DSGVO - BDSG - TTDSG

24

Neben der Pflicht zur Bereitstellung der Daten durch die betroffene Person, ist es aber außerdem denkbar, dass es sich lediglich um eine Obliegenheit der betroffenen Personbzw. um die Voraussetzung eines Vertragsabschlusses handelt, also allenfalls Rechtsnachteile drohen, wenn die Daten nicht bereitgestellt werden. Auch hier muss der Verantwortliche die betroffene Person sowohl über die bestehende Verpflichtung zur Datenbereitstellung als auch darüber informieren, aus welcher vertraglichen oder gesetzlichen Grundlage sich die Obliegenheit ergibt.71 Dies ist vor allem dann wichtig, wenn sich die Datenerhebungserlaubnis aus einer anderen Rechtsgrundlage als die Obliegenheit ergibt (z.B. im Rahmen eines Versicherungsverhältnisses, wenn sich die Obliegenheit zur Einreichung bestimmter Unterlagen durch den Versicherungsnehmer aus den Tarifbedingungen, die Erlaubnis der Datenerhebung durch den Versicherer demgegenüber aus Art. 6 Abs. 1 Satz 1 lit. a oder b DSGVO ergibt).72 Über die Folgen einer unterlassenen Bereitstellung der Daten ist auch im Falle der Obliegenheit zur Bereitstellung der Daten zu informieren, wobei die Mitteilung als entbehrlich anzusehen ist, wenn die Konsequenzenfür die betroffene Person ohne Weiteres und eindeutig erkennbar sind. Das ist beispielsweise im Falle der Durchführung eines Vertrages denkbar, im Rahmen dessen dem Vertragspartner bewusst sein wird, dass der Vertrag bei Verweigerung der Angaben nicht geschlossen wird.73

25

Handelt es sich hingegen um eine freiwillige Bereitstellungvon Daten der betroffenen Person, so muss der Verantwortliche auch darauf hinweisen. Diese Verpflichtung besteht umso mehr, wenn es sich um behördliche Stellen handelt, selbst wenn diese lediglich um eine Auskunftserteilung bitten, da der betroffenen Person bei Schreiben öffentlicher Stellen nicht immer bewusst sein wird, ob die Stelle nicht eventuell doch hoheitlich handelt und daher Nachteile in Form staatlicher Sanktionen befürchtet.74

26

Unabhängig von den aufgezeigten Konstellationen ist bei der Informationserteilung durch den Verantwortlichen darauf zu achten, dass die nach Abs. 2 lit. e notwendigen Angaben die betroffene Person in die Lage versetzen sollen, ihre rechtliche Stellung gegenüber dem Verantwortlichen bzw. der Datenerhebung einschätzen zu können. Für den Umfang der notwendigen Information nach Abs. 2 lit. e kommt es daher vor allem darauf an, ob die betroffene Person diese Einschätzung auf Grundlage der erhaltenen Informationenauch wirklich vornehmen kann.75 Gerade den Angaben nach Abs. 2 lit. e kommt daher für eine faire und transparente Datenverarbeitung gegenüber der betroffenen Person eine erhebliche Bedeutung zu. Die in diesem Zusammenhang notwendigen Informationen sollten vom Verantwortlichen daher möglichst konkret formuliert werden und an die betroffene Person unabhängig davon erfolgen, ob abweichend von der hier vertretenen Auffassung, die Angabe der nach Abs. 2 notwendigen Informationen nur nach vorheriger Risikobewertung erfolgt.76

27

Zuletzt verlangt Abs. 2 lit. f noch die Information der betroffenen Person, wenn personenbezogene Daten über diese automatisiert verarbeitet werden sollen, um eine für die betroffene Person rechtlich relevante oder sonst nachteilige Entscheidung zu fällen oder vorzubereiten. Relevant ist dies vor allem für die zulässige automatisierte Entscheidungsfindungnach Art. 22 Abs. 1 oder Abs. 4 sowie bei Profilingmaßnahmenim Sinne des Art. 4 Nr. 4 DSGVO, auch wenn die Entscheidung nicht ausschließlich darauf beruht.77 Mangels Profiling, gehören reine Marketingzwecke nicht dazu, dies lässt sich im Umkehrschluss dem Art. 21 Abs. 1 Satz 1 Hs. 2 und Abs. 2 Hs. 2 DSGVO entnehmen.78

28

Neben der immer zu erteilenden Information der Absicht einer solchen Maßnahme, kann außerdem eine erweiterte Informationspflichtbestehen, nach der zusätzlich die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person ebenfalls mitzuteilen sind.79 Diese erweiterte Informationspflicht besteht zumindest immer dann, wenn eine automatisierte Entscheidungsfindungvorliegt, die dem Art. 22 Abs. 1 oder Abs. 4 unterfällt. Die Formulierung des Abs. 2 lit. f mit dem in Spiegelstrichen aufgenommenen Zusatz: „zumindest in diesen Fällen“, deutet jedoch darauf hin, dass eine erweiterte Informationspflicht auch bei anderen Profilingmaßnahmen bestehen soll. Gefordert wird allerdings in diesem Zusammenhang, dass es dann auf solche Profilingmaßnahmen beschränkt wird, durch die die Interessen der betroffenen Person erheblich berührt werden, was sich entweder durch Art und Ausmaß der verarbeiteten Daten sowie der Methode der Verarbeitung ergibt oder aber aufgrund des Gewichts der sich aus dem Profiling ergebenden Entscheidung notwendig erscheint.80 Der Formulierung lässt sich aber keine konkrete Gewichtung bzw. Abgrenzung entnehmen, weshalb es schwierig ist, hier konkrete Grenzen festzustellen und eher davon auszugehen ist, dass zumindest im Zweifel in der Praxis immer die erweiterten Informationen mit aufzunehmen sind.81

29

Inhaltder erweiterten Information ist zunächst einmal die bei der Entscheidungsfindung oder bei dem Profiling involvierte Logik, womit die Methoden und Kriterien der Datenverarbeitung, beispielsweise in Form eines Algorithmus zur Bildung eines Scorewertes, mitzuteilen sind.82 Die Notwendigkeit, Angaben über Datenverarbeitungsvorgänge zu machen, geht über die bloße Information zu den verarbeiteten Daten hinaus.83 Ein gewisses Spannungsverhältnis zu den Interessen des Verantwortlichen in Bezug auf seine Geschäftsgeheimnisse kann demnach nicht gänzlich ausgeschlossen werden.84 Eine Lösung wird darin gesehen, in Form des Art. 23 DSGVO eine Beschränkungsregelung zu sehen, wonach das Recht des Verantwortlichen bejaht wird, die mitgeteilten Informationen zu „verrauschen“ und so eine Nachahmung seines Verfahrens zu verhindern.85 Inwieweit die Gerichte dieser Ansicht jedoch zukünftig folgen, ist nur schwer einschätzbar.86 Im Zweifel bleibt es Sache des Verantwortlichen, die Möglichkeit von Sanktionengegenüber der Herausgabe von Geschäftsgeheimnissen abzuwägen und entsprechend zu entscheiden, inwieweit er die betroffenen Personen über seine Verarbeitungsverfahren aufklären kann, ohne derartige Geschäftsgeheimnisse zu verraten.87

30

Darüber hinaus kann es im Einzelfall notwendig sein, dass weitere Informationen zur Verfügung gestellt werden, die im Hinblick auf die konkrete Datenerhebung nach Berücksichtigung der besonderen Umstände und Rahmenbedingungenerforderlich erscheinen, um eine faire und transparente Verarbeitung im Sinne des Art. 13 DSGVO zu ermöglichen, worauf zumindest der ErwG 60 hindeutet.88 Dem ist insoweit zuzustimmen, als dass es durchaus sinnvolle Informationen gibt, die im Rahmen der sowieso notwendigen Informationen beispielsweise die Kontaktaufnahme erleichtern (z.B. Sprechstundenzeiten). Eine Verpflichtung hierzu oder sogar die Notwendigkeit, weitere Informationen in Form eines Verzeichnisses vorzuhalten, lässt sich dem Art. 13 DSGVO selbst aber nicht entnehmen. Neben lediglich sinnvollen Angaben, können jedoch andere Regelungen der Datenschutz-Grundverordnung weitere Informationspflichtenenthalten, die demgegenüber verpflichtend mit aufzunehmen sind.89

31

Neben den Pflichten der Information bei der Datenerhebung entstehen weitere Informationspflichten, sofern der Verantwortliche die Daten zu einem anderen Zweck als dem ursprünglichen Erhebungszweckverarbeiten möchte. Dies gilt unabhängig von der Rechtsgrundlage. Ausreichend ist es bereits, wenn der Zweck der Erhebung sich ändert, auch wenn die weiteren Verarbeitungszwecke möglicherweise noch nicht im Detail bekannt sind (bspw. zur Vorhaltung der personenbezogenen Daten in einer Datensammlung, deren weitere Verwendung noch unklar ist).90 Die Verpflichtung trifft den Verantwortlichen der ursprünglichen Datenerhebung und umfasst dann gegebenenfalls die vorher noch nicht mitgeteilte Übermittlung an Dritte, zur Verarbeitung eines anderen Zwecks.91 Maßgebend ist demzufolge, welchen Zweck der Verantwortliche gegenüber der betroffenen Person vorher im Rahmen der Informationen festgelegt hat.