Menü
Für die einen sind es die Informationspflichten, für die anderen sind es die Datenschutzhinweise. In beiden Fällen soll Transparenz durch Informationen hergestellt werden.
Ja. Die Informationspflichten sind grundsätzlich zu erfüllende Pflichten des Verantwortlichen zur Transparenz bei der Datenverarbeitung. Die Pflicht zur Transparenz und damit der Nachvollziehbarkeit einer Datenverarbeitung findet sich in der DSGVO unter den Grundsätzen für die Verarbeitung personenbezogener Daten im Art. 5 bereits im ersten Satz wieder. Die Pflicht zur Information ist in den Art. 13 und 14 DSGVO konkretisiert.
Die Nicht-Bereitstellung dieser Informationen kann empfindliche Bußgelder nach sich ziehen. Denken Sie bitte auch daran, dass Sie die Informationen spätestens dann bereitstellen müssen, wenn Sie eine Auskunftsanfrage einer betroffenen Person oder eine Anfrage einer Aufsichtsbehörde erhalten.
Aus Gründen der Transparenz soll eine Verarbeitung für die betroffene Person nachvollziehbar sein. Das bedeutet, dass Sie über die Datenverarbeitung und deren Rechtmäßigkeit aufklären müssen. Das Gesetz hat diesem Thema die Art. 12 bis 14 DSGVO gewidmet. Die Erfüllung der sich hieraus ergebenden Informationspflichten erfolgt i. d. R. mittels Datenschutzhinweisen oder Datenschutzerklärungen.
Ganz ehrlich … haben Sie sich schon einmal die Datenschutzhinweise auf einer Website bei einem Gewinnspiel durchgelesen? Etwa nicht?
Zugegeben, derzeit interessiert dies nur einen kleinen Teil. So lesen z. B. Datenschutzbeauftragte, Anwälte, Aufsichtsbehörden oder spitzfindige Personen gerne mal Datenschutzhinweise auf Websites durch. Doch dann ist es eigentlich schon zu spät, denn diese Klientel sucht eher gezielt nach Fehlern und Lücken und nicht unbedingt nach Informationen zu Ihrer Datenverarbeitung.
Zunächst ist es wichtig, die unterschiedlichen datenrelevanten Prozesse im Unternehmen zu kennen. In der Regel haben Sie bereits ein Verzeichnis der Verarbeitungstätigkeiten, kurz VVT, und können sich dort die nötigen Informationen beschaffen. Ein VVT gibt unter anderem an, zu welchen unterschiedlichen Zwecken personenbezogene Daten verarbeitet werden.
Sie haben noch gar kein VVT? Dann suchen Sie sich eine bestimmte Datenverarbeitung aus. Eine Unterscheidung zwischen Datenverarbeitungen kann erst einmal ganz grob erfolgen, zum Beispiel in „Datenverarbeitung auf der Website“ und „Datenverarbeitungen im Unternehmen“. Auch ist eine Unterscheidung nach Personenkreisen möglich. Zum Beispiel: Kunden, Beschäftigte, Lieferanten/Dienstleister/Geschäftspartner, Website-Besucher …
Die Form der Informationsbereitstellung ist frei wählbar, das Gesetz macht hierzu keine formellen Vorgaben. Folgende Aspekte sind grundsätzlich zu berücksichtigen:
Die Informationen müssen
Jetzt müssen Ihre Datenschutzhinweise nur noch auffindbar sein. Es lohnt sich, sich im Vorfeld Gedanken darüber zu machen, wo und wie die Informationen bereitgestellt werden. So behalten Sie den Überblick und vermeiden doppelte Ablagestellen und am Ende verschiedene Versionen, weil die eine aktualisiert wurde, die andere aber nicht.
Ziehen Sie auch ruhig einen Medienbruch in Betracht. Zum Beispiel können Sie auf einer Karte für ein Gewinnspiel einen Link angeben, welcher auf Ihre Webseite führt und die Datenschutzhinweise zum Gewinnspiel aufführt.
In den Datenschutzhinweisen können Sie die Rechtsgrundlage in Worte fassen, statt einen trockenen DSGVO-Artikel wiederzugeben. Zum Beispiel:
Statt: „Rechtsgrundlage der Verarbeitung ist Art. 6 Abs.1 b DSGVO.“ könnten Sie auch schreiben: „Wir verarbeiten Ihre personenbezogenen Daten zur Erfüllung eines Vertrages mit Ihnen und/oder zur Durchführung von vorvertraglichen Maßnahmen.“
ODER
Statt: „Rechtsgrundlage der Verarbeitung ist Art. 6 Abs.1 a DSGVO.“ könnten Sie auch schreiben: „Wir verarbeiten Ihre personenbezogenen Daten, weil wir eine Einwilligung dafür von Ihnen erhalten haben.“
Die Inhalte der Informationspflichten sind gesetzlich vorgegeben. In einer Checkliste haben wir Ihnen die wichtigsten Punkte zusammengestellt und einfach erläutert. Nachfolgend stellen wir die zu erteilenden Informationen vor.
Art. 13 Abs. 1b DSGVO
Art. 13 Abs. 1c DSGVO
Art. 13 Abs. 1d DSGVO
Wenn die Datenerhebung auf einem berechtigten Interesse des Verantwortlichen oder eines Dritten beruht (Art. 6 Abs. 1 lit. f DS-GVO) ist dies anzugeben.
Art. 13 Abs. 1e DSGVO
Art. 13 Abs. 1f DSGVO
die geplante Speicherdauer oder, falls dies nicht möglich ist, die Kriterien für die Festlegung der Speicherdauer
Im Falle einer automatisierten Entscheidungsfindung (einschließlich Profiling) sind aussagekräftige Informationen über die verwendete Logik, die Tragweite und angestrebten Auswirkungen einer derartigen Verarbeitung bereitzustellen.
Sie brauchen die Angaben nur dann zu machen, wenn diese auch zutreffen. Das bedeutet, dass Sie nicht angeben müssen, was Sie nicht machen. Bedenken Sie aber, dass dies in gewissen Fällen Nachfragen vorwegnehmen kann. Folgende informative Sätze haben Sie vielleicht in dieser oder anderer Form schon einmal gelesen. Sie können eventuellen Nachfragen entgegenwirken, sind aber nicht zwingend anzugeben:
Es versteht sich von allein, dass Sie diese Angaben nur machen, wenn dem tatsächlich so ist!
Datenschutzhinweise sind nicht in Stein gemeißelt. Deswegen sind dies auch grundsätzlich erst einmal nur Informationen oder Hinweise. Gerade zu Beginn ist es gar nicht so einfach, zwischen unterschiedlichen Verarbeitungszwecken zu unterscheiden und über diese korrekt zu informieren – vor allem, wenn noch kein Verzeichnis der Verarbeitungstätigkeiten (VVT) existiert.
Wichtig ist jedoch, dass Sie zumindest eine generelle Information zum Datenschutz bereithalten und diese nach und nach verfeinern und aktualisieren. Besonders bei Websites finden sich immer wieder Datenverarbeitungen, welche übersehen, vergessen oder in den Datenschutzhinweisen nicht aufgeführt sind.