§ 12 Datenschutzrecht / 2. Informationspflichten im Fall der Erhebung der Daten direkt vom Betroffenen

Rz. 103

Art. 13 DSGVO erfasst den Fall, dass die Daten direkt beim Betroffenen erhoben werden. Gemeint ist damit, dass der Betroffene die unmittelbare Datenquelle darstellt. Dies kann entweder durch eine bewusste Übermittlung von Daten an einen Verantwortlichen durch den Betroffenen geschehen (Bsp.: Ausfüllen eines Formulars) oder durch das Beobachten des Betroffenen erfolgen (Bsp.: Videokamera).^[40]

[40] Vgl. Kühling/Buchner/Bäcker, Art. 13 DSGVO Rn 13; Simitis/Hornung/Spiecker/Dix, Art. 13 Rn 6; Art.-29-Gruppe, WP 260 rev.01 Rn 26.

a) Zeitpunkt der Informationserteilung

Rz. 104

Nach Art. 13 Abs. 1 DSGVO sind die Informationen dem Betroffen zum Zeitpunkt der Erhebung der Daten zu erteilen. Durch die Informationspflichten soll der Betroffene in die Lage versetzt werden, den Umfang und die Folgen der Datenverarbeitung zu überblicken. Aus diesem Grund muss die Erteilung der Informationen nach Art. 13 DSGVO vor oder zumindest spätestens gleichzeitig mit Erhebung der Daten erfolgen.^[41]

[41] Vgl. Ehmann/Selmayr/Knyrim, Art. 13 Rn 11. Teilweise wird eine strengere Ansicht vertreten, wonach die Informationserteilung zwingend vor Beginn der Erhebung erfolgen muss, vgl. Kühling/Buchner/Bäcker, Art. 13 DSGVO Rn 56.

b) Informationspflichten nach Art. 13 Abs. 1 und 2 DSGVO

Rz. 105

Nach dem Wortlaut der DSGVO sind die in Art. 13 Abs. 1 DSGVO genannten Informationen dem Betroffenen immer mitzuteilen. Die in Abs. 2 genannten Informationen sind dem Betroffenen zur Verfügung zu stellen, da sie notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Unabhängig von dieser Aufteilung sind dem Betroffenen immer alle Informationen nach Abs. 1 und Abs. 2 zu erteilen.^[42]

[42] Vgl. Simitis/Hornung/Spiecker/Dix, Art. 13 Rn 13; Kühling/Buchner/Bäcker, Art. 13 DSGVO Rn 20; Art.-29-Gruppe, WP 260 rev.01 Rn 23; a.A. Gola/Franck, Art. 13 Rn 5; Ehmann/Selmayr/Knyrim, Art. 13 Rn 29.

aa) Name und Kontaktdaten des Verantwortlichen (Art. 13 Abs. 1 lit. a DSGVO)

Rz. 106

Dem Betroffenen ist Name und Kontaktdaten des Verantwortlichen zu nennen. Mit Namen ist der Name der natürlichen Person, der Name des Unternehmens im Falle einer juristischen Person oder der Name der Behörde oder des Vereins gemeint. Bei den Kontaktdaten ist auf jeden Fall eine ladungsfähige Anschrift anzugeben, gerade im Onlineumfeld wird zudem noch vertreten, dass auch eine E-Mail-Adresse anzugeben ist.^[43]

[43] Vgl. Kühling/Buchner/Bäcker, Art. 13 DSGVO Rn 22; Ehmann/Selmayr/Knyrim, Art. 13 Rn 34.

bb) Kontaktdaten des Datenschutzbeauftragten (Art. 13 Abs. 1 lit. b DSGVO)

Rz. 107

Sofern ein Datenschutzbeauftragter bestellt ist, sind dessen Kontaktdaten (Adresse, E-Mail-Adresse) anzugeben. Der Name des Datenschutzbeauftragten muss hingegen nicht genannt werden.

cc) Zwecke der Datenverarbeitung sowie Rechtsgrundlage (Art. 13 Abs. 1 lit. c DSGVO)

Rz. 108

Dem Zweckbindungsgrundsatz aus Art. 5 Abs. 1 lit. b DSGVO folgend, der nur die Erhebung von Daten zu bestimmten Zwecken erlaubt, sind diese Zwecke dem Betroffenen mitzuteilen. Hiermit soll dem Betroffenen der Umfang der Datenverarbeitung dargelegt werden, so dass er sich ein Bild davon machen kann, mit welchen Datenverarbeitungen er zu rechnen hat.^[44] Zusätzlich zu den Zwecken ist die Rechtsgrundlage der Datenverarbeitung anzugeben, die die Grundlage der Datenverarbeitung darstellt.^[45]

[44] Vgl. Kühling/Buchner/Bäcker, Art. 13 DSGVO Rn 25.

[45] Vgl. Ehmann/Selmayr/Knyrim, Art. 13 Rn 37.

dd) Berechtigte Interessen (Art. 13 Abs. 1 lit. d DSGVO)

Rz. 109

Sofern die Datenverarbeitung auf Basis der Interessenabwägung nach Art. 6 Abs. 1 S. 1 lit. f DSGVO durchgeführt wird, ist dem Betroffenen zudem das berechtigte Interesse des Verantwortlichen mitzuteilen. So soll gewährleistet werden, dass der Betroffene die Abwägung der Interessen nachvollziehen kann.^[46]

[46] Vgl. Simitis/Hornung/Spiecker/Dix, Art. 13 Rn 10.

ee) Empfänger oder Kategorien von Empfängern (Art. 13 Abs. 1 lit. e DSGVO)

Rz. 110

Sofern die erhobenen Daten an weitere Empfänger weitergegeben werden, ist der Betroffene hierüber zu informieren. Nach Art. 4 Nr. 9 DSGVO ist ein Empfänger jede Stelle, der personenbezogene Daten offengelegt werden. Somit sind auch Auftragsverarbeiter Empfänger und auch über eine Weitergabe der Daten an diese ist zu informieren.^[47]

Rz. 111

Nach allgemeiner Auffassung – insbesondere aus Sicht der Aufsichtsbehörden – besteht kein Wahlrecht, ob der konkrete Empfänger oder die Kategorien von Empfängern angegeben werden. Es sind vielmehr die konkreten Empfänger anzugeben, sofern diese bereits feststehen. Nur in den Fällen, in denen der konkrete Empfänger noch nicht feststeht, ist die Kategorie des Empfängers anzugeben.^[48]

[47] Vgl. Simitis/Hornung/Spiecker/Dix, Art. 13 Rn 11; Kühling/Buchner/Bäcker, Art. 13 DSGVO Rn 28.

[48] Vgl. Art.-29-Gruppe, WP 260 rev.01 S. 49; Simitis/Hornung/Spiecker/Dix, Art. 13 Rn 11; Kühling/Buchner/Bäcker, Art. 13 Rn 30.

ff) Übermittlung der Daten an ein Drittland (Art. 13 Abs. 1 lit. f DSGVO)

Rz. 112

Sofern die Daten in ein Drittland (außerhalb der EU) übermittelt werden sollen, ist der Betroffene hierüber zu informieren. Zudem ist der Betroffene über das Vorhandensein oder das Fehlen eines Angemessenheitsbeschluss der EU-Kommission bzw. über die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, sofern die Übermittlung nach Art. 46 oder 47 DSGVO durchgeführt wird.

gg) Dauer, für die die Daten gespeichert werden (Art. 13 Abs. 2 lit. a DSGVO

Rz. 113

Dem Betroffenen ist mitzuteilen, wie lange die erhobenen Daten gespeichert werden. Die Angabe muss so präzise sein, dass ...