Die Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD) veröffentlicht im Rahmen der Einführung der EU-Datenschutzgrundverordnung eine Reihe von Praxishilfen, die dabei helfen sollen, sich rechtskonform für die Datenschutzgrundverordnung im Mai 2018 aufzustellen. Teil 7 hat die Transparenzpflichten bei der Datenverarbeitung zum zentralen Thema. Der GDD-Arbeitskreis stellt dabei eine Hybrid-Datenschutzinformation vor, welche den jeweiligen Anforderungen der Artt. 13 & 14 DS-GVO gleichermaßen gerecht werden soll.
TRANSPARENZPFLICHTEN
Art. 13 regelt die Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person, Art. 14 regelt demgegenüber die Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden. Transparenz wird aber nicht nur durch die Artt. 13 und 14 DS-GVO hergestellt. Innerhalb der DS-GVO gibt es weitere Informationsansprüche, etwa
die Auskunft nach Art. 15 DS-GVO, die Unterrichtung der betroffenen Person im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten nach Art. 19 Satz 2 DS-GVO, der Hinweis auf das Widerspruchsrecht spätestens zum Zeitpunkt der ersten Kommunikation nach Art. 21 Abs. 4 DS- GVO, die Zurverfügungstellung der Vereinbarung zwischen gemeinsam für die Verarbeitung Verantwortlichen nach Art. 26 Abs. 2 Satz 2 DS-GVO oder auch die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person nach Art. 34 DS-GVO. Daneben gelten z.B. auch noch die Impressumspflcht des Website-Betreibers, Unterrichtungspflichten im Fernabsatzrecht, Transparenz von AGB u.s.w.
1ST- UND 2ND-LEVEL-INFORMATIONEN
Die Art. 29-Datenschutzgruppe plädierte bereits im Working Paper 100 für „das Prinzip, nach dem eine Erklärung über eine Verarbeitung nach Treu und Glauben nicht unbedingt in einem einzigen Dokument enthalten sein muss. Stattdessen könnten die Informationen für die Betroffenen auf mehreren Ebenen verteilt wer- den, solange die Gesamtheit dieser Ebenen den rechtlichen Anforderungen entspricht.“ Welche Informationen der betroffenen Person unmittelbar mitgegeben werden müssen (1st level) und welche Informationsgehalte ggf. auf einer gesonderten Website bzw. per Faxabruf etc. vorgehalten werden können (2nd level), hängt im Wesentlichen davon ab, ob die jeweilige Information essentiell für die Entscheidung für eine Preisgabe der Daten erscheint.
Es muss sich bei 1st-level-Informationen gewissermaßen um „Showstopper“ handeln. 2nd-level-Informationen sind demgegenüber für besonders datenschutzinteressierte Betroffene oder für den Konfliktfall gedacht.
ZEITPUNKT
Bei Direkterhebung sind die Informationen gem. Art. 13 Abs. 1 DS-GVO zum Zeitpunkt der Erhebung bereitzustellen. Außerhalb der Direkterhebung erteilt der Verantwortliche die Informationen gem. Art. 14 Abs. 3 DS-GVO
a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,
b) falls die personenbezogenen Daten zur Kom- munikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,
c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.
AUSNAHMEN
Die Transparenzrechte werden in der DS-GVO nicht vorbehaltlos gewährt. Gem. Art. 13 Abs. 4 DS-GVO entfällt die Information bei der Direkterhebung, wenn und soweit die betroffene Person bereits über die Informationen verfügt. Außerhalb der Direkterhebung finden die Transparenzregeln gem. Art. 14 Abs. 5 DS-GVO keine Anwendung, wenn und soweit
a) die betroffene Person bereits über die Informationen verfügt,
b) die Erteilung dieser Informationen sich als un- möglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Abs. 1 DS- GVO genannten Bedingungen und Garantien oder GDD-Praxishilfe DS-GVO VII: Transparenzpflichten bei der Datenverarbeitung / Stand: Juni 2017 soweit die in Abs. 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, ein- schließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,
c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder
d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und da- her vertraulich behandelt werden müssen.
Darüber hinaus besteht nach den Öffnungsklauseln in Artt. 23 und 88 DS-GVO die Möglichkeit, nationale Beschränkungen zu verankern. Der Bundesgesetzgeber hat mit der Verabschiedung des neuen BDSG hiervon Gebrauch gemacht. Die §§ 4 Abs. 2, 29, 32 und 33 BDSG 2018 enthalten insoweit geringfügige Ausnahmen.
Die PDF, in der auch eine Muster-Komplett-Information vorgeschlagen wird ist auf den Seiten der GDD kostenlos abrufbar.