guidelines/WP260_LeitlinienFuerDieTransparenz.html, S. 47; weniger streng BayLfD, Informationspflichten des Verantwortlichen, Stand: 26.11.2018, S. 18.}

_{[12] Artikel-29-Datenschutzgruppe, WP 260 rev. 01, https://www.bfdi.bund.de/SharedDocs/Publikationen/DokumenteArt29Gruppe_EDSA/Guidelines/WP260_LeitlinienFuerDieTransparenz.html, S. 47.}

_{[13] So etwa LfDI BW, 36. Tätigkeitsbericht, 2020, S. 100; LDA Brandenburg, Tätigkeitsbericht 2020 – Datenschutz, S. 68.}

_{[14] Vgl. Jansen/Radtke, JR 2021, 327 (328).}

_{[15] Vgl. auch Daum, MMR 2020, 643 (646).}

_{[16] Hierzu auch mit Blick auf die Ausnahme bei Einschaltung eines Auftragsverarbeiters Radtke, Gemeinsame Verantwortlichkeit unter der DSGVO, 2021, S. 400 ff.}

_{[17] Radtke, Gemeinsame Verantwortlichkeit unter der DS-GVO, 2021, S. 407 ff.}

_{[18] Hierzu ausführlich Radtke, Gemeinsame Verantwortlichkeit unter der DS-GVO, 2021}

_{[19] Dies ebenfalls hervorhebend Ehmann/Selmayr/Ehmann, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 20.}

_{[20] In diese Richtung aber Daum, MMR 2020, 643 (646); Krämer, NJW 2018, 347 (348); Paal/Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 15 Rn. 26; zust. Sydow/Specht, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 10; Auernhammer/Stollhoff, 7. Aufl. 2020, DS-GVO Art. 15 Rn. 16.}

_{[21] Vorschläge auch bei BeckOK DatenschutzR/Schmidt-Wudy, 36. Ed. 01.05.2021, DS-GVO Art. 15 Rn. 58; Schwartmann/Jaspers/Thüsing/Kugelmann/Schwartmann/Schneider, 2. Aufl., DS-GVO Art. 13 Rn. 42; Simitis/Hornung/Spiecker gen. Döhmann/Dix, Datenschutzrecht, 1. Aufl. 2019, DS-GVO Art. 15 Rn. 20.}

_{[22] Artikel-29-Datenschutzgruppe, WP 260 rev. 01, https://www.bfdi.bund. de/SharedDocs/Publikationen/DokumenteArt29Gruppe_EDSA/Guidelines/WP260_LeitlinienFuerDieTransparenz.html, S. 47.}

_{[23] Vgl. Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 5 Rn. 21}

_{[24] Vgl. den Umkehrschluss zu Ambrock, ZD 2020, 492 (496); Simitis/Hornung/Spiecker gen. Döhmann/Dix, Datenschutzrecht, 1. Aufl. 2019, DSGVO Art. 15 Rn. 20; Auernhammer/Eßer, 7. Aufl. 2020, DS-GVO Art. 13 Rn. 30; Lorenz, VuR 2019, 213 (216).}

_{[25] Vgl. hierzu etwa LG Heidelberg, Urt. v. 21.02.2020 – 4 O 6/19; Härting, CR 2019, 219 (Rn. 30); Walter, DSRITB 2016, 367 (381 f.).}

_{[26] Lorenz, VuR 2019, 213 (216).}

_{[27] Vgl. zur restriktiven Anwendung auch OLG Stuttgart, Urt. v. 17.06.2021 – 7 U 325/20 (juris), Rn. 70.}

_{[28] ArbG Düsseldorf, NZA-RR 2020, 409 (415); vgl. auch im Hinblick auf der betroffenen Person bereits bekannten Schriftverkehr AG München, ZD 2019, 659 (Rn. 50). Weiter hingegen bswp. LG München I, Endurt. v. 06.04.2020 – 3 O 909/19; sowie OLG Köln, Urt. v. 26.07.2019 – 20 U 75/18, BeckRS 2019, 16261.}

_{[29] Vgl. Taeger/Gabel/Pohle/Spittka, 3. Aufl. 2019, DS-GVO Art. 12 Rn. 18.}

_{[30] Gola DS-GVO/Franck, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 34; vgl. auch BeckOK DatenschutzR/Schmidt-Wudy, 36. Ed. 1.5.2021, DS-GVO Art. 15 Rn. 96; Paal/Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 15 Rn. 41.}

_{[31] Paal/Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 15 Rn. 41; Sydow/Specht, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 22 m.w.N.; zust. auch Lembke, NJW 2020, 1841 (1844).}

_{[32] LG Köln, ZD 2019, 313 (314).}

_{[33] LAG Hessen, Urt. v. 29.01.2013 – 13 Sa 263/12.}

_{[34] Vgl. aber womöglich in die andere Richtung LG Bonn, Urt. v. 01.07.2021 – 15 O 372/20 (juris), Rn. 28.}

_{[35] So auch BeckOK DatenschutzR/Schmidt-Wudy, 36. Ed. 01.05.2021, DS-GVO Art. 15 Rn. 84; Spindler/Schuster/Nink, 4. Aufl. 2019, DS-GVO Art. 15 Rn. 9; Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 15 Rn. 31.}

_{[36] Vgl. auch Taeger/Gabel/Mester, 3. Aufl. 2019, DS-GVO Art. 15 Rn. 15.}

_{[37] Vgl. etwa LAG Hessen, Urt. v. 29.01.2013 – 13 Sa 263/12.}

_{[38] Kühling/Buchner/Bäcker, DS-GVO, 2. Aufl., Art. 15 Rn. 9; vgl. auch Artikel-29-Datenschutzgruppe, WP 260 rev. 01, Rn. 56; in diese Richtung wohl auch AG Bonn, Urt. v. 30.07.2020 – 118 C 315/19. Krit. etwa Ehmann/Selmayr/Knyrim, 2. Aufl. 2018, DS-GVO Art. 13 Rn. 68.}

_{[39] Paal/Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 15 Rn. 26; BeckOK DatenschutzR/Schmidt-Wudy, 36. Ed. 01.05.2021, DS-GVO Art. 15 Rn. 59; wohl auch Sydow/Specht, 2. Aufl. 2018, DS-GVO Art. 15 Rn. 10; und wohl auch Auernhammer/Stollhoff, 7. Aufl. 2020, DS-GVO Art. 15 Rn. 16; Schwartmann/Jaspers/Thüsing/Kugelmann/Schwartmann/Klein, 2. Aufl., DS-GVO Art. 15 Rn. 31; Schwartmann/Jaspers/Thüsing/Kugelmann/Müthlein, 2. Aufl., DS-GVO Art. 30 Rn. 56.}

_{[40] DSK, Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO, S. 7; Kühling/Buchner/Hartung, 3. Aufl. 2020, DS-GVO Art. 30 Rn. 20.}

_{[41] Simitis/Hornung/Spiecker gen. Döhmann/Petri, 1. Aufl. 2019, DS-GVO Art. 30 Rn. 27.}