Praxishandbuch DSGVO

g) Information im Fall der Änderung der Datenverarbeitung

83

Abgesehen vom Fall der Zweckänderung enthält die DSGVO nach hier vertretener Ansicht im Übrigen keine Verpflichtung des Verantwortlichen, die betroffene Person zu informieren, wenn sich im Laufe der Verarbeitung ein Umstand ändert, über den er die betroffene Person nach Art. 13 Abs. 1 und 2 DSGVO zum Zeitpunkt der Datenerhebung informiert hat. Dies mag im Hinblick auf den Grundsatz einer transparenten und fairen Verarbeitung von Daten beklagenswert und unzureichend sein, z.B. wenn Daten der betroffenen Person zu einem späteren Zeitpunkt noch in ein unsicheres Drittland übermittelt werden und die betroffene Person hierüber nicht proaktiv informiert wird. Allerdings entspricht dies dem ausdrücklichen Wortlaut von Art. 13 Abs. 3 DSGVO. Für eine analoge Anwendbarkeit von Art. 13 Abs. 3 DSGVO ist damit nach hier vertretener Auffassung kein Platz. So gibt es einfach keine Anhaltspunkte für eine planwidrige Regelungslücke.90

Abweichende Auffassungen der Artikel-29-Datenschutzgruppe, der deutschen Datenschutzaufsichtsbehörden und in Teilen der datenschutzrechtlichen Literatur

1. Abweichende Auffassung der Artikel-29-Datenschutzgruppe

84

Die Artikel-29-Datenschutzgruppe verlangt hingegen auf Basis der Rechenschaftspflicht bzgl. der Transparenz der Datenverarbeitung, die während des gesamten Verarbeitungszyklus gelten würde, dass der Verantwortliche die betroffene Person auch über wesentliche bzw. sachliche Änderungen in Bezug auf die Punkte informiert, über die sie gem. Art. 13 Abs. 1 und 2 DSGVO zum Zeitpunkt der Erhebung ihrer Daten informiert wurde.91 Davon unabhängig empfiehlt die Artikel-29-Datenschutzgruppe, dass Verantwortliche betroffenen Personen – gerade wenn diese einen Dienst lange Zeit nutzen – dauerhaft einen einfachen Zugang zu den nach Art. 13 (bzw. Art. 14) DSGVO erteilten Informationen gewähren und sie ggf. in regelmäßigen Abständen an diese Informationen erinnern – und zwar auch dann, wenn sich die darin beschriebene Datenverarbeitung nicht wesentlich ändert/geändert hat.92

85

Bei der Entscheidung, ob eine relevante Änderung vorliegt, sollte der Verantwortliche nach Auffassung der Artikel-29-Datenschutzgruppe insbesondere berücksichtigen, welche Wirkung diese auf die betroffenen Personen (einschließlich ihrer Fähigkeit, ihre Rechte auszuüben) haben würde und wie unerwartet oder überraschend die Änderung für die betroffenen Personen wäre. So liege – außer im Fall der in Art. 13 Abs. 3 DSGVO ausdrücklich geregelten Zweckänderung – eine Änderung, über die die betroffenen Personen stets zu informieren seien, u.a. dann vor, wenn sich die Identität des Verantwortlichen oder die Vorgehensweise ändere, wie die betroffenen Personen ihre Rechte bezüglich der Verarbeitung ausüben können. Über grammatikalische oder stilistische Änderungen der Datenschutzerklärung seien die betroffenen Personen nach Auffassung der Artikel-29-Datenschutzgruppe hingegen nicht zu informieren.93

86

Nicht ausreichend, um eine betroffene Person über eine Änderung der Datenverarbeitung zu informieren, ist nach Ansicht der Artikel-29-Datenschutzgruppe der Hinweis in einer Datenschutzerklärung, dass die betroffene Person jene regelmäßig auf Aktualisierungen hin prüfen solle.94

87

Außerdem gibt die Artikel-29-Datenschutzgruppe in ihren Leitlinien für Transparenz gemäß der Verordnung 2016/679 auch noch eine Vielzahl an Hinweisen zu den Modalitäten der erneuten Information der betroffenen Personen, z.B. zum Zeitpunkt der Information.95

2. Abweichende Auffassung der Datenschutzkonferenz

88

Die Datenschutzkonferenz vertritt die Ansicht, dass eine erneute Pflicht zur Information der betroffenen Person besteht, wenn die Daten einem neuen Empfänger – einschließlich Auftragsverarbeiter – offenbart werden und die betroffene Person hierüber nicht bereits im Rahmen der ursprünglichen Information unterrichtet wurde.96 Auch wenn die Datenschutzkonferenz diese Auffassung auf Art. 14 Abs. 3 lit. c DSGVO stützt, scheint sie davon auszugehen, dass eine solche Pflicht zur erneuten Information auch dann besteht, wenn die Daten direkt von der betroffenen Person erhoben wurden und der Anwendungsbereich des Art. 13 DSGVO eröffnet ist.

89

Diese Auffassung ist nach hier vertretener Ansicht aber abzulehnen. So beinhaltet Art. 14 Abs. 3 lit. c DSGVO nach hier vertretener Meinung (nur) Vorgaben zum Zeitpunkt der Information nach Art. 14 Abs. 1 und 2 DSGVO, so dass sich hieraus keine erweiterten Inhalte der Informationspflicht ergeben können. Dies gilt erst recht im Hinblick auf den Anwendungsbereich des Art. 13 DSGVO, der noch nicht einmal eine Art. 14 Abs. 3 lit. c DSGVO entsprechende Vorgabe enthält.

90

In der datenschutzrechtlichen Literatur wird in diesem Zusammenhang vertreten, dass der Verantwortliche die betroffene Person informieren müsse, wenn die Daten an einen Empfänger übermittelt werden sollen, der diese dann für einen anderen Zweck weiterverarbeiten wolle.97 Dies ergebe sich aus Erwägungsgrund 61 S. 2, nach dem der Verantwortliche die betroffene Person bei der erstmaligen Offenlegung der personenbezogenen Daten an einen Empfänger darüber aufklären solle.

91

Auch diese Auffassung ist nach hier vertretener Ansicht abzulehnen, da sie keine Grundlage im insoweit maßgeblichen Art. 13 Abs. 3 DSGVO (bzw. Art. 14 Abs. 4 DSGVO) findet. Zudem ist eine solche erweiterte Auslegung der Informationspflichten nicht notwendig. Oftmals erfolgt schon vor der Übermittlung der Daten an den Empfänger eine entsprechende Zweckänderung beim Verantwortlichen, also dem anschließenden Versender der Daten.98 In diesem Fall besteht auch ohne diese erweiterte Auslegung eine Informationspflicht nach Art. 13 Abs. 3 DSGVO. Außerdem ist der Empfänger, soweit es sich um einen Verantwortlichen handelt, zur Information der betroffenen Person nach Art. 14 Abs. 1 und 2 DSGVO verpflichtet. Mithin besteht nach hier vertretener Auffassung auch keine Schutzlücke, die durch die erweiterte Auslegung gefüllt werden müsste.

3. Abweichende Auffassung in der datenschutzrechtlichen Literatur

92

In der datenschutzrechtlichen Literatur wird mitunter auf Basis von Art. 5 Abs. 1 lit. a DSGVO („Grundsatz der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben und der Transparenz“) eine erneute Information der betroffenen Personen im Fall von fundamentalen Änderungen des Charakters der Datenverarbeitung gefordert, z.B. im Fall eines Outsourcings in ein unsicheres Drittland oder einer nachträglichen automatisierten Entscheidungsfindung.99

4. Empfehlung

93

Auch wenn nach hier vertretener Auffassung – außer im Fall der Zweckänderung nach Art. 13 Abs. 3 DSGVO – grundsätzlich keine Pflicht zur erneuten Information der betroffenen Personen besteht, wenn sich Umstände ändern, über die die betroffenen Personen nach Art. 13 Abs. 1 und 2 DSGVO informiert wurden, sollten – zumindest risikoscheue – Unternehmen vor dem Hintergrund der Leitlinien der Artikel-29-Datenschutzgruppe im Fall derartiger Änderungen prüfen, ob sich in der Zwischenzeit Gerichte oder Datenschutzaufsichtsbehörden hierzu geäußert haben. Im Fall von solch wesentlichen Änderungen – wie den oben beschriebenen –, die in der Praxis aber nur selten vorkommen werden, sollten (risikoscheue) Unternehmen dann – zumindest, wenn dies ohne erheblichen Aufwand möglich ist – zu Zwecken der Haftungsvermeidung die betroffenen Personen entsprechend (erneut) informieren oder sich ggf. mit der zuständigen Datenschutzaufsichtsbehörde abstimmen.

94

Des Weiteren sollten Unternehmen vor dem Hintergrund der Auffassungen der Datenschutzkonferenz und in der datenschutzrechtlichen Literatur sicherstellen, dass die Informationen, die den betroffenen Personen im Rahmen der „ursprünglichen“ Information mitgeteilt werden, alle realistischerweise möglichen Verarbeitungszwecke, Empfänger(kategorien) und anderen Verarbeitungsszenarien enthalten, um so „faktisch“ zu verhindern, dass eine Zweckänderung erfolgt, die eine erneute Informationspflicht nach Art. 13 Abs. 3 DSGVO auslösen würde oder eine Änderung der Datenverarbeitung erfolgt, die nach den oben dargestellten Auffassungen eine erneute Information erforderlich machen würde.

h) Ausnahmen von der Informationspflicht (Art. 13 Abs. 4 DSGVO)

95

Art. 13 Abs. 4 DSGVO enthält lediglich eine Ausnahme von der Informationspflicht gem. Art. 13 Abs. 1 und Abs. 2 DSGVO sowie von der Informationspflicht im Fall der Zweckänderung gem. Art. 13 Abs. 3 DSGVO. Demnach muss der Verantwortliche die betroffene Person ausnahmsweise nicht nach Art. 13 Abs. 1–3 DSGVO informieren, wenn und soweit diese bereits über die Informationen verfügt.100 Mithin kann auch nur eine Pflicht bestehen, über einige

der in der jeweiligen Vorschrift genannten Punkte zu informieren – wenn die betroffene Person bereits über die anderen Punkte informiert ist.

96

Nach Art. 11 Abs. 1 DSGVO entfällt die Informationspflicht zudem, wenn der Verantwortliche die betroffene Person nicht kontaktieren kann.101

97

Zudem dürfen auch die EU bzw. die Mitgliedstaaten nach Maßgabe von Art. 23 Abs. 1 DSGVO und Art. 85 Abs. 2 DSGVO die Informationspflicht beschränken.102

Nationale Regelungen in Deutschland

98

Auf nationaler Ebene hat der deutsche Gesetzgeber von der Informationspflicht im Fall einer Zweckänderung nach Art. 13 Abs. 3 DSGVO in § 29 Abs. 2 BDSG und in § 32 BDSG weitere Ausnahmen vorgesehen:

99

Nach § 29 Abs. 2 BDSG muss der Verantwortliche die betroffene Person nicht gem. Art. 13 Abs. 3 DSGVO über die Verarbeitung ihrer Daten zu einem anderen Zweck informieren, wenn er die Daten im Zuge der Aufnahme oder im Rahmen eines Mandatsverhältnisses an einen Berufsgeheimnisträger übermittelt, insb. an einen Rechtsanwalt, Wirtschaftsprüfer oder Steuerberater.103 Diese Ausnahme greift nach § 29 Abs. 2 a.E. BDSG allerdings nicht, sofern im Einzelfall das Interesse der betroffenen Person an der Informationserteilung überwiegt.

100

Auch § 32 BDSG erweitert die Ausnahmen von der Informationspflicht nach Art. 13 Abs. 3 DSGVO, also wenn Daten zu einem anderen Zweck weiterverarbeitet werden, als für den sie ursprünglich erhoben wurden. Für (privatwirtschaftliche) Unternehmen sind insbesondere die folgenden Ausnahmen relevant:

§ 32 Abs. 1 Nr. 1 BDSG: 104

101

Die geplante Weiterverarbeitung betrifft analog gespeicherte Daten (z.B. im Rahmen eines papiergebundenen Dokuments), bei der sich der Verantwortliche durch die Weiterverarbeitung unmittelbar an die betroffene Person wendet, der Zweck mit dem ursprünglichen Erhebungszweck gemäß der DSGVO vereinbar ist, die Kommunikation mit der betroffenen Person nicht in digitaler Form erfolgt (z.B. per Brief) und das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls, insbesondere mit Blick auf den Zusammenhang, in dem die Daten erhoben wurden, als gering anzusehen ist.

102

Durch die unmittelbare Kontaktaufnahme erfährt die betroffene Person ohnehin von der Verarbeitung ihrer Daten zu einem anderen Zweck und kann ggf. ihre Rechte geltend machen, so dass eine gesonderte Information nach Art. 13 Abs. 3 DSGVO nach Ansicht des Gesetzgebers entbehrlich ist.105 Durch das Erfordernis der analogen Datenverarbeitung wird die Einschränkung in der Praxis allerdings so gut wie keine Bedeutung erlangen.106

§ 32 Abs. 1 Nr. 4 BDSG:

103

Die Information über die geplante Verarbeitung zu einem anderen Zweck würde die Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche beeinträchtigen; zudem müssen die Interessen des Verantwortlichen an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen.107

§ 32 Abs. 1 Nr. 5 BDSG:

104

Die Information über die geplante Weiterverarbeitung würde die vertrauliche Übermittlung von Daten an öffentliche Stellen gefährden.

105

Mithin besteht eine Ausnahme von der Informationspflicht auch dann, wenn die Information über die Weiterverarbeitung zu einer Vereitelung oder ernsthaften Beeinträchtigung des – legitimen – Verarbeitungszwecks führen würde, etwa wenn die zuständige Strafverfolgungsbehörde über den Verdacht einer Straftat informiert werden soll.108

106

Besteht der Grund, warum der Verantwortliche die betroffene Person auf Basis von § 32 Abs. 1 BDSG nicht informiert, nur vorübergehend, muss der Verantwortliche die betroffene Person gem. § 32 Abs. 3 BDSG nach Wegfall des Grundes innerhalb einer angemessenen Frist, jedenfalls aber innerhalb von zwei Wochen, nach Maßgabe von Art. 13 Abs. 3 DSGVO über die Verarbeitung ihrer Daten zu einem anderen Zweck informieren.

107

Da es allerdings zweifelhaft ist, ob § 32 BDSG europarechtskonform ist,109 sollten Unternehmen die betroffene Person auf Basis dieser Vorschrift nur dann nicht informieren, wenn dies zwingend erforderlich ist.

i) Keine Pflicht zur „Nachinformation“ im Hinblick auf Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden

108

Hat ein Verantwortlicher personenbezogene Daten bereits vor Anwendbarkeit der DSGVO erhoben und die zu diesem Zeitpunkt geltenden Informationspflichten erfüllt, darf der Verantwortliche diese Daten nach hier vertretener Ansicht auch weiter verarbeiten, ohne die betroffenen Personen nach Art. 13 Abs. 1 und Abs. 2 DSGVO neu und in erweitertem Umfang informieren zu müssen.110

Möchte der Verantwortliche hingegen, nachdem die DSGVO anwendbar wurde, derartige Daten zu einem anderen Zweck verarbeiten, muss er die Informationspflichten nach Art. 13 Abs. 3 DSGVO einhalten. Gegebenenfalls können Informationspflichten – je nach vertretener Ansicht – auch dann erwachsen, wenn sich (nur) die Datenverarbeitung ändert.111

j) Erfüllung der Informationspflichten als Zulässigkeitsvoraussetzung?

109

Inwiefern die nicht ordnungsgemäße Erfüllung der Informationspflichten Auswirkungen auf die Zulässigkeit der Datenverarbeitung hat, ist in der DSGVO nicht ausdrücklich geregelt. In der datenschutzrechtlichen Literatur finden sich hierzu mehrere unterschiedliche Auffassungen.

110

Nach hier vertretener Ansicht handelt es sich bei der Erfüllung der Informationspflichten nicht um eine Voraussetzung für die Rechtmäßigkeit der betroffenen Datenverarbeitung; diese ist nach hier vertretener Ansicht auch dann zulässig, wenn der Verantwortliche ansonsten sämtliche datenschutzrechtlichen Anforderungen hieran einhält und „nur“ gegen die Informationspflichten nach Art. 13 DSGVO verstößt.112 Dies zeigt sich insbesondere durch die systematische Auslegung der DSGVO. So wird eine rechtswidrige Datenverarbeitung in Art. 83 Abs. 5 lit. a DSGVO sanktioniert, wohingegen ein Verstoß gegen die Informationspflichten in Art. 83 Abs. 5 lit. b DSGVO gesondert sanktioniert wird. Dies wäre überflüssig, wenn die Verletzung einer Informationspflicht automatisch die Rechtswidrigkeit der Datenverarbeitung zur Folge hätte.113 Wird die

Verarbeitung allerdings auf eine Einwilligung gestützt, müssen der betroffenen Person aber zumindest die Informationen zur Verfügung gestellt worden sein, damit sie gem. Art. 4 Nr. 11 DSGVO in informierter Weise erteilt wurde, da dies eine Wirksamkeitsvoraussetzung der Einwilligung ist.114

111

Andere Autoren in der datenschutzrechtlichen Literatur sehen dies restriktiver. Insbesondere wird danach unterschieden, ob die betroffene Person zur Duldung der Erhebung ihrer Daten verpflichtet war (dann keine Rechtmäßigkeitsvoraussetzung) oder nicht. Hängt die Erhebung hingegen vom Willen der betroffenen Person ab, z.B. bei einer Einwilligung oder einem Vertragsschluss, oder kann sich die Person einer Datenverarbeitung faktisch entziehen, wie z.B. bei der Videoüberwachung eines öffentlich zugänglichen Raums, soll die nicht ordnungsgemäße Information nach dieser Ansicht auch zur Rechtswidrigkeit der Datenverarbeitung führen, da hierdurch die Willensbildung der betroffenen Person unterlaufen würde.115

2. Informationspflichten bei der Erhebung von Daten aus anderen Quellen als von der betroffenen Person (Art. 14)
a) Voraussetzungen der Informationspflicht nach Art. 14 DSGVO

112

Erhebt der Verantwortliche personenbezogene Daten nicht direkt bei der betroffenen Person selbst (wozu nach der DSGVO durch den Wegfall des Direkterhebungsgrundsatzes gem. § 4 Abs. 2 BDSG a.F. nach hier vertretener Ansicht grundsätzlich keine Verpflichtung besteht),116 richten sich die Informationspflichten des Verantwortlichen gegenüber der betroffenen Person nicht nach Art. 13 DSGVO, sondern nach Art. 14 DSGVO.117 Allerdings entsprechen die

Vorgaben des Art. 14 DSGVO in weiten Teilen denen des Art. 13 DSGVO.

b) Inhalte der Informationspflichten nach Art. 14 Abs. 1 DSGVO

113

Die Punkte, über die ein Verantwortlicher die betroffenen Personen nach Art. 14 Abs. 1 DSGVO zwingend zu informieren hat, entsprechen grundsätzlich denen aus Art. 13 Abs. 1 DSGVO. Insoweit gelten die Ausführungen unter Rn. 29ff. entsprechend; lediglich die „Hausnummern“ einiger Pflichten, also Buchstaben im Rahmen von Abs. 1, sind an manchen Stellen unterschiedlich.

114

Die Pflicht zur Information über die berechtigten Interessen – im Fall einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Verarbeitung infolge einer Interessenabwägung) – nach Art. 13 Abs. 1 lit. d DSGVO ist im Rahmen von Art. 14 DSGVO allerdings unter Abs. 2 lit. f DSGVO enthalten.

115

Zusätzlich ist nach Art. 14 Abs. 1 lit. d DSGVO noch über die Kategorien personenbezogener Daten, die verarbeitet werden, zu informieren, da die betroffene Person ohne diese Information – anders als nach Vorstellung des Verordnungsgebers im Fall der Direkterhebung gem. Art. 13 DSGVO – nicht wüsste, welche Daten der Verantwortliche über sie erhoben hat/verarbeitet.118 Eine grobe Umschreibung der Datenarten, wie z.B. Adressdaten, ist hier ausreichend.119 Entscheidend ist, dass sich die betroffene Person ein Bild von den Risiken machen kann – detailliertere Informationen kann sie im Wege der Auskunft gem. Art. 15 DSGVO verlangen.120

c) Inhalte der Informationspflichten nach Art. 14 Abs. 2 DSGVO

116

Auch die Punkte, über die ein Verantwortlicher die betroffenen Personen nach Art. 14 Abs. 2 zu informieren hat, entsprechen weitestgehend denen des Art. 13 Abs. 2 DSGVO. Die Ausführungen unter Rn. 47ff. gelten insoweit entsprechend; auch hier gilt, dass sich einige „Hausnummern“ unterscheiden. Insbesondere sollten Verantwortliche die betroffenen Personen auch in jedem Fall über die in Art. 14 Abs. 2 DSGVO aufgeführten Punkte informieren – sofern diese im Einzelfall relevant sind – und nicht nur unter der Bedingung, dass diese erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten. Insoweit gelten die Ausführungen oben unter Rn. 25ff. entsprechend.

117

Ein Unterschied zu Art. 13 Abs. 2 DSGVO besteht aber – wie bereits erwähnt – darin, dass die Information über die berechtigten Interessen, wenn Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Verarbeitung infolge einer Interessenabwägung) verarbeitet werden, im Rahmen von Art. 14 unter Abs. 2 lit. f DSGVO genannt wird.

118

Zusätzlich sind die betroffenen Personen nach Art. 14 Abs. 2 lit. f DSGVO auch darüber zu informieren, aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls, ob sie aus öffentlich zugänglichen Quellen stammen. So hat die betroffene Person hiervon – im Unterschied zu dem Fall, dass die Daten von ihr selbst erhoben werden – i.d.R. keine Kenntnis. Mit dieser (zusätzlichen) Information wird es der betroffenen Person deshalb ermöglicht, die Datenströme nachzuvollziehen und ggf. auch direkt Rechte gegenüber der „Datenquelle“ geltend zu machen.121

119

Grundsätzlich muss der Verantwortliche die konkrete (juristische) Person benennen, von der er die Daten erhalten hat. Hierbei ist der dafür Verantwortliche anzugeben und nicht etwa ein Auftragsverarbeiter. In diesem Zusammenhang sollten auch dessen Kontaktdaten genannt werden.122 Teilweise wird in der datenschutzrechtlichen Literatur auch verlangt, dass die Mittel bzw. Methoden der Datenerhebung genannt werden, z.B. die Auswertung von Posts in sozialen Medien.123 Nach hier vertretener Ansicht lässt sich dies aber zumindest nicht auf den Wortlaut der Vorschrift zurückführen, zumal auch die Artikel-29-Datenschutzgruppe nach hier vertretener Lesart der Leitlinien für Transparenz gemäß der Verordnung 2016/679 nur die Angabe der Person/Institution verlangt, von der der Verantwortliche die Daten erhalten hat.124

120

Ausnahmsweise darf die Unterrichtung über die Quellen nach Erwägungsgrund 61 DSGVO allgemein gehalten werden, wenn der betroffenen Person nicht mitgeteilt werden kann, woher die personenbezogenen Daten stammen, weil verschiedene Quellen benutzt wurden.125 In diesem Fall sollten nach Auffassung der Artikel-29-Datenschutzgruppe aber die Art der Quellen (öffentlich/privat) und die Art der Organisation/der Industrie/des Sektors mitgeteilt werden.126

121

Sofern die Daten aus öffentlich zugänglichen Quellen stammen, ist der betroffenen Person zusätzlich auch dies mitzuteilen. Eine Quelle ist öffentlich zugänglich, wenn sie für jedermann, also einen nicht nach bestimmten Merkmalen festgelegten Adressatenkreis zugänglich ist, ggf. nach vorheriger Anmeldung oder gegen Zahlung eines Entgelts.127 So können z.B. Internetseiten, Suchergebnisse im Web oder auch Profile in sozialen Netzwerken (die nicht nur für Freunde sichtbar sind) eine öffentlich zugängliche Quelle sein.128