§ 5 Informations- und Mitteilungspflichten des Verantwor ... / 4. Besondere Schutzvorkehrungen bei Wegfall der Informationspflicht, § 32 Abs. 2 u. 3 BDSG-Neu

a) Schriftliche Festlegung für ein Absehen von der Information an den Betroffenen, § 32 Abs. 3 S. 3 BDSG-Neu

Rz. 113

Soweit der Verantwortliche auf Grundlage eines der in § 32 Abs. 1 normierten Tatbestände im Falle der Weiterverarbeitung von einer Information gegenüber der betroffenen Person gem. Art. 13 Abs. 2, 3 DSGVO absieht bzw. absehen möchte, ist er gem. § 32 Abs. 2 S. 3 BDSG-Neu verpflichtet, schriftlich zu fixieren, aus welchen Gründen er von einer Information abgesehen hat. Die Stichhaltigkeit der Gründe unterliegt der Kontrolle durch die zuständige Aufsichtsbehörde, die durch die Dokumentationspflicht ermöglicht wird.^[105]

Rz. 114

Art. 13 Abs. 2, 3 DSGVO nimmt damit Bezug auf die in Art. 5 Abs. 2 DSGVO normierte Rechenschaftspflicht^[106] und gestaltet sie im Rahmen einer Verpflichtung zur schriftlichen Fixierung des Abwägungsvorganges näher aus.

Rz. 115

Unbeantwortet bleibt dabei die Frage, wie Fälle zu behandeln sind, in denen eine Erlaubnisnorm nach § 32 Abs. 1 BDSG-Neu zwar tatsächlich einschlägig ist, aber die erforderliche schriftliche Dokumentation nicht vorhanden ist.

Auch ist fraglich, wann die Dokumentation zu erfolgen hat und ob diese "im Einzelfall" und bezogen auf einen bestimmten Betroffenen oder – bei gleichgelagerten Fallgestaltungen – auch abstrakt unter Darlegung der üblicherweise verfolgten Interessen des Verantwortlichen erfolgen kann.

Rz. 116

§ 32 Abs. 2 S. 3 BDSG-Neu ist – damit das Gebot der schriftlichen Fixierung nicht leer läuft – nach hier vertretener Auffassung als "weiteres“ Tatbestandsmerkmal der Ausnahmevorschriften in § 32 Abs. 1 BDSG-Neu zu begreifen, so dass ein Absehen von der Informationspflicht nur rechtmäßig sein kann, wenn auch eine entsprechende schriftliche Dokumentation stattgefunden hat. Fehlt diese gänzlich oder teilweise, liegt ein unmittelbarer Verstoß gegen Art. 13 Abs. 3 DSGVO vor, so dass die Sanktionsnormen der DSGVO unmittelbar zur Anwendung kommen (vgl. insbesondere Art. 83 Abs. 5 lit. b) DSGVO). Sicherlich kann und muss in Fallkonstellationen, in denen zwar objektiv die Tatbestandsvoraussetzungen nach § 32 BDSG-Neu vorliegen, es aber an der Dokumentation fehlt, der Umstand der "objektiven Tatbestandsmäßigkeit" bei der Bemessung etwaiger Bußgelder Berücksichtigung finden. Mit Blick auf den Ausnahmecharakter der Regelungen in § 32 Abs. 1 BDSG-Neu und die damit verbundenen Einschränkungen der Betroffenenrechte gerade im Hinblick auf das mit der DSGVO verfolgte Ziel einer Transparenzerhöhung, muss die Dokumentation grundsätzlich vor oder im Rahmen der Entscheidung darüber, von einer der Ausnahmeregelungen Gebrauch machen zu wollen, erfolgen. Der Zeitpunkt ist ebenso schriftlich zu fixieren, um eine Nachprüfbarkeit durch die Aufsichtsbehörde zu ermöglichen. Bei gleichgelagerten Fallgestaltungen in Bezug auf eine Mehrzahl von Betroffenen reicht ein Dokumentationsvorgang, der die Betroffenen oder Kategorien von Betroffenen, die Informationen, von deren zur Verfügung Stellung abgesehen wird, die hiervon betroffenen Daten oder Kategorien von Daten sowie das jeweils durch den Betroffenen verfolgte Interesse und den Abwägungsvorgang mit den tangierten Betroffeneninteressen beschreibt, aus."

[105] Vgl. BT-Drucks 18/11325 v. 24.2.2017, S. 104.

[106] Hierzu bereits oben § 3 Rdn 42 ff.

b) Besondere Schutzmaßnahme für Fälle nach § 32 Abs. 1 Nr. 1–3 BDSG-Neu

Rz. 117

Unterbleibt eine Information der betroffenen Person nach Maßgabe der Erlaubnistatbestände in § 32 Abs. 1 Nr. 1 bis 3 BDSG-Neu, muss der Verantwortliche geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person ergreifen. Hierzu zählt die Bereitstellung der in Art. 13 Abs. 1 und 2 der Verordnung (EU) 2016/679 genannten Informationen für die Öffentlichkeit in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache.

Rz. 118

Zu den geeigneten Maßnahmen zählt die Bereitstellung der Informationen für die Öffentlichkeit. Eine Veröffentlichung in allgemein zugänglicher Form kann etwa die Bereitstellung der Information auf einer allgemein zugänglichen Webseite des Verantwortlichen sein.^[107]

Rz. 119

Die Information hat in Entsprechung zu Art. 12 Abs. 1 DAGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu erfolgen. Hinsichtlich der hierauf bezogenen Anforderungen kann daher auf das bereits Geschriebene verwiesen werden.^[108]

[107] Vgl. BT-Drucks 18/11325 v. 24.2.2017, S. 104; siehe auch Erwägungsgrund 58 DSGVO.

[108] Siehe oben § 4 Rdn 317 ff.

c) Nachholen der Information bei nur vorübergehender Gefährdung, § 32 Abs. 3 BDSG-Neu

Rz. 120

§ 32 Abs. 3 BDSG-Neu bestimmt, dass der Verantwortliche die Information der betroffenen Person zeitnah nachzuholen hat, sofern die Ausschlussgründe des § 32 Abs. 1 BDSG-Neu nur vorübergehend vorliegen.^[109]

[109] BT-Drucks 18/11325 v. 24.2.2017, S. 104.