Data Recipient
Definition: Ein Data Recipient ist eine natürliche oder juristische Person, Behörde oder Stelle, an die personenbezogene Daten offengelegt werden. Der Begriff ist in der DSGVO definiert und umfasst sowohl interne Empfänger als auch externe Dritte. Verantwortliche müssen Empfänger transparent benennen, um die gesetzlichen Informationspflichten zu erfüllen.
Data Recipient: Definition und rechtliche Einordnung
Der Begriff Data Recipient (deutsch: Empfänger) ist ein zentraler Ankerpunkt im Datenschutzrecht. Die Datenschutz-Grundverordnung (DSGVO) definiert ihn in Artikel 4 Nummer 9 als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, an die personenbezogene Daten offengelegt werden. Diese Definition ist bewusst weit gefasst. Sie erfasst nicht nur externe Dienstleister oder Konzernunternehmen, sondern auch interne Abteilungen, sofern diese nicht weisungsgebunden im Auftragsverhältnis tätig werden.
Die Abgrenzung zum Auftragsverarbeiter ist entscheidend. Ein Auftragsverarbeiter handelt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Er ist kein Empfänger im Sinne der Informationspflichten, wenn er die Daten nicht für eigene Zwecke nutzt. Ein Data Recipient hingegen kann die Daten eigenständig verwenden. Diese Unterscheidung prägt die gesamte Compliance-Architektur eines Unternehmens.
Die Frage „Wer ist hier Empfänger?“ entscheidet darüber, ob eine Auftragsverarbeitung oder eine Übermittlung vorliegt. Davon hängen Vertragspflichten, Transparenzpflichten und gegebenenfalls die Notwendigkeit einer Einwilligung ab.
Informationspflichten und Transparenz gegenüber betroffenen Personen
Der Verantwortliche muss betroffene Personen gemäß Artikel 13 und 14 DSGVO umfassend informieren. Dazu gehört die Nennung der Empfänger oder Empfängerkategorien personenbezogener Daten. Diese Pflicht besteht unabhängig davon, ob die Daten direkt bei der betroffenen Person erhoben wurden oder aus anderen Quellen stammen.
In der Praxis stellt sich häufig die Frage: Sollen konkrete Empfänger oder nur Kategorien benannt werden? Die DSGVO erlaubt beides. Die Benennung von Kategorien ist zulässig, wenn der Verantwortliche ein berechtigtes Interesse daran hat, konkrete Empfänger nicht zu nennen. Das ist etwa bei strategischen Vertriebspartnern oder spezifischen IT-Dienstleistern der Fall. Allerdings muss die Kategorie so präzise sein, dass die betroffene Person die Datenflüsse realistisch nachvollziehen kann.
| Empfängertyp | Beispiel | Rechtsgrundlage der Offenlegung |
|---|---|---|
| Externer Dienstleister | Cloud-Hoster, Zahlungsdienstleister | Art. 28 DSGVO (Auftragsverarbeitung) |
| Eigenständiger Verantwortlicher | Steuerberater, Rechtsanwalt | Art. 6 Abs. 1 lit. b oder f DSGVO |
| Öffentliche Stelle | Finanzamt, Strafverfolgungsbehörde | Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) |
| Konzernunternehmen | Muttergesellschaft, Shared Service Center | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
Abgrenzung zu verwandten Rollen: Verantwortlicher, Auftragsverarbeiter und Dritter
Der Data Recipient ist nicht mit dem Verantwortlichen gleichzusetzen. Der Verantwortliche legt Zwecke und Mittel der Verarbeitung fest. Der Empfänger hingegen ist lediglich die Zieladresse einer Offenlegung. Er kann selbst Verantwortlicher sein, muss es aber nicht. Ein Auftragsverarbeiter, der weisungsgebunden tätig wird, gilt nach der Legaldefinition nicht als Dritter. Er ist jedoch ein Empfänger, wenn man die Definition wörtlich nimmt – mit einer wichtigen Einschränkung: Die Informationspflicht nach Artikel 13 DSGVO bezieht sich auf Empfänger, die eigenständig verarbeiten.
Die Rolle des Dritten ist wiederum anders gelagert. Ein Dritter ist jede Person oder Stelle außerhalb des Verantwortlichen, des Auftragsverarbeiters und der Personen, die unter der unmittelbaren Verantwortung dieser Stellen handeln. Jeder Dritte kann ein Empfänger sein, aber nicht jeder Empfänger ist ein Dritter. Diese Feinheiten sind für Compliance-Teams relevant, die Verträge mit Dienstleistern, Konzerngesellschaften und öffentlichen Stellen ausgestalten.
Data Recipient im Kontext von B2B-Software und kommerziellen Datenflüssen
Im B2B-SaaS-Umfeld begegnet der Begriff in mehreren Facetten. Ein Software-Anbieter, der Kundendaten an eine Analyse-Plattform übermittelt, schafft einen Data Recipient. Gleiches gilt für die Übergabe von Lead-Daten an einen Vertriebspartner im Rahmen eines Channel-Programms. Aus kommerzieller Sicht ist die Frage relevant, ob der Empfänger die Daten für eigene Zwecke nutzen darf – etwa für Cross-Selling oder Marktanalysen. Das erweitert den Datenfluss von einer reinen Auftragsverarbeitung zu einer eigenständigen Verarbeitung mit eigener Rechtsgrundlage.
Die Schnittstelle zu anderen Fachbereichen ist offensichtlich. Im Marketing spricht man von Datenweitergabe an Ad-Tech-Plattformen. Im Vertrieb von Datenweitergabe an Reseller. In der Buchhaltung von Übermittlung an Steuerberater. Allen gemein ist die datenschutzrechtliche Einordnung als Offenlegung an einen Empfänger. Wer diese Einordnung ignoriert, riskiert Abmahnungen, Bußgelder und Reputationsschäden.
Ein pragmatischer Ansatz: Führen Sie ein lebendes Verzeichnis aller Empfänger. Aktualisieren Sie es bei jeder Vertragsänderung. Nur so bleiben Informationspflichten und Vertragsgestaltung konsistent.
Praktische Implikationen für Compliance, Vertragsgestaltung und Datenfluss-Management
Die Identifikation von Data Recipients ist kein einmaliges Projekt. Sie erfordert ein kontinuierliches Datenfluss-Mapping. Jede neue Software, jeder neue Dienstleister und jede neue Kooperation muss daraufhin geprüft werden, ob personenbezogene Daten offengelegt werden. Daraus ergeben sich konkrete Pflichten: Vertragliche Absicherung durch Auftragsverarbeitungsverträge oder separate Vereinbarungen, Eintragung im Verarbeitungsverzeichnis und die Aktualisierung der Datenschutzerklärung.
Für Unternehmen mit internationalen Datenflüssen kommt die Frage des Drittlandtransfers hinzu. Ein Empfänger in den USA oder Asien erfordert zusätzliche Garantien wie Standardvertragsklauseln oder Angemessenheitsbeschlüsse. Die Rolle des Empfängers beeinflusst auch die Risikobewertung im Rahmen einer Datenschutz-Folgenabschätzung. Je mehr eigenständige Verarbeitungsbefugnisse der Empfänger hat, desto höher das Risiko für die betroffenen Personen und desto strenger die Anforderungen an die rechtliche Absicherung.
« Back to Glossary Index