Betroffene im Datenschutz ausreichend und DS-GVO-konform informieren

Wichtige Fakten zu den datenschutzrechtlichen Informationspflichten

Aus der Datenschutz-Grundverordnung (DS-GVO) ergeben sich Informationspflichten der Verantwortlichen gegenüber Betroffener. Sie sollen sicherstellen, dass betroffene Personen nachvollziehen können, wer ihre personenbezogenen Daten verarbeitet, zu welchem Zweck dies geschieht und welche Rechte ihnen zustehen.

Das bedeutet, wer personenbezogene Daten verarbeitet (egal in welcher Form), muss die Person, deren Daten verarbeitet werden, darüber informieren. Dazu gibt es einige Vorgaben zu beachten, auf die wir hier noch einmal eingehen werden.

Verständliche und transparente Information

Informationspflichten sollen verständlich und transparent sein und müssen vor der Datenerhebung erfolgen. Darüber hinaus müssen sie präzise und leicht zugänglich sein. Die Sprache muss klar und einfach formuliert werden. Informationspflichten müssen grundsätzlich schriftlich oder in einer anderen geeigneten Form bereitgestellt werden. Bei elektronischen Angeboten müssen Informationspflichten auch digital zugänglich sein.

Eine Datenschutzerklärung darf daher nicht nur rechtlich vollständig, sondern muss auch praktisch verständlich sein. Lange, unstrukturierte Textblöcke erfüllen den Transparenzgedanken nur eingeschränkt.

BLOG-TIPP: KI-DATENSCHUTZ UND GOVERNANCE

Informationspflichten – direkte oder indirekte Datenerhebung

Um eine direkte Datenerhebung handelt es sich, wenn Unternehmen oder Organisationen die personenbezogenen Daten direkt bei der Person erheben. Typische Beispiele sind: Kontakt- und Anfrageformulare, Newsletter-Anmeldungen, Bewerbungen, Vertragsabschlüsse, Kundenkonten, Videoüberwachung, Gewinnspiele, Veranstaltungen und Schulungen.

Wenn personenbezogene Daten nicht direkt bei der betroffenen Person erhoben wurden, handelt es sich um eine indirekte Datenerhebung (Art. 14 DS-GVO), wie zum Beispiel Adressdaten aus öffentlich zugänglichen Quellen, Daten von Geschäftspartnern, Informationen von Konzernunternehmen, Daten aus Vermittlungs- oder Auskunfteisystemen, Kontaktdaten, die ein anderer Ansprechpartner übermittelt hat.

Bei einer solchen Datenerhebung müssen Verantwortliche zusätzlich in den Informationspflichten angeben, aus welcher Quelle die Daten stammen und ob die Daten aus öffentlich zugänglichen Quellen stammen.

Ausnahmen bei Informationspflichten bei Artikel 14

Die Informationspflicht nach Art. 14 DSGVO kann unter bestimmten Voraussetzungen entfallen. Das gilt beispielsweise, wenn:

• die betroffene Person bereits über die Informationen verfügt,
• die Informationserteilung unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde,
• die Datenerhebung oder Offenlegung gesetzlich geregelt ist,
• eine gesetzliche Geheimhaltungspflicht besteht.

Diese Ausnahmen sollten nicht pauschal angenommen werden. In der Regel muss nachvollziehbar dokumentiert werden, warum eine Ausnahme angewendet wird.

BLOG-TIPP: DATENSCHUTZ STRUKTURIERT, EFFIZIENT UND ZUKUNFTSSICHER ORGANISIEREN

Informationspflichten bei Änderungen

Ändern sich wesentliche Umstände einer Verarbeitung, sollte die Datenschutzerklärung aktualisiert werden. Bei einer Zweckänderung gelten zusätzliche Anforderungen, insbesondere nach Art. 13 Abs. 3 und Art. 14 Abs. 4 DSGVO.

Datenschutzerklärung allein reicht nicht immer aus

Eine zentrale Datenschutzerklärung auf der Website deckt nicht automatisch alle Informationspflichten ab. Unternehmen sollten die Informationen dort bereitstellen, wo personenbezogene Daten erhoben oder verarbeitet werden.

Verantwortlichkeiten und Nachweisbarkeit

Verantwortlich ist grundsätzlich das Unternehmen oder die Organisation, die über Zwecke und Mittel der Verarbeitung entscheidet. Die Umsetzung sollte organisatorisch festgelegt und dokumentiert werden. Die Informationspflichten stehen außerdem im Zusammenhang mit den weiteren Betroffenenrechten, etwa dem Auskunftsrecht nach Art. 15 DSGVO.

Welche Inhalte muss eine Datenschutzinformation enthalten?

Eine Datenschutzinformation soll betroffenen Personen verständlich vermitteln, was mit ihren personenbezogenen Daten geschieht. Die wesentlichen Vorgaben ergeben sich aus Art. 13 und Art. 14 DSGVO. Art. Diese sind u.a.:

• Name und Kontaktdaten des Unternehmens oder der Organisation, Anschrift, Verantwortlicher
• gegebenenfalls Kontaktdaten des Datenschutzbeauftragten
• Zwecke der Verarbeitung
• Rechtsgrundlage der Verarbeitung
• Empfänger und Dienstleister
• Übermittlung in Drittländer
• Speicherdauer
• Rechte betroffener Personen
• Automatisierte Entscheidungen und Profiling
• Herkunft der Daten bei indirekter Erhebung
• Informationen über weitere Zwecke

BLOG-TIPP: DATENSCHUTZERKLÄRUNG FÜR DIE HOMEPAGE

Checkliste für die Praxis

In unserer Checkliste wollen wir noch einmal übersichtlich die wichtigsten Fragen für Unternehmen und Organisation festlegen:

• Welche personenbezogenen Daten werden verarbeitet?
• Wo werden die Daten erhoben?
• Werden sie direkt oder indirekt erhoben?
• Wer ist für die Verarbeitung verantwortlich?
• Welchem Zweck dient die Verarbeitung?
• Welche Rechtsgrundlage wird verwendet?
• Welche Empfänger erhalten die Daten?
• Wie lange werden die Daten gespeichert?
• Welche Rechte müssen genannt werden?
• Wurde über Drittlandübermittlungen informiert?
• Sind die Informationen aktuell und verständlich?
• Ist die Umsetzung dokumentiert?

Informationspflichten regelmäßig überarbeiten

Informationspflichten sind ein fortlaufender Organisationsprozess und sollten regelmäßig geprüft und aktualisiert werden. Eine Datenschutzerklärung ist dabei nur ein Teil der Umsetzung. Entscheidend ist, dass Informationen rechtzeitig, verständlich und am richtigen Kontaktpunkt bereitgestellt werden. Unternehmen sollten ihre Verarbeitungsvorgänge regelmäßig prüfen und die Hinweise an neue Prozesse anpassen.

Das Team von Datenschutzberater.NRW bietet Organisationen unterschiedlicher Art Beratung im Datenschutz an. Mit unseren Fachleuten aus dem Bereich Datenschutz, IT und Steuerrecht erstellen wir Ihnen gerne ein individuelles Angebot für eine Datenschutz-Erstberatung, die Betreuung durch einen externen Datenschutzbeauftragten und entwickeln ein für Sie passendes Konzept. Nehmen Sie einfach Kontakt zu uns auf.

Wir betreuen Mandanten bundesweit. Lesen Sie mehr zu unserem individuellen Angebot. Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten.