David Klein - DS-GVO/BDSG

12

Sofern der Verantwortliche in Fällen gem. Abs. 1nicht in der Lage ist, die betroffene Person zu identifizieren, so muss er hierüber grundsätzlich einen Nachweis beibringen. Über diesen Umstand, dass trotz vorhandener personenbezogener Daten der betroffenen Person die Identifizierung nicht möglich ist, trägt der Verantwortliche die Beweislast.

13

Damit verhindert der Verordnungsgeber, dass der Verantwortliche sich pauschal seiner Verpflichtungen entledigt und der Betroffene Kenntnis besitzt, welche Daten er zur Identifizierung beibringen müsste.[9]

14

Wem gegenüber dieser Nachweis zu leisten ist, lässt die Vorschrift tatsächlich undefiniert.[10] In Frage kommen als Adressaten die zuständige Aufsichtsbehörde in Form entsprechender Dokumentation[11] und die davon betroffene Person[12]. Um sowohl der Rechenschaftspflicht, als auch der grundsätzlich verlangten Transparenz gegenüber der betroffenen Person Rechnung zu tragen, ist der Nachweis beiden Akteuren gegenüber zu erbringen.

15

Der Nachweispflicht kann die verantwortliche Stelle z.B. durch Auskünfte jeder Art, Aussagen von Mitarbeitern des Verantwortlichen, Urkunden und Akten oder Inaugenscheinnahme nachkommen.[13]

16

Nach Abs. 2 S. 1obliegt dem Verantwortlichen in allen Fällen des Abs. 1eine Informationspflicht gegenüber der betroffenen Person. Dieser muss dem Betroffenen grundsätzlich über den Umstand informieren, dass er nicht mehr in der Lage ist, das Datensubjekt zu identifizieren. Die damit verfolgte Schaffung von Transparenz zugunsten des Betroffenen verlangt detaillierte Informationen, welche Vorschriften nicht eingehalten werden können und aufgrund welcher fehlenden Daten dies der Fall ist, da die betroffene Person nur so entscheiden kann, ob sie dem Verantwortlichen die fehlenden Daten noch bereitstellen soll.[14]

17

In der Praxis werden davon wohl Datenpools betroffen sein, bei denen der Verantwortliche personenbezogene Daten des Betroffenen verarbeitet, aber nicht mehr feststellen kann, welche Datensätze jeweils der einzelnen Person zuzuordnen sind; dies wird bei der selbst vom Verantwortlichen durchgeführten Pseudonymisierung und daran anschließenden Datenverarbeitung der Fall sein.[15]

18

Die formalen Anforderungen an die Unterrichtung sind in Abs. 2nicht beschrieben. Wie in Art. 12 Abs. 4wird an dieser Stelle von einer Unterrichtung gesprochen. Damit handelt es sich um eine eigenständige Informationspflicht für einen spezifischen Sachverhalt.[16] Der Verantwortliche muss dem Betroffenen gegenüber individuell die Informationspflicht erfüllen. Es steht ihm frei die Information mündlich, schriftlich, elektronisch, fernmündlich, digital, analog oder in welcher Form auch immer zu erteilen.[17]

19

Ausnahmen von der Informationspflicht bestehen nur in Fällen der Unmöglichkeit. Nicht möglich ist die Unterrichtung, wenn dem Verantwortlichen, etwa aufgrund exorbitant hohen Aufwands, kein Kontakt zum Betroffenen gelingt.[18] In diesem Fall könnte er die individuell erforderte Information schließlich nicht erteilen.

20

Gemäß Abs. 2 S. 2finden die Betroffenenrechte Art. 15–20keine Anwendung, sofern ein Fall nach Abs. 1vorliegt, die betroffene Person nach Abs. 2 S. 1hierüber informiert wurde bzw. dies unmöglich ist und dass die betroffene Person daraufhin keine zusätzlichen Informationen bereitgestellt hat.[19] Die Vorschrift bringt zum Ausdruck, allein zum Zweck den Betroffenenrechten entsprechen zu können, auf zusätzliche Datenerhebungen zu verzichten und wertet die Datensparsamkeit somit als vorrangig. Sofern der Betroffene allerdings selbst die benötigten Information beibringt, ist der Vollzug der genannten Betroffenenrechte wieder möglich und die Informationspflichten der Art. 15 ff.gelten wieder.[20]

21

Die in der DS-GVO vorgesehenen drakonischen Bußgelder sollen Unternehmen von Verstößen abhalten und ein Bewusstsein für Datenschutz schaffen. Auch Verstöße gegen Art. 11lassen sich als Ordnungswidrigkeiten qualifizieren und können mit einer Geldbuße in Höhe von bis zu 10 Millionen EUR oder im Falle eines Konzerns bis zu 2 % des gesamten weltweit erzielten Vorjahresumsatzes (Art. 83 Abs. 4 lit. a) geahndet werden.

22

In nichtöffentlichen Stellen, die personenbezogene Daten etwa selbst pseudonymisieren und im Anschluss weiterverarbeiten, entpflichtet Art. 11diese weiteren Daten allein zur Ausübung der Betroffenenrechte zu verarbeiten. Gleichzeitig legt er den Unternehmen und sonstigen nichtöffentlichen Stellen eine Pflicht zur Unterrichtung des Betroffenen auf.

23

Die Norm leistet einen weiteren Beitrag zur Schaffung von Transparenz in einem spezifischen Sachverhalt.

24

Aufsichtsbehörden fällt nach der Logik der DS-GVO die besondere Verantwortung zu, über die Einhaltung des Datenschutzrechts zu wachen. Dafür besitzen sie mit Art. 83die weitgehende Möglichkeit finanziell hohe Bußgelder für Verstöße gegen Art. 11zu verhängen.

[1]

Vgl. Sydow- Kampert Art. 11 Rn. 2; Paal/Pauly- Frenzel Art. 11 Rn. 3.

[2]

Vgl. Gierschmann- Veil Art. 11 Rn. 13.

[3]

Vgl. Schwartmann/Weiß Fokusgruppe Datenschutz, Whitepaper zur Pseudonymisierung, 2017, https://www.gdd.de/downloads/whitepaper-zur-pseudonymisierung/view, zuletzt abgerufen am 9.3.2018; vgl. auch Sydow- Kampert Art. 11 Rn. 5; Gierschmann- Veil Art. 11 Rn. 10; Kühling/Buchner- Weichert Art. 11 Rn. 12. A.A. Ehmann/Selmayr- Klabunde Art. 11 Rn. 12.

[4]

Theoretisch kann die Identität einer betroffenen Person für die Umsetzung praktisch sämtlicher Regeln der DS-GVO relevant sein, so zutreffend Kühling/Buchner- Weichert Art. 11 Rn. 10.

[5]

Vgl. Sydow- Kampert Art. 11 Rn. 7; Gierschmann- Veil Art. 11 Rn. 17.

[6]

Vgl. Sydow- Kampert Art. 11 Rn. 8.

[7]

HmbBfDI Rechtliche Bewertung von Fotografien einer unüberschaubaren Anzahl von Menschen nach der DSGVO außerhalb des Journalismus.

[8]

Vgl. dazu eingehend Art. 13 Rn. 101 f., 14 Rn. 101 und § 3 BDSG Rn. 119 f.

[9]

Vgl. Gierschmann- Veil Art. 11 Rn. 51.

[10]

So zutreffend nur Auernhammer- Eßer Art. 11 Rn. 11.

[11]

Vgl. dazu Auernhammer- Eßer Art. 11 Rn. 11.

[12]

Vgl. Gierschmann- Veil Art. 11 Rn. 51.

[13]

Vgl. Gierschmann- Veil Art. 11 Rn. 52.

[14]

Vgl. Sydow- Kampert Art. 11 Rn. 11.

[15]

Vgl. BeckOK DatenSR- Wolff Art. 11 Rn. 22, 24.

[16]

Vgl. Art. 12 Rn. 48 ff.

[17]

Vgl. BeckOK DatenSR- Wolff Art. 11 Rn. 23.

[18]

Vgl. BeckOK DatenSR- Wolff Art. 11 Rn. 25; Sydow- Kampert Art. 11 Rn. 11.

[19]

Vgl. Sydow- Kampert Art. 11 Rn. 12.

[20]

Vgl. Paal/Pauly- Frenzel Art. 11 Rn. 10.

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Bundesdatenschutzgesetz (BDSG)› Kapitel III Rechte der betroffenen Person