DSGVO - BDSG - TTDSG

10

Dabei ist der Begriff der „Quelle“ weit zu verstehen, sodass sowohl die Methode als auch das Instrument zur Datenerhebung genannt werden muss, sofern dies für die betroffene Person relevant ist, um das Risiko der Datenverarbeitungabschätzen zu können (Gegenstand und Mittel).26 So werden sowohl Personen als auch Institutionen, welche die Daten an den Verantwortlichen übermitteln, von der Informationspflicht erfasst und sind mit Name oder Bezeichnung sowie den Kontaktdaten zu benennen.27 Doch ebenso bei Veröffentlichung der Daten oder auch nur Spuren, die durch die betroffene Person hinterlassen wurden, sind gegebenenfalls als Quelle anzugeben, indem die Fundstelle bzw. die Art und der Fundort angegeben werden.28

11

Darüber hinaus kann es aufgrund der besonderen Risiken für die betroffene Person notwendig sein, das Mittel der Datenerhebungzu benennen, zumindest, wenn sich dies nicht bereits aus dem Gegenstand der Datenverarbeitung ohne Weiteres ergibt. Das kann zumindest im Fall einer verdeckten Erhebung oder der Verwendung eines komplexen Analyseverfahrens notwendig sein, da dann der betroffenen Person nicht von vorneherein die Hintergründe bekannt sind.29 Ebenso sind der betroffenen Person die Entnahme der Daten aus öffentlich zugänglichen Quellenmitzuteilen.30 Das gilt auch dann, wenn mehrere Quellen genutzt wurden, sofern nicht ausnahmsweise die Datenquelle deswegen nicht benannt werden kann, weil erst die Analyse einer Vielzahl von Daten aus verschiedenen Quellen die maßgebliche Erhebung personenbezogener Daten ermöglicht hat. In diesem Fall reicht ausnahmsweise eine allgemein gehaltene Information aus (vgl. ErwG 61), bei der lediglich die Mittel der Datenerhebung, die genutzten Datenbestände und/oder das System benannt werden.31

12

Anders als nach Art. 13 Abs. 2 lit. e DSGVO sind im Rahmen des Art. 14 Abs. 2 DSGVO konsequenterweise keine Informationen über die Pflicht oder die Obliegenheit zur Bereitstellung der personenbezogenen Daten notwendig.32

13

Abs. 3 lit. a enthält zunächst einmal eine allgemeine Regelung zum Zeitpunkt der Information der betroffenen Person, die ausdrücklich erst nach Erlangung der Daten, also nach Datenerhebung erfolgen soll. Es ist jedoch zu bedenken, dass es Fälle geben kann, in denen die Datenerhebung vom Willen der betroffenen Person abhängt, wie dies beispielsweise bei einer Einwilligung, aber auch bei einem Vertrag möglich ist. In diesem Fall ist die Information der betroffenen Person bereits vor der Datenerhebung zu erteilen und die mögliche Frist bis zur Informationserteilung sozusagen faktisch auf null reduziert.33

14

Als längster für die Information möglicher Zeitraumgilt im Sinne des Abs. 3 lit. a demgegenüber die Frist von einem Monat. Diesen Zeitraum darf der Verantwortliche jedoch nur dann ausschöpfen, sofern nach den Umständen keine kürzere Frist geboten ist, worauf schon die Wortwahl „längstens“ schließen lässt. Der Verantwortliche hat die betroffene Person demnach innerhalb einer angemessenen Fristzu informieren, ohne dass die Vorschrift selbst hierfür einen konkreten Zeitraum benennt.34 Zur Bestimmung müssen folglich die spezifischen Umstände der Verarbeitung berücksichtigt werden, was eine entsprechende Abwägung des Verantwortlichen erforderlich macht.35 Dabei müssen auf Seiten der betroffenen Person die Informationsinteressenzugrunde gelegt werden, nämlich wie dringend die Informationen zur Ausübung ihrer Rechte benötigt werden. Auf der anderen Seite sind demgegenüber die Möglichkeiten des Verantwortlichenzur Informationserteilung und der damit verbundene Aufwand zu berücksichtigen.36 Eventuell bestehende Geheimhaltungsinteressendes Verantwortlichen sind hingegen Gegenstand von Abs. 5 lit. b und lit. d sowie gegebenenfalls von weiteren Beschränkungsregelungen nach Maßgabe des Art. 23 DSGVO und finden insoweit bei der Abwägung im Rahmen des Abs. 3 lit. a keine Berücksichtigung.37

15

Indirekt wirkt die Regelung auf eine datenschutzgerechte technische und organisatorische Konfigurationvon Datenverarbeitungsprozessen hin, indem sie bei einer gleichartigen Datenverarbeitung in einer Vielzahl von Einzelfällen die Durchführung der Abwägung in typisierter Form verlangt.38 Werden daher in großem Ausmaß zur automatisierten Weiterverarbeitung Datenbestände erhoben (bspw. im Internet), dann wird vom Verantwortlichen eine Einrichtung des Systems vorausgesetzt, die eine unmittelbare Information an die betroffenen Personen nach der Datenerhebung ermöglicht.39 Demgegenüber kann im Einzelfall ein etwas längerer Zeitraum für die Informationserteilung noch als ausreichend zu erachten sein, wenn dadurch der betroffenen Person ein größerer bzw. besserer Überblick verschafft wird (bspw. bei der Entnahme aus mehreren Quellen, erst nachdem feststeht, welche Quellen dies im Einzelnen betrifft). Doch muss auch dann in die Abwägung einfließen, ob durch den längeren Zeitraum besondere Risiken für die betroffene Person bestehen.40

16

Abs. 3 lit. b enthält außerdem eine Sonderregelung für den spätesten Zeitpunktder Informationsverpflichtung, sofern die Datenerhebung zur Kommunikation mit der betroffenen Person dienen soll. Erfasst werden Datenerhebungen, in denen der Verantwortliche in Kontakt zur betroffenen Person treten will und dabei die erhobenen Daten überhaupt erst nutzt.41 In diesem Fall muss spätestens mit der ersten Mitteilung, also dem ersten kommunikativen Kontakt, die betroffene Person die Informationen erhalten.42 Damit wird zunächst einmal nur die äußere Grenze des Informationszeitpunktes bei Kontaktaufnahme zur betroffenen Person festgelegt, was lediglich eine Konkretisierung und Ergänzung von lit. a darstellt, sodass weiterhin die Verpflichtung des Verantwortlichen besteht, grundsätzlich im Rahmen einer angemessenen Frist im Sinne von Abs. 3 lit. a zu informieren und die Höchstfristvon einem Monat zu berücksichtigen.43

17

Abs. 3 lit. c enthält eine weitere Sonderregelungfür die Datenerhebung zur Offenlegung, indem sie einen späteren Informationszeitpunkt ermöglicht. Danach muss die Information spätestens zum Zeitpunkt der Offenlegung erfolgen. Die betroffene Person muss die Möglichkeit erhalten, ihre Rechte gegenüber einer unzulässigen Offenlegungnoch geltend zu machen, die mögliche Reaktionszeitist entsprechend zu berücksichtigen.44 Die grundsätzliche Regelung des Abs. 3 lit. a wird aber auch durch Abs. 3 lit. c nicht vollständig verdrängt, womit bei einer geplanten Offenlegung der Daten trotzdem im Rahmen einer angemessenen Frist und der einmonatigen Höchstfrist – soweit möglich – eine Information der betroffenen Person erfolgen muss. Voraussetzung für die Anwendbarkeitvon Abs. 3 lit. c ist es, dass die Absicht des Verantwortlichen besteht, die personenbezogenen Daten der betroffenen Person an einen anderen Empfänger offenzulegen, also eine zielgerichtete Handlungvorliegt, bei der die Offenlegung aus Sicht des Verantwortlichen den Verarbeitungszweck darstellt (bspw. Kreditkartenauskunft). Die reine Weitergabe innerhalb eines fortlaufenden Verarbeitungsprozesses reicht für die Anwendbarkeit von Abs. 3 lit. c hingegen nicht aus.45