§ 5 Informations- und Mitteilungspflichten des Verantwor ... / 1. Verhältnis zwischen Informationen nach Absatz 1 und Absatz 2

Rz. 29

Bevor auf die einzelnen Informationspflichten in den Absätzen 1 und 2 näher eingegangen wird, ist das Verhältnis der beiden Absätze zu einander näher zu beleuchten. Art. 13 Absatz 1 normiert Informationen, die der Verantwortliche "zum Zeitpunkt der Erhebung" mitzuteilen hat. Art. 13 Absatz 2 normiert "zusätzliche" Informationspflichten neben denen nach Absatz 1, "die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten". Fraglich ist, ob Art. 13 Absatz 2 DSGVO eine Einschränkung dahingehend entnommen werden kann, dass die hier normierten Informationen nicht in jedem Fall, sondern nur dann zu erteilen sind, wenn^[30] ansonsten eine "faire und transparente Verarbeitung" nicht sichergestellt werden kann. Dies würde dem Verantwortlichen auferlegen, im Einzelfall zu überprüfen, ob er zu einer Informationsvermittlung auch nach Art. 13 Abs. 2 DSGVO verpflichtet ist oder nicht. Veil^[31] scheint dies – ebenso wie Kamlah^[32] – annehmen zu wollen und will die Informationspflicht erst dann als gegeben ansehen, wenn "Treu und Glauben und Transparenz es notwendig machen, den Betroffenen zu informieren". Dies sei mit Rücksicht auf die spezifischen Umstände und den Kontext der Datenverarbeitung zu ermitteln. Der Verantwortliche muss die in 13 Absatz 2 DSGVO benannten zusätzlichen Informationen "nur dann erteilen, wenn [für den Betroffenen] ein so großes Risiko für seine Rechte auf informationelle Selbstbestimmung besteht, dass er die zusätzlichen Informationen benötigt."^[33] Eine derartige Einschränkung der Informationspflicht lässt sich weder der deutschen, noch der englischen Sprachfassung der Norm entnehmen. Ein Erfordernis der Prüfung der spezifischen Umstände des (beabsichtigten) Verarbeitungsvorganges wird dem Verantwortlichen vielmehr gerade nicht auferlegt.^[34] Wie Paal^[35] zu Recht hervorhebt, würde ein solches Verständnis des Verhältnisses von Abs. 1 und 2 des Art. 13 DSGVO für den Verantwortlichen – auch mit Blick auf die in Art. 83 Abs. 5 lit. b) DSGVO normierte Ordnungsgeldandrohung – ein kaum überschaubares Risiko für den Fall darstellen, dass sich seine Abwägung als fehlerhaft erweist. So könnte eine nach Abs. 2 erforderliche Information gar nicht erfolgen oder aber ein Zuviel an ("unnötigen" oder "nicht erforderlichen") Informationen zu einer "unpräzisen" oder "intransparenten" Gesamtinformation und damit ebenfalls zu einem Verstoß gegen die Norm führen.^[36] Ob es angezeigt ist, wie Bäcker^[37] davon auszugehen, dass die Informationspflichten nach Art. 13 Abs. 1 und 2 DSGVO stets "gleichermaßen", d.h. in derselben Form, erfolgen müssen und sich "aus der Verteilung der Pflichten in zwei Absätze keine Unterschiede in der Sache ergeben",^[38] erscheint nach hier vertretener Auffassung zweifelhaft.

Rz. 30

Bereits die Untergliederung der Informationspflichten bei Erhebung in zwei Absätze lässt eine von Seiten des Gesetzgebers gewollte Unterscheidung der Regelungsmaterien in den Absätzen 1 und 2 vermuten. Auch wenn der Wortlaut der beiden Absätze keinen Anhaltspunkt dafür gibt, dass die "zusätzliche" Information nur in bestimmten Fällen erfolgen müsste, lässt er doch Rückschlüsse auf die Form der Informationsvermittlung zu. Während Art. 13 Abs. 1 von einer "Mitteilung"^[39] spricht, geht Art. 13 Abs. 2 lediglich von einem "zur Verfügung stellen" der Informationen aus. Dies kann in dem Sinne verstanden werden, dass nur die Informationen nach Abs. 1 zwingend schriftlich oder elektronisch in dem Informationsschreiben dargestellt (="übermittelt") werden müssen, während hinsichtlich der weitergehenden Informationen nach Abs. 2 lediglich die Möglichkeit für den Betroffenen geschaffen werden muss, diese zur Kenntnis zu nehmen. Das "zur Verfügung stellen" erfordert damit keine direkte Niederlegung der Informationen innerhalb des Informationsschreibens,^[40] sondern grundsätzlich auch das "Bereitstellen zum Abruf", z.B. in Form eines Hinweises, dass die Informationen nach Art. 13 Abs. 2 DSGVO "auf Anfrage" übermittelt oder über eine bestimmte Zieladresse im Internet oder auch telefonisch^[41] ausreichen könnte. Eine mitgeteilte Information nach Art. 13 Abs. 1 DSGVO ist dem Betroffenen daher unaufgefordert und vollständig in Schrift- oder Textform auf einem dauerhaften Datenträger zu übersenden, während die Informationen nach Art. 13 Abs. 2 DSGVO auch "nur" zum Abruf bereitgehalten werden können.^[42]

Rz. 31

Vor dem Hintergrund, dass die Reichweite des Art. 13 Abs. 2 DSGVO und seine Anwendbarkeit noch nicht abschließend geklärt ist, empfiehlt sich für die Praxis vorerst die Übermittlung auch der Informationen gem. Abs. 2 in Textform^[43] auf einem dauerhaften Datenträger.^[44]

[30] Das Wort "wenn" fehlt im Verordnungstext.

[31] Veil, ZD 2015, 347, 350.

[32] Kamlah, in: Plath (Hrsg.), BDGS/DSGVO, 2. Aufl. 2017, Art. 13 Rn 16 f.

[33] Ebenda.

[34] Es heißt hier ja gerade nicht "nur dann wenn" oder "soweit" die Informationen "notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten", sondern ...