David Klein - DS-GVO/BDSG

16

Art. 12ist hingegen nicht anwendbar auf die Belehrung vor Abgabe der Einwilligung. Zwar muss zur Wahrung des Erfordernisses der Informiertheit (vgl. Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a, Art. 7) auch hier eine vorgelagerte transparente Belehrung der betroffenen Person ergehen, allerdings knüpft Art. 12an einen späteren Zeitpunkt an. So entstehen die Informationspflichten des Art. 13und 14nämlich erst ab dem Zeitpunkt der Datenerhebung(„werden personenbezogene Daten […] erhoben, so teilt der Verantwortliche […] mit“), welche aber unter Umständen selbst eine zuvor wirksam erteilte Einwilligung voraussetzt. Auch die formalen Vorgaben des Art. 7 Abs. 2im Falle einer schriftlich erteilten Einwilligung wären überflüssig, wenn nicht ohnehin schon die Bestimmungen des Art. 12für diesen Fall gelten würden. Im Übrigen spricht auch die systematische Stellung des Art. 12für eine getrennte Betrachtung beider Regelungen[9].

17

Daneben findet das Transparenzgebot des Art. 12 Abs. 1 S. 1ergänzende Anwendung auf Art. 34 Abs. 2, nicht jedoch auf die Art. 17 Abs. 2 und 19 S. 1 sowie Art. 15 Abs. 3 S. 2 und Art. 20 Abs. 1. Hinsichtlich der Formvorgaben des Art. 12 Abs. 1 S. 2und S. 3sowie Abs. 3 S. 4sind außerdem die Sondervorschriften des Art. 15 Abs. 3 S. 3, Art. 21 Abs. 4 Hs. 2 und Art. 34 Abs. 3 lit. c zu beachten[10].

18

Abs. 1enthält ein Transparenzgebot, das im Rahmen der Informationserteilung sowie bei Mitteilungen an den jeweiligen Betroffenen zu beachten ist. Das Transparenzgebot ist gerade vor dem Hintergrund des Einsatzes algorithmischer Systeme von besonderer Bedeutung.[11] Hierbei ist vor allem der besondere Zusammenhang mit Art. 13 Abs. 2 lit. f zu beachten.[12] Durch die wachsende Komplexität verschiedener Datenverarbeitungsvorgänge wie etwa im Bereich des Profiling und der künstlichen Intelligenz wird es für den Betroffenen zunehmend schwieriger, die tatsächlichen Hintergründe der Verarbeitung ihrer personenbezogenen Daten zu verstehen. Vor diesem Hintergrund dient die dem Verantwortlichen obliegende Verpflichtung zur Transparenz in erster Line dem Erhalt der Souveränität und Selbstbestimmung der betroffenen Person, in dem ihr durch Stärkung der Betroffenenrechte eine informierte und selbstbestimmte Auswahlentscheidung ermöglicht wird und ihr die Wahrnehmung ihrer Rechte ermöglicht werden soll.[13] So soll vor allem dem in Art. 8 GRCh normierten Recht auf Schutz personenbezogener Daten ausreichend Rechnung getragen werden. Hierzu regelt S. 1 allgemein die Art und Weise der in der DS-GVO an anderer Stelle vorgegebenen Informationspflichten. Diese ist nicht erfolgsbezogen, sondern es handelt sich um eine Pflicht zum Ergreifen geeigneter Maßnahmen zur Gewährleistung einer transparenten Übermittlung[14].

19

Das Transparenzgebot gilt sowohl für die allgemeinen Informationen gem. Art. 13und 14bei Datenerhebungen bei dem Betroffenen oder bei Dritten als auch für betroffenenspezifische Mitteilungen gem. Art. 15–22und Art. 34, die sich auf die Verarbeitung personenbezogener Daten beziehen. Das Transparenzgebot gilt somit grundsätzlich für jegliche Informationspflichten des Verantwortlichen mit dem Betroffenen im Zusammenhang mit der Verarbeitung personenbezogener Daten[15].

20

Indes ist der Anwendungsbereich auf solche Informationen und Mitteilungen beschränkt, die an den Betroffenen gerichtetsind[16]. Er umfasst nicht Informationen oder Mitteilungen des Verantwortlichen an Dritte. Infolgedessen sind die Vorgaben des Art. 12 Abs. 1 S. 1nicht anwendbar auf die Art. 17 Abs. 2 und 19 S. 1, denn die darin enthaltenen Pflichten betreffen nur das Verhältnis des Verantwortlichen zu einem Dritten.

21

Überdies findet Art. 12 Abs. 1 S. 1 keine Anwendungauf Art. 15 Abs. 3 und Art. 20. Diese Regelungen normieren nämlich gerade die Pflicht, die Daten dem Betroffenen so zu übermitteln, wie der Verantwortliche selbst über sie verfügt. Bestimmungen über die Darstellungsweise passen hierzu jedoch nicht und können sogar insofern dem Sinn und Zweck dieser Vorschriften zuwiderlaufen, als dass sie den Aussagegehalt der herausgegebenen Daten verändern können[17]. Somit stellen Art. 15 Abs. 3 S. 2 und Art. 20 Abs. 1eigenständige Anforderungen auf. Dagegen findet das Transparenzgebot weiterhin ergänzende Anwendung auf Art. 34 Abs. 2. Diese Sonderregelung bezüglich der Informationspflicht des Art. 34 Abs. 1 im Falle einer eingetretenen Datenpanne bleibt nämlich hinter den Anforderungen der Art. 12 Abs. 1 S. 1zurück, weshalb dem Einschub lediglich eine klarstellende Funktion beigemessen wird[18].

22

S. 1enthält eine Präzisierung des Transparenzgebots und bildet zugleich den Versuch ab, einer drohenden Informationsüberlastung entgegen zu wirken[19]. Hierzu stellt S. 1Anforderungen dahingehend auf, in welcher Form die Informationen bereitzustellen sind. Dies ist jedoch nicht als bloß formale Vorgabe zu verstehen, sondern hat auch Auswirkungen auf die inhaltliche Gestaltung der Informationen[20].

23

Gemäß Art. 12 Abs. 1 S. 1muss die Information bzw. Mitteilung in präziser, transparenter, verständlicher und leicht zugänglicher Form erfolgen und in klarer und einfacher Sprache abgefasst sein. Insgesamt fällt auf, dass sich die aufgeführten Kriterien nicht hinreichend voneinander unterscheiden und daher einerseits teilweise in einem Spannungsverhältnis zueinanderstehen und anderseits teilweise redundant sind. Die Art.-29-Datenschutzgruppe weist ausdrücklich darauf hin, dass eine (zusätzliche) Informationsgewährung auch mündlicherfolgen kann.[21]

24

Präziseist die Information, wenn sie einen hinreichenden Grad an Genauigkeit aufweist[22]. Die Information darf also wesentliche Aspekte der Datenverarbeitung nicht auslassen. Eine abschließende Darstellung wird jedoch jedenfalls dann nicht zu fordern sein, wenn hierdurch die Verständlichkeit nicht mehr gewährleistet werden kann. Vielmehr werden die darzustellenden Informationen auf ihren für die betroffene Person relevanten Kern zu reduzieren sein[23]. Insoweit steht die Anforderung der „präzisen“ Information unter einem einschränkenden Vorbehalt der Verständlichkeit sowie klarer und einfacher Sprache.

25

Verständlichkeit[24] erfordert hingegen, dass die Information für den jeweiligen Adressatenkreis aus sich heraus nachvollziehbar[25] und ohne großen oder zusätzlichen Aufwand erfassbar ist. Dies kann einerseits Erläuterungen erforderlich machen, setzt aber auch und insbesondere voraus, dass nicht so viele kleinteilige Informationen und Erläuterungen gegeben werden, dass das Verständnis aufgrund der Informationsfülle wieder erschwert wird („Information overload“)[26]. Vielmehr muss die Darstellung so gewählt sein, dass der Inhalt klar und nachvollziehbar wird. Es kommt für die Verständlichkeit daher nicht auf eine umfassende Information an, sondern darauf, der Information die Komplexität zu nehmen und sie so für den Adressaten leichter fassbar zu machen.

26

Die Merkmale der Präzision und Verständlichkeit stehen dabei in einem Spannungsverhältnis zueinander[27]. Denn eine genaue und umfassende Information wird in aller Regel weniger leicht zu erfassen sein, als eine solche, der durch eine vereinfachte Darstellung die Komplexität genommen wird. Der Verantwortliche muss mithin die Genauigkeit und Vollständigkeit mit einer anschaulichen, unkomplizierten und nachvollziehbaren Darstellung in Einklang bringen, was ihm im Einzelfall einen beträchtlichen Gestaltungsspielraum[28] eröffnet. So werden neben einer textlichen Wiedergabe der Informationen alle Darstellungsformen zulässig sein, die der Verständlichkeit der Information dienen bspw. durch ergänzende Erläuterungen mit Schaubildern, Piktogrammen, Grafiken oder auch Videos.[29] Denkbar ist auch, nähere Erläuterungen der Datenverarbeitung spielerisch zu vermitteln, bspw. durch spezielle Spielmodi in Online-Spielen[30]. Im Hinblick auf die im Internet häufig aufzufindenden Datenschutzerklärungen empfiehlt die Art.-29-Datenschutzgruppe schließlich ein mehrstufiges Informationsmodell, nach der die Inhalte abhängig von ihrer Wichtigkeit mit wachsendem Detaillierungsgrad und weiterführenden Vertiefungen dargestellt werden sollen.[31]