Erhebung personenbezogener Daten

Die Erhebung personenbezogener Daten bezeichnet das Beschaffen von Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Sie ist eine Form der Verarbeitung nach Art. 4 Nr. 2 der Datenschutz-Grundverordnung (DS-GVO). Unternehmen dürfen personenbezogene Daten nur erheben, wenn hierfür eine geeignete Rechtsgrundlage besteht und die datenschutzrechtlichen Grundsätze eingehalten werden. Besondere Bedeutung haben dabei die Zweckbindung, Datenminimierung und Informationspflichten gegenüber den betroffenen Personen.

Was bedeutet die Erhebung personenbezogener Daten?

Die Erhebung ist ein Verarbeitungsvorgang im Sinne des Art. 4 Nr. 2 DS-GVO. Sie umfasst das Beschaffen personenbezogener Informationen, unabhängig davon, ob dies manuell oder automatisiert erfolgt.

Eine Datenerhebung liegt beispielsweise vor, wenn ein Unternehmen Kundendaten bei einer Bestellung entgegennimmt, Bewerbungsunterlagen erhält oder Informationen über die Nutzung seiner Website erfasst.

Auch automatisch aufgezeichnete IP-Adressen oder Standortdaten können Gegenstand einer Datenerhebung sein, sofern sie einen Personenbezug aufweisen.

Die Erhebung ist von anderen Verarbeitungsvorgängen wie der Speicherung, Auswertung, Übermittlung oder Löschung zu unterscheiden. Für jeden Verarbeitungsvorgang müssen die jeweils einschlägigen datenschutzrechtlichen Anforderungen eingehalten werden.

Was ist der Unterschied zwischen direkter und indirekter Datenerhebung?

Personenbezogene Daten können unmittelbar bei der betroffenen Person oder aus anderen Quellen erhoben werden. Die Unterscheidung ist insbesondere für die Informationspflichten nach der DS-GVO relevant.

Direkte Datenerhebung

Bei einer direkten Datenerhebung erhält der Verantwortliche die personenbezogenen Daten unmittelbar von der betroffenen Person.

Dies ist beispielsweise der Fall, wenn ein Kunde seine Kontaktdaten bei einer Onlinebestellung eingibt oder ein Bewerber seine Bewerbungsunterlagen an ein Unternehmen übermittelt.

In diesen Fällen gelten grundsätzlich die Informationspflichten nach Art. 13 DS-GVO. Die erforderlichen Informationen müssen der betroffenen Person zum Zeitpunkt der Erhebung bereitgestellt werden, soweit sie darüber nicht bereits verfügt.

Indirekte Datenerhebung

Bei einer indirekten Datenerhebung erhält der Verantwortliche personenbezogene Daten nicht unmittelbar von der betroffenen Person, sondern beispielsweise von einem Geschäftspartner oder aus einem öffentlichen Register.

Für solche Fälle gelten grundsätzlich die Informationspflichten nach Art. 14 DS-GVO. Dabei bestehen besondere Vorgaben zum Zeitpunkt der Information sowie gesetzlich geregelte Ausnahmen.

Die öffentliche Zugänglichkeit personenbezogener Daten bedeutet nicht, dass diese ohne geeignete Rechtsgrundlage für beliebige Zwecke erhoben und verarbeitet werden dürfen.

Unter welchen Voraussetzungen ist die Erhebung personenbezogener Daten erlaubt?

Die Erhebung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine geeignete Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO vorliegt.

Je nach Verarbeitungsvorgang kommen insbesondere folgende Rechtsgrundlagen in Betracht:

• Einwilligung: Die betroffene Person hat nach Art. 6 Abs. 1 lit. a DS-GVO wirksam in die Verarbeitung ihrer personenbezogenen Daten eingewilligt.
• Vertragserfüllung: Die Erhebung ist nach Art. 6 Abs. 1 lit. b DS-GVO für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person erforderlich.
• Rechtliche Verpflichtung: Die Verarbeitung ist nach Art. 6 Abs. 1 lit. c DS-GVO zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen erforderlich.
• Berechtigte Interessen: Die Erhebung ist nach Art. 6 Abs. 1 lit. f DS-GVO zur Wahrung berechtigter Interessen erforderlich, sofern die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.

Daneben sieht Art. 6 Abs. 1 DS-GVO weitere Rechtsgrundlagen vor, beispielsweise den Schutz lebenswichtiger Interessen oder die Wahrnehmung bestimmter Aufgaben im öffentlichen Interesse.

Eine Einwilligung ist somit nicht für jede Datenerhebung erforderlich. Entscheidend ist die für den konkreten Verarbeitungszweck einschlägige Rechtsgrundlage.

Zusätzlich müssen Unternehmen die Grundsätze des Art. 5 DS-GVO beachten:

• Zweckbindung: Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden.
• Datenminimierung: Die erhobenen Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein.
• Transparenz: Betroffene Personen müssen nachvollziehen können, wie und zu welchen Zwecken ihre Daten verarbeitet werden.
• Rechtmäßigkeit und Verarbeitung nach Treu und Glauben: Die Datenerhebung muss auf einer zulässigen Grundlage beruhen und die Rechte der betroffenen Personen berücksichtigen.

Für besondere Kategorien personenbezogener Daten, beispielsweise Gesundheitsdaten, gelten darüber hinaus die zusätzlichen Anforderungen des Art. 9 DS-GVO.

Welche Informationspflichten gelten bei der Datenerhebung?

Verantwortliche müssen betroffene Personen grundsätzlich über die Verarbeitung ihrer personenbezogenen Daten informieren. Welche Angaben erforderlich sind und wann diese bereitgestellt werden müssen, richtet sich insbesondere danach, aus welcher Quelle die Daten stammen.

Informationspflichten nach Art. 13 DS-GVO

Werden personenbezogene Daten unmittelbar bei der betroffenen Person erhoben, müssen die erforderlichen Informationen grundsätzlich zum Zeitpunkt der Erhebung bereitgestellt werden.

Dazu gehören insbesondere:

• Name und Kontaktdaten des Verantwortlichen,
• gegebenenfalls Kontaktdaten des Datenschutzbeauftragten,
• Zwecke und Rechtsgrundlagen der Verarbeitung,
• gegebenenfalls berechtigte Interessen des Verantwortlichen oder eines Dritten,
• gegebenenfalls Empfänger oder Kategorien von Empfängern,
• gegebenenfalls Informationen über Drittlandübermittlungen,
• Speicherdauer beziehungsweise Kriterien für deren Festlegung,
• Informationen über die Rechte der betroffenen Person.

Je nach Verarbeitungsvorgang sind weitere gesetzlich vorgeschriebene Angaben erforderlich.

Informationspflichten nach Art. 14 DS-GVO

Werden personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben, gelten grundsätzlich die Informationspflichten nach Art. 14 DS-GVO.

Zusätzlich muss der Verantwortliche insbesondere über die Kategorien der betreffenden personenbezogenen Daten und deren Herkunft informieren.

Die Information muss grundsätzlich innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats nach Erlangung der Daten erfolgen. Ist eine Kommunikation mit der betroffenen Person vorgesehen, muss die Information spätestens bei der ersten Mitteilung bereitgestellt werden. Bei einer beabsichtigten Offenlegung an einen anderen Empfänger ist grundsätzlich spätestens zum Zeitpunkt der ersten Offenlegung zu informieren.

Art. 14 Abs. 5 DS-GVO sieht gesetzliche Ausnahmen vor. Eine erneute Information ist beispielsweise nicht erforderlich, soweit die betroffene Person bereits über die entsprechenden Angaben verfügt. Unter bestimmten Voraussetzungen bestehen weitere Ausnahmen, etwa bei Unmöglichkeit oder unverhältnismäßigem Aufwand.

Die Informationen müssen nach Art. 12 DS-GVO in präziser, transparenter, verständlicher und leicht zugänglicher Form bereitgestellt werden.

Welche praktischen Pflichten müssen Unternehmen bei der Datenerhebung beachten?

Neben der Prüfung der Rechtsgrundlage und der Erfüllung der Informationspflichten müssen Unternehmen die Datenerhebung organisatorisch und technisch datenschutzkonform gestalten.

Dabei sind insbesondere folgende Maßnahmen relevant:

• Datenschutz durch Technikgestaltung: Nach Art. 25 DS-GVO müssen Unternehmen geeignete technische und organisatorische Maßnahmen vorsehen, um die Datenschutzgrundsätze bereits bei der Gestaltung von Verarbeitungsvorgängen zu berücksichtigen. Dazu gehören beispielsweise datensparsame Voreinstellungen bei Onlineformularen.
• Sichere Erhebungsverfahren: Nach Art. 32 DS-GVO müssen personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen geschützt werden. Bei Onlineformularen kann hierzu beispielsweise eine angemessene Verschlüsselung der Datenübertragung gehören.
• Dokumentation: Unternehmen müssen die Einhaltung der Datenschutzgrundsätze nach Art. 5 Abs. 2 DS-GVO nachweisen können. Soweit die Voraussetzungen des Art. 30 DS-GVO erfüllt sind, ist die Verarbeitung außerdem in einem Verzeichnis von Verarbeitungstätigkeiten zu dokumentieren.
• Prüfung besonderer Risiken: Ist bei einer Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zu erwarten, muss nach Art. 35 DS-GVO vorab eine Datenschutz-Folgenabschätzung durchgeführt werden.

Die konkreten Maßnahmen richten sich nach Art, Umfang, Umständen und Zwecken der Verarbeitung sowie den damit verbundenen Risiken.

Eine rechtswidrige Datenerhebung kann aufsichtsbehördliche Maßnahmen nach Art. 58 DS-GVO und Geldbußen nach Art. 83 DS-GVO zur Folge haben.

Praxisbeispiel: Erhebung von Kundendaten bei einer Onlinebestellung

Ein Onlinehändler erhebt im Rahmen einer Bestellung den Namen, die Lieferanschrift, die E-Mail-Adresse und die für die Zahlungsabwicklung erforderlichen Angaben eines Kunden.

Die Daten werden benötigt, um die Bestellung zu bearbeiten, die Ware zu versenden und die vertraglichen Verpflichtungen zu erfüllen. Die Erhebung der hierfür erforderlichen Daten kann deshalb auf Art. 6 Abs. 1 lit. b DS-GVO gestützt werden.

Zusätzlich möchte der Onlinehändler das Geburtsdatum seiner Kunden für personalisierte Geburtstagsangebote erfassen.

Da das Geburtsdatum für die gewöhnliche Durchführung der Bestellung nicht erforderlich ist, kann dessen Erhebung nicht allein mit der Vertragserfüllung begründet werden. Für die zusätzliche Verarbeitung muss der Händler eine eigenständige geeignete Rechtsgrundlage prüfen. Eine freiwillige Einwilligung kommt hierfür beispielsweise in Betracht.

Der Onlinehändler informiert seine Kunden bereits während des Bestellvorgangs über die Zwecke der Datenerhebung, die jeweiligen Rechtsgrundlagen und die weiteren nach Art. 13 DS-GVO erforderlichen Angaben.

legal data Einschätzung: Unternehmen sollten bereits bei der Gestaltung von Formularen und digitalen Bestellprozessen prüfen, welche personenbezogenen Daten tatsächlich benötigt werden. Zusätzliche Angaben dürfen nur für festgelegte Zwecke und

auf einer geeigneten Rechtsgrundlage erhoben werden. Eine datensparsame Gestaltung, sichere Erhebungsverfahren und transparente Informationen tragen dazu bei, Datenschutzverstöße zu vermeiden.

Rechtsgrundlagen

Art. 4 Nr. 2 DS-GVO

Art. 5 und 6 DS-GVO

Art. 9 DS-GVO

Art. 12 bis 14 DS-GVO

Art. 25 und 30 DS-GVO

Art. 32 und 35 DS-GVO

Art. 58 und 83 DS-GVO