DSGVO - BDSG - TTDSG

18

Werden die Daten zu einem anderen Zweck als dem Erhebungszweckweiterverarbeitet, sind nach Abs. 4 durch den Verantwortlichen weitere Informationspflichten zu erfüllen. Die Formulierung entspricht der Regelung in Art. 13 Abs. 3 DSGVO und unterscheidet sich im Wortlaut lediglich dadurch, dass in Art. 14 DSGVO die Formulierung „erlangt wurden“ verwendet wird, ohne damit aber einen inhaltlichen Unterschied zu verfolgen.46 So wird nach Art. 14 Abs. 4 DSGVO ebenfalls vorausgesetzt, dass die Daten zu einem anderen Zweck als dem Erhebungszweck weiterverarbeitet werden sollen. Über diesen neuen Zweckmuss der Verantwortliche die betroffene Person informieren, ebenso über die Rechtsgrundlage der Verarbeitung sowie gegebenenfalls über die Empfänger der Daten.47 Darüber hinaus muss der Verantwortliche die in Abs. 2 genannten Informationen ausgerichtet auf den geänderten Verarbeitungszweck hin der betroffenen Person in dem Umfang mitteilen, in dem diese die Informationen benötigt, um die mit der Zweckänderung verbundenen Risiken ausreichend einschätzen zu können.48 Dabei hat der Verantwortliche die betroffene Person vor der Weiterverarbeitung zu einem geänderten Zweck so rechtzeitig zu informieren, dass diese gegebenenfalls noch Einwände gegen die Weiterverarbeitungeinbringen kann.49 Form und Darstellung richten sich auch hier nach Art. 12 Abs. 1, 7 und 8 DSGVO.

19

Abs. 5 enthält mehrere Ausschlusstatbestände, nach denen eine Informationspflicht nach Art. 14 unterbleiben kann.50 Dabei verbietet der Abs. 5 selbst die Information der betroffenen Person nicht, allerdings können andere Regelungen im Sinne der Ausschlusstatbestände von Abs. 5 lit. c und lit. d DSGVO derartige Informationsverboteenthalten.

20

Verfügt eine betroffene Person bereits über die Informationen, so kann nach Abs. 5 lit. a eine Information unterbleiben. Es handelt sich hierbei um eine Regelung, die wortgleich mit der Formulierung in Art. 13 Abs. 4 DSGVO ist und ebenso anzuwenden ist.51 Wesentlich ist, dass die betroffene Person bereits auf andere Weise die Information erhaltenhat, was beispielsweise bei einer Datenübermittlung der Fall sein kann, wenn die Informationspflicht des Übermittelnden bereits nach Art. 13 Abs. 1 lit. e oder Abs. 3 DSGVO besteht.52 In diesem Fall sollte der Verantwortliche jedoch sicherstellen, dass dann bereits die Informationspflicht des Übermittelnden auch wirklich erfüllt wurde und unbedingt prüfen inwieweit damit bereits alle Informationsinhalte abgedeckt wurden.

21

Abs. 5 lit. b fasst mehrere Ausschlusstatbeständemit unterschiedlichen Zielen zusammen. So findet sich zunächst einmal der Hinweis, dass eine Pflicht im Sinne des Art. 14 DSGVO des Verantwortlichen nicht besteht, wenn die Information unmöglichist, weil zur betroffenen Person kein Kontakt aufgenommen werden kann (bspw. weil unbekannt).53 Hintergrund ist, dass ein Verantwortlicher gemäß Art. 11 Abs. 1 DSGVO nicht nur deswegen Identifikationsdaten über eine betroffene Person aufbewahren oder erheben soll, um seinen Verpflichtungen aus der Verordnung nachzukommen. Sofern er die Person aber problemlos identifizieren kann, stellt allein der Mangel an Kontaktdaten noch nicht die „Unmöglichkeit“ im Sinne des Abs. 5 lit. b Satz 1 Hs. 1 Alt. 1 DSGVO dar.54

22

Die Informationspflichten entfallen aber auch dann, wenn die Informationspflicht mit einem unverhältnismäßigen Aufwandverbunden ist (Abs. 5 lit. b Satz 1 Hs. 1 Alt. 2 DSGVO). Notwendig ist dann jedoch eine Abwägung zwischen dem für den Verantwortlichen zu erwartenden Aufwand und dem auf Seiten der betroffenen Person bestehenden Informationsinteresse.55 Dabei ist vor allem das Risiko der Datenverarbeitung und das damit verbundene Interesse der betroffenen Person auf Information darüber zu berücksichtigen. Je höher dies einzuschätzen ist, umso mehr Aufwand kann vom Verantwortlichen zur Umsetzung der Informationspflicht gefordert werden, sodass zumindest bei intensivem Eingriff in die Rechte der betroffenen Person sowie hohe Risiken für diese (bspw. durch massenhafte Datenerhebung), der zur Information notwendige Aufwand als nicht zu hoch im Sinne des Abs. 5 lit. b angesehen werden kann.56

23

Ein weiterer Grund für das Unterbleiben der Informationen kann ein im öffentlichen Interesse liegender Archivzweck, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke im Sinne des Art. 89 Abs. 1 darstellen (Abs. 5 lit. b Satz 1 Hs. 2 Alt. 1 DSGVO). Diese Privilegierung besteht unabhängig von der (öffentlich-rechtlichen oder privaten) Rechtsform des Verantwortlichen und erfordert keine weitere Abwägung der Interessen.57 Allerdings bleibt die Informationspflicht bestehen, wenn ein weiterer Verarbeitungszweck verfolgt wird, der nicht im Sinne der Vorschrift privilegiert ist (vgl. Art. 89 Abs. 4 DSGVO).58

24

Ebenso entfällt die Informationspflicht in den Fällen, in denen das Ziel der Verarbeitung durch die Information gefährdet würde(Abs. 5 lit. b Satz 1 Hs. 2 Alt. 2). Diese Möglichkeit einer längerfristigen verdeckten Datenerhebung erfordert jedoch ein sich aus dem Verarbeitungszweck ergebendes Geheimhaltungsbedürfnis, welches gegenüber den Interessen der betroffenen Person auf frühzeitige Information abzuwägen ist. Die Informationspflicht entfällt dadurch aber nicht vollständig, sondern ist nachzuholen, sobald der Verarbeitungszweck durch die Information nicht mehr gefährdet wird (bspw. bei Ermittlungen eines Privatdetektives, wenn die Ermittlungen abgeschlossen sind).59

25

Überdies verlangt Abs. 5 lit. b Satz 2 aber außerdem, dass bei Anwendung der in Satz 1 genannten Ausschlussgründe, geeignete Schutzvorkehrungenzugunsten der betroffenen Person zu ergreifen sind. Hierzu dürfte es vor allem notwendig sein, dass wie bereits dargelegt die Abwägung der Interessen vorgenommen wurde, die dann aber auch im Sinne des Art. 5 Abs. 2 dokumentiert werden, d.h. neben der allgemeinen Dokumentationspflicht außerdem die Gründe der unterlassenen Information sowie die vorgenommene Abwägung mit aufgenommen wird.60 Darüber hinaus nennt Abs. 5 lit. b Satz 2 die Veröffentlichung der Informationen als eine der möglichen Schutzmechanismen, was aber allenfalls im Falle des zu großen Aufwands der Information eine geeignete Schutzvorkehrung sein kann.61

26

Regelt eine Rechtsvorschrift ausdrücklich die Erhebung oder Offenlegung der Daten, entfällt die Informationspflicht nach Art. 14 DSGVO ebenfalls, da die betroffene Person die Hintergründe dann der Rechtsvorschrift entnehmen kann (bspw. bei Meldepflichten an Behörden zur Geldwäschebekämpfung).62 Voraussetzung ist jedoch, dass der Informationsgehalt der Rechtsvorschrift mit der Informationspflicht des Verantwortlichen als gleichwertig zu betrachten ist und die betroffene Person in ausreichendem Maße die Reichweite und das Risiko der Datenerhebung und Weiterverarbeitungeinschätzen kann.63 Sofern Vorschriften demgegenüber lediglich die Erlaubnis zur Datenverarbeitung enthalten (vgl. Art. 6 DSGVO), kann dies nicht als ausreichend erachtet werden.64 Damit eine betroffene Person daher die Datenerhebung im Einzelfall nachvollziehen kann, muss eine Rechtsvorschrift im Sinne von Abs. 5 lit. c neben der Erlaubnis zur Datenverarbeitung außerdem die Art der erhobenen Daten, die Voraussetzungen deren Erhebung und den Zweck der Verarbeitung ausreichend spezifizieren und normenklar festlegen.65 Insbesondere wird nach Abs. 5 lit. c verlangt, dass die Rechtsvorschrift geeignete Maßnahmen zum Schutzder berechtigten Interessen der betroffenen Person vorsehen. Inwieweit der Verantwortliche hierbei zur Prüfung dieser Voraussetzungen verpflichtet sein soll, lässt sich Abs. 5 lit. c hingegen nicht entnehmen. Allerdings sollte auch in diesem Fall der Verantwortliche genau dokumentieren, auf welcher Grundlage und nach welchen Prüfungsschritten er die Information nach Abs. 5 lit. c unterlassen hat.66