§ 5 Informations- und Mitteilungspflichten des Verantwortlichen

A. Gang der Darstellung

Rz. 1

Zitat

"Jede betroffene Person soll ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken seine personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann."^[1]

Rz. 2

Dieses Anliegen des Gesetzgebers kommt vor allem im Transparenzgrundsatz des Art. 5 Abs. 1 lit. a) DSGVO^[2] zum Ausdruck, der an zahlreichen Stellen der Verordnung näher ausgestaltet und konkretisiert wird. Die nachfolgende Darstellung weicht z.T. von den Ordnungsvorgaben der Verordnung ab und behandelt die an den Verantwortlichen gestellten "Verpflichtungen" zusammenhängend in einem Abschnitt.^[3]

Rz. 3

Zunächst werden die im Rahmen der Erhebung von personenbezogenen Daten neu mit der DSGVO eingeführten Verpflichtungen des Verantwortlichen, den Betroffenen über diesen Umstand aktiv zu informieren, dargestellt. Hier unterscheidet die Verordnung zwischen Datenerhebungen, die beim Betroffenen stattfinden (Art. 13 DSGVO) und solchen Datenerhebungen, die über Dritte (und damit in der Regel ohne Kenntnis des Betroffenen) stattfinden (Art. 14 DSGVO. Die in diesem Zusammenhang in Art. 12 vor die Klammer gezogenen "allgemeinen Anforderungen" werden in der Zusammenschau mit diesen Informationspflichten behandelt.

Rz. 4

Daran schließt sich eine Darstellung der weiteren Mitteilungs- und Informationspflichten, die im Falle einer Verletzung des Schutzes personenbezogener Daten entstehen an. Abschließend werden die sonstigen, in der Verordnung zu findenden, Mitteilungspflichten dargestellt.

[1] Erwägungsgrund 78.

[2] Hierzu bereits oben § 3 Rdn 3 ff.

[3] Die mit den Pflichten des Verantwortlichen korrespondierenden Betroffenenrechte werden im folgenden Abschnitt (§ 6) dargestellt und behandelt.

B. Wesen der neuen Informationspflichten bei Datenerhebung – Warum und wie?

I. Zielsetzung und Zweck – Warum?

Rz. 5

In Umsetzung des Transparenzerfordernisses normiert die DSGVO – abweichend vom bisherigen Datenschutzrecht in der Union und den Mitgliedstaaten – eine Verpflichtung des Verantwortlichen dahingehend, den Betroffenen über erfolgte Datenerhebungen aktiv und eigenständig zu informieren. Mit dieser Verpflichtung beseitigt der europäische Gesetzgeber die bisher – vor allem in den Anwendungsbereichen, in denen Datenverarbeitungen ohne Einwilligung des Betroffenen stattgefunden haben bzw. stattfinden – vorzufindenden Informationsdefizite auf Seiten des Betroffenen, der oft gar nicht, nicht hinreichend oder nur mit erheblicher Verzögerung überhaupt davon erfahren hat, dass personenbezogene Daten über ihn von Dritten verarbeitet wurden.^[4]

Rz. 6

Der Betroffene war zwar auch bislang nicht "rechtlos" gestellt, ihm blieb jedoch in der Praxis oft nur die Möglichkeit, seinerseits aktiv zu werden und über die ihm zukommenden Auskunftsrechte in Erfahrung zu bringen, ob und in welchem Umfang Dritte Daten über seine Person verarbeiten. Angesichts der Vielfalt möglicher Datenverarbeitungsvorgänge und der Vielzahl potentiell Verantwortlicher, dürfte aktuell kaum ein Betroffener vollständig darüber informiert sein, wer, wann und zu welchem Zweck personenbezogene Daten über ihn verarbeitet. Die Auskunfts-, Sperr- und Löschungsrechte sind dementsprechend in der Praxis oft erst relevant geworden, wenn sich ein Verarbeitungsvorgang in einer Maßnahme niedergeschlagen hat, die ihrerseits gegenüber dem Betroffenen (sei es über den Verantwortlichen oder einen Dritten) bekannt gegeben wurde, z.B. weil der Betroffene erstmalig Werbung erhalten hat.

Rz. 7

Die Einführung einer an den Verantwortlichen gerichteten Verpflichtung, dem Betroffenen "zum Zeitpunkt" der Datenerhebung personenbezogener Daten über diesen Umstand zu informieren, wird zukünftig sicherlich für mehr Transparenz und Kontrolle stattfindender Verarbeitungsvorgänge sorgen. Dies ist jedoch – jedenfalls für den Verantwortlichen – mit einem nicht unerheblichen Mehraufwand verbunden; aber auch Betroffene werden künftig wohl mehr Post erhalten, als bisher. Vor allem die gesamtwirtschaftlichen Auswirkungen der Informationspflichten sind bisher kaum absehbar.

[4] Zwar sah auch die Datenschutzrichtlinie in Art. 10 und 11 DSRL Informationspflichten vor, so auch § 33 BDSG, in der Praxis griffen indes in der Mehrzahl aller Fälle die hier normierten Ausnahmefälle.

II. Formvorgaben der Informationspflicht – Wie?

1. Präzise, transparent, verständlich und leicht zugänglich

a) Allgemeine Anforderungen

Rz. 8

Gemäß Art. 12 Abs. 1 DSGVO sind die Informationspflichten in "präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache" an den Betroffenen zu übermitteln. Die Verordnung selbst enthält weder in den Legaldefinitionen des eigentlichen Verordnungstextes, noch in seinen Erwägungsgründen nähere Hinweise darauf, wann eine Information diese Grundanforderungen erfüllt und wann nicht.

Rz. 9

Die vom Gesetzgeber gewählte Formulierung findet sich so oder in ähnlicher Form bereits in anderen europäischen Rechtssetzungsakten zum Verbraucherschutz, so in Art. 5 Abs. 1 und Art. 6 Abs. 1 der Verbraucher...