Welche Daten und Informationen erheben und verarbeiten Verantwortliche? Darüber müssen sie gemäß Artikel 13 und 14 der Datenschutz-Grundverordnung (DSGVO) die betroffenen Personen aufklären.
Diese Verpflichtung zur Information bildet gleichzeitig die Grundlage für das Auskunftsrecht der Betroffenen. Denn wenn eine betroffene Person nicht weiß, dass jemand Daten über sie verarbeitet, kann sie schwerlich von ihrem Recht Gebrauch machen.
➧ Wer hat die Daten erhoben?
In der Praxis sind zwei Fälle denkbar, wie ein Verantwortlicher an die personenbezogenen Daten einer betroffenen Person gelangt:
- zum einen durch Direkterhebung, das heißt bei den Betroffenen selbst
- zum anderen durch die Erhebung mittels eines Dritten
In beiden Fällen ist der Verarbeiter verpflichtet, der betroffenen Person sämtliche in Artikel 13 Absatz 1 beziehungsweise Artikel 14 Absatz 1 DSGVO aufgelisteten Informationen bereitzustellen.
Dazu gehören unter anderem Name und Kontaktdaten des Verantwortlichen, gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten und die Zwecke sowie Rechtsgrundlagen für die Verarbeitung.
- Im Falle der Direkterhebung muss der Verantwortliche diese Information zum Zeitpunkt der Erhebung übermitteln.
- Bei der Dritterhebung muss die Information spätestens einen Monat nach der Erhebung erfolgen, so die Datenschutzkonferenz (DSK) als Gremium der Datenschutzaufsichtsbehörden.
➧ Welchen Inhalt muss die Information haben?
Die Betroffenen haben einen Anspruch auf Informationen darüber,
- wer der Verantwortliche ist und wie die betroffene Person den Datenschutzbeauftragten kontaktieren kann,
- zu welchem Zweck der Verantwortliche die Daten verarbeitet,
- welche Daten / Datenkategorien betroffen sind,
- wie lange das Unternehmen oder die Behörde die Daten speichert und aufbewahrt,
- ob eine Weitergabe und Übermittlung stattfindet mit Empfänger und Grund für die Übermittlung,
- ob der Verantwortliche Daten ins Ausland übermittelt, mit Angabe des Empfängerlands und des Zwecks der Übermittlung,
- welche Rechte der Betroffene nach DSGVO hat,
- woher die Daten stammen,
- ob der Verantwortliche Profiling betreibt und
- dass sie das Recht haben, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren.
➧ Auf welchem Weg muss ein Verantwortlicher informieren?
Die DSGVO schreibt keine bestimmte Form der Information vor. Sie kann in schriftlicher oder in anderer Form, gegebenenfalls auch elektronisch, erfolgen.
Grundsätzlich sollte der Verantwortliche für die Übermittlung das gleiche Medium nutzen, über das auch der oder die Betroffene kommuniziert hat.
Bei Brief oder Fax dürfen die weitergehenden Informationen auch online zur Verfügung stehen. Die betroffene Person kann zum Beispiel durch Abrufen eines Links oder Scannen eines QR-Codes auf eine Webseite mit den vollständigen Informationen gelangen.
In der Online-Kommunikation, also z.B. bei einer E-Mail, reicht ein gut sichtbarer Link. Dieser Link verweist auf eine Website, auf der etwa die Datenschutzerklärung alle erforderlichen Informationen zur Verfügung stellt.
Ein ähnlicher Weg empfiehlt sich bei mobilen Apps, da die Datenschutzerklärung auf den eher kleinen Displays der Smartphones nicht so gut zu lesen sein kann.
