§ 5 Informations- und Mitteilungspflichten des Verantwor ... / D. Informationspflichten im Rahmen der Datenerhebung bei Dritten (Dritterhebung)

I. Aufbau der Norm

Rz. 121

Art. 14 DSGVO normiert bestimmte Informationspflichten des Verantwortlichen gegenüber der betroffenen Person, soweit personenbezogene Daten nicht bei der betroffenen Person, sondern über Dritte erhoben werden (sog. Dritterhebung).

Rz. 122

Die Norm gliedert sich in fünf Absätze.

▪	Die Absätze 1 und 2 regeln den Umfang der Informationspflicht, die anlässlich der Erhebung entstehen, wobei das Verhältnis der beiden Absätze – wie auch im Rahmen des Art. 13 DSGVO – heftig umstritten ist,
▪	Absatz 3 regelt näheres zum Zeitpunkt der Informationsvermittlung an die betroffene Person,
▪	Absatz 4 normiert das Erfordernis der Informationsvermittlung im Falle der Weiterverarbeitung,
▪	Absatz 5 regelt Ausnahmen von den Informationspflichten nach Absätzen 1 und 2.

1. Verhältnis zwischen Informationen nach Absatz 1 und Absatz 2

Rz. 123

Hinsichtlich des Verhältnisses der Absätze 1 und 2 kann gilt das zu Art. 13 Gesagte entsprechend.

Rz. 124

Auch hier spricht die Untergliederung der Informationspflichten bei Erhebung in zwei Absätze für eine von Seiten des Gesetzgebers gewollte Unterscheidung der Regelungsmaterien in den Absätzen 1 und 2. Während Art. 14 Abs. 1 DSGVO von einer "Mitteilung"^[110] spricht, geht Art. 14 Abs. 2 DSGVO lediglich von einem "zur Verfügung stellen" der Informationen aus. Dies bedeutet, dass nur die Informationen nach Abs. 1 zwingend schriftlich oder elektronisch in dem Informationsschreiben dargestellt (="übermittelt") werden müssen, während hinsichtlich der weitergehenden Informationen nach Abs. 2 lediglich die Möglichkeit für den Betroffenen geschaffen werden muss, diese zur Kenntnis zu nehmen. Das "zur Verfügung stellen" erfordert damit keine direkte Niederlegung der Informationen innerhalb des Informationsschreibens, sondern erlaubt grundsätzlich auch das "Bereitstellen zum Abruf", beispielsweise in Form eines Hinweises dahingehend, dass die Informationen nach Art. 14 Absatz 2 DSGVO "auf Anfrage" übermittelt oder über eine bestimmte Zieladresse im Internet oder auch telefonisch "zur Verfügung gestellt" werden. Eine mitgeteilte Information nach Art. 14 Abs. 1 DSGVO ist dem Betroffenen unaufgefordert und vollständig in Schrift- oder Textform auf einem dauerhaften Datenträger zu übersenden, während die Informationen nach Art. 14 Abs. 2 DSGVO auch "nur" zum Abruf bereitgehalten werden können.^[111]

Rz. 125

Da die Reichweite des Art. 14 Abs. 2 DSGVO und seine Anwendbarkeit noch nicht abschließend geklärt ist, empfiehlt sich für die Praxis gleichwohl vorerst die Übermittlung auch der Informationen gem. Absatz 2 in Textform auf einem dauerhaften Datenträger.^[112]

[110] "Der Verantwortliche teilt die Informationen mit."

[111] Dies ist streitig.

[112] Mit Blick auf die hier angenommene Wahlmöglichkeit des Verantwortlichen zwischen dem direkten Übermitteln in Textform auf einem dauerhaften Datenträger und dem "zum Abruf Bereithalten" durch den Betroffenen, stellt sich jedenfalls nicht die Problematik einer möglichen Intransparenz im Sinne des Art. 14 Abs. 1 S. 3 DSGVO. Sofern über bestimmte Umstände zu informieren ist, kann sich aus dem Informationsumfang selbst keine Intransparenz ergeben.

2. Information nur bei erstmaliger Erhebung oder bei jeder Erhebung

Rz. 126

Zur Beantwortung der Frage, wie oft die Informationen gem. Art. 14 DSGVO dem Betroffenen mitzuteilen sind, bzw., ob die Informationspflicht immer neu entsteht, wenn zu vorhandenen Daten über einen Betroffenen weitere ("neue") personenbezogene Daten hinzugespeichert werden, kann auf die Ausführungen zu Art. 13 DSGVO verwiesen werden.^[113] Nach hier vertretener Auffassung besteht die Informationspflicht nach Art. 14 DSGVO dementsprechend allein im Rahmen der "Ersterhebung" personenbezogener Daten über eine betroffene Person und im Falle der Weiterverarbeitung, nicht jedoch bei jeder Hinzuspeicherung weiterer personenbezogener Daten im Zeitraum nach der erstmaligen Erhebung.

Der Gesetzgeber verhält sich zum Verhältnis der Informationspflichten aus Art. 13 und Art. 14 DSGVO nicht. Insbesondere bleibt die Frage unbeantwortet, ob beide Informationspflichten nebeneinander erfüllt werden müssen, wenn personenbezogene Daten sowohl bei der betroffenen Person, als auch über Dritte erhoben werden. So wird es in der Praxis eher die Regel als die Ausnahme sein, dass Daten sowohl bei der betroffenen Person als auch über Dritte erhoben werden. Vor dem Hintergrund der mit den Informationspflichten aus Art. 13 und Art. 14 DSGVO verfolgten Zielsetzung (siehe Rdn 5 ff.) sowie den im Wesentlichen gleichlautenden Informationspflichten des Verantwortlichen spricht jedenfalls viel dafür, eine Informationspficht nach Art. 13 DSGVO dann nicht mehr zu fordern, wenn die betroffene Person zuvor bereits nach Art. 14 DSGVO informiert wurde. Im umgekehrten Fall, der vorherigen Information nach Maßgabe des Art. 13 DSGVO dürfte dies nicht gelten, da die "Information” über die Datenerhebung "bei Dritten” für die betroffene Person vor dem Hintergrund der Transparenzerfordernisse als wesentlich erscheint.""

Nicht beantwortet ist damit die Frage, ob die Informationen nach Art. 13 und Art. 14 DSGVO in einem gemeinsamen ...