Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Das erste Betroffenenrecht in Kapitel III der DS-GVO ist aus der Perspektive der Verantwortlichen benannt, nämlich als Informationspflicht.
Während es im alten Datenschutzrecht vor der DS-GVO – sieben Jahre vergangen, also völlig vergessen – nur ein Auskunftsrecht gab, verlangt die DS-GVO, die Betroffenen ungefragt – oder aufgedrängt? – über Datenverarbeitungen zu informieren. Die Regeln dazu wandern wir in den Artikeln 13 und 14 ab. Dazu folgende Knobelaufgabe für lange Weihnachtsabende: Finden Sie den Unterschied zwischen Art. 13 Abs. 1 und Art. 14 Abs. 1 DS-GVO? Zusatzaufgabe: Wer findet die Abweichung zwischen Art. 13 Abs. 3 und Art. 14 Abs. 4 DS-GVO?
Zu viel des guten?
An beiden Artikel ist vor allem erstaunlich, dass sie maßgeblich durch einen „grünen“ Politiker kreiert wurden – sie verdienen die Goldene Himbeere für die ressourcen-vergeudendste Datenschutznorm. Etliche Bäume, die wir bei unserem Spaziergang nicht (mehr) sehen konnten, wurden dem Papier für Datenschutz-Informationen geopfert und etliche Windräder, die sich da am Horizont drehen, liefern Energie für elektronische Datenschutz-Informationen im Internet. Gelesen wird weder die Print-, noch die Online-Form.
Liest man sie ausnahmsweise doch, erweisen sie sich meist als falsch oder inhaltsarm – dritte Variante: Kombination aus beidem. Das liegt gar nicht immer an der Nachlässigkeit der Verantwortlichen – natürlich: manchmal auch daran. Bei den Datenschutz-Aufsichtsbehörden betreibt man sicher besonderen Aufwand für die Datenschutz-Informationen. Trotzdem sind die Ergebnisse dürftig und lohnen die Mühe wohl nicht. Beispiel gefällig?
Die Datenschutz-Information der Bundesbeauftragten für Datenschutz und Informationsfreiheit findet sich hier. Für den nicht uninteressanten Punkt der Speicherdauer wird in Ziff. 5 verwiesen auf die Richtlinie für das Bearbeiten und Verwalten von Schriftgut in Bundesministerien. Und hat man diese Richtlinie im Internet recherchiert, findet man dort zum Beispiel in Anlage 5 Aufbewahrungsfristen unter II. Gesichtspunkte für die Fristbemessung, Ziffer 2 Buchstabe b): „Werden Rechtsvorschriften vorbereitet und fortgeschrieben, reichen im Regelfall 20 Jahre aus. Bei Verwaltungsvorschriften kann die Frist noch verkürzt werden. Besteht nur ein Verwaltungsvollzug, genügen oft 10 Jahre.“ Und III. 2.: „[…] Dem zuständigen Bearbeiter sind die auszusondernden Akten vorzulegen, der dann die Frist schriftlich festsetzt.“ Damit alles klar?
Es wäre sicher überlegenswert, die ungefragte Information Betroffener auf solche Fälle zu begrenzen, in denen entweder die Datenverarbeitung selbst oder der zuständige Ansprechpartner (Verantwortliche) sonst nicht erkennbar sind. Für alle anderen Fälle genügt – mit Blick auf das Kosten-Nutzen-Verhältnis – wohl der Auskunftsanspruch: Interessierte Betroffene können nachfragen.
Die Norm in der Praxis
Aber zurück vom wie es sein könnte zum was derzeit ist: Soweit die Daten direkt bei den Betroffenen erhoben werden, muss der Verantwortliche nach Art. 13 Abs. 1 diverse Informationen über die Datenverarbeitung geben. Absatz 2 verlangt dann – hauptsächlich – eine Darstellung der Betroffenenrechte. Nach Absatz 3 gilt: Bei Änderung des Verarbeitungszwecks zurück auf Start, also erneute Information, sobald sich Angaben ändern – entgegen des Wortlautes von Absatz 3 nicht nur „gemäß Absatz 2“, sondern auch hinsichtlich Abatz 1. Und Absatz 4 streicht alle Pflichten aus den Absätzen 1 bis 3, „[…] soweit die betroffene Person bereits über die Informationen verfügt“. Letzteres muss der Verantwortliche im Zweifelsfall nachweisen können. Absatz 4 ist also etwas für mutige Verantwortliche.
Jahreszeitliches Praxisbeispiel – geeignet als Beipackzettel bei der Bescherung, sofern der Weihnachtsmann den Wunschzettel direkt vom Geschenke-Empfänger bekommt – sonst Artikel 14:
„Als Weihnachtsmann möchte ich im Folgenden über die Verarbeitung Ihrer personenbezogenen Daten und Ihre Betroffenenrechte informieren:
Verantwortlich für die Datenverarbeitung: Santa Claus Weihnachtsmann, Schneestraße 1 in 08289 Schneeberg. Mein Datenschutzbeauftragter ist erreichbar unter derselben Post-Anschrift, Zusatz: zu Händen des Datenschutzbeauftragten sowie außerdem per E-Mail: dsb@weihnachtsmann.de. Ihre personenbezogenen Daten werden zur Auswahl, Beschaffung und Zustellung der Weihnachtsgeschenke verarbeitet auf Grundlage von Art. 6 Abs. 1 lit. a) (Einwilligung) und lit. b) (Vorbereitung und Durchführung des Schenkungsvertrags). Eine Weitergabe der Daten an Dritte oder Drittländer oder internationale Organisationen erfolgt nicht. Die Daten werden nur bis zum Schenkungsvorgang gespeichert und anschließend gelöscht. Ausnahmsweise können längerfristige Speicherungen bis zu einem Jahr mit Ihrer Einwilligung erfolgen, insbesondere wenn Sie gute Vorsätze äußern oder Versprechen abgeben, die beim nächsten Weihnachtsfest berücksichtigt werden sollen.
Zu Ihren Gunsten besteht ein Recht auf Auskunft meinerseits über Sie betreffende personenbezogene Daten sowie gegebenenfalls auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung sowie Datenübertragbarkeit. Soweit die Datenverarbeitung auf Ihrer Einwilligung beruht, sind Sie berechtigt, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird. Sie besitzen ein Beschwerderecht bei einer Aufsichtsbehörde und können sich mit Fragen und Anliegen zum Datenschutz auch jederzeit an meinen Datenschutzbeauftragten unter oben genannter Adresse wenden.
Die Bereitstellung Ihrer Daten ist nicht gesetzlich oder vertraglich vorgeschrieben, jedoch für Abschluss und Durchführung des Schenkungsvertrages notwendig. Ohne Ihre personenbezogenen Daten kann die Bescherung nicht erfolgen. Derzeit setze ich (noch) keine Verfahren zur automatisierten Entscheidungsfindung einschließlich Profiling ein.“
Sollte Ihr Weihnachtsmann jedoch zur Familie gehören, braucht es die Datenschutz-Information natürlich nicht, Art. 2 Abs. 2 lit. c) DS-GVO. Ihnen Allen frohe und friedliche Weihnachten sowie die besten Wünsche für das neue Jahr 2025!
Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
