Informationspflichten

Werden die Daten direkt bei der betroffenen Person erhoben, so sind dieser bereits zum Zeitpunkt der Erhebung im Wesentlichen folgende Angaben zu übermitteln:

1. der Name und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters und gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
2. die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
3. die zugrunde liegenden berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern die Verarbeitung aufgrund dieser Interessen erfolgt;
4. gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
5. die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
6. das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
7. wenn die Verarbeitung auf einer Einwilligung beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird sowie das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
8. ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte.

In Sonderfällen sind weitere Angaben erforderlich, beispielsweise bei Datenübermittlungen in Drittländer.

Sollen die personenbezogenen Daten für einen anderen Zweck weiterverarbeitet werden als den, für den sie erhoben wurden, so sind der betroffenen Person vor der Weiterverarbeitung die Informationen nach Artikel 13 Absatz 3 DSGVO zur Verfügung zu stellen.
Das »Mitteilen« der Informationen nach Artikel 13 DSGVO durch den Verantwortlichen an die betroffene Person setzt kein aktives Vermitteln (gar gegen Unterschriftsleistung) an die betroffene Person voraus. Es ist vielmehr als ein »zur Verfügung stellen« durch den Verantwortlichen zu verstehen. Dieser hat der betroffenen Person Gelegenheit zu geben, sich die Informationen durchzulesen. Der Verantwortliche muss dies »durch geeignete Maßnahmen« (Artikel 12 Absatz 1 der Datenschutz-Grundverordnung) sicherstellen, die sich gegenseitig ergänzen können. Solche Maßnahmen können etwa ein Aushang, ein Link in der Signatur einer E-Mail, ein Info-Blatt, eine Erklärung auf der Webseite oder ein Textteil im Vertrag sein. Entscheidend ist, dass die betroffene Person die Informationen nach Artikel 13 der Datenschutz-Grundverordnung leicht und einfach erlangen kann, wenn sie dies wünscht.

Bitte beachten Sie: All dies findet keine Anwendung, wenn und soweit die betroffene Person bereits über die geforderten Informationen verfügt, zum Beispiel indem der Verantwortliche sie durch ein Merkblatt bereits informiert hat.

Wenn die Daten nicht direkt bei der betroffenen Person erhoben wurden, richten sich die Informationspflichten nach Artikel 14 DSGVO. Danach hat der Verantwortliche der betroffenen Person folgende Informationen mitzuteilen:

1. der Name und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters und gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
2. die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
3. die zugrunde liegenden berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern die Verarbeitung aufgrund dieser Interessen erfolgt;
4. gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
5. die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
6. das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
7. wenn die Verarbeitung auf einer Einwilligung beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird sowie das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
8. ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte;
9. welche Daten oder Datenkategorien verarbeitet werden sowie
   10. aus welcher Quelle die personenbezogenen Daten stammen.

Ist beabsichtigt, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten, sind nach Artikel 14 Absatz 4 DSGVO unter anderem die Informationen über den anderen Zweck mitzuteilen.

Die oben beschriebenen Informationspflichten finden jedoch keine Anwendung, wenn und soweit die betroffene Person bereits über die aufgeführten Informationen verfügt, zum Beispiel indem Sie als Verantwortlicher die betroffene Person durch ein Merkblatt aufgeklärt haben, oder wenn der betroffenen Person die Informationen nicht erteilt werden können oder wenn die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen Sie als Verantwortlicher unterliegen und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder wenn die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht Deutschlands oder Sachsens dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.

Bei der Erhebung bei der betroffenen Person müssen die Informationspflichten bereits bei der Erhebung der Daten erfüllt werden. Werden die Informationen aus dritter Quelle erhoben, muss der für die Verarbeitung Verantwortliche seiner Informationenpflicht unter Berücksichtigung der spezifischen Umstände der Verarbeitung der Daten innerhalb einer angemessenen Frist nach Erlangung der Daten, längstens jedoch innerhalb eines Monats, nachkommen. Falls die Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, ist der Informationspflicht spätestens zum Zeitpunkt der ersten Mitteilung nachzukommen. Ist eine Weitergabe an einen anderen Empfänger beabsichtigt, ist die betroffene Person spätestens bei Weitergabe in Kenntnis zu setzen.

Die Übermittlung der Informationen hat unentgeltlich und schriftlich oder in anderer Form, gegebenenfalls in elektronischer Form, zu erfolgen. Die Information kann zum Beispiel auf einer Webseite bereitgestellt werden, wenn sie für die Öffentlichkeit bestimmt ist. Dies gilt insbesondere für Situationen, in denen die große Zahl der Beteiligten und die Komplexität der dazu benötigten Technik es der betroffenen Person schwer machen, zu erkennen und nachzuvollziehen, ob, von wem und zu welchem Zweck sie betreffende personenbezogene Daten erhoben werden (siehe Erwägungsgrund 60). Zum Beispiel ist dies bei der Videoüberwachung der Fall. Die Grundverordnung sieht unter anderem vor, dass die Informationen auch in Kombination mit standardisierten Bildsymbolen bereitgestellt werden können, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie nach der Datenschutz-Grundverordnung jedoch maschinell lesbar sein.

Der Verantwortliche hat sicherzustellen, dass die Information nur der betroffenen Person oder einer von ihr bevollmächtigten Person erteilt wird und die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden. Als datenschutzfreundlichste Variante wird in Erwägungsgrund 63 Satz 4 der Datenschutz-Grundverordnung ein Fernzugriff der betroffenen Person auf ihre eigenen Daten über ein sicheres System bezeichnet.

In der Regel nicht. Behörden erlangen personenbezogene Daten ausschließlich auf gesetzlicher Grundlage, entweder im Wege des zielgerichteten Beschaffens (Erheben) oder als »Beifang« (Erlangen). In beiden Fällen kommt in der Regel die Ausnahmevorschrift des Artikel 14 Absatz 5 Buchstabe c DSGVO zum Tragen: Die Informationspflichten nach Artikel 14 Absatz 1 bis 3 DSGVO finden keine Anwendung, wenn die Erlangung der Daten durch EU-, deutsche oder sächsische Rechtsvorschriften ausdrücklich geregelt ist und diese Rechtsvorschriften geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen. Das ist in der Regel bei Rechtsvorschriften, die die Tätigkeit von Behörden regeln, der Fall. Daher braucht eine Behörde in der Regel keine Informationspflichten nach Artikel 14 Absatz 1 bis 3 DSGVO zu erfüllen.

Beispiel:

Der Sächsische Rechnungshof (SRH) erhebt zu Kontrollzwecken – manchmal als bloßen »Beifang«, manchmal zielgerichtet – viele personenbezogene Daten bei anderen Behörden oder sogar Privaten. Seine Rechtsgrundlage hierfür sind die §§ 88 ff. Sächsische Haushaltsordnung, die ihm die Erhebung solcher Daten zu Prüfungszwecken erlaubt. In diesem Fall kommt die Ausnahmeregelung des Artikel 14 Absatz 5 Buchstabe c DSGVO zur Anwendung: Die Erlangung der personenbezogenen Daten durch den Sächsischen Rechnungshof ist durch EU-, deutsche oder sächsische Rechtsvorschriften, hier unter anderem durch die §§ 88 ff. Sächsische Haushaltsordnung, ausdrücklich geregelt; diese Rechtsvorschriften sehen auch geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vor, hier unter anderem § 12 Rechnungshofgesetz (Beratungsgeheimnis).