DSGVO - BDSG - TTDSG

Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden

(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:

1 a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

2 b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;

3 c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

4 d) die Kategorien personenbezogener Daten, die verarbeitet werden;

5 e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;

6 f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

1 a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

2 b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

3 c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

4 d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

5 e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

6 f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;

7 g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

1 a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats;

2 b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,

3 c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

1 a) die betroffene Person bereits über die Informationen verfügt;

2 b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit;

3 c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder

4 d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.

Mit der Norm korrespondieren die Erwägungsgründe 60–62.

Literatur: Buchner, Das neue Datenschutzrecht im Gesundheitswesen, Remagen 2018; Buchner, Grundsätze und Rechtmäßigkeit der Datenverarbeitung unter der DS-GVO, DuD 2016, 155; Dammann/Simitis, EG-Datenschutzrichtlinie Baden-Baden, 1997; Eckhardt/Menz, Bußgeldsanktionen der DS-GVO, DuD 2018, 139; Franck, System der Betroffenenrechte, RDV 2015, 137; Franck, Das System der Betroffenenrechte nach der Datenschutz-Grundverordnung (DS-GVO), RDV 2016, 111; Kugelmann, Datenfinanzierte Internetangebote, DuD 2016, 566; Lindner, Die datenschutzrechtliche Einwilligung nach §§ 4 Abs. 1, 4a BDSG – ein zukunftsfähiges Institut?, Hamburg 2013; Lorenz, Datenschutzrechtliche Informationspflichten, VuR 2019, 213; Mester, Haftungsrisiko i.S.d. DS-GVO, DuD 2018, 181; Rogosch, Die Einwilligung im Datenschutzrecht, Berlin 2013; Schantz, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841; Schläger/Thode, Handbuch Datenschutzrecht und IT-Sicherheit, Berlin 2018; Steffen, Zivilrechtliche Haftung von Datenschutzbeauftragten für Bußgelder, DuD 2018, 145; Venzke-Caparese, Haftungsrisiko Webtracking, DuD 2018, 156; von Zimmermann, Die Einwilligung im Internet, Berlin 2014.

Übersicht

I. Regelungsinhalt

1

Art. 14 DSGVO verpflichtet den Verantwortlichen, die in der Norm genannten Informationen auch dann zur Verfügung zu stellen, wenn es sich nicht um eine Direkterhebung im Sinne des Art. 13 DSGVO handelt. Damit wird vom Verantwortlichen verlangt, dass er unabhängig von einem (erneuten) direkten Kontakt zur betroffenen Person selbst dann aktiv wird, wenn er die Daten auf andere Weise als bei der betroffenen Person erhebt (Abs. 1 und Abs. 2) oder bei erhobenen Daten diese zu einem anderen als den Erhebungszweck weiterverarbeitet (Abs. 4).1

2

Die Informationspflichten aus Art. 14 treffen den Verantwortlichen. Durch Art. 14 DSGVO soll ähnlich dem Art. 13 DSGVO sichergestellt werden, dass die notwendige Transparenz gegenüber der betroffenen Person hergestellt wird,2 was Grundvoraussetzung dafür ist, dass zum Beispiel das Recht aus Art. 15 DSGVO auf Auskunft, das Recht auf Berichtigung aus Art. 16, das Recht auf Löschung aus Art. 17 DSGVO und die weiteren sich aus dem dritten Kapitel noch ergebenden Betroffenenrechte, die ein aktives Handeln der betroffenen Person voraussetzen (Antrag), überhaupt wahrgenommen werden können.3 Dies entspricht dem Gedanken des ErwG 60, wonach der Grundsatz auf eine faire und transparente Verarbeitung die Unterrichtung der betroffenen Person über die Existenz des Verarbeitungsvorgangs und dessen Zweck erfordert, was umso mehr gilt, wenn die Daten nicht bei der betroffenen Person direkt erhoben werden und diese sonst überhaupt keine Möglichkeit hätte, auf die Datenverarbeitung zu reagieren bzw. davon überhaupt auch nur Kenntnis zu erlangen.

3

Die Informationspflichten aus Art. 14 DSGVO treffen wiederum ausschließlich den Verantwortlichen, der Auftragsverarbeiter wird durch Art. 14 DSGVO nicht verpflichtet, auch fehlt es an dessen Unterstützungspflicht gemäß Art. 28 Abs. 3 Satz 2 lit. e DSGVO, der sich lediglich auf die Betroffenenrechte aus Kapitel III bezieht, die eines Antrages bedürfen.4 Insgesamt behält die Datenschutz-Grundverordnung die Struktur der Datenschutzrichtlinie (DSRl) weiterhin bei, indem der Art. 14 DSGVO dem Art. 11 DSRl ähnelt, wonach die Information der betroffenen Person geregelt ist, wenn die Erhebung nicht bei der betroffenen Person selbst erfolgt.5 Die Bestimmungen des Art. 10 und Art. 11 DSRl wurden in Deutschland im Wesentlichen in den §§ 4 Abs. 3 und 33 BDSG a.F. und § 13 Abs. 1 TMG umgesetzt.6

4

Art. 14 DSGVO ähnelt in weiten Teilen den Regelungen des Art. 13 DSGVO, enthält aber zusätzlich eine Regelung zur Frist (Abs. 3) und Ausnahmetatbestände (Abs. 5).7 Ähnliche Regelungen enthielt bereits Art. 11 DSRl, weshalb einige Diskussionen die bereits im Rahmen der DSRl bestanden, im Rahmen des Art. 14 DSGVO weiterhin diskutiert werden.8

II. Informationspflichten bei Datenerhebung

5

Art. 14 DSGVO verlangt wie Art. 13 DSGVO zunächst einmal eine Erhebung personenbezogener Daten, d.h. die erstmalige zielgerichtete Erfassung von personenbezogenen Daten durch den Verantwortlichen.9 Eine derartige zielgerichtete Datenerhebung ist im Sinne des Art. 14 DSGVO auch dann anzunehmen, wenn der Verantwortliche die Daten zwar nicht auf eigenes Ersuchen hin erhält (sog. Spontanübermittlung), sich aber nach Erhalt der Daten für eine zielgerichtete Weiterverarbeitung entscheidet.10 Für die Informationspflicht nach Art. 14 dürfen die personenbezogenen Daten in Abgrenzung zu Art. 13 DSGVO jedoch nicht bei der Person selbst erhoben werden (dann Direkterhebung), sondern müssen entweder von Dritten erhalten oder aus öffentlich zugänglichen Quellen entnommen sein.11 Werden die Daten mehrerer betroffener Personen erhoben, ist für jede Person gesondert die Notwendigkeit der Information nach Art. 14 DSGVO zu prüfen.12 Zu berücksichtigen ist außerdem, dass eine Verpflichtung zur Information des Verantwortlichen nach Art. 14 DSGVO selbst dann besteht, wenn ein anderer Verantwortlicher die betroffene Person bereits einmal bei der Datenerhebung informiert hat, da die Pflicht zur Erteilung der Information allein aus der Perspektive des Verantwortlichen zu bewerten ist.13

6

Inhalt der Informationspflicht sind die in Abs. 1 und 2 genannten Angaben. Die Daten selbst sind demgegenüber nicht Gegenstand der Mitteilungspflicht, diese können vielmehr Gegenstand eines Auskunftsanspruches der betroffenen Person werden, sodass diese dann gegebenenfalls einen derartigen Antrag beim Verantwortlichen stellen muss (vgl. Art. 15 DSGVO).14 Art. 14 nimmt ebenfalls eine Gliederung der Informationspflichten in zwei Absätze vor, doch auch hier macht das für die eigentliche Pflicht zur Information, deren Vollständigkeit bezogen auf die Angaben beider Absätze und deren Reichweite keinen Unterschied.15

III. Informationspflichten nach Abs. 1

7

Die Informationspflichten des Art. 14 Abs. 1 DSGVO entsprechen in großen Teilen den Pflichten nach Art. 13 DSGVO. So findet sich in Art. 14 Abs. 1 lit. a und b DSGVO ebenfalls die Pflicht zur Mitteilung der Kontaktdaten des Verantwortlichen sowie seines Vertreters und des Datenschutzbeauftragten (Art. 13 Abs. 1 lit. a und b DSGVO), soweit vorhanden.16 In Abs. 1 lit. c findet sich die Pflicht des Verantwortlichen zur Angabe des Zwecks und der Rechtsgrundlage der Verarbeitung gegenüber der betroffenen Person (vgl. Art. 13 Abs. 1 lit. c DSGVO).17 Abs. 1 lit. e verpflichtet demgegenüber zur Mitteilung über die Empfänger und Kategorien von Empfängern der Daten (vgl. Art. 13 Abs. 1 lit. e DSGVO)18 und nach Abs. 1 lit. f besteht die Notwendigkeit des Verantwortlichen, die betroffene Person über eine geplante Übermittlung in Drittstaaten oder an internationale Organisationen (Art. 13 Abs. 1 lit. f DSGVO) zu informieren.19 Die Abweichung im Wortlaut (Sprache/Ausdruck) der beiden Vorschriften (Art. 13 zu Art. 14 DSGVO) hat dabei keine inhaltlichen Auswirkungen, kann aber im Zweifel zur Klarstellung für beide Normen dienen. So wird beispielsweise durch die in Art. 14 Abs. 1 lit. f DSGVO gewählte Formulierung („Empfänger in einem Drittland“ statt „Absicht ... an ein Drittland“) deutlicher, dass es sich um eine Information über die Empfänger in den Drittstaaten handelt. Die bloße Nennung des Drittlandes kann daher weder bei der Information im Rahmen des Art. 13 DSGVO noch im Zusammenhang der Information nach Art. 14 DSGVO den Erfordernissen der Datenschutz-Grundverordnung entsprechen.20

8

Abweichend von den Informationserfordernissen nach Art. 13 DSGVO, verlangt Art. 14 Abs. 1 lit. d DSGVO vom Verantwortlichen die Information der betroffenen Person über die Kategorien der verarbeiteten personenbezogenen Daten. Hintergrund dieser zusätzlichen Information ist, dass anders als bei einer Direkterhebung nach Art. 13 DSGVO, der betroffenen Person sonst nicht bewusst sein dürfte, um welche Daten es sich eigentlich handelt. Es reicht jedoch, wenn der Verantwortliche der betroffenen Person hierzu allgemeine Angaben macht, durch die diese in die Lage versetzt wird, die mit der Verarbeitung verbundenen Risiken abzuschätzen.21 Will die betroffene Person über die im Rahmen der Information erhaltenen Angaben hinaus detailliertere Kenntnisse zu den über sie verarbeiteten Daten erhalten, muss dies gegebenenfalls über einen Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht werden.22

IV. Informationspflichten nach Abs. 2

9

In Abs. 2 verlangt Art. 14 DSGVO ebenfalls denen von Art. 13 Abs. 2 DSGVO vergleichbare Informationen.23 So besteht auch nach Abs. 2 lit. a DSGVO die Verpflichtung des Verantwortlichen, die betroffene Person über die Dauer der Datenspeicherung zu informieren (vgl. Art. 13 Abs. 2 lit. a DSGVO). Daneben verpflichtet Abs. 2 lit. b den Verantwortlichen zur Information über das berechtigte Interesse (vgl. Art. 13 Abs. 1 lit. d DSGVO). Die Pflicht der betroffenen Person, ihre Betroffenenrechte mitzuteilen, findet sich in Abs. 2 lit. c (vgl. Art. 13 Abs. 2 lit. b DSGVO). Abs. 2 lit d enthält ebenfalls eine Verpflichtung, über die Möglichkeit des Widerrufs einer Einwilligung zu informieren (Art. 13 Abs. 2 lit. c DSGVO) und die Informationspflicht zum Beschwerderecht ergibt sich aus Abs. 2 lit. e (vgl. Art. 13 Abs. 2 lit. d). Zuletzt enthält Abs. 2 lit. g noch die Pflicht zur Information über automatisierte Entscheidungsfindung (vgl. Art. 13 Abs. 2 lit. f DSGVO).24 Darüber hinaus muss der Verantwortliche aber außerdem die betroffene Person noch über die Quelle der erhobenen Daten informieren (Abs. 2 lit. f). Diese zusätzliche Informationspflicht im Rahmen des Art. 14 DSGVO ist aus Sicht der transparenten Datenverarbeitung nur konsequent, besteht doch lediglich auf diese Weise die Möglichkeit der betroffenen Person, die Rechtmäßigkeit der ursprünglichen Datenerhebung überprüfen zu können. Ebenso kann die betroffene Person aufgrund dieser Information feststellen, wer für die eigentliche Datenerhebung verantwortlich war und gegebenenfalls dort ihre Betroffenenrechte geltend machen (bspw. auf Berichtigung, Löschung usw.).25

10

Dabei ist der Begriff der „Quelle“ weit zu verstehen, sodass sowohl die Methode als auch das Instrument zur Datenerhebung genannt werden muss, sofern dies für die betroffene Person relevant ist, um das Risiko der Datenverarbeitung abschätzen zu können (Gegenstand und Mittel).26 So werden sowohl Personen als auch Institutionen, welche die Daten an den Verantwortlichen übermitteln, von der Informationspflicht erfasst und sind mit Name oder Bezeichnung sowie den Kontaktdaten zu benennen.27 Doch ebenso bei Veröffentlichung der Daten oder auch nur Spuren, die durch die betroffene Person hinterlassen wurden, sind gegebenenfalls als Quelle anzugeben, indem die Fundstelle bzw. die Art und der Fundort angegeben werden.28

11

Darüber hinaus kann es aufgrund der besonderen Risiken für die betroffene Person notwendig sein, das Mittel der Datenerhebung zu benennen, zumindest, wenn sich dies nicht bereits aus dem Gegenstand der Datenverarbeitung ohne Weiteres ergibt. Das kann zumindest im Fall einer verdeckten Erhebung oder der Verwendung eines komplexen Analyseverfahrens notwendig sein, da dann der betroffenen Person nicht von vorneherein die Hintergründe bekannt sind.29 Ebenso sind der betroffenen Person die Entnahme der Daten aus öffentlich zugänglichen Quellen mitzuteilen.30 Das gilt auch dann, wenn mehrere Quellen genutzt wurden, sofern nicht ausnahmsweise die Datenquelle deswegen nicht benannt werden kann, weil erst die Analyse einer Vielzahl von Daten aus verschiedenen Quellen die maßgebliche Erhebung personenbezogener Daten ermöglicht hat. In diesem Fall reicht ausnahmsweise eine allgemein gehaltene Information aus (vgl. ErwG 61), bei der lediglich die Mittel der Datenerhebung, die genutzten Datenbestände und/oder das System benannt werden.31

12

Anders als nach Art. 13 Abs. 2 lit. e DSGVO sind im Rahmen des Art. 14 Abs. 2 DSGVO konsequenterweise keine Informationen über die Pflicht oder die Obliegenheit zur Bereitstellung der personenbezogenen Daten notwendig.32

V. Zeitpunkt der Information (Abs. 3)

13

Abs. 3 lit. a enthält zunächst einmal eine allgemeine Regelung zum Zeitpunkt der Information der betroffenen Person, die ausdrücklich erst nach Erlangung der Daten, also nach Datenerhebung erfolgen soll. Es ist jedoch zu bedenken, dass es Fälle geben kann, in denen die Datenerhebung vom Willen der betroffenen Person abhängt, wie dies beispielsweise bei einer Einwilligung, aber auch bei einem Vertrag möglich ist. In diesem Fall ist die Information der betroffenen Person bereits vor der Datenerhebung zu erteilen und die mögliche Frist bis zur Informationserteilung sozusagen faktisch auf null reduziert.33

1. Spezifische Umstände (Abs. 3 lit. a)

14

Als längster für die Information möglicher Zeitraum gilt im Sinne des Abs. 3 lit. a demgegenüber die Frist von einem Monat. Diesen Zeitraum darf der Verantwortliche jedoch nur dann ausschöpfen, sofern nach den Umständen keine kürzere Frist geboten ist, worauf schon die Wortwahl „längstens“ schließen lässt. Der Verantwortliche hat die betroffene Person demnach innerhalb einer angemessenen Frist zu informieren, ohne dass die Vorschrift selbst hierfür einen konkreten Zeitraum benennt.34 Zur Bestimmung müssen folglich die spezifischen Umstände der Verarbeitung berücksichtigt werden, was eine entsprechende Abwägung des Verantwortlichen erforderlich macht.35 Dabei müssen auf Seiten der betroffenen Person die Informationsinteressen zugrunde gelegt werden, nämlich wie dringend die Informationen zur Ausübung ihrer Rechte benötigt werden. Auf der anderen Seite sind demgegenüber die Möglichkeiten des Verantwortlichen zur Informationserteilung und der damit verbundene Aufwand zu berücksichtigen.36 Eventuell bestehende Geheimhaltungsinteressen des Verantwortlichen sind hingegen Gegenstand von Abs. 5 lit. b und lit. d sowie gegebenenfalls von weiteren Beschränkungsregelungen nach Maßgabe des Art. 23 DSGVO und finden insoweit bei der Abwägung im Rahmen des Abs. 3 lit. a keine Berücksichtigung.37

15

Indirekt wirkt die Regelung auf eine datenschutzgerechte technische und organisatorische Konfiguration von Datenverarbeitungsprozessen hin, indem sie bei einer gleichartigen Datenverarbeitung in einer Vielzahl von Einzelfällen die Durchführung der Abwägung in typisierter Form verlangt.38 Werden daher in großem Ausmaß zur automatisierten Weiterverarbeitung Datenbestände erhoben (bspw. im Internet), dann wird vom Verantwortlichen eine Einrichtung des Systems vorausgesetzt, die eine unmittelbare Information an die betroffenen Personen nach der Datenerhebung ermöglicht.39 Demgegenüber kann im Einzelfall ein etwas längerer Zeitraum für die Informationserteilung noch als ausreichend zu erachten sein, wenn dadurch der betroffenen Person ein größerer bzw. besserer Überblick verschafft wird (bspw. bei der Entnahme aus mehreren Quellen, erst nachdem feststeht, welche Quellen dies im Einzelnen betrifft). Doch muss auch dann in die Abwägung einfließen, ob durch den längeren Zeitraum besondere Risiken für die betroffene Person bestehen.40