§ 5 Informations- und Mitteilungspflichten des Verantwor ... / II. Informationspflichten nach Art. 13 Abs. 1 DSGVO

Rz. 36

Der Betroffene ist "zum Zeitpunkt der [erstmaligen] Erhebung" personenbezogener Daten über eine betroffene Person verpflichtet, diesem folgende Informationen mitzuteilen:

1. Name und Kontaktdaten

Rz. 37

Eine Verpflichtung besteht zunächst dahingehend, den Betroffenen über den Namen und die Kontaktdaten des Verantwortlichen zu unterrichten.

Rz. 38

Unter dem "Namen" des Verantwortlichen ist der vollständige Name, bei einer natürlichen Person also jedenfalls Vor- und Nachname, bei einer juristischen Person die genaue Firmenbezeichnung inkl. Rechtsformzusatz, bei Personengesellschaften die vollständige Bezeichnung der Gesellschaft inkl. Rechtsformzusatz und bei öffentlich-rechtlichen Verantwortlichen, die genaue Bezeichnung der Behörde, Einrichtung, Körperschaft, des Eigenbetriebs usw., anzugeben.

Rz. 39

Unter den "Kontaktdaten“ ist die ladungsfähige Anschrift des Verantwortlichen zu verstehen. Dies erfordert die Angabe von Straße, Hausnummer und Postleitzahl. Die Angabe einer Postfachadresse dürfte nicht ausreichend sein. Ob zusätzlich die Angabe von Telefonnummer und E-Mail-Adresse erforderlich ist, ist fraglich. Für die Telefonnummer kann dies noch zu vertreten sein, da dem Verantwortlichen in Art. 13 Abs. 1 S. 3 DSGVO ausdrücklich die Möglichkeit eröffnet wird, die Informationen auch mündlich zu erfragen. Hinsichtlich der Angabe einer "E-Mail-Adresse" fehlt der – z.B. aus der E-Commerce-Richtlinie^[47] (Art. 5 Abs. 1 lit. c) bekannte – Zusatz "einschließlich seiner Adresse der elektronischen Post" oder eine ähnliche Konkretisierung. Auch hier ist – angesichts der unklaren Rechtslage – bis zu einer Klärung durch den Europäischen Datenschutzausschuss oder eine Gerichtsentscheidung sicherheitshalber die Angabe einer Kontakt-E-Mail-Adresse zu empfehlen."

Rz. 40

Soweit der Verantwortliche dazu verpflichtet ist, einen Vertreter (Art. 4 Nr. 17 DSGVO)^[48] zu bestellen, sind neben dem Namen und den Kontaktdaten des Verantwortlichen auch Name und Kontaktdaten des Vertreters anzugeben.

Rz. 41

Bei gemeinsamen Verantwortlichen kann einer der Verantwortlichen für die Erfüllung der Informationspflichten nach Art. 13 Abs. 1 DSGVO bestimmt werden (Art. 26 Abs. 1 DSGVO). In diesem Fall müssen nicht alle gemeinsam Verantwortlichen angegeben werden.

[47] Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 8.6.2000 über bestimmte rechtliche Aspekte der Dienste der Informationsgesellschaft, insbesondere des elektronischen Geschäftsverkehrs, im Binnenmarkt ("Richtlinie über den elektronischen Geschäftsverkehr" – "e-commerce Richtlinie"), ABl EG L 178 v. 17.7.2000, S. 0001 – 0016.

[48] Hierzu auch oben § 2 Rdn 13.

2. Kontaktdaten des Datenschutzbeauftragen

Rz. 42

Soweit der Verantwortliche entweder nach Art. 37 DSGVO oder (für Deutschland) nach § 38 BDSG-Neu zur Bestellung eines betrieblichen Datenschutzbeauftragten verpflichtet ist, sind dessen Kontaktdaten zusätzlich anzugeben (Art. 13 Abs. 1 lit b) DSGVO). Eher ein redaktionelles Versehen dürfte es darstellen, dass nur von "Kontaktdaten" und nicht auch vom "Namen" des Datenschutzbeauftragten gesprochen wird, so dass hinsichtlich der Pflichtangaben in diesem Punkt auf das unter 1. (Rdn 37 ff.) Gesagte verwiesen werden kann und auch der Datenschutzbeauftrage "namentlich" zu benennen ist.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Rz. 43

Nach Art. 13 Abs. 1 lit c) DSGVO sind weiterhin die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage(n) für die Verarbeitung anzugeben.

Rz. 44

Wie aus Erwägungsgrund 60 entnommen werden kann, dient diese Informationspflicht der Erfüllung der Grundsätze einer fairen und transparenten Verarbeitung. Die betroffene Person ist daher die Erhebungszwecke^[49] zu informieren. Soweit diese – z.B. im Rahmen einer edv-mäßigen Umsetzung im Sinne des Datenschutzes durch Technikgestaltung bzw. datenschutzfreundlicher Voreinstellungen zur besseren systemischen Darstellbarkeit – durch den Verantwortlichen sehr kleinteilig festgelegt wurden, können die Einzelzwecke nach hiesiger Auffassung auch in Zweckgruppen zusammengefasst werden, wenn und soweit die Zweckrichtung der Verarbeitung für den Betroffenen auch in diesem Fall nachvollziehbar bleibt.

Rz. 45

Die Verpflichtung zur Angabe der "Rechtsgrundlage" im Singular ist nicht in der Weise zu verstehen, dass eine Verarbeitung immer nur auf Grundlage einer einzigen Rechtsgrundlage erfolgen könnte,^[50] so dass auch mehr als eine Rechtsgrundlage angegeben werden kann. Der Wortlaut des Art. 13 Abs. 1 lit. c) DSGVO macht es insoweit nicht erforderlich, einem bestimmten Verarbeitungszweck eine bestimmte Rechtsgrundlage zuzuordnen; es reicht vielmehr aus, wenn der Betroffene allgemein über die Rechtsgrundlagen informiert wird, auf die sich die geplante Verarbeitung seiner personenbezogenen Daten nach Auffassung des Verantwortlichen stützen soll oder wird.

[49] Zur Abgrenzung der Weiterverarbeitungszwecke § 3 Rdn 24; Allgemein zur Zweckfestlegung: § 3 Rdn 18 ff.

[50] Hierzu bereits oben § 4 Rdn 132.

4. Berechtigte Interessen

Rz. 46

Wenn die Verarbeitung personenbezogener Daten (auch) auf Grundlage der Ve...