Ein Hauptanliegen des europäischen Gesetzgebers war die Stärkung individueller Rechte von Betroffenen, also von Menschen, deren Daten verarbeitet werden. So wurde in Art. 17 EU-DSGVO erstmals das sogenannte „Recht auf Vergessenwerden“ gesetzlich normiert und mit Art 20 EU-DSGVO das „Recht auf Datenübertragbarkeit“ eingeführt.
Damit ein Betroffener seine Rechte ausüben kann, muss er allerdings darüber informiert sein, welche Daten von ihm auf welche Weise verarbeitet werden. Daher beginnt Kapitel III der Datenschutzgrundverordnung, in dem die individuellen Rechte von Betroffenen geregelt werden, mit einer allgemeinen Norm, die deutlich zeigt, dass die europäische Datenverarbeitung ab 2018 von mehr Information und Transparenz geprägt sein wird.
Um eine solche transparente Verarbeitung von Daten sicherzustellen, werden die für die Datenverarbeitung Verantwortlichen in Art 13 und 14 EU-DSGVO verpflichtet, aktiv und unaufgefordert zu informieren. Nur so können Betroffene ihre Rechte effektiv wahrnehmen und durchsetzen. Ob und in welcher Form informiert werden muss, hängt davon ab, ob die Daten direkt bei der betroffenen Person erhoben werden oder aus anderen Quellen stammen.
Grundsätzlich muss jeder Betroffene bei jeder Verarbeitung über den Zweck und die Rechtsgrundlage der Verarbeitung, die Kontaktdaten des Verantwortlichen, ggf. die Kontaktdaten des Datenschutzbeauftragten und die unter Umständen beabsichtigte Übermittlung in Drittstaaten informiert werden. Erfolgt die Verarbeitung auf Grund eines „berechtigten Interesses“ und nicht aufgrund einer Einwilligung der betroffenen Person, muss mitgeteilt werden, welche berechtigten Interessen vom Verantwortlichen verfolgt werden.
Manche Informationen müssen nur in bestimmten Situationen mitgeteilt werden. So muss ein Betroffener beispielsweise darüber informiert werden, dass über ihn im Zuge von Profiling-Prozessen Entscheidungen automationsunterstützt getroffen werden.
Sollen Daten zu einem anderen Zweck verarbeitet werden, als für den sie ursprünglich gesammelt wurden, muss der Betroffene über diese Zweckänderung informiert werden und auch bezüglich des „neuen“ Zweckes erneut alle Informationen bekanntgeben.
Werden die Daten direkt beim Betroffenen erhoben, muss dieser bereits zum Zeitpunkt der Datenerhebung mit allen relevanten Informationen versorgt werden. Werden die Daten nicht beim Betroffenen erhoben, sondern stammen von einer anderen Quelle, muss der Betroffene spätestens nach einem Monat informiert werden.
Von diesen sehr umfangreichen Informationspflichten gibt es jedoch auch Ausnahmen. So muss ein Betroffener nicht informiert werden, wenn er die nötigen Informationen bereits kennt oder die Erlangung durch Rechtsvorschriften der Union oder eines Mitgliedstaates ausdrücklich geregelt ist. Zudem darf die Benachrichtigung ausbleiben, wenn die Daten nicht direkt beim Betroffenen erhoben werden und die Unterrichtung für den Verantwortlichen unmöglich ist oder zumindest einen unverhältnismäßigen Aufwand erfordern würde. Dieser Aufwand kann beispielsweise dann unverhältnismäßig sein, wenn die Daten zur Archivzwecken im öffentlichen Interesse oder zu Zwecken der Forschung und Statistik verarbeitet werden. Die Frage der Auslegung des doch recht vagen Begriffes des „unverhältnismäßigen Aufwandes“ wird in Zukunft wohl noch das ein oder andere Gericht beschäftigen. Grundsätzlich wird in diese Verhältnismäßigkeitsprüfung noch einfließen, ob die Daten aus einer allgemein zugänglichen Quelle stammen, für sie ein besonderes Geheimhaltungsinteresse besteht und welche Bedeutung der „Aufwand“ für das Unternehmen hat.
Unterliegt der Verantwortliche nach dem Recht des Staates, dem er unterliegt oder nach Unionsrecht einem Berufsgeheimnis, wird die Informationspflicht aufgehoben.
In allen anderen Fällen ist eine Benachrichtigung des Betroffenen unumgänglich. Damit die Informationspflicht auch ihren gewünschten Zweck erfüllt, sind bestimmte Formvorschriften einzuhalten. So sind die Informationen in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ zu erteilen. Weiters muss dies in schriftlicher oder in anderer Form, gegebenenfalls auch elektronisch und unentgeltlich erfolgen.
Dies alles klingt nach sehr viel Aufwand und Kosten für datenverarbeitende Unternehmen. Es wird jedoch, in Anbetracht der Folgen für Verstöße, dringend davon abgeraten, hier nicht rechtzeitig die nötigen Maßnahmen zu ergreifen. Spart man doch bei drohenden Bußgeldern von bis zu EUR 20.000.000,– und Schadenersatzansprüche der Betroffenen hier sicherlich an der falschen Stelle.
Der nächste Beitrag widmet sich dem Recht der Betroffenen, von Verantwortlichen Auskunft zu verlangen. Bis dahin kann nur empfohlen werden, dass Unternehmer ihre Datenschutzerklärung unter die Lupe nehmen und prüfen, ob die Pflichten der EU-DSGVO eingehalten werden. Die Profis der Alix Frank Rechtsanwälte GmbH unterstützt Sie dabei gerne!