DSGVO – Informationspflicht

Es besteht die Notwendigkeit der Transparenz bezüglich der Erhebung und Nutzung von Daten, um den EU-Bürgern zu ermöglichen, ihr Recht auf Schutz personenbezogener Daten auszuüben. Daher gibt die Datenschutz-Grundverordnung (DSGVO) Einzelpersonen das Recht, über die Erhebung und Nutzung ihrer personenbezogenen Daten informiert zu werden, was zu einer Vielzahl von Informationspflichten des Verantwortlichen führt.
Das Gesetz unterscheidet zwischen zwei Fällen: Einerseits, wenn personenbezogene Daten direkt bei der betroffenen Person erhoben werden (Art. 13 der DSGVO) und andererseits, wenn dies nicht der Fall ist (Art. 14 der DSGVO).

Wenn Daten direkt erhoben werden, muss die Person unverzüglich informiert werden, also zum Zeitpunkt der Datenerhebung. Inhaltlich umfasst die Informationspflicht des Verantwortlichen seine Identität, die Kontaktdaten des Datenschutzbeauftragten (falls vorhanden), die Verarbeitungszwecke und die Rechtsgrundlage, etwaige berechtigte Interessen, die Empfänger bei der Übermittlung personenbezogener Daten sowie jede Absicht, personenbezogene Daten in Drittländer zu übermitteln. Darüber hinaus umfasst das Recht auf Information auch Angaben zur Speicherdauer, den Rechten der betroffenen Person, die Möglichkeit des Widerrufs der Einwilligung, das Recht zur Beschwerde bei den Behörden und ob die Bereitstellung personenbezogener Daten eine gesetzliche oder vertragliche Verpflichtung darstellt. Zudem muss die betroffene Person über eventuelle automatisierte Entscheidungsfindungen einschließlich Profiling informiert werden. Nur wenn die betroffene Person bereits über die oben genannten Informationen Bescheid weiß, ist es nicht erforderlich, diese bereitzustellen.

Wenn personenbezogene Daten nicht von der betroffenen Person erhoben werden, muss ihr die Information innerhalb eines angemessenen Zeitraums, spätestens jedoch nach einem Monat, bereitgestellt werden. In Fällen, in denen die gesammelten Informationen verwendet werden, um die betroffene Person direkt zu kontaktieren, hat sie das Recht, unmittelbar bei der Kontaktaufnahme informiert zu werden. Was den Inhalt betrifft, hat der Verantwortliche dieselben spezifischen Informationen bereitzustellen, als ob die personenbezogenen Daten direkt von der betroffenen Person erhoben worden wären. Die einzige Ausnahme sind die Informationen über etwaige Verpflichtungen zur Bereitstellung der personenbezogenen Daten, da der Verantwortliche in diesem Fall nicht die Entscheidungsbefugnis hat. Darüber hinaus ist der Verantwortliche verpflichtet, über die Quellen zu informieren, aus denen die personenbezogenen Daten stammen, und ob sie öffentlich verfügbar waren. Die betroffene Person hat das Recht, in präziser, transparenter, verständlicher und leicht zugänglicher Form informiert zu werden. Die Informationspflicht kann schriftlich oder in elektronischer Form erfüllt werden. Es wird ausdrücklich darauf hingewiesen, dass sogenannte ’standardisierte Piktogramme‘ verwendet werden können, um einen sinnvollen Überblick über die beabsichtigte Verarbeitung in leicht verständlicher, nachvollziehbarer und klarer Form zu vermitteln.

Wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, besteht in Ausnahmefällen keine Informationspflicht. Dies gilt, wenn die Bereitstellung der Informationen entweder unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist, die Erhebung und/oder Übermittlung gesetzlich vorgeschrieben ist oder wenn die Daten aufgrund von Berufsgeheimnissen oder anderen gesetzlichen Geheimhaltungspflichten vertraulich bleiben müssen.