Informationspflichten
Ein wichtiger Grundsatz der Datenschutz- Grundverordnung (DS-GVO) ist Transparenz. Personenbezogene Daten sollen also in einer für die betroffenen Personen nachvollziehbaren Weise verarbeitet werden (Art. 5 Abs. 1 Buchstabe a) DS-GVO).
Der Verantwortliche ist daher verpflichtet, geeignete Maßnahmen zu treffen, um betroffenen Personen alle wichtigen Informationen, die in Art. 13 und 14 DS-GVO genauer beschrieben werden, zu übermitteln.
Da es sich hierbei unter Umständen um eine Vielzahl an Informationen handeln kann, können die neuen Informationspflichten situationsgerecht auch in abgestufter Form (mit „Medienbruch“) erfüllt werden.
In der alltäglichen Praxis gibt es zahlreiche Situationen, in denen eine praxistaugliche und angemessene Balance zwischen den Informationspflichten nach Art. 13 und 14 DS-GVO und der Gefahr einer Informationsermüdung bzw. Informationsüberhäufung bei den betroffenen Personen im Hinblick auf deren vielfältige Geschäftsbeziehungen geschaffen werden muss. Nur so können die betroffenen Personen in der Masse situationsgerecht zumindest die wichtigsten Informationen noch bewusst zur Kenntnis nehmen.
Nicht unwesentlich ist dabei die Regelung aus Art. 12 Abs. 1 DS-GVO. Dort finden sich allgemeine Vorgaben darüber, dass geeignete Maßnahmen zu treffen sind, um die (Daten-schutz-) Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Wie diese Anforderungen im Alltag umzusetzen sind, hängt tatsächlich sehr stark von der konkreten Datenverarbeitung ab. Der Europäische Datenschutzausschuss (EDSA) hat im „Working Paper 260“ eine gestufte Information für zulässig erachtet. Auf der ersten Stufe bzw. im ersten Schritt müssen immer die Informationen zur Identität des Verantwortlichen und zu den Zwecken der Verarbeitung gegeben werden, soweit diese Informationen nicht ohnehin schon wegen der Art des Kontakts mit der betroffenen Person offenkundig sind (z. B. bei deren Anruf zu einer Terminvereinbarung mit dem Friseur oder Steuerberater). Je nach Art des Kontakts mit der betroffenen Person ist ergänzend noch auf das Bestehen der Betroffenenrechte hinzuweisen, z. B. in Werbeschreiben. Auf zweiter Stufe müssen dann alle Informationen nach Art. 13 bzw. 14 DS-GVO für die betroffene Person erhältlich sein bzw. gegeben werden. Dies kann bspw. per Link zu der entsprechenden Website erfolgen, auf der alle Informationen vorgehalten werden. Möglich ist auch das Bereithalten eines dementsprechenden Informationsblattes, das jederzeit ausgehändigt bzw. übergeben oder zugesandt werden kann.
Das veröffentlichte Working Paper 260 des EDSA, das diesen zweistufigen Ansatz als zulässig erachtet, kann unter dem folgenden Link heruntergeladen werden: https://edpb.europa.eu/our-work-tools/general-guidance/gdpr-guidelines-recommendations-best-practices_de
Weitere Informationen hierzu finden Sie auch in unserem 8. Tätigkeitsbericht 2017/2018Tätigkeitsbericht) in Kapitel 7, S.43ff
Weitere Informationen / Links
