Rz. 94
Die Pflicht zur Information der betroffenen Person gemäß Art. 13 Abs. 3 DSGVO soll nach § 32 Abs. 1 Nr. 1 BDSG-Neu auch dann nicht bestehen, wenn die Erteilung der Information
Zitat
"eine Weiterverarbeitung analog gespeicherter Daten betrifft, bei der sich der Verantwortliche durch die Weiterverarbeitung unmittelbar an die betroffene Person wendet, der Zweck mit dem ursprünglichen Erhebungszweck gemäß der DSGVO vereinbar ist, die Kommunikation mit der betroffenen Person nicht in digitaler Form erfolgt und das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls, insbesondere mit Blick auf den Zusammenhang, in dem die Daten erhoben wurden, als gering anzusehen ist."
Rz. 95
Der Gesetzgeber hat hier sicherlich keine klare, einfache und aus sich heraus verständliche Ausnahmefallgruppe normiert.
aa) Analog gespeicherte Daten
Rz. 96
Dies beginnt bereits bei der Bestimmung des Anwendungsbereichs. So soll sich die Ausnahme nach § 32 Abs. 1 Nr. 1 BDSG nur auf die Weiterverarbeitung "analog gespeicherter" (personenbezogener) Daten beziehen. Eine nähere Erklärung dazu, was hierunter genau zu verstehen ist, findet sich nicht. In der Gesetzesbegründung wird heißt es lediglich, dass "durch die Einschränkung der Informationspflicht … insbesondere kleine und mittlere Unternehmen der analogen Wirtschaft von der Informationspflicht ausgenommen werden [sollen], deren Kommunikationswege ausschließlich oder überwiegend in nicht digitaler Form erfolgen."
Rz. 97
Da die DSGVO nichtautomatisierte Verarbeitungen nur dann adressiert, wenn die auf diese Weise verarbeiteten personenbezogenen Daten, in einem Dateisystem gespeichert sind oder gespeichert werden sollen, kann sich der Begriff der "analogen Speicherung" nur auf solche Daten beziehen, die ohne Einsatz von Datenverarbeitungsanlagen gespeichert wurden und über eine strukturierten Sammlung, die nach bestimmten Kriterien zugänglich ist, geordnet sind. Derartige nichtautomatisierte Datenverarbeitungen sind praktisch selten geworden, so ist kaum vorstellbar, dass nach wie vor eine beachtliche Anzahl von Unternehmen überhaupt noch ohne den Einsatz von Datenverarbeitungsanlagen agiert. Nur diese Unternehmen und ihre analogen Verarbeitungen sind von der Einschränkung überhaupt betroffen.
bb) Weiterverarbeitungsvorgang richtet sich unmittelbar an den Betroffenen
Rz. 98
Weiterhin muss sich der Verantwortliche durch die Weiterverarbeitung unmittelbar an die betroffene Person wenden, so dass nur solche Weiterverarbeitungen von der Einschränkungsnorm umfasst werden, die in einer gegenüber dem Betroffenen bekanntgegebenen Maßnahme münden bzw. selbst Gegenstand einer solchen Maßnahme sind. In der Gesetzesbegründung heißt es insoweit, "dass sich die Ausnahme von der Informationspflicht nur auf solche Fälle beschränkt, bei denen die betroffene Person als Adressat der Weiterverarbeitung zwangsläufig Kenntnis von der Weiterverarbeitung erlangt". Rein intern wirkendende Weiterverarbeitungen sind daher nicht umfasst.
cc) Weiterverarbeitung ist mit dem ursprünglichen Erhebungszweck vereinbar
Rz. 99
Weiterhin muss die Weiterverarbeitung mit dem ursprünglichen Erhebungszweck vereinbar sein. Die Norm adressiert hier – ausweislich der Gesetzesbegründung – die Anforderungen nach Art. 6 Absatz 4 DSGVO und verlangt vom Verantwortlichen insoweit eine Vereinbarkeitsprüfung nach den dort niedergelegten Kriterien.
dd) Keine digitale Kommunikation
Rz. 100
Die Maßnahme gegenüber dem Betroffenen, die Gegenstand der Weiterverarbeitung ist bzw. in dieser mündet, darf weiterhin keine digitale Kommunikation darstellen. Die Weiterverarbeitung darf also beispielsweise nicht in der Form erfolgen, dass der Betroffene per E-Mail angeschrieben wird. Auch wenn der Gesetzgeber allgemein von "digitaler Kommunikation" spricht, ist nicht davon auszugehen, dass er allein auf das eingesetzte technische Mittel abstellt, so dass die mündliche Kommunikation – auch wenn sie z.B. über VoIP erfolgt – nicht als digitale Kommunikation gilt und insoweit grundsätzlich vom Anwendungsbereich der Norm umfasst ist.
ee) Geringes Interesse des Betroffenen an Information
Rz. 101
Schließlich soll ein Absehen von der Informationspflicht nur möglich sein, wenn das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls als gering anzusehen ist. Dies ist unter Berücksichtigung der vernünftigen Erwartungen der betroffenen Person und mit Blick auf den Zusammenhang, in dem die Daten erhoben wurden, zu beurteilen.
ff) Fallbeispiel
Rz. 102
Folgendes Beispiel könnte ein Anwendungsfall sein:
Die kleine, durch einen Verein unterhaltene Kinderbuchbibliothek arbeitet auch im Jahre 2017 noch vollständig analog und ohne Einsatz von Computertechnik mit altmodischen Karteikarten. Sowohl die Verwaltung des Literaturbestandes als auch die Nutzerverwaltung wird auf diese Weise organisiert. Die "Kundendaten" sind per Hand auf einer Kartei dokumentiert worden, die neben den Stammdaten auch eine Mitgliedsnummer umfassen. Der Zweck der Erhebung dieser Daten lag sicherlich in der Begründung einer Bibliotheksmitg...