Informationspflichten verpflichten Verantwortliche, betroffene Personen über die Verarbeitung ihrer personenbezogenen Daten zu informieren. Die rechtlichen Anforderungen ergeben sich insbesondere aus Art. 12 bis 14 der Datenschutz-Grundverordnung (DS-GVO). Unternehmen müssen darlegen, welche personenbezogenen Daten sie zu welchen Zwecken verarbeiten, auf welcher Rechtsgrundlage dies geschieht und welche Rechte den betroffenen Personen zustehen. Umfang und Zeitpunkt der Information richten sich insbesondere danach, ob die Daten unmittelbar bei der betroffenen Person oder aus anderen Quellen erhoben werden.
Was sind Informationspflichten nach der DS-GVO?
Die Informationspflichten dienen der Transparenz bei der Verarbeitung personenbezogener Daten. Sie informieren betroffene Personen darüber, wie ihre personenbezogenen Daten verarbeitet werden und welche Datenschutzrechte ihnen zustehen.
Art. 13 und 14 DS-GVO regeln, welche Informationen Verantwortliche bei der Erhebung personenbezogener Daten bereitstellen müssen. Die Pflichten gelten grundsätzlich unabhängig davon, auf welcher Rechtsgrundlage die Verarbeitung erfolgt. Auch eine rechtmäßige Verarbeitung ohne Einwilligung entbindet Unternehmen daher nicht von den gesetzlichen Informationspflichten.
Art. 12 DS-GVO legt ergänzend die Anforderungen an die Form der Informationserteilung fest.
Die Informationspflichten sind vom Auskunftsrecht nach Art. 15 DS-GVO zu unterscheiden. Während Verantwortliche die Informationen nach Art. 13 und 14 DS-GVO grundsätzlich von sich aus bereitstellen müssen, setzt das Auskunftsrecht regelmäßig einen entsprechenden Antrag der betroffenen Person voraus.
Was ist der Unterschied zwischen Art. 13 und Art. 14 DS-GVO?
Die DS-GVO unterscheidet danach, aus welcher Quelle der Verantwortliche die personenbezogenen Daten erhält.
Informationspflichten nach Art. 13 DS-GVO
Art. 13 DS-GVO gilt, wenn personenbezogene Daten unmittelbar bei der betroffenen Person erhoben werden.
Dies ist beispielsweise der Fall, wenn ein Kunde seine Kontaktdaten in ein Bestellformular eingibt oder ein Bewerber seine Unterlagen direkt an ein Unternehmen übermittelt.
Der Verantwortliche muss die vorgeschriebenen Informationen grundsätzlich zum Zeitpunkt der Datenerhebung bereitstellen. Eine erneute Information ist nach Art. 13 Abs. 4 DS-GVO nicht erforderlich, soweit die betroffene Person bereits über die betreffenden Angaben verfügt.
Informationspflichten nach Art. 14 DS-GVO
Art. 14 DS-GVO gilt, wenn personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben werden, sondern beispielsweise von einem Geschäftspartner oder aus einem öffentlichen Register stammen.
Für die Information gelten besondere Fristen. Der Verantwortliche muss sie grundsätzlich innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats nach Erlangung der Daten bereitstellen.
Ist eine Kommunikation mit der betroffenen Person vorgesehen, muss die Information spätestens bei der ersten Mitteilung erfolgen. Ist eine Offenlegung an einen anderen Empfänger beabsichtigt, muss die Information spätestens bei der ersten Offenlegung bereitgestellt werden. Diese Zeitpunkte sind auch dann maßgeblich, wenn die Monatsfrist noch nicht abgelaufen ist.
Art. 14 Abs. 5 DS-GVO enthält gesetzlich geregelte Ausnahmen von diesen Pflichten.
Welche Informationen müssen Unternehmen bereitstellen?
Art. 13 und 14 DS-GVO legen fest, welche Angaben betroffene Personen erhalten müssen. Die konkreten Informationspflichten richten sich nach dem jeweiligen Verarbeitungsvorgang.
Zu den wesentlichen Angaben gehören:
- Verantwortlicher: Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters.
- Datenschutzbeauftragter: Kontaktdaten des Datenschutzbeauftragten, sofern einer benannt ist.
- Verarbeitungszwecke und Rechtsgrundlagen: Erläuterung, weshalb und auf welcher gesetzlichen Grundlage personenbezogene Daten verarbeitet werden.
- Berechtigte Interessen: Angabe der verfolgten berechtigten Interessen, soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DS-GVO beruht.
- Empfänger: Angaben über Empfänger oder Kategorien von Empfängern personenbezogener Daten, soweit solche vorhanden sind.
- Drittlandübermittlungen: Vorgeschriebene Informationen über beabsichtigte Übermittlungen an Drittländer oder internationale Organisationen.
- Speicherdauer: Angabe der vorgesehenen Speicherdauer oder der Kriterien für ihre Festlegung.
- Betroffenenrechte: Informationen insbesondere über Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie gegebenenfalls Datenübertragbarkeit und Widerspruch.
- Widerruf und Beschwerde: Hinweise auf das Widerrufsrecht bei einer einwilligungsbasierten Verarbeitung sowie auf das Beschwerderecht bei einer Datenschutzaufsichtsbehörde.
- Automatisierte Entscheidungen: Vorgeschriebene Angaben über eine automatisierte Entscheidungsfindung einschließlich Profiling, soweit diese unter Art. 22 DS-GVO fällt.
Bei einer unmittelbaren Datenerhebung sind außerdem die nach Art. 13 Abs. 2 lit. e DS-GVO erforderlichen Angaben zur Bereitstellungspflicht und zu möglichen Folgen einer Nichtbereitstellung zu machen.
Bei einer indirekten Datenerhebung müssen Verantwortliche zusätzlich insbesondere die Kategorien der personenbezogenen Daten und deren Herkunft angeben. Dazu gehört gegebenenfalls auch die Angabe, ob die Daten aus öffentlich zugänglichen Quellen stammen.
Maßgeblich sind sämtliche im jeweiligen Fall einschlägigen Angaben nach Art. 13 beziehungsweise Art. 14 DS-GVO.
Wie müssen die Informationen bereitgestellt werden?
Nach Art. 12 Abs. 1 DS-GVO müssen Verantwortliche die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache bereitstellen.
Die Darstellung muss auf die jeweilige Zielgruppe abgestimmt sein. Informationen, die sich speziell an Kinder richten, erfordern eine besonders verständliche Sprache.
In der Praxis erfolgt die Information häufig durch Datenschutzhinweise auf Websites, in Onlineformularen, bei Vertragsabschlüssen oder im Rahmen von Bewerbungsverfahren.
Die Informationen dürfen schriftlich oder in anderer Form, gegebenenfalls auch elektronisch, bereitgestellt werden. Entscheidend ist, dass die betroffenen Personen sie rechtzeitig und ohne unnötige Schwierigkeiten erreichen und verstehen.
Eine mehrstufige Darstellung ist zulässig. Dabei werden zunächst die wichtigsten Informationen übersichtlich dargestellt und durch weiterführende Datenschutzhinweise ergänzt. Sämtliche gesetzlich erforderlichen Angaben müssen zugänglich bleiben.
Nach Art. 12 Abs. 5 DS-GVO sind die Informationen grundsätzlich unentgeltlich bereitzustellen.
Wann bestehen Ausnahmen von den Informationspflichten?
Die DS-GVO sieht bestimmte Ausnahmen und Einschränkungen vor. Diese unterscheiden sich danach, ob Art. 13 oder Art. 14 DS-GVO einschlägig ist.
Bei einer unmittelbaren Datenerhebung entfällt die Informationspflicht nach Art. 13 Abs. 4 DS-GVO, soweit die betroffene Person bereits über die betreffenden Informationen verfügt.
Bei einer indirekten Datenerhebung sieht Art. 14 Abs. 5 DS-GVO weitere Ausnahmen vor. Dazu gehören insbesondere folgende Fälle:
- Die betroffene Person verfügt bereits über die erforderlichen Informationen.
- Die Informationserteilung ist unmöglich oder würde einen unverhältnismäßigen Aufwand erfordern, soweit die gesetzlichen Voraussetzungen erfüllt sind.
- Die Erlangung oder Offenlegung der Daten ist durch einschlägige Rechtsvorschriften ausdrücklich geregelt und geeignete Schutzmaßnahmen sind vorgesehen.
- Die personenbezogenen Daten müssen aufgrund einer gesetzlich geregelten beruflichen Geheimhaltungspflicht vertraulich bleiben.
Beruft sich ein Verantwortlicher auf die Ausnahme wegen Unmöglichkeit oder unverhältnismäßigen Aufwands nach Art. 14 Abs. 5 lit. b DS-GVO, muss er geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Personen ergreifen. Dazu gehört insbesondere, die Informationen öffentlich bereitzustellen.
Die Ausnahmen sind an die jeweiligen gesetzlichen Voraussetzungen gebunden. Ein bloßer organisatorischer Mehraufwand rechtfertigt nicht automatisch den Verzicht auf die Information.
Darüber hinaus sieht Art. 23 DS-GVO unter bestimmten Voraussetzungen gesetzliche Beschränkungen von Informationspflichten vor.
Verantwortliche müssen prüfen, ob eine Ausnahme tatsächlich einschlägig ist, und die Einhaltung der datenschutzrechtlichen Anforderungen nachweisen.
Praxisbeispiel: Informationspflichten bei einer Onlinebestellung
Ein Onlinehändler erhebt während des Bestellvorgangs den Namen, die Lieferanschrift, die E-Mail-Adresse und die für die Zahlungsabwicklung erforderlichen Angaben eines Kunden.
Da die Daten unmittelbar beim Kunden erhoben werden, gelten die Informationspflichten nach Art. 13 DS-GVO.
Der Onlinehändler stellt bereits während des Bestellvorgangs leicht zugängliche Datenschutzhinweise bereit. Darin informiert er insbesondere über die Zwecke und Rechtsgrundlagen der Verarbeitung, die Empfänger der Daten, die Speicherdauer und die Rechte des Kunden.
Eine Information erst nach Abschluss der Bestellung erfolgt grundsätzlich zu spät, sofern der Kunde die erforderlichen Angaben nicht bereits zuvor erhalten hat.
legal data Einschätzung: Informationspflichten sind ein wesentlicher Bestandteil einer transparenten Datenverarbeitung. Unternehmen müssen für ihre Verarbeitungsvorgänge prüfen, welche Informationen nach Art. 13 oder 14 DS-GVO erforderlich sind und zu welchem Zeitpunkt sie bereitgestellt werden müssen. Entscheidend sind vollständige, verständliche und leicht zugängliche Datenschutzhinweise, die den tatsächlichen Datenverarbeitungen entsprechen und bei Änderungen aktualisiert werden.
Rechtsgrundlagen
- Art. 5 Abs. 1 lit. a DS-GVO
- Art. 12 bis 15 DS-GVO
- Art. 23 DS-GVO
- Art. 58 DS-GVO
- Art. 82 und 83 DS-GVO
- Erwägungsgründe 39, 58 bis 62 DS-GVO
Häufige Fragen zu Informationspflichten
Wann müssen Unternehmen über die Datenverarbeitung informieren?
Bei einer unmittelbaren Datenerhebung müssen die Informationen grundsätzlich zum Zeitpunkt der Erhebung bereitgestellt werden. Bei einer indirekten Datenerhebung gelten die Fristen des Art. 14 Abs. 3 DS-GVO.
Was ist der Unterschied zwischen Informationspflicht und Auskunftsrecht?
Informationspflichten nach Art. 13 und 14 DS-GVO bestehen grundsätzlich ohne vorherige Anfrage der betroffenen Person. Das Auskunftsrecht nach Art. 15 DS-GVO ermöglicht es der betroffenen Person dagegen, auf Antrag Informationen über die Verarbeitung ihrer personenbezogenen Daten zu erhalten.
Reicht eine Datenschutzerklärung auf der Website aus?
Eine Datenschutzerklärung auf der Website erfüllt die Informationspflichten nur, wenn sie die erforderlichen Angaben enthält und den betroffenen Personen im jeweiligen Verarbeitungskontext rechtzeitig und leicht zugänglich bereitgestellt wird. Ein bloßer Hinweis auf eine schwer auffindbare Datenschutzerklärung genügt nicht.
Müssen betroffene Personen erneut informiert werden, wenn sich der Verarbeitungszweck ändert?
Beabsichtigt ein Verantwortlicher, personenbezogene Daten für einen anderen Zweck weiterzuverarbeiten, muss er die betroffene Person nach Maßgabe von Art. 13 Abs. 3 beziehungsweise Art. 14 Abs. 4 DS-GVO grundsätzlich vor dieser Weiterverarbeitung über den neuen Zweck und die erforderlichen weiteren Angaben informieren.
Welche Folgen hat eine Verletzung der Informationspflichten?
Verstöße gegen die Informationspflichten können aufsichtsbehördliche Maßnahmen nach Art. 58 DS-GVO und Geldbußen nach Art. 83 DS-GVO zur Folge haben. Die Aufsichtsbehörde kann insbesondere die Erfüllung der gesetzlichen Informationspflichten anordnen. Unter den Voraussetzungen des Art. 82 DS-GVO kommen außerdem Schadensersatzansprüche betroffener Personen in Betracht.
Verwandte Begriffe.
Erhebung personenbezogener Daten Die Erhebung personenbezogener Daten bezeichnet das Beschaffen von Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Sie ist eine Form der Verarbeitung nach Art. 4 Nr. 2 der Datenschutz-Grundverordnung (DS-GVO). Unternehmen dürfen personenbezogene Daten nur erheben, wenn hierfür eine geeignete Rechtsgrundlage besteht und die datenschutzrechtlichen Grundsätze eingehalten werden. Besondere Bedeutung haben dabei die Zweckbindung, Datenminimierung und Informationspflichten gegenüber den betroffenen Personen. Art. 4 Nr. 2 DS-GVO Auskunftsrecht Das Auskunftsrecht nach Art. 15 DS-GVO ermöglicht betroffenen Personen zu erfahren, ob und welche personenbezogenen Daten ein Unternehmen oder eine öffentliche Stelle über sie verarbeitet. Es umfasst insbesondere Informationen über die Verarbeitungszwecke, die Datenkategorien, die Empfänger und die Speicherdauer. Darüber hinaus besteht grundsätzlich ein Anspruch auf eine Kopie der verarbeiteten personenbezogenen Daten. Das Auskunftsrecht dient der Transparenz und ermöglicht es Betroffenen, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen. Art. 12 DS-GVO 