David Klein - DS-GVO/BDSG

37

Unklar ist, ob und inwieweit die betroffene Person aktiv über Änderungen bei veränderten Datenverarbeitungsprozessen informiert werden muss. Stellt der Verantwortliche bspw. eine Verarbeitungsform ein und ändert dementsprechend die Information auf seiner Webseite, stellt sich die Frage, inwiefern die betroffene Person über diese Änderung informiert werden muss. Auch eine Zweckänderung i.R.v. Art. 6 Abs. 4kann eine nachträgliche Änderung der Informationen erforderlich machen. Konkrete Vorgaben hierzu macht Abs. 1nicht, sodass davon ausgegangen werden kann, dass eine aktive Benachrichtigung des Betroffenen nach Art. 12nicht gefordert ist.

38

Eine Einschränkung des Grundsatzes der Formfreiheit enthält indes S. 3. Danach ist die mündlicheForm nur auf Verlangen des Betroffenen ausreichend und nur, wenn seine Identifizierung anderweitig erfolgt ist. Der Nachweis der Identität kann dabei auf jede beliebige Weise erfolgen[66]. Die dem Betroffenen eröffnete Möglichkeit, sich eine mündliche Unterrichtung wünschen zu können, geht für den Verantwortlichen jedoch nicht mit der Verpflichtung einher, diese auch tatsächlich vornehmen zu müssen, da der Wortlaut des Art. 12 Abs. 3 S. 1(„kann“) insofern keine Verpflichtung des Verantwortlichen statuiert.[67]

39

Die Frage nach dem zulässigen Medienbruchwird von der DS-GVO nicht beantwortet.[68] Lediglich ein leichter Zugang wird an verschiedenen Stellen innerhalb der DS-GVO betont.[69] Die Form einer Übermittlung korreliert daher eng mit den Geboten der Zugänglichkeit und Verständlichkeit sowie dem jeweiligen Kontext der Datenverarbeitung.[70] Eine Einschränkung wäre jedenfalls aber dann geboten, wenn im konkreten Einzelfall nach dem Grundsatz von Treu und Glauben i.S.v. Art. 5 Abs. 1 lit. a DS-GVOein Medienbruch in der Informationsvermittlung unzumutbar wäre.[71] Dies könnte bspw. dann der Fall sein, wenn dem Betroffenen hierdurch ein erheblicher Mehraufwand entstünde und dieser deshalb von der Wahrnehmung seiner Betroffenenrechte abgeschreckt sein könnte.[72] Die DSK erkennt den Medienbruch an.[73]

40

Verstößt der Verantwortliche gegen das Transparenzgebot des S. 1 oder die Formvorschriften der S. 2 und 3, hat dies zur unmittelbaren Rechtsfolge, dass die gebotenen Informationen dem Betroffenen nicht ordnungsgemäß bereitgestellt wurden. Hängt die weitere Datenverarbeitung von der ordnungsgemäßen Information ab, kann sich aus dem Verstoß wiederum ein Verarbeitungsverbot ergeben. Dies betrifft jedenfalls die Informationspflichten aus Art. 13und 14sowie 18 Abs. 3. Dagegen kann der Betroffene bei Informationspflichten, die einen Antrag voraussetzen, bei einem Verstoß gegen die in Abs. 1 genannten Vorgaben, von dem Verantwortlichen, Nacherfüllung verlangen. Zusätzlich kann eine Verletzung gegen Art. 12 Abs. 1gem. Art. 83 Abs. 5 lit. b stets mit eine Geldbuße geahndet werden.[74]

41

Abs. 2begründet eine Pflicht des Verantwortlichen zur Erleichterung der Rechteausübung durch die Betroffenen. Den Verantwortlichen trifft gem. Art. 12 Abs. 2 S. 1die allgemeine und nicht näher spezifizierte Pflicht, die Ausübung der Rechte aus den Art. 15 bis 22zu erleichtern. Die Pflicht aus Abs. 2 S. 1besteht dabei stets nur in dem Umfang, indem die genannten Betroffenenrechte bestehen[75].

42

Zunächst ist es dem Verantwortlichen durch die Pflicht zur Erleichterung der Rechteausübung untersagt, diese aktiv zu behindernbspw. indem für die Geltendmachung zusätzliche inhaltliche oder formale Hürden aufgestellt werden. Eine Rechtsverteidigung des Verantwortlichen bleibt hiervon allerdings unberührt[76]. Wie ErwG 59 klarstellt, kann eine solche Erleichterung bspw. durch das Vorsehen einer Möglichkeit zur elektronischen Antragstellung erreicht werden.

43

Die Modalitäten der Vereinfachungbzw. die konkret zu ergreifenden Maßnahmen sind von dem Verantwortlichen festzulegen[77] und liegen im Einzelnen in dessen Ermessen. Da die Ausübung nur erleichtert werden muss, bleibt die Verantwortung für die tatsächliche Rechtsausübung beim Betroffenen[78]. Der Betroffene muss also selbst aktiv werden, während der Verantwortliche ihm hierfür geeignete Zugangswege zur Verfügung stellen muss, z.B. durch die Bereitstellung elektronischer Kommunikationseinrichtungen oder der Benennung von Ansprechpartnern.

44

Hat die betroffene Person einen Antrag zur Wahrnehmung ihrer Rechte gestellt, so hat der Verantwortliche diesen grundsätzlich zu bearbeiten und insbesondere zu prüfen ob und inwieweit er diesem nachkommt. Eine Verweigerung des Tätigwerdens ist nur zulässig, wenn der Verantwortliche glaubhaft macht, dass er die betroffene Person nicht identifizieren kann und ein Fall des Art. 11 Abs. 2vorliegt.

45

Ein Fall des Art. 11 Abs. 2liegt vor, wenn der Verantwortliche in Fällen des Art. 11 Abs. 1nachweisen kann, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. Daher ist über die Nicht-Identifizierbarkeit hinaus erforderlich, dass für die Zwecke der Datenverarbeitung eine Identifizierung des Betroffenen nicht (mehr) erforderlich ist. Andernfalls wird der Verantwortliche in der Regel ohnehin von sich aus weitere Daten erheben oder anfordern, um den Betroffenen identifizieren zu können und so die Betroffenenrechte zur Anwendung bringen.

46

Der Verantwortliche ist zur Identifizierung außerstande, wenn er mittels der ihm vorliegenden Informationen die Identität des Betroffenen nicht bestimmen kann. Identifizierbarkeit setzt voraus, dass der Verantwortliche in der Lage ist, mittels der vorhandenen Informationen die Identität des Betroffenen zu bestimmen, dass er mithin die Daten einer bestimmten Person zuordnen kann. Dabei muss der Verantwortliche zwar die ihm möglichen und zumutbaren Maßnahmen zur Identifizierung (erfolglos) ergriffen haben, indes gehört zu diesen Maßnahmen, wie Art. 11 Abs. 1zeigt, nicht die Anforderung weiterer Informationen. Denn diese soll gerade nicht verpflichtend sein.

47

Berücksichtigt werden müssen vielmehr (nur) solche Mittel, die nach allgemeinem Ermessen von dem Verantwortlichen oder von Dritten wahrscheinlich zur Identifizierung genutzt werden[79]. Dies wiederum bestimmt sich nach objektiven Kriterien, insbesondere dem zeitlichen und finanziellen Aufwand.

48

Identifizierbarist der Betroffene bspw. dann, wenn seine Daten bei dem Verantwortlichen in pseudonymisierter Form vorliegen und der Verantwortliche zudem über die zur Zuordnung zu dem Betroffenen erforderlichen weiteren Informationen, bspw. eine Pseudonymisierungstabelle, verfügt.[80]

49

Dagegen ist der Betroffene für den Verantwortlichen nicht identifizierbar, wenn er über dessen Daten nur in anonymisierter Form verfügt[81], da aus diesen keinerlei Rückschlüsse auf die Identität des Betroffenen möglich sind. Einer Person zugeordnete Kennungen(Cookies, IP-Adressen) können hingegen nur in Verbindung mit weiteren Informationen die Identifizierbarkeit begründen. Auch wenn diese Kennungen u.U. ein Aussondern einer abstrakten Person aus einer Menge von Personen ermöglichen können, so ist eine Zuordnung zu einer konkreten Person für den Verantwortlichen regelmäßig gerade nicht möglich.

50

Hat der Verantwortliche nachgewiesen, dass er den Betroffenen nicht identifizieren kann, so muss er dies, anders als der letzte Hs. in Abs. 2 S. 2suggeriert, nicht zusätzlich glaubhaft machen. Denn in der englischen und französischen Sprachfassung des Art. 11 Abs. 2und Art. 12 Abs. 2 S. 2ist eine solche begriffliche Differenzierung nicht vorgesehen. Der abweichende Wortlaut in der deutschen Fassung ist allein der Übersetzung geschuldet und sollte nicht etwa dazu führen, dass Art. 12 Abs. 2 S. 2insoweit ein über Art. 11 Abs. 2hinausgehendes Erfordernis aufstellt[82].