Urteil zu Datenschutz

Internetnutzung am Arbeitsplatz, grenzüberschreitende Verarbeitung von personenbezogenen Daten

Informationspflichten bei Dritt- und Direktwerbung in der DS-GVO

Bedeutung der Informati­ons­pflichten
Die Informati­ons­pflichten bilden die Basis für die Ausübung der Betroffe­nenrechte (insbesondere der Art. 15 ff. DS-GVO). Nur wenn die betroffene Person weiß, dass personenbezogene Daten über sie verarbeitet werden, kann sie diese Rechte ausüben. Die Informati­ons­pflichten gemäß der DS-GVO gehen daher weit über die bisherige Rechtslage hinaus und müssen beachtet werden, sofern keine Ausnahme­vor­schriften greifen.

Informati­ons­pflichten bei Direkterhebung
Bei der Informati­onspflicht im Falle der Direkterhebung wird zwischen den Informationen unterschieden, die der betroffenen Person mitzuteilen sind (Art. 13 Abs. 1 DS-GVO) und solchen, die zur Verfügung zu stellen sind, um eine faire und transparente Verarbeitung der personen­bezogenen Daten zu gewährleisten (Art. 13 Abs. 2 DS-GVO).
Beispiele für Informationen aus Art. 13 Abs. 1 sind der Name und die Kontaktdaten des Verantwotlichen oder der Zweck der Datenver­arbeitung und die Rechtsgrundlage.
Beispiele für Informationen aus Art. 13 Abs. 2 sind die geplante Speicherdauer oder die Betroffe­nenrechte.

Informati­ons­pflichten bei Dritterhebung
Auch im Falle einer Dritterhebung unterscheidet die DS-GVO zwischen mitzuteilenden Informationen (Art. 14 Abs. 1 DS-GVO) und zusätzlichen Informationen, die zur Gewährung einer fairen und transparenten Verarbeitung zur Verfügung zu stellen sind (Art. 14 Abs. 2 DS-GVO).
Art und Inhalt der mitzuteilenden bzw. der zur Verfügung zu stellenden Informationen entsprechen in wesentlichen Teilen denjenigen, die auch im Falle einer Direkterhebung mitgeteilt werden müssen.
Allerdings hat die betroffenen Person im Gegensatz zur Direkterhebung nicht an der Datenerhebung mitgewirkt und somit auch keine Kenntnis darüber, welche personen­bezogenen Daten erhoben wurden. Daher ist der Verantwortliche verpflichtet, die Kategorien der verarbeiteten personen­bezogenen Daten mitzuteilen.
Bei der Dritterhebung ist zudem die Datenquelle anzugeben und, ob es sich dabei um eine öffentlich zugängliche Quelle handelt.
Weiterhin ist zu beachten, dass Angaben über die berechtigten Interessen des Verantwortlichen oder eines Dritten nicht - wie bei der Direkterhebung - unter die mitzuteilenden Informationen fallen, sondern im Rahmen der zusätzlichen Informationen zur Verfügung gestellt werden müssen.

Zweckänderung und Übermittlung
Die Informati­ons­pflichten im Falle einer Zweckänderung gelten sowohl für die Direkterhebung als auch für die Dritterhebung.
Die Übermittlung an einen Dritten ist häufig eine Zweckänderung, so dass schon aus diesem Grund vor der Übermittlung die betroffene Person entsprechend zu informieren ist.

Zeitpunkt der Erfüllung der Informati­ons­pflichten
Bei der Direkterhebung müssen die Informationen zum Zeitpunkt der Erhebung der Daten mitgeteilt bzw. zur Verfügung gestellt werden.
Im Falle der Dritterhebung ist der Verantwortliche verpflichtet, die Informationen nachträglich innerhalb einer angemessen Frist nach Erlangung der Daten mit einer Maximaldauer von einem Monat mitzuteilen.

Ausnahmen
Die Informati­ons­pflichten nach den Art. 13 und 14 DS-GVO bestehen nicht, wenn und soweit die betroffene Person bereits über die Informationen verfügt. Im Falle der Dritterhebung bestehen darüber hinaus keine Informati­ons­pflichten, wenn die Informati­ons­erteilung sich z.B. als unmöglich erweist oder einen unverhält­nismäßigen Aufwand erfordern würde, die Daten aus einem Berufsgeheimnis unterliegen oder die Erlangung durch Rechtsvorschrift ausdrücklich geregelt ist.

Form der Informati­onspflicht
Die Informationen sind in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache zu übermitteln. Die Informationen sind schriftlich oder in anderer Form (ggf. elektronisch) zur Verfügung zu stellen.

Nachweise der Informati­ons­pflichten
Der Verantwortliche hat im Hinblick auf das Transparenzgebot stets den Nachweis einer ordnungsgemäßen Erledigung der Informati­ons­pflichten zu erbringen.

Folgen eines Verstoßes
Der Verstoß gegen die Informati­ons­pflichten kann mit einer Geldbuße bestraft werden.

Empfehlung
Es ist für Verantwortliche im eigenen Interesse ratsam, rechtzeitig die nach Art. 25 DS-GVO erforderlichen technischen und organisa­torischen Maßnahmen für eine zügige und korrekte Erfüllung der Informati­ons­pflichten zu treffen.

Quelle: Kurzpapiere der Datenschutz­konferenz