Wenn in der Personalabteilung eines Unternehmens die monatliche Lohnabrechnung vorbereitet wird, entsteht ein Datenfluss, der auf den ersten Blick unspektakulär wirkt. Tatsächlich stecken darin aber gleich mehrere unterschiedliche Empfänger: der externe Dienstleister, der die Abrechnungssoftware betreibt, das Steuerbüro, die Krankenkassen, die Bank, die Geschäftsführung – und im schlechtesten Fall, weil beim Versand eine ähnlich klingende E-Mail-Adresse ausgewählt wurde, sogar ein völlig unbeteiligtes Unternehmen. Dieses Alltagsbeispiel zeigt, worum es beim Thema „Empfänger“ im Datenschutz eigentlich geht: nicht nur darum, wer Daten bekommt, sondern in welcher Funktion, zu welchem Zweck und auf welcher Rechtsgrundlage das geschieht.

Warum die Empfängerprüfung so wichtig ist

Die Offenlegung personenbezogener Daten – durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung – ist nach Art. 4 Nr. 2 DSGVO selbst eine Verarbeitung. Das bedeutet: Nicht nur das ursprüngliche Erheben oder Speichern von Daten braucht eine Rechtsgrundlage, sondern auch jede spätere Weitergabe. In der Praxis wird das häufig übersehen. Ein Unternehmen prüft sorgfältig, ob es die Daten eines Kunden für die Vertragsabwicklung verarbeiten darf, gibt sie anschließend aber ohne weitere Prüfung an einen Vertriebspartner oder externen Dienstleister weiter. Die ursprüngliche Rechtsgrundlage erlaubt jedoch nicht automatisch jede weitere Offenlegung.

Ein praxistauglicher Ausgangspunkt ist deshalb nicht der Vertragsordner, sondern der tatsächliche Datenfluss: Wer kann auf welche Daten zugreifen, wo werden sie gespeichert, welche Cloud-Dienste, Fernwartungszugänge oder gemeinsam genutzten Systeme sind im Spiel? Erst diese Betrachtung macht Empfänger sichtbar, die bei einer rein abstrakten Prüfung leicht übersehen werden.

Wer ist überhaupt ein Empfänger?

Art. 4 Nr. 9 DSGVO definiert den Empfänger als jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden – unabhängig davon, ob es sich um einen Dritten handelt oder nicht. Der Begriff ist damit sehr weit gefasst und umfasst neben externen Dienstleistern, Behörden oder Geschäftspartnern unter Umständen auch Organisationseinheiten oder einzelne Mitarbeiter im eigenen Unternehmen.

Wichtig ist die Abgrenzung zum „Dritten“ nach Art. 4 Nr. 10 DSGVO: Dritter ist grundsätzlich jede Stelle außer der betroffenen Person selbst, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter deren unmittelbarer Verantwortung befugt sind, Daten zu verarbeiten. Ein ordnungsgemäß eingesetzter Auftragsverarbeiter ist damit zwar kein Dritter – aber trotzdem ein Empfänger. Die beiden Begriffe sind also nicht austauschbar, auch wenn sie im Alltag gerne synonym verwendet werden.

Eine Offenlegung liegt dabei nicht erst vor, wenn eine Datei aktiv verschickt wird. Es genügt, dass eine andere Stelle Daten zur Kenntnis nehmen oder darauf zugreifen kann – etwa über ein freigeschaltetes Benutzerkonto, einen gemeinsamen Ordner, eine Schnittstelle oder eine Fernwartung. Auch ein nur zeitweiliger Zugriff, etwa durch einen Supportmitarbeiter während einer Fernwartungssitzung, kann eine Offenlegung darstellen.

Warum die Funktion des Empfängers alles entscheidet

Für die Praxis lassen sich Empfänger im Wesentlichen vier Gruppen zuordnen, die jeweils unterschiedliche Anforderungen auslösen:

• Mitarbeiter und interne Abteilungen, die unter der Verantwortung des Unternehmens tätig werden und Daten nur im Rahmen von Aufgabe und Berechtigung erhalten dürfen,
• weisungsgebundene Dienstleister, die als Auftragsverarbeiter nach Art. 28 DSGVO einer Auswahlprüfung, eines Vertrags und laufender Kontrolle bedürfen,
• eigenständig entscheidende Stellen, die als eigene Verantwortliche eine eigene Rechtsgrundlage für ihre Verarbeitung benötigen
• und Konstellationen, in denen zwei Stellen gemeinsam über Zwecke und Mittel entscheiden und damit unter Art. 26 DSGVO als gemeinsam Verantwortliche gelten.

Entscheidend ist dabei nie die Bezeichnung im Vertrag, sondern die tatsächliche Ausgestaltung. Ein Vertragspartner wird nicht automatisch zum Auftragsverarbeiter, nur weil der Vertrag „Auftragsverarbeitungsvertrag“ überschrieben ist – und eine tatsächlich gemeinsame Verantwortlichkeit lässt sich nicht dadurch vermeiden, dass sich beide Seiten vertraglich als eigenständige Verantwortliche bezeichnen. Maßgeblich ist, wer wirklich über Zwecke und wesentliche Mittel der Verarbeitung entscheidet.

Auch intern gelten Grenzen

Ein weit verbreiteter Irrtum lautet, innerhalb des eigenen Unternehmens könnten Daten frei weitergegeben werden, weil ohnehin „alles im Haus“ bleibt. Das ist zu weitgehend gedacht. Zwar sind ordnungsgemäß befugte Mitarbeiter keine Dritten, dennoch darf jeder Mitarbeiter nur die Daten erhalten, die er für seine konkreten Aufgaben tatsächlich benötigt – das sogenannte Need-to-know-Prinzip, das sich aus Zweckbindung, Datenminimierung, Vertraulichkeit und den Sicherheitsanforderungen der DSGVO ergibt. Ein Abteilungsleiter muss wissen, wann ein Mitarbeiter Urlaub hat, benötigt aber normalerweise keine Kenntnis über dessen Steuerklasse oder eine ärztliche Diagnose. Selbst die Geschäftsführung darf nicht allein wegen ihrer hierarchischen Stellung uneingeschränkt jede Personalakte einsehen.

Wichtig ist außerdem: Auch großzügige Zugriffsrechte auf gemeinsame Laufwerke, vererbte Berechtigungen ausgeschiedener Mitarbeiter oder dauerhafte administrative Leserechte sind praktisch Datenübermittlungen. Eine nicht benötigte Berechtigung ist bereits problematisch, bevor sie überhaupt missbraucht wird.

Externe Empfänger als eigene Verantwortliche

Viele externe Stellen – Finanzbehörden, Krankenkassen, Banken, Rechtsanwälte, Steuerberater in ihrer eigenständigen Berufsausübung, Gerichte oder Auskunfteien – legen selbst fest, wie sie erhaltene Daten verarbeiten, und sind damit eigene Verantwortliche. In diesem Fall benötigt nicht nur das übermittelnde Unternehmen eine Rechtsgrundlage für die Offenlegung, sondern auch der Empfänger für seine eigene Verarbeitung. Als Rechtsgrundlagen für die Offenlegung kommen dabei vor allem die Vertragserfüllung (Art. 6 Abs. 1 lit. b) DSGVO), eine gesetzliche Verpflichtung (lit. c)), berechtigte Interessen (lit. f)) oder eine Einwilligung (lit. a)) in Betracht – wobei eine pauschale Berufung auf „berechtigtes Interesse“ nicht ausreicht, sondern eine konkrete Abwägung mit den Interessen der betroffenen Person verlangt.

Enthalten die übermittelten Daten besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, reicht eine Rechtsgrundlage aus Art. 6 DSGVO allein nicht aus – zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO oder eine einschlägige nationale Regelung vorliegen. Die Information, dass jemand arbeitsunfähig ist, ist bereits ein Gesundheitsdatum. Für die Organisation einer Vertretung genügt in der Regel die voraussichtliche Abwesenheitsdauer, nicht die Diagnose.

Auftragsverarbeiter: Art. 28 DSGVO ist keine Rechtsgrundlage

Ein häufiges Missverständnis in der Praxis lautet, Art. 28 DSGVO sei „die Rechtsgrundlage“ für eine Datenübermittlung an einen Dienstleister. Das ist unzutreffend. Art. 28 DSGVO regelt die Anforderungen an den Einsatz eines Auftragsverarbeiters, ersetzt aber nicht die eigentliche Rechtsgrundlage für die Verarbeitung nach Art. 6 oder Art. 9 DSGVO. Ist die Verarbeitung insgesamt zulässig – etwa zur Vertragsabwicklung – und wird ein weisungsgebundener Dienstleister eingesetzt, muss in der Regel keine zusätzliche eigene Rechtsgrundlage allein für die technische Bereitstellung an den Auftragsverarbeiter gesucht werden. Voraussetzung ist aber, dass tatsächlich eine Auftragsverarbeitung vorliegt, ein Vertrag nach Art. 28 DSGVO besteht und der Dienstleister hinreichende Garantien für einen datenschutzkonformen Umgang bietet. Nutzt der Dienstleister die Daten hingegen für eigene Zwecke, verlässt er die Rolle des Auftragsverarbeiters – dann ist neu zu prüfen, ob eine eigenständige oder gemeinsame Verantwortlichkeit vorliegt.

Was das für Datenschutzinformationen und Auskunftsersuchen bedeutet

Nach Art. 13 und 14 DSGVO müssen betroffene Personen über die Empfänger oder zumindest über Kategorien von Empfängern informiert werden. Pauschale Formulierungen wie „wir geben Daten an Dienstleister weiter“ sind dafür zu unbestimmt – besser ist eine Beschreibung nach Tätigkeit, Branche oder Funktion, etwa „IT- und Hosting-Dienstleister, Zahlungsdienstleister, Paketdienste sowie Steuer- und Rechtsberater, soweit diese die Daten zur Erfüllung ihrer jeweiligen Aufgaben benötigen“.

Beim Auskunftsrecht nach Art. 15 DSGVO reicht eine solche Kategorie allerdings oft nicht mehr aus. Der Europäische Gerichtshof hat mit Urteil vom 12. Januar 2023 in der Rechtssache C-154/21 (Österreichische Post) entschieden, dass Verantwortliche grundsätzlich die konkreten Empfänger benennen müssen, wenn diese feststehen. Nur wenn die Empfänger noch nicht identifiziert werden können darf auf Kategorien zurückgegriffen werden. Wer seine Datenflüsse nicht dokumentiert hat, kann diese Auskunftspflicht kaum zuverlässig erfüllen – ein zentrales Argument dafür, neben dem Verzeichnis von Verarbeitungstätigkeiten zusätzlich eine konkrete Übersicht der tatsächlich eingebundenen Empfänger zu pflegen.

Eine kompakte Prüfformel für die Praxis

Bei jeder geplanten Offenlegung personenbezogener Daten helfen im Kern immer dieselben Fragen:

• Welche Daten werden offengelegt?
• Wer kann sie tatsächlich erhalten oder einsehen?
• In welcher Rolle handelt der Empfänger?
• Welchen konkreten Zweck verfolgt die Offenlegung?
• Welche Rechtsgrundlage trägt sie?
• Sind Umfang und Übertragungsweg angemessen und
• wurde der Vorgang transparent dokumentiert?

Liegt der Empfänger außerhalb des Europäischen Wirtschaftsraums, kommt als achte Frage hinzu, welche Grundlage nach Kapitel V DSGVO die Drittlandübermittlung trägt.

Zusammenfassung

Die datenschutzrechtliche Prüfung von Empfängern beginnt nicht mit der Frage, welcher Vertrag zu unterschreiben ist, sondern mit dem Verständnis des tatsächlichen Datenflusses. Empfänger ist grundsätzlich jede Stelle, der personenbezogene Daten offengelegt werden – dazu zählen auch Auftragsverarbeiter und Stellen, die lediglich Zugriff erhalten. Nicht jeder Empfänger ist aber Dritter, und nicht jeder externe Dienstleister ist automatisch Auftragsverarbeiter. Für die Praxis zählt vor allem die tatsächliche Funktion: Interne Mitarbeiter erhalten nur aufgabenbezogene Zugriffe, Auftragsverarbeiter handeln weisungsgebunden und müssen vertraglich eingebunden werden, eigene Verantwortliche benötigen eine eigene Rechtsgrundlage, und gemeinsam Verantwortliche müssen ihre Zuständigkeiten transparent regeln. Wer diese Unterscheidungen kennt und seine Datenflüsse dokumentiert, hat den größten Teil der Empfängerprüfung bereits bewältigt.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.