DSGVO - BDSG - TTDSG

1

Art. 14 DSGVO verpflichtet den Verantwortlichen, die in der Norm genannten Informationenauch dann zur Verfügung zu stellen, wenn es sich nicht um eine Direkterhebung im Sinne des Art. 13 DSGVO handelt. Damit wird vom Verantwortlichen verlangt, dass er unabhängig von einem (erneuten) direkten Kontakt zur betroffenen Person selbst dann aktivwird, wenn er die Daten auf andere Weise als bei der betroffenen Person erhebt (Abs. 1 und Abs. 2) oder bei erhobenen Daten diese zu einem anderen als den Erhebungszweck weiterverarbeitet (Abs. 4).1

2

Die Informationspflichten aus Art. 14 treffen den Verantwortlichen. Durch Art. 14 DSGVO soll ähnlich dem Art. 13 DSGVO sichergestellt werden, dass die notwendige Transparenzgegenüber der betroffenen Person hergestellt wird,2 was Grundvoraussetzung dafür ist, dass zum Beispiel das Recht aus Art. 15 DSGVO auf Auskunft, das Recht auf Berichtigung aus Art. 16, das Recht auf Löschung aus Art. 17 DSGVO und die weiteren sich aus dem dritten Kapitel noch ergebenden Betroffenenrechte, die ein aktives Handeln der betroffenen Personvoraussetzen (Antrag), überhaupt wahrgenommen werden können.3 Dies entspricht dem Gedanken des ErwG 60, wonach der Grundsatz auf eine faire und transparente Verarbeitung die Unterrichtung der betroffenen Person über die Existenz des Verarbeitungsvorgangs und dessen Zweck erfordert, was umso mehr gilt, wenn die Daten nicht bei der betroffenen Person direkt erhoben werden und diese sonst überhaupt keine Möglichkeit hätte, auf die Datenverarbeitung zu reagieren bzw. davon überhaupt auch nur Kenntnis zu erlangen.

3

Die Informationspflichten aus Art. 14 DSGVO treffen wiederum ausschließlich den Verantwortlichen, der Auftragsverarbeiter wird durch Art. 14 DSGVO nicht verpflichtet, auch fehlt es an dessen Unterstützungspflichtgemäß Art. 28 Abs. 3 Satz 2 lit. e DSGVO, der sich lediglich auf die Betroffenenrechte aus Kapitel III bezieht, die eines Antrages bedürfen.4 Insgesamt behält die Datenschutz-Grundverordnung die Struktur der Datenschutzrichtlinie (DSRl) weiterhin bei, indem der Art. 14 DSGVO dem Art. 11 DSRl ähnelt, wonach die Information der betroffenen Person geregelt ist, wenn die Erhebung nicht bei der betroffenen Person selbst erfolgt.5 Die Bestimmungen des Art. 10 und Art. 11 DSRl wurden in Deutschland im Wesentlichen in den §§ 4 Abs. 3 und 33 BDSG a.F. und § 13 Abs. 1 TMG umgesetzt.6

4

Art. 14 DSGVO ähnelt in weiten Teilen den Regelungen des Art. 13 DSGVO, enthält aber zusätzlich eine Regelung zur Frist(Abs. 3) und Ausnahmetatbestände(Abs. 5).7 Ähnliche Regelungen enthielt bereits Art. 11 DSRl, weshalb einige Diskussionen die bereits im Rahmen der DSRl bestanden, im Rahmen des Art. 14 DSGVO weiterhin diskutiert werden.8

5

Art. 14 DSGVO verlangt wie Art. 13 DSGVO zunächst einmal eine Erhebung personenbezogener Daten, d.h. die erstmalige zielgerichtete Erfassung von personenbezogenen Daten durch den Verantwortlichen.9 Eine derartige zielgerichtete Datenerhebung ist im Sinne des Art. 14 DSGVO auch dann anzunehmen, wenn der Verantwortliche die Daten zwar nicht auf eigenes Ersuchen hin erhält (sog. Spontanübermittlung), sich aber nach Erhalt der Daten für eine zielgerichtete Weiterverarbeitungentscheidet.10 Für die Informationspflicht nach Art. 14 dürfen die personenbezogenen Daten in Abgrenzung zu Art. 13 DSGVO jedoch nicht bei der Person selbst erhobenwerden (dann Direkterhebung), sondern müssen entweder von Dritten erhalten oder aus öffentlich zugänglichen Quellen entnommen sein.11 Werden die Daten mehrerer betroffener Personen erhoben, ist für jede Person gesondert die Notwendigkeit der Information nach Art. 14 DSGVO zu prüfen.12 Zu berücksichtigen ist außerdem, dass eine Verpflichtung zur Information des Verantwortlichennach Art. 14 DSGVO selbst dann besteht, wenn ein anderer Verantwortlicher die betroffene Person bereits einmal bei der Datenerhebung informiert hat, da die Pflicht zur Erteilung der Information allein aus der Perspektive des Verantwortlichen zu bewerten ist.13

6

Inhalt der Informationspflicht sind die in Abs. 1 und 2 genannten Angaben. Die Daten selbst sind demgegenüber nicht Gegenstand der Mitteilungspflicht, diese können vielmehr Gegenstand eines Auskunftsanspruches der betroffenen Person werden, sodass diese dann gegebenenfalls einen derartigen Antrag beim Verantwortlichen stellen muss (vgl. Art. 15 DSGVO).14 Art. 14 nimmt ebenfalls eine Gliederung der Informationspflichten in zwei Absätze vor, doch auch hier macht das für die eigentliche Pflicht zur Information, deren Vollständigkeit bezogen auf die Angaben beider Absätze und deren Reichweite keinen Unterschied.15

7

Die Informationspflichten des Art. 14 Abs. 1 DSGVO entsprechen in großen Teilen den Pflichten nach Art. 13 DSGVO. So findet sich in Art. 14 Abs. 1 lit. a und b DSGVO ebenfalls die Pflicht zur Mitteilung der Kontaktdatendes Verantwortlichen sowie seines Vertreters und des Datenschutzbeauftragten (Art. 13 Abs. 1 lit. a und b DSGVO), soweit vorhanden.16 In Abs. 1 lit. c findet sich die Pflicht des Verantwortlichen zur Angabe des Zwecksund der Rechtsgrundlageder Verarbeitung gegenüber der betroffenen Person (vgl. Art. 13 Abs. 1 lit. c DSGVO).17 Abs. 1 lit. e verpflichtet demgegenüber zur Mitteilung über die Empfänger und Kategorien von Empfängernder Daten (vgl. Art. 13 Abs. 1 lit. e DSGVO)18 und nach Abs. 1 lit. f besteht die Notwendigkeit des Verantwortlichen, die betroffene Person über eine geplante Übermittlung in Drittstaatenoder an internationale Organisationen(Art. 13 Abs. 1 lit. f DSGVO) zu informieren.19 Die Abweichung im Wortlaut (Sprache/Ausdruck) der beiden Vorschriften (Art. 13 zu Art. 14 DSGVO) hat dabei keine inhaltlichen Auswirkungen, kann aber im Zweifel zur Klarstellung für beide Normen dienen. So wird beispielsweise durch die in Art. 14 Abs. 1 lit. f DSGVO gewählte Formulierung („Empfänger in einem Drittland“ statt „Absicht ... an ein Drittland“) deutlicher, dass es sich um eine Information über die Empfänger in den Drittstaaten handelt. Die bloße Nennung des Drittlandes kann daher weder bei der Information im Rahmen des Art. 13 DSGVO noch im Zusammenhang der Information nach Art. 14 DSGVO den Erfordernissen der Datenschutz-Grundverordnung entsprechen.20

8

Abweichend von den Informationserfordernissen nach Art. 13 DSGVO, verlangt Art. 14 Abs. 1 lit. d DSGVO vom Verantwortlichen die Information der betroffenen Person über die Kategorien der verarbeiteten personenbezogenen Daten. Hintergrund dieser zusätzlichen Information ist, dass anders als bei einer Direkterhebung nach Art. 13 DSGVO, der betroffenen Person sonst nicht bewusst sein dürfte, um welche Daten es sich eigentlich handelt. Es reicht jedoch, wenn der Verantwortliche der betroffenen Person hierzu allgemeine Angaben macht, durch die diese in die Lage versetzt wird, die mit der Verarbeitung verbundenen Risiken abzuschätzen.21 Will die betroffene Person über die im Rahmen der Information erhaltenen Angaben hinaus detailliertere Kenntnisse zu den über sie verarbeiteten Daten erhalten, muss dies gegebenenfalls über einen Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht werden.22

9

In Abs. 2 verlangt Art. 14 DSGVO ebenfalls denen von Art. 13 Abs. 2 DSGVO vergleichbare Informationen.23 So besteht auch nach Abs. 2 lit. a DSGVO die Verpflichtung des Verantwortlichen, die betroffene Person über die Dauerder Datenspeicherung zu informieren (vgl. Art. 13 Abs. 2 lit. a DSGVO). Daneben verpflichtet Abs. 2 lit. b den Verantwortlichen zur Information über das berechtigte Interesse(vgl. Art. 13 Abs. 1 lit. d DSGVO). Die Pflicht der betroffenen Person, ihre Betroffenenrechtemitzuteilen, findet sich in Abs. 2 lit. c (vgl. Art. 13 Abs. 2 lit. b DSGVO). Abs. 2 lit d enthält ebenfalls eine Verpflichtung, über die Möglichkeit des Widerrufseiner Einwilligung zu informieren (Art. 13 Abs. 2 lit. c DSGVO) und die Informationspflicht zum Beschwerderechtergibt sich aus Abs. 2 lit. e (vgl. Art. 13 Abs. 2 lit. d). Zuletzt enthält Abs. 2 lit. g noch die Pflicht zur Information über automatisierte Entscheidungsfindung(vgl. Art. 13 Abs. 2 lit. f DSGVO).24 Darüber hinaus muss der Verantwortliche aber außerdem die betroffene Person noch über die Quelle der erhobenen Daten informieren (Abs. 2 lit. f). Diese zusätzliche Informationspflicht im Rahmen des Art. 14 DSGVO ist aus Sicht der transparenten Datenverarbeitung nur konsequent, besteht doch lediglich auf diese Weise die Möglichkeit der betroffenen Person, die Rechtmäßigkeit der ursprünglichen Datenerhebung überprüfen zu können. Ebenso kann die betroffene Person aufgrund dieser Information feststellen, wer für die eigentliche Datenerhebung verantwortlich war und gegebenenfalls dort ihre Betroffenenrechte geltend machen (bspw. auf Berichtigung, Löschung usw.).25