Source: https://www.cortina-consult.com/informationspflichten-artikel-13-dsgvo/
Timestamp: 2019-11-20 05:27:07+00:00

Document:
Artikel 13 DSGVO: Informationspflichten gemäß Datenschutzrecht
Artikel 13+14 der DSGVO
Informationspflichten einfach erklärt
Was ist genau mit der Informationspflicht gemeint und wie erfülle ich diese als Verantwortlicher? In diesem Artikel geben wir Ihnen Tipps zum Umgang mit Informationspflichten.
Informationspflichten sind unumgänglich für die Online-Präsenz in der heutigen Zeit. Die Neuauslegung der Datenschutzgrundverordnung - genauer die Neuauslegung der Artikel 13 DSGVO und Art.14 DSGVO - geben genaue Anweisungen darüber, welchen Pflichten der Betreiber der Website nachgehen muss.
Denn diese Informationspflichten stehen den Rechten des Nutzers, über alle datenschutzrechtlich relevanten Vorgänge informiert zu werden, gegenüber. Und genau diese sind im Zeitalter des World Wide Web zu schützen. Mit jedem Klick gibt der Nutzer Informationen preis, die an Dritte weitergegeben, oder zu Marketingzwecken genutzt werden können.
Sobald der Betreiber also Daten erhebt, muss der Nutzer umgehend informiert werden, um ihm die Möglichkeit zu geben, die eigenen Daten zu schützen. Darüber hinaus muss der Nutzer die Möglichkeit haben, selber darüber entscheiden zu können, was genau er preisgeben will und was nicht. Demnach ist Transparenz im Bereich des Datenschutzes das A und O.
Um die Informationspflichten einzuhalten besteht die Pflicht, eine individuelle Datenschutzerklärung auf eine Webseite zu implementieren. Auch besteht Cookie-Banner Pflicht. Denn nur so kann der Nutzer rechtskonform über eine Datenerhebung informiert werden.
Wer sich also mit den Informationspflichten auskennt und diese einhält, ist einer DSGVO-konformen Website schon einen Schritt näher.
Wie erfülle ich als Verantwortlicher meine Informationspflichten?
Es gibt zwei Wege, wie Sie als Verantwortlicher die Daten der betroffenen Personen erhalten können. Zum einen können die Daten in einer Direkterhebung der personenbezogenen Daten bei der betroffenen Person selbst (Art.13 DSGVO), zum anderen können die Daten auch bei einem Dritten erhoben werden (Art.14 DSGVO).
In beiden Fällen müssen der betroffenen Person sämtliche Informationen bereitgestellt werden, die in Art.13 DSGVO und Art.14 DSGVO aufgelistet sind.
Hier sehen Sie die Informationen, die Sie nach Art.13 DSGVO offenlegen müssen:
Identität des Verantwortlichen Expand
Der Name sowie die Kontaktdaten des Verantwortlichen, gegebenenfalls auch von dessen Vertreter, müssen offengelegt werden (Art.27 DSGVO).
Kontaktdaten des Datenschutzbeauftragten Expand
Sie müssen die Kontaktdaten des Datenschutzbeauftragten zur Kenntnisnahme freigeben.
Verarbeitungszwecke und Rechtsgrundlage Expand
Darüber hinaus müssen Sie als Verantwortlicher über den Zweck der Datenverarbeitung sowie über die Rechtsgrundlage der Verarbeitung informieren. Dadurch hat der Betroffene die Möglichkeit einzusehen, auf welchen Erlaubnistatbestand (Art.6 DSGVO) sich der Verantwortliche bei der Datenverarbeitung bezieht.
Berechtigtes Interesse Expand
Falls nach Art.6 Abs.1 lit.f DSGVO die Verarbeitung personenbezogener Daten zur Wahrung berechtigter Interessen erforderlich ist, bezieht sich die Aufklärung auch auf diese Interessen.
Empfänger Expand
Immer wenn personenbezogene Daten übermittelt werden sollen, muss der Betroffene über die konkreten Empfänger informiert werden. Falls noch kein konkretes Unternehmen benannt werden kann, ist auch eine Information über die Kategorie von Empfänger ausreichend.
Übermittlung an Drittstaaten Expand
Falls der Verantwortliche die erhobenen personenbezogenen Daten an Drittstaaten übermitteln möchte, muss der Betroffene darüber informiert werden. Dies ist korrekt ausgeführt, indem der Verantwortliche gemäß Art. 44 ff. DSGVO preisgibt, auf welchen besonderen Bedingungen die Übermittlung beruht und welche Maßnahmen ergriffen wurden, damit beim Empfänger ein angemessenes Datenschutzniveau hergestellt wird.
Darüber hinaus muss der Verantwortliche gemäß Art.13 II DSGVO dem Betroffenen zum Zeitpunkt der Datenerhebung noch weitere Informationen zur Verfügung stellen. Diese sind notwendig, um eine faire und transparente Verarbeitung zu ermöglichen:
Speicherdauer Expand
Es muss die konkrete Dauer der Speicherung für die personenbezogenen Daten genannt werden. In Fällen, in denen dies nicht möglich ist, müssen Kriterien für die Festlegung dieser Dauer erstellt werden.
Rechte der Betroffenen Expand
Der Betroffene hat das Recht auf Auskunft, Berichtigung oder Löschung der betroffenen personenbezogenen Daten, sowie auf die Einschränkung der Verarbeitung. Darüber hinaus hat er ein Widerspruchsrecht gegen die Verarbeitung und ein Recht auf Datenübertragbarkeit.
Widerrufbarkeit Expand
Wenn die Verarbeitung der Daten auf der Einwilligung eines Betroffenen gem. Art. 6 Abs. 1 lit. a DSGVO oder Art. 9 Abs. 2 lit. a DSGVO beruht, besteht ein Widerspruchsrecht, wodurch die Einwilligung jederzeit widerrufen werden kann. Dadurch wird die Rechtmäßigkeit der Einwilligung bis zum Widerruf nicht beeinflusst.
Beschwerderecht Expand
Es besteht ein Beschwerderecht bei einer Aufsichtsbehörde, wenn der Betroffene der Ansicht ist, dass die Verarbeitung seiner personenbezogenen Daten rechtswidrig erfolgt wäre.
Verpflichtung zur Bereitstellung personenbezogener Daten Expand
Der Verantwortliche ist in der Pflicht, den Betroffenen darüber zu informieren, ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben ist. Auch muss er darüber informieren, ob die erhobenen Daten für einen Vertragsschluss erforderlich ist oder darüber hinaus eine sonstige Verpflichtung besteht. Über die Folgen der Nichtbereitstellung ist ebenfalls zu informieren.
Automatisierte Entscheidungspfindung und Profiling Expand
Ab dem Zeitpunkt, in dem der Verantwortliche Verfahren der automatisierten Entscheidung gemäß Art.22 f. DSGVO oder andere Profiling-Maßnahmen verwendet, ist der Betroffene über die Tragweite und die angestrebten Auswirkungen der Verarbeitung zu informieren.
Art. 14 DSGVO beinhaltet darüber hinaus die Informationspflichten über personenbezogenen Daten, die nicht direkt bei der betroffenen Person erhoben wurden. Diese ähneln stark den Pflichten, die sich aus den Informationspflichten aus Art. 13 DSGVO ergeben.
Aus der Erhebung der Daten über Dritte ergibt sich, dass der Betroffene nicht selbst über die etwaige Verpflichtung zur Bereitstellung aufgeklärt werden muss, da er nicht selbst über die Bereitstellung verfügen kann.
Nach Art. 14 Abs.2 lit. f DSGVO muss der Betroffene jedoch darüber aufgeklärt werden, aus welcher Quelle die personenbezogenen Daten stammen und ob sie gegebenenfalls aus öffentlich zugänglichen Quellen stammen.
Wie gehe ich mit den Informationspflichten um?
Aus Art.12 DSGVO ergibt sich hierbei vor allem eine transparente, präzise und verständliche Darstellung der Information. Dies kann elektronisch oder schriftlich erfolgen. In einigen Fällen kann dies auch mündlich erfolgen, falls dies von der betroffenen Person verlangt wurde. Dies kann jedoch nur geschehen, wenn die betroffene Person ihre Identität in anderer Form nachgewiesen hat. Für die Erfüllung der Informationspflichten ist eine Consent Management Platform sehr hilfreich.
Der Verantwortliche muss die Information über die ergriffenen Maßnahmen unverzüglich bereitstellen, in jedem Falle jedoch innerhalb eines Monats nach Eingang des Antrags. Dies wäre zum Beispiel in Form eines Aushangs, als Vertragsanlage zur Unterschrift, als Link auf der Website oder als Auslage im Geschäft möglich.
Wichtig ist dabei nur, dass Sie nachweisen können, dass Sie Ihren Informationspflichten nachgekommen sind.
Sie müssen sich die Datenschutzinformation nicht unterschreiben lassen. Ein Nachweis, dass Sie die Informationen zur Verfügung gestellt haben, genügt.
Grundsätzlich muss jeder informiert werden, von dem personenbezogene Daten erhoben wurden. Oft umfasst dies folgende Personengruppen:
Kunden oder Interessenten
Allgemeine Besucher der Firma
Bewerber (z.B. direkt auf der jeweiligen Website)
Eine Ausnahme gilt bei Bestandskunden, bei denen die Daten vor dem 25.08.2018 erhoben wurden. Die Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) ist der Meinung, dass es keinen Transparenz-Reset gibt. Daraus folgt: haben Sie die Daten vor dem Inkrafttreten der DSGVO erhoben, müssen Sie in dem Falle keinen Informationspflichten nachgehen.
Hier finden Sie alles Wichtige zum Thema Datenschutzerklärung.
Informationspflichten sollten unbedingt eingehalten werden und nachweisbar dokumentiert werden.
Die verschärften Regelungen der Datenschutzgrundverordnung gehen mit hohen Bußgeldern einher, die bei Nichteinhaltung fällig sind. Deshalb sollte den verschiedenen Bereichen der Informationspflichten Folge geleistet werden und die Informationen sauber herausgearbeitet werden.
Außerdem sollte sichergestellt werden, dass die Informationspflichten lückenlos eingehalten und die Anforderungen an die Form und den Zeitpunkt der Mitteilung beachtet werden.
Falls Sie sich bisher noch nicht vertieft mit der Thematik der Informationspflichten beschäftigt haben, sollten Sie als Verantwortlicher nun frühzeitig damit beginnen.
Kontaktieren Sie uns gerne für eine individuelle Datenschutzberatung!

References: Art.14
 Art.13
 Art.14
 Art.13
 Art.6
 Art. 44
 Art.13
 Art. 6
 Art. 9
 Art.22

Art. 14
 Art. 13
 Art. 14
 Art.12