Source: https://www.recht-freundlich.de/datenschutz-recht-dsgvo/umsetzung-der-informationspflichten
Timestamp: 2020-05-25 16:21:09+00:00

Document:
Wenn ein Unternehmen bisher die Umsetzung der DSGVO wenig bis gar nicht vorangetrieben hat, empfehlen wir als erstes eine intensive Bearbeitung der gesetzlichen Anforderungen zur Umsetzung der Informationspflichten gemäß Art. 12 ff. DSGVO. Der EU-Gesetzgeber hat diese Vorschriften als besonders wichtig erachtet und in die zweite höhere Bußgeldstufe eingeordnet.
Es lässt sich von außen gut erkennen, ob die DSGVO diesbezüglich entsprechend den gesetzlichen Anforderungen umgesetzt ist. Fehlt beispielsweise bei der Übergabe einer Kundenkarte eine entsprechende Information über die Datenverarbeitung oder wird auf der Webseite nicht darüber informiert, welche personenbezogenen Daten beim Besuch der Internetseite erhoben und verarbeitet werden, so kann jeder Laie sofort erkennen, dass es mit Blick auf die Umsetzung der DSGVO noch deutliche Vollzugsdefizite gibt.
Rechtsgrundlage für die Datenverarbeitung nennen
Mit der DSGVO hat der Gesetzgeber ein neues Grundprinzip im Datenschutz festgelegt. Jedes Unternehmen und jede Behörde sollen Kunden, Bürgern,. Mitarbeitern und sonstigen Personen, deren personenbezogene Daten gespeichert und verarbeitet werden, genau mitteilen, was und in welchem Umfang im Rahmen der Datenverarbeitung geschieht.
Nach altem Datenschutzrecht konnten diese Informationen zwar über einen Datenschutzauskunft in Erfahrung gebracht werden. Dass es einen solchen gesetzlichen Auskunftsanspruch gab, wussten wenige Kunden und Mitarbeiter, sodass in der Praxis Unternehmen mit Auskunftsansprüchen nicht oder fast nicht konfrontiert wurden. Nunmehr erwartet der Gesetzgeber als „Bringschuld“, dass der jeweilige Datenverarbeiter aktiv auf die Betroffenen, also Kunden, Lieferanten und Mitarbeiter, mit Informationen zugeht, deren Daten verarbeitet werden.
In Art. 12 Abs. 1 DSGVO ist festgelegt, dass der Verantwortliche betroffenen Personen alle Informationen gemäß Art. 13 und Art. 14 DSGVO geben soll, damit diese über die Verwendung ihrer personenbezogenen Daten informiert sind.
Dabei erwartet der Gesetzgeber keine komplexen und komplizierten juristischen Formulierungen, sondern fordert die Unternehmen auf, diese Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form bereitzuhalten. Ausdrücklich wird auf eine klare und einfache Sprache verwiesen.
Eine besondere Herausforderung in der praktischen Umsetzung ist die nach Art. 13 Abs. 2 lit. a) DSGVO geforderte Mitteilung über die Speicherdauer. Der Gesetzgeber sieht dazu zwei Varianten vor. Entweder wird die Dauer, für die die personenbezogenen Daten gespeichert werden, genau angegeben oder es werden ggf. die Kriterien für die Festlegung der Dauer mitgeteilt, sodass der Betroffene selbst berechnen kann, wie lange die personenbezogenen Daten gespeichert werden.
An dieser Stelle genügt nicht ein pauschaler Hinweis, dass ein Unternehmen sich an die gesetzlichen Regelungen hält. Die Erwartungshaltung des Gesetzgebers ist weitergehend. Beispielsweise soll in Monaten und Jahren konkret die Speicherdauer benannt sein.
Die Informationspflicht nach Art. 13 DSGVO gilt auch, wenn per E-Mail mit dem Unternehmen Kontakt aufgenommen wird. Wir empfehlen daher, in die E-Mail-Signatur einen entsprechenden Hinweis auf eine Datenschutzerklärung mit aufzunehmen, und in diesem Hinweis sollten dann die Rechtsgrundlage und auch die Speicherdauer der E-Mail sowie die anderen gesetzlich geforderten Angaben genannt sein.
Solche Informationen müssen nicht direkt in der E-Mail selber mitgeschickt werden, sodass eine Überfrachtung mit gesetzlichen Informationen in E-Mails vermieden wird. Es ist möglich, über einen Link auf weitergehende Datenschutzinformationen zu verweisen. Ausdrücklich erlauben die Datenschutzaufsichtsbehörden einen Medienbruch, um Informationen zu übermitteln.
Die Informationspflichten bestehen auch in Bezug auf die Nutzung und die Veröffentlichung einer Internetseite. Häufig werden Analysetools, wie beispielsweise Google Analytics, eingesetzt, um die Besucher auf der Internetseite zu analysieren.
Dann ist ebenfalls mit einer Datenschutzerklärung für die Internetnutzung darzulegen, zu welchem Zweck, auf Basis welcher Rechtsgrundlage und für welche Dauer personenbezogene Daten gespeichert werden. Wenn die Internetseite bei einem Drittanbieter gehostet wird, ist dieser ebenfalls zu benennen.
Viele Unternehmen erheben nicht nur selber Daten, sondern bekommen auch Daten durch Dritte übermittelt. In solchen Fällen gelten die Regelungen nach Art. 14 DSGVO. Dort ist festgelegt, wie mit den Informationspflichten umzugehen ist, wenn personenbezogene Daten nicht direkt bei der betroffenen Person erhoben werden.
In diesem Fall sind die Ausnahmeregelungen deutlich weiter gefasst. Gemäß Art. 14 Abs. 5 DSGVO muss beispielsweise nicht informiert werden, wenn die ersterhebende Stelle entsprechende Informationen übermittelt hat. Auch wenn die Erteilung der Information sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordert, können entsprechende Informationen an Kunden, Mitarbeiter und andere Betroffene unterbleiben. Allerdings sollten die entsprechenden Ausnahmeregelungen sehr vorsichtig gehandhabt werden.
In der Praxis ergeben sich aber einige Hürden bei der Umsetzung. Nur wenn bei dem „Erstverarbeiter“ die gesetzlichen Informationspflichten ausreichend umgesetzt wurden, kann das Unternehmen als „Zweitverarbeiter“ der personenbezogenen Daten auf weitergehende Belehrungen verzichten.
Eine Unternehmen muss sich sicher sein, dass beispielsweise eine vermittelnde Stelle genau diese gesetzlichen Pflichten sorgfältig beobachtet. Wenn dies nicht sicher ist, empfehlen sich eigene Belehrungen, um rechtliche Risiken zu vermeiden.
Insgesamt ist festzustellen, dass die Umsetzung der gesetzlichen Anforderungen zu den Informationspflichten mehr eine organisatorische als eine juristische Herausforderung ist. Es bedarf eines gewissen Aufwands, die Informationen zusammenzutragen.
Ist dies aber gelungen, so braucht es im nächsten Schritt einen guten und Unternehmen und Betroffene wenig belastenden Weg, auf die entsprechenden Informationen zu verweisen. Wenn beispielsweise in der E-Mail-Signatur ein entsprechender Hinweis auf eine Datenschutzinformation per Link gegeben wird und ein entsprechender Link auch auf den Briefbögen angegeben ist, ist für die E-Mail- und Briefkommunikation die gesetzliche Anforderung umgesetzt.

References: Art. 12
 Art. 12
 Art. 13
 Art. 14
 Art. 13
 Art. 13
 Art. 14
 Art. 14