§ 5 Informations- und Mitteilungspflichten des Verantwor ... / III. Informationspflichten nach Art. 13 Abs. 2 DSGVO ("Informationen auf Abruf")

Rz. 52

Nach Art. 13 Abs. 2 DSGVO sind dem Betroffenen weitere Informationen "zur Verfügung zu stellen", die nach hiesiger Auffassung auch nur "zum Abruf" bereitgehalten und damit nicht im Rahmen der Erstinformation ausformuliert übermittelt werden müssen.^[53] Der Inhalt der Informationspflicht wird nachfolgend näher dargestellt.

[53] Dies ist str. und bedarf der Ausarbeitung durch die Rechtsprechung und/oder den Europäischen Datenschutzausschuss, hierzu oben Rdn 29 ff.

1. Dauer der Speicherung bzw. Kriterien zur Festlegung der Speicherdauer

Rz. 53

Gemäß Art. 13 Abs. 2 lit. a) DSGVO sind dem Betroffenen Informationen über die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer, zur Verfügung zu stellen.

Rz. 54

Soweit sich die Verarbeitung nicht auf einen überschaubaren und klar umrissenen Einzelverarbeitungsvorgang, der nur wenige personenbezogene Daten erfordert, bezieht, wird die Angabe der genauen Speicherdauer erhobener Daten nur schwer möglich sein. So kann sich im ärztlichen Behandlungsverhältnis auf den ersten Blick ergeben, dass die Speicherung von Behandlungsdaten zu einem bestimmten Behandlungsvorgang mit Blick auf die aus den ärztlichen Berufsordnungen resultierenden Aufbewahrungspflichten für einen Zeitraum von 10 Jahren ab dem Datum des letzten Behandlungsschrittes gespeichert werden. Gerade in den Fällen der Abwicklung möglicher Geburtsschäden werden Ansprüche oft erst über zwanzig Jahre nach der Entbindung erhoben, es zeichnet sich aber, vielleicht aus anderen Behandlungsfällen eines bestimmten Arztes für das Krankenhaus bereits wesentlich früher die Gefahr von Behandlungsfehlern ab. Dies wird in der Regel nicht im Erhebungszeitpunkt sein, so dass sich die "grundsätzliche" Speicherdauer schnell verdoppeln oder verdreifachen kann. Die Angabe einer konkreten Speicherdauer wäre hier zum Erhebungszeitpunkt zwar möglich, für den Verantwortlichen ggf. aber rechtsbeschränkend und unvorteilhaft, sodass tatsächlich ein Fall vorläge, der die Angabe einer genauen Speicherdauer unmöglich macht.

Rz. 55

In der Praxis werden die Kriterien, nach denen sich die Speicherdauer bestimmt, eine größere Bedeutung einnehmen. Dabei gilt zunächst, dass die Speicherdauer nicht über den Zeitpunkt der Zweckerreichung hinausgehen darf und ein Kriterium daher in der Erreichung des letzten, der Verarbeitung eines konkreten Datums zugewiesenen Verarbeitungs- oder Weiterverarbeitungszwecks liegt. Soweit – wie hier favorisiert –die Befolgung gesetzlicher oder vertraglicher Aufbewahrungspflichten als Zweck verstanden wird, wäre auch dieser Gesichtspunkt damit umschrieben. Im Fall des Arztes aus § 4 Rdn 361 hätte es sich empfohlen, neben dem Zweck "Durchführung der ärztlichen Behandlung" auch "die Abwehr von Ansprüchen wegen Behandlungsfehlern" mit aufzunehmen, so dass eine Zweckerreichung auch nach 10 Jahren noch nicht erfolgt wäre.

2. Betroffenenrechte

Rz. 56

Der Verantwortliche hat zudem Informationen zu den Betroffenenrechten (Art. 15 bis 22 DS-GVO) zur Verfügung zu stellen.

a) Auskunft

Rz. 57

Dies umfasst eine Information über das dem Betroffenen zustehende Auskunftsrecht (Art. 13 Abs. 2 lit. b) DSGVO) aus Art. 15 DSGVO.^[54] Hier reicht der bloße Hinweis auf das Bestehen dieses Rechts und seine Verankerung in der DSGVO unter Angabe des genauen Artikels. Eine Erläuterung, wie dieses Recht in der Praxis umzusetzen ist, fordert Art. 13 Absatz 2 lit. b) DSGVO nicht.

[54] Ausführlich hierzu § 6 Rdn 3 ff.

b) Recht auf Berichtigung

Rz. 58

Dies umfasst eine Information über das dem Betroffenen zustehenden Berichtigungsrecht (Art. 13 Abs. 2 lit. b) DSGVO) aus Art. 16 DSGVO.^[55] Auch hier reicht der bloße Hinweis auf das Bestehen dieses Rechts und seine Verankerung in der DSGVO unter Angabe des genauen Artikels. Eine Erläuterung, wie dieses Recht in der Praxis umzusetzen ist, fordert Art. 13 Abs. 2 lit. b) DSGVO nicht.

[55] Ausführlich hierzu § 6 Rdn 64 ff.

c) Recht auf Löschung

Rz. 59

Dies umfasst eine Information über das dem Betroffenen zustehenden Löschungsrecht (Art. 13 Abs. 2 lit. b) DSGVO) aus Art. 17 DSGVO.^[56] Auch hier reicht der bloße Hinweis auf das Bestehen dieses Rechts und seine Verankerung in der DSGVO unter Angabe des genauen Artikels. Eine Erläuterung, wie dieses Recht in der Praxis umzusetzen ist, fordert Art. 13 Abs. 2 lit. b) DSGVO nicht.

[56] Ausführlich hierzu § 6 Rdn 71.

d) Einschränkung der Verarbeitung

Rz. 60

Dies umfasst eine Information über das dem Betroffenen zustehenden Recht auf Einschränkung der Verarbeitung (Art. 13 Abs. 2 lit. b) DSGVO) aus Art. 18 DSGVO.^[57] Auch hier reicht der bloße Hinweis auf das Bestehen dieses Rechts und seine Verankerung in der DSGVO unter Angabe des genauen Artikels. Eine Erläuterung, wie dieses Recht in der Praxis umzusetzen ist, fordert Art. 13 Abs. 2 lit. b) DSGVO nicht.

[57] Ausführlich hierzu § 6 Rdn 126 ff.

e) Widerspruchsrecht

Rz. 61

Dies umfasst eine Information über das dem Betroffenen zustehenden Widerspruchsrecht (Art. 13 Abs. 2 lit. b) DSGVO) aus Art. 21 DSGVO.^[58] Auch hier reicht der bloße Hinweis auf das Bestehen dieses Rechts und seine Verankerung in der DSGVO unter Angabe des genauen Ar...