DSGVO - BDSG - TTDSG

2. Kommunikation (Abs. 3 lit. b)

16

Abs. 3 lit. b enthält außerdem eine Sonderregelung für den spätesten Zeitpunkt der Informationsverpflichtung, sofern die Datenerhebung zur Kommunikation mit der betroffenen Person dienen soll. Erfasst werden Datenerhebungen, in denen der Verantwortliche in Kontakt zur betroffenen Person treten will und dabei die erhobenen Daten überhaupt erst nutzt.41 In diesem Fall muss spätestens mit der ersten Mitteilung, also dem ersten kommunikativen Kontakt, die betroffene Person die Informationen erhalten.42 Damit wird zunächst einmal nur die äußere Grenze des Informationszeitpunktes bei Kontaktaufnahme zur betroffenen Person festgelegt, was lediglich eine Konkretisierung und Ergänzung von lit. a darstellt, sodass weiterhin die Verpflichtung des Verantwortlichen besteht, grundsätzlich im Rahmen einer angemessenen Frist im Sinne von Abs. 3 lit. a zu informieren und die Höchstfrist von einem Monat zu berücksichtigen.43

3. Offenlegung (Abs. 3 lit. c)

17

Abs. 3 lit. c enthält eine weitere Sonderregelung für die Datenerhebung zur Offenlegung, indem sie einen späteren Informationszeitpunkt ermöglicht. Danach muss die Information spätestens zum Zeitpunkt der Offenlegung erfolgen. Die betroffene Person muss die Möglichkeit erhalten, ihre Rechte gegenüber einer unzulässigen Offenlegung noch geltend zu machen, die mögliche Reaktionszeit ist entsprechend zu berücksichtigen.44 Die grundsätzliche Regelung des Abs. 3 lit. a wird aber auch durch Abs. 3 lit. c nicht vollständig verdrängt, womit bei einer geplanten Offenlegung der Daten trotzdem im Rahmen einer angemessenen Frist und der einmonatigen Höchstfrist – soweit möglich – eine Information der betroffenen Person erfolgen muss. Voraussetzung für die Anwendbarkeit von Abs. 3 lit. c ist es, dass die Absicht des Verantwortlichen besteht, die personenbezogenen Daten der betroffenen Person an einen anderen Empfänger offenzulegen, also eine zielgerichtete Handlung vorliegt, bei der die Offenlegung aus Sicht des Verantwortlichen den Verarbeitungszweck darstellt (bspw. Kreditkartenauskunft). Die reine Weitergabe innerhalb eines fortlaufenden Verarbeitungsprozesses reicht für die Anwendbarkeit von Abs. 3 lit. c hingegen nicht aus.45

VI. Informationspflichten bei Zweckänderung (Abs. 4)

18

Werden die Daten zu einem anderen Zweck als dem Erhebungszweck weiterverarbeitet, sind nach Abs. 4 durch den Verantwortlichen weitere Informationspflichten zu erfüllen. Die Formulierung entspricht der Regelung in Art. 13 Abs. 3 DSGVO und unterscheidet sich im Wortlaut lediglich dadurch, dass in Art. 14 DSGVO die Formulierung „erlangt wurden“ verwendet wird, ohne damit aber einen inhaltlichen Unterschied zu verfolgen.46 So wird nach Art. 14 Abs. 4 DSGVO ebenfalls vorausgesetzt, dass die Daten zu einem anderen Zweck als dem Erhebungszweck weiterverarbeitet werden sollen. Über diesen neuen Zweck muss der Verantwortliche die betroffene Person informieren, ebenso über die Rechtsgrundlage der Verarbeitung sowie gegebenenfalls über die Empfänger der Daten.47 Darüber hinaus muss der Verantwortliche die in Abs. 2 genannten Informationen ausgerichtet auf den geänderten Verarbeitungszweck hin der betroffenen Person in dem Umfang mitteilen, in dem diese die Informationen benötigt, um die mit der Zweckänderung verbundenen Risiken ausreichend einschätzen zu können.48 Dabei hat der Verantwortliche die betroffene Person vor der Weiterverarbeitung zu einem geänderten Zweck so rechtzeitig zu informieren, dass diese gegebenenfalls noch Einwände gegen die Weiterverarbeitung einbringen kann.49 Form und Darstellung richten sich auch hier nach Art. 12 Abs. 1, 7 und 8 DSGVO.

VII. Ausnahmen von der Informationspflicht (Abs. 5)

19

Abs. 5 enthält mehrere Ausschlusstatbestände, nach denen eine Informationspflicht nach Art. 14 unterbleiben kann.50 Dabei verbietet der Abs. 5 selbst die Information der betroffenen Person nicht, allerdings können andere Regelungen im Sinne der Ausschlusstatbestände von Abs. 5 lit. c und lit. d DSGVO derartige Informationsverbote enthalten.

1. Vorhandene Informationen

20

Verfügt eine betroffene Person bereits über die Informationen, so kann nach Abs. 5 lit. a eine Information unterbleiben. Es handelt sich hierbei um eine Regelung, die wortgleich mit der Formulierung in Art. 13 Abs. 4 DSGVO ist und ebenso anzuwenden ist.51 Wesentlich ist, dass die betroffene Person bereits auf andere Weise die Information erhalten hat, was beispielsweise bei einer Datenübermittlung der Fall sein kann, wenn die Informationspflicht des Übermittelnden bereits nach Art. 13 Abs. 1 lit. e oder Abs. 3 DSGVO besteht.52 In diesem Fall sollte der Verantwortliche jedoch sicherstellen, dass dann bereits die Informationspflicht des Übermittelnden auch wirklich erfüllt wurde und unbedingt prüfen inwieweit damit bereits alle Informationsinhalte abgedeckt wurden.

2. Unmöglichkeit, unverhältnismäßiger Aufwand, privilegierte Verarbeitungen und Schutz des Verarbeitungszwecks (Abs. 5 lit. b)

21

Abs. 5 lit. b fasst mehrere Ausschlusstatbestände mit unterschiedlichen Zielen zusammen. So findet sich zunächst einmal der Hinweis, dass eine Pflicht im Sinne des Art. 14 DSGVO des Verantwortlichen nicht besteht, wenn die Information unmöglich ist, weil zur betroffenen Person kein Kontakt aufgenommen werden kann (bspw. weil unbekannt).53 Hintergrund ist, dass ein Verantwortlicher gemäß Art. 11 Abs. 1 DSGVO nicht nur deswegen Identifikationsdaten über eine betroffene Person aufbewahren oder erheben soll, um seinen Verpflichtungen aus der Verordnung nachzukommen. Sofern er die Person aber problemlos identifizieren kann, stellt allein der Mangel an Kontaktdaten noch nicht die „Unmöglichkeit“ im Sinne des Abs. 5 lit. b Satz 1 Hs. 1 Alt. 1 DSGVO dar.54

22

Die Informationspflichten entfallen aber auch dann, wenn die Informationspflicht mit einem unverhältnismäßigen Aufwand verbunden ist (Abs. 5 lit. b Satz 1 Hs. 1 Alt. 2 DSGVO). Notwendig ist dann jedoch eine Abwägung zwischen dem für den Verantwortlichen zu erwartenden Aufwand und dem auf Seiten der betroffenen Person bestehenden Informationsinteresse.55 Dabei ist vor allem das Risiko der Datenverarbeitung und das damit verbundene Interesse der betroffenen Person auf Information darüber zu berücksichtigen. Je höher dies einzuschätzen ist, umso mehr Aufwand kann vom Verantwortlichen zur Umsetzung der Informationspflicht gefordert werden, sodass zumindest bei intensivem Eingriff in die Rechte der betroffenen Person sowie hohe Risiken für diese (bspw. durch massenhafte Datenerhebung), der zur Information notwendige Aufwand als nicht zu hoch im Sinne des Abs. 5 lit. b angesehen werden kann.56

23

Ein weiterer Grund für das Unterbleiben der Informationen kann ein im öffentlichen Interesse liegender Archivzweck, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke im Sinne des Art. 89 Abs. 1 darstellen (Abs. 5 lit. b Satz 1 Hs. 2 Alt. 1 DSGVO). Diese Privilegierung besteht unabhängig von der (öffentlich-rechtlichen oder privaten) Rechtsform des Verantwortlichen und erfordert keine weitere Abwägung der Interessen.57 Allerdings bleibt die Informationspflicht bestehen, wenn ein weiterer Verarbeitungszweck verfolgt wird, der nicht im Sinne der Vorschrift privilegiert ist (vgl. Art. 89 Abs. 4 DSGVO).58

24

Ebenso entfällt die Informationspflicht in den Fällen, in denen das Ziel der Verarbeitung durch die Information gefährdet würde (Abs. 5 lit. b Satz 1 Hs. 2 Alt. 2). Diese Möglichkeit einer längerfristigen verdeckten Datenerhebung erfordert jedoch ein sich aus dem Verarbeitungszweck ergebendes Geheimhaltungsbedürfnis, welches gegenüber den Interessen der betroffenen Person auf frühzeitige Information abzuwägen ist. Die Informationspflicht entfällt dadurch aber nicht vollständig, sondern ist nachzuholen, sobald der Verarbeitungszweck durch die Information nicht mehr gefährdet wird (bspw. bei Ermittlungen eines Privatdetektives, wenn die Ermittlungen abgeschlossen sind).59

25

Überdies verlangt Abs. 5 lit. b Satz 2 aber außerdem, dass bei Anwendung der in Satz 1 genannten Ausschlussgründe, geeignete Schutzvorkehrungen zugunsten der betroffenen Person zu ergreifen sind. Hierzu dürfte es vor allem notwendig sein, dass wie bereits dargelegt die Abwägung der Interessen vorgenommen wurde, die dann aber auch im Sinne des Art. 5 Abs. 2 dokumentiert werden, d.h. neben der allgemeinen Dokumentationspflicht außerdem die Gründe der unterlassenen Information sowie die vorgenommene Abwägung mit aufgenommen wird.60 Darüber hinaus nennt Abs. 5 lit. b Satz 2 die Veröffentlichung der Informationen als eine der möglichen Schutzmechanismen, was aber allenfalls im Falle des zu großen Aufwands der Information eine geeignete Schutzvorkehrung sein kann.61

3. Ausdrückliche Regelung (Abs. 5 lit. c)

26

Regelt eine Rechtsvorschrift ausdrücklich die Erhebung oder Offenlegung der Daten, entfällt die Informationspflicht nach Art. 14 DSGVO ebenfalls, da die betroffene Person die Hintergründe dann der Rechtsvorschrift entnehmen kann (bspw. bei Meldepflichten an Behörden zur Geldwäschebekämpfung).62 Voraussetzung ist jedoch, dass der Informationsgehalt der Rechtsvorschrift mit der Informationspflicht des Verantwortlichen als gleichwertig zu betrachten ist und die betroffene Person in ausreichendem Maße die Reichweite und das Risiko der Datenerhebung und Weiterverarbeitung einschätzen kann.63 Sofern Vorschriften demgegenüber lediglich die Erlaubnis zur Datenverarbeitung enthalten (vgl. Art. 6 DSGVO), kann dies nicht als ausreichend erachtet werden.64 Damit eine betroffene Person daher die Datenerhebung im Einzelfall nachvollziehen kann, muss eine Rechtsvorschrift im Sinne von Abs. 5 lit. c neben der Erlaubnis zur Datenverarbeitung außerdem die Art der erhobenen Daten, die Voraussetzungen deren Erhebung und den Zweck der Verarbeitung ausreichend spezifizieren und normenklar festlegen.65 Insbesondere wird nach Abs. 5 lit. c verlangt, dass die Rechtsvorschrift geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen. Inwieweit der Verantwortliche hierbei zur Prüfung dieser Voraussetzungen verpflichtet sein soll, lässt sich Abs. 5 lit. c hingegen nicht entnehmen. Allerdings sollte auch in diesem Fall der Verantwortliche genau dokumentieren, auf welcher Grundlage und nach welchen Prüfungsschritten er die Information nach Abs. 5 lit. c unterlassen hat.66

4. Berufsgeheimnis (Abs. 5 lit. d)

27

Zum Schutz des Berufsgeheimnisses enthält Abs. 5 lit. d eine weitere Ausnahmeregelung zur Informationspflicht. Das Berufsgeheimnis kann sich sowohl aus Unionsrecht als auch aus dem Recht der Mitgliedstaaten ergeben, wobei es auf einer rechtlichen Grundlage beruhen muss. Ausreichend ist danach eine Regelung des Berufsgeheimnisses in Form des § 203 Abs. 1 und Abs. 2 StGB, wonach ein Arzt gegebenenfalls nicht zur Information an betroffene Personen verpflichtet ist, sofern er deren personenbezogene Daten im Rahmen eines Patienten-Arztverhältnisses erhalten hat.67 Danach müssen Familienangehörige dann nicht informiert werden, wenn beispielsweise im Rahmen einer Familienanamnese Angaben zu Vorerkrankungen von Angehörigen erfragt oder während einer Therapie von einem Psychologen Angaben zu Familienangehörigen erhoben werden.68

5. Fakultative Beschränkungen nach Art. 23

28

Darüber hinaus können gemäß Art. 23 DSGVO die Informationspflichten aus Art. 14 DSGVO außerdem durch Gesetzgebungsmaßnahmen der Union oder eines Mitgliedstaates zusätzlich zu Abs. 5 beschränkt werden. Möglich ist dies zum Beispiel, wenn zum Schutz privater Geschäftszwecke oder zur Erfüllung behördlicher Aufgaben die Datenerhebung und deren nachfolgende Verarbeitung geheim gehalten werden sollen, wobei wegen des starken Eingriffs in die Rechte der betroffenen Person an die Regelungen dann hohe Anforderungen in Bezug auf die Bestimmtheit und die Verhältnismäßigkeit zu stellen sind.69

VIII. Form und Darstellung der Informationen

29

Vorgaben für die Form und die Darstellung der Informationen finden sich für Art. 14 DSGVO ebenfalls nicht in der Vorschrift selbst, sondern ergeben sich lediglich aus Art. 12 Abs. 1, 7 und 8 DSGVO.70 Auch im Zusammenhang des Art. 14 DSGVO ist dabei auf eine verständliche Vermittlung der Informationen zu achten, sodass die betroffene Person in die Lage versetzt wird, den Umfang der Datenverarbeitung zu verstehen und gegebenenfalls ihre Betroffenenrechte sowohl dem Verantwortlichen als auch Dritten gegenüber wahrnehmen zu können.71 Dabei kann auch die Verwendung von Bildsymbolen eine Möglichkeit darstellen, die Informationen der betroffenen Person mitzuteilen.72

IX. Sanktionen

30

Wird eine betroffene Person durch den Verantwortlichen nicht nach Abs. 1, Abs. 2 oder Abs. 4 informiert bzw. der nach Abs. 3 einzuhaltende Zeitraum überschritten, handelt es sich um eine Informationspflichtverletzung, welche gemäß Art. 83 Abs. 5 lit. b DSGVO mit einer Geldbuße geahndet werden kann.73 Die Verletzung der Informationspflichten führt aber nicht zwingend zur Rechtswidrigkeit der Datenerhebung, vielmehr kommt es auch im Rahmen des Art. 14 Abs. 1 und Abs. 2 DSGVO darauf an, ob die Datenerhebung von der Entscheidung der betroffenen Person abhing, sie also die Entscheidung mangels der notwendigen Informationen nicht treffen konnte.74 Hätte die Information demnach schon bei der Datenerhebung erfolgen müssen (bspw. bei einer notwendigen Einwilligung oder der Vorbereitung eines Vertragsverhältnisses), so ist deren Weiterverarbeitung rechtswidrig. Dies ist auch dann der Fall, wenn die Weiterverarbeitung nach einer Zweckänderung gemäß Abs. 4 vom Willen der betroffenen Person abhängt.75 Ansonsten bleibt die Weiterverarbeitung rechtmäßig, die Informationen müssen allerdings durch den Verantwortlichen umgehend nachgeholt werden.76

1 Zur Bestrebung, die Betroffenenrechte zu stärken und die Verantwortlichen mehr in die Pflicht zu nehmen, siehe u.a. bei Thode, in: Schläger/Thode, Handbuch Datenschutzrecht und IT-Sicherheit, Kapitel A m.w.N. 2 Zur sog. „aktiven Transparenz“ und den Betroffenenrechten im Einzelnen siehe außerdem Franck, RDV 2015, 137, 141. 3 Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 13 Rn. 1, Art. 14 Rn. 1. 4 Dazu Franck, in: Gola, DS-GVO, Art. 13 Rn. 1, Art. 14 Rn. 1. 5 Im Einzelnen bei Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 13 Rn. 1. 6 Für die weitere Anwendung des TMG, solange die E-Privacy-Richtlinie nicht kommt, so noch Venzke-Caparese, DuD 2018, 156; siehe aber auch die Meinung der Aufsichtsbehörden, DSK v. 26.4.2018; darüber hinaus wurde inzwischen das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beschlossen, welches bereits ab dem 1.12.2021 gilt, mit dem Ziel, die Datenschutzbestimmungen des Telekommunikationsgesetzes (TKG) sowie des Telemediengesetzes (TMG) an die Datenschutzgrundverordnung anzupassen, bestehende Rechtsunsicherheiten zu beseitigen und die Datenschutzbestimmungen von TKG und TMG zusammenzufassen, hierzu näher unter https://www.gdd.de/aktuelles/startseite/gdd-veroeffentlicht-praxishilfe-das-neue-telekommunikation-telemedien-datenschutz-gesetz-ttdsg-im-ueberblick (zuletzt abgerufen am 15.7.2021). 7 Die Vorschrift als Pedant zu Art. 13 bezeichnend Franck, in: Gola, DS-GVO, Art. 14 Rn. 1. 8 Dazu Franck, in: Gola, DS-GVO, Art. 14 Rn. 2; Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 4; noch zu den Betroffenenrechten nach BDSG a.F. siehe Franck, RDV 2015, 137; nach DSGVO Franck, RDV 2016, 111. 9 Jedoch nicht den Auftragsverarbeiter, vgl. bereits oben unter Rn. 2. 10 Zur weiten Auslegung des Begriffs Datenerhebung vgl. Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 11; noch zu Art. 11 DSRl Brühann, in: Grabitz/Hilf, DSRl, Art. 11 Rn. 4; demgegenüber anders noch bei Dammann/Simitis, DSRl, Art. 10 Rn. 3; insoweit handelt es sich um eine Art Auffangnorm, vgl. Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 2a. 11 Vgl. Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 14 Rn. 2; Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 9; Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 1. 12 Bzw. inwieweit andere Regelungen gelten, hierzu Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 9. 13 Paal/Hennemann, in: Paal/Pauly, DS-GVO BDSG, Art. 14 Rn. 13; zum Problem der Reichweite auch bei Kugelmann, DuD 2016, 566, 568. 14 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 13. 15 Dazu bereits unter Art. 13 Rn. 12 ausführlich; aber auch für Art. 14 zur entgegengesetzten Auffassung, dass die Information nach Abs. 2 situationsbedingt sein soll, Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 14 Rn. 22; Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 11. 16 Dazu unter Art. 13 Rn. 8f. 17 Dazu unter Art. 13 Rn. 10ff.; dazu allgemein auch bei Buchner, DuD 2016, 155. 18 Dazu unter Art. 13 Rn. 14f. 19 Dazu Art. 13 Rn. 16. 20 Zum Vergleich mit anderen Sprachfassungen bei Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 16. 21 Zum Ganzen bei Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 17; Kategorien von Daten als ausreichend erachtend Lorenz, VuR 2019, 213, 219; zusammenfassende thematische Beschreibung verlangen nach Art. 12 DSRl noch Dammann/Simitis, DSRl, Art. 12 Rn. 4; auch hier besteht die Notwendigkeit, dass eine betroffene Person die Reichweite erkennt, vgl. ähnlich noch zur informierten Einwilligung nach BDSG a.F. Lindner, Die datenschutzrechtliche Einwilligung nach §§ 4 Abs. 1, 4a BDSG – ein zukunftsfähiges Institut?, S. 131. 22 Vgl. auch Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 17; Lorenz, VuR 2019, 213, 219; Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 8. 23 Auch hier keine Trennung in Pflichtinformationen und sonstige Informationen, so aber für Art. 13 DSGVO Schantz, NJW 2016, 1841, 1845. 24 Zu möglichen Formulierungen im Bereich des Gesundheitswesens siehe bspw. bei Venzke-Caprarese, in: Buchner, Das neue Datenschutzrecht im Gesundheitswesen, Kapitel B/8.1. 25 Vgl. Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 14 Rn. 38; Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 17. 26 Insbesondere auch die Abgrenzung, ob öffentlich zugängliche Quelle, vgl. Franck, in: Gola, DS-GVO, Art. 14 Rn. 13; für weites Verständnis Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 19. 27 Vgl. Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 20; wohl auch Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 14 Rn. 38. 28 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 20; Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 17. 29 Zu weiteren Beispielen bei Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 21; Werkmeister/Brandt, CR 2016, 233, 236. 30 Franck, in: Gola, DS-GVO, Art. 14 Rn. 14; Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 17. 31 Vgl. auch Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 23. 32 Zur möglichen Regelungslücke, die aber praktisch wenig Auswirkung hat, siehe Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 24ff.; siehe auch Franck, RDV 2016, 111, 115. 33 Zur Notwendigkeit, dass bei einer Einwilligung dies dann schon ein Erfordernis der informierten Einwilligung ist, siehe auch Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 32. 34 Ähnlich wohl auch Venzke-Caprarese, in: Buchner, Das neue Datenschutzrecht im Gesundheitswesen, Kapitel B/9. 35 So wohl auch Franck, in: Gola, DS-GVO, Art. 14 Rn. 18, der von einer Berücksichtigung der spezifischen Umstände spricht. 36 Ähnlich Franck, in: Gola, DS-GVO, Art. 14 Rn. 18. 37 Vgl. ebenso Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 28. 38 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 29. 39 Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 14 Rn. 14. 40 Siehe bei Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 30; Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 20. 41 Dazu näher Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 34. 42 Ebenso mit Hinweis auf sprachliche Unterschiede in den Fassungen der Mitgliedstaaten, siehe Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 35. 43 Dazu auch Franck, RDV 2016, 111, 115f.; bei der es sich aber um die Maximaldauer handelt, Franck, in: Gola, DS-GVO, Art. 14 Rn. 21. 44 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 40; ähnlich noch zu Art. 11 DSRl Dammann/Simitis, DSRl, Art. 11 Rn. 2. 45 Zum Ganzen und zum Beispiel der Weiterleitung von Bewerberdaten an eine Firma zur Personalberatung, siehe bei Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 38. 46 In Art. 13 Abs. 3 DSGVO wurde die Formulierung „erhoben wurde“ verwendet, dazu auch Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 45; Franck, in: Gola, DS-GVO, Art. 14 Rn. 17. 47 Zur Notwendigkeit dieser Informationen siehe unter Art. 13 Rn. 31ff. 48 Dazu unter Art. 13 Rn. 32. 49 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 49. 50 Zum Vergleich mit dem § 33 Abs. 2 BDSG, siehe Härting, Datenschutz-Grundverordnung, Rn. 74f. 51 Dazu unter Art. 13 Rn. 38f. 52 Vgl. Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 52. 53 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 54. 54 Vgl. Franck, in: Gola, DS-GVO, Art. 14 Rn. 25; so auch Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 54. 55 Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 26; ggf. sind geeignete Maßnahmen zu ergreifen, um die Rechte und Freiheiten der betroffenen Personen zu schützen, vgl. Franck, in: Gola, DS-GVO, Art. 14 Rn. 25. 56 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 55. 57 Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 27. 58 Vgl. auch Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 56. 59 Zum Ganzen Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 59 mit Hinweis darauf, dass es sich nicht um eine verarbeitungsübergreifende Ausschlussvorschrift handelt. 60 Dazu Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 63. 61 Nicht eindeutig bei Franck, in: Gola, DS-GVO, Art. 14 Rn. 25; dazu außerdem Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 29. 62 Dies zumindest als eines der Hauptanwendungsfälle erachtend Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 66; schon insoweit zu Art. 11 Abs. 2 DSRl noch Dammann/Simitis, DSRl, Art. 11 Rn. 7. 63 EuGH, Urt. v. 1.10.2015 – C-201/14, ECLI:EU:C:2015:638, Rn. 45 – Bara u.a. 64 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 65; schon insoweit noch zu Art. 11 Abs. 2 DSRl bei Dammann/Simitis, DSRl, Art. 11 Rn. 7; Meldepflichten als Beispiel nennend Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-DSGVO und BDSG, Art. 14 Rn. 30. 65 Dazu schon EuGH, Urt. v. 1.10.2015 – C-201/14, ECLI:EU:C:2015:638, Rn. 45 – Bara u.a. 66 Zum Ganzen ebenfalls Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 67. 67 Dazu Franck, in: Gola, DS-GVO, Art. 14 Rn. 27. 68 Dazu bei Venzke-Caprarese, in: Buchner, Das neue Datenschutzrecht im Gesundheitswesen, Kapitel B/8.2. 69 Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 71f. 70 Vgl. unter Art. 13 Rn. 34ff., und Art. 12 Rn. 8ff. 71 Zur Einwilligung nach altem Recht bei von Zimmermann, Die Einwilligung im Internet, S. 252; Rogosch, Die Einwilligung im Datenschutzrecht, S. 72f. 72 Vgl. Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 14 Rn. 12. 73 Zur Möglichkeit und Höhe der Geldbuße nach Datenschutzgrundverordnung siehe u.a. bei Eckhard/Menz, DuD 2018, 139; Mester, DuD 2018, 181; Steffen, DuD 2018, 145, 147. 74 Vgl. Franck, RDV 2016, 111, 116. 75 Dazu insgesamt auch Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 50. 76 Information bildet keine rechtliche Voraussetzung der Datenverarbeitung, vgl. Bäcker, in: Kühling/Buchner, DS-GVO BDSG, Art. 14 Rn. 44; mit Hinweis auf Art. 6 und dessen fehlendem Hinweis auf Art. 14, siehe Albrecht/Jotzo, Das neue Datenschutzrecht der EU, Rn. 8.