Datenschutzerklärung: Wie gibt man Datenempfänger an?

Zuletzt aktualisiert am 1. Juni 2026

Immer wieder gibt die DSGVO neue Gründe, sich über die richtige Ausführung von Datenschutz zu streiten. So herrscht zum Beispiel immer noch Uneinigkeit darüber, wie konkret in einer Datenschutzerklärung die Datenempfänger anzugeben sind.

Erfahren Sie hier, welche Meinungen vertreten werden und wie Sie das Problem in Ihrer Datenschutzerklärung am besten lösen können.

Was sagt die DSGVO zur Nennung von Datenempfängern?

Die DSGVO schreibt in Art. 13 I lit. e und in Art. 14 I lit. e vor, dass der betroffenen Person „die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten“ mitzuteilen sind. Probleme bereitet hier das Wort „oder“, da es suggeriert, dass der Verantwortliche wählen kann, ob er als Empfänger zum Beispiel „Auftragsverarbeiter nach Art. 28 DSGVO“ oder „Unternehmen xy“ angibt. Tatsächlich besteht unter Datenschützern jedoch Uneinigkeit darüber, ob der Verantwortliche hier frei wählen kann. Vor allem ist fraglich, inwiefern das Transparenzgebot den Verantwortlichen hier zu einer konkreten Benennung zwingt.

Wie legen Aufsichtsbehörden die DSGVO hier aus?

Selbst unter den datenschutzrechtlichen Aufsichtsbehörden besteht Uneinigkeit über die Auslegung dieser Vorschriften.

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit legt die Vorschriften restriktiv aus. Datenempfänger müssten vor allem im Gesundheitsbereich so konkret wie möglich benannt werden. Die Behörde entscheidet somit zugunsten der Transparenz und lehnt die freie Wahl des Verantwortlichen bei der Benennung der Empfänger ab.

Der Landesbeauftragte für den Datenschutz in Niedersachsen legt sich bezüglich der Auslegung nicht fest. Dies erweckt den Anschein, dass sich für ein freies Wahlrecht des Verantwortlichen ausgesprochen wird. Den selben Anschein erweckt die Datenschutzkonferenz (DSK), die in einem Kurzpapier nur den Gesetzeswortlaut wiederholt.

Wie werden die Vorschriften sonst noch ausgelegt?

Die ehemalige Artikel-29-Datenschutzgruppe hat sich ebenfalls positioniert. In einer von ihnen entworfenen Leitlinie spricht sich die Gruppe für eine größtmögliche Transparenz jedoch gegen einen unbedingten Zwang zur konkreten Benennung aus. Stattdessen empfiehlt die Gruppe nur, die Angaben „so genau wie möglich“ zu formulieren.

Wie sollte man Datenempfänger in der Praxis angeben?

Als datenschutzrechtlich Verantwortlicher fährt man am sichersten, wenn man sich der strengsten Ansicht unterwirft. Das bedeutet in diesem Fall, die Datenempfänger immer konkret zu benennen. Die Angaben sind dann maximal transparent.

Sollte in einem Einzelfall der Verantwortliche doch nur eine Kategorie von Empfänger angeben, ist es ratsam, diese Angabe so konkret wie möglich auszuformulieren.

EuGH-Rechtsprechung zur Benennung von Datenempfängern

Der Europäische Gerichtshof hat in seiner Rechtsprechung wichtige Klarstellungen zur Frage der Datenempfänger-Benennung getroffen. In der Rechtssache C-154/21 (RW gegen Österreichische Post AG) entschied der EuGH, dass betroffene Personen grundsätzlich das Recht haben, die konkreten Empfänger ihrer personenbezogenen Daten zu erfahren — und nicht nur die Kategorien von Empfängern. Dieses Urteil hat weitreichende Auswirkungen auf die Gestaltung von Datenschutzerklärungen.

Der EuGH führte aus, dass das in Art. 15 Abs. 1 lit. c DSGVO enthaltene Wort „oder“ zwischen „Empfänger“ und „Kategorien von Empfängern“ nicht als freie Wahlmöglichkeit des Verantwortlichen zu verstehen ist. Vielmehr muss der Verantwortliche nach Möglichkeit die konkreten Empfänger benennen. Nur wenn dies nicht möglich ist — etwa weil die Empfänger zum Zeitpunkt der Auskunftserteilung noch nicht feststehen — darf er auf die Angabe von Kategorien zurückgreifen.

Praktische Umsetzung in der Datenschutzerklärung

Für die praktische Gestaltung der Datenschutzerklärung ergeben sich aus der aktuellen Rechtslage klare Handlungsempfehlungen. Zunächst sollten Unternehmen eine vollständige Bestandsaufnahme aller Datenempfänger durchführen. Dies umfasst externe Dienstleister wie Hosting-Anbieter, E-Mail-Provider, Cloud-Dienste, Zahlungsabwickler, Steuerberater und Rechtsanwälte. Aber auch interne Empfänger — etwa verschiedene Abteilungen innerhalb eines Konzerns — sollten erfasst werden.

In der Datenschutzerklärung selbst empfiehlt es sich, die Datenempfänger nach Verarbeitungszwecken gegliedert aufzuführen. Für jeden Verarbeitungszweck sollten die konkreten Empfänger mit Namen und gegebenenfalls Sitz genannt werden. Ergänzend kann die Kategorie des Empfängers angegeben werden, um den Betroffenen ein besseres Verständnis zu ermöglichen. Beispielsweise: „Ihre Bestelldaten werden an DHL Group, Bonn (Logistikdienstleister) übermittelt.“

Besondere Herausforderungen bei der Empfänger-Benennung

In der Praxis ergeben sich bei der konkreten Benennung von Datenempfängern mehrere Herausforderungen. Erstens kann sich der Kreis der Empfänger regelmäßig ändern — etwa wenn Dienstleister gewechselt oder neue Kooperationspartner hinzugenommen werden. In diesem Fall muss die Datenschutzerklärung zeitnah aktualisiert werden. Ein Prozess zur regelmäßigen Überprüfung und Aktualisierung der Datenschutzerklärung ist daher nötig.

Zweitens gibt es Situationen, in denen die konkreten Empfänger zum Zeitpunkt der Datenerhebung noch nicht feststehen. Dies kann beispielsweise bei gerichtlichen Verfahren der Fall sein, bei denen Daten an Gerichte oder gegnerische Anwälte übermittelt werden müssen. In solchen Fällen ist die Angabe von Empfängerkategorien wie „Gerichte und Behörden“ oder „Rechtsanwälte im Rahmen der Rechtsverfolgung“ zulässig und ausreichend.

Drittens stellt die Datenübermittlung an Empfänger in Drittländern besondere Anforderungen. Hier muss die Datenschutzerklärung nicht nur den Empfänger benennen, sondern auch das betreffende Drittland, die bestehenden Garantien für den Datenschutz (z. B. Standardvertragsklauseln oder Angemessenheitsbeschluss) und die Möglichkeit, eine Kopie dieser Garantien zu erhalten.

Definition des Empfänger-Begriffs nach DSGVO

Für die korrekte Umsetzung ist es wichtig zu verstehen, wen die DSGVO als „Empfänger“ definiert. Art. 4 Nr. 9 DSGVO definiert den Empfänger als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden. Dabei ist es unerheblich, ob es sich um einen Dritten handelt oder nicht.

Wichtig: Auch Auftragsverarbeiter nach Art. 28 DSGVO gelten als Empfänger und müssen in der Datenschutzerklärung benannt werden. Viele Unternehmen übersehen dies und listen nur solche Empfänger auf, an die eine echte Datenübermittlung stattfindet. Dabei verarbeiten gerade Auftragsverarbeiter — wie Hosting-Anbieter, Cloud-Dienste oder externe Lohnbuchhaltungen — große Mengen personenbezogener Daten im Auftrag des Verantwortlichen.

Muster für die Empfänger-Angabe

Folgendes Schema hat sich in der Praxis bewährt und erfüllt die Anforderungen der DSGVO und der EuGH-Rechtsprechung: Für jeden Verarbeitungszweck werden die konkreten Empfänger mit vollständigem Namen, Sitz und Empfängerkategorie aufgelistet. Bei Empfängern in Drittländern wird zusätzlich das Land und die Rechtsgrundlage für die Übermittlung angegeben. Ergänzend wird darauf hingewiesen, ob ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.

Unternehmen, die ihre Datenschutzerklärung auf diese Weise gestalten, sind sowohl vor behördlichen Beanstandungen als auch vor Abmahnungen weitgehend geschützt. Bei Unsicherheiten empfiehlt es sich, die Datenschutzerklärung von einem fachkundigen externen Datenschutzbeauftragten prüfen zu lassen. Die DATUREX GmbH unterstützt Unternehmen in Dresden und ganz Sachsen bei der rechtskonformen Gestaltung ihrer Datenschutzerklärung und übernimmt auf Wunsch die laufende Aktualisierung.

Konsequenzen bei fehlerhafter Empfänger-Angabe

Eine unvollständige oder fehlerhafte Angabe von Datenempfängern in der Datenschutzerklärung kann verschiedene rechtliche Konsequenzen haben. Zunächst drohen Bußgelder nach Art. 83 Abs. 5 lit. b DSGVO, da eine mangelhafte Information der Betroffenen einen Verstoß gegen die Informationspflichten nach Art. 13 und 14 DSGVO darstellt. Diese Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen.

Außerdem besteht das Risiko von Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände. In den vergangenen Jahren hat die Zahl der Abmahnungen wegen fehlerhafter Datenschutzerklärungen deutlich zugenommen. Die Kosten einer solchen Abmahnung können schnell mehrere tausend Euro betragen. Auch Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO sind möglich, wenn durch die fehlende Information ein Schaden entstanden ist.

Besonders brisant ist die Situation, wenn Daten an Empfänger in unsicheren Drittländern übermittelt werden, ohne dass dies in der Datenschutzerklärung transparent gemacht wird. In solchen Fällen können Aufsichtsbehörden nicht nur Bußgelder verhängen, sondern auch die Datenübermittlung untersagen — was erhebliche operative Auswirkungen haben kann. Eine sorgfältige und vollständige Datenschutzerklärung ist daher nicht nur eine rechtliche Pflicht, sondern schützt das Unternehmen vor erheblichen wirtschaftlichen Risiken.

Abschließend sei darauf hingewiesen, dass die Datenschutzerklärung nicht als einmaliges Dokument betrachtet werden sollte. Sie ist ein lebendiges Dokument, das bei jeder Änderung der Datenverarbeitungsprozesse, bei jedem Wechsel eines Dienstleisters und bei jeder neuen geschäftlichen Beziehung aktualisiert werden muss. Ein professioneller externer Datenschutzbeauftragter kann hierbei wertvolle Unterstützung leisten, indem er die Datenschutzerklärung regelmäßig überprüft und bei Bedarf anpasst. So stellen Sie sicher, dass Ihre Datenschutzerklärung laufend den aktuellen rechtlichen Anforderungen entspricht und Ihr Unternehmen optimal vor rechtlichen Risiken geschützt ist.

Sie benötigen Unterstützung bei der Formulierung Ihrer Datenschutzerklärung? Kontaktieren Sie hier unser Team an Experten. Wir helfen Ihnen gerne weiter!