Die Transparenz der Datenverarbeitung zählt zu einem der wichtigsten Grundsätze für die Verarbeitung personenbezogener Daten. Mittels umfassenden Informationen zur Datenverarbeitung gegenüber den Betroffenen stellen die Verantwortlichen eine transparente Datenverarbeitung sicher. Unter engen Voraussetzungen kann von den Informationspflichten abgesehen werden, wie dieser Artikel zeigt.
Der Inhalt im Überblick
Wozu gibt es Informationspflichten?
Die Pflicht zur Bereitstellung von Informationen zur Datenverarbeitung (Art. 13 und 14 DSGVO) soll den Betroffenen ermöglichen sich umfangreich über die Datenverarbeitung sowie Ihre Rechte zu informieren und sich ggfs. gegen die Datenverarbeitung zu entscheiden. Dem Interesse des Betroffenen an Informationen muss ebenso Rechnung getragen werden, wie dem Interesse des Verantwortlichen, dass nicht unüberwindbare Hürden an die Datenverarbeitung geknüpft werden.
Ausnahmen von den Informationspflichten
Dieser Interessenausgleich wird unter anderem durch die folgenden gesetzlich geregelten Ausnahmen der Informationspflichten sichergestellt:
Der Betroffene wurde bereits informiert
Sofern der Betroffene bereits über die Informationen verfügt, ist es nicht erforderlich, dass der Verantwortliche die Informationspflichten wiederholt bereitstellt (Art. 13 Abs. 4 DSGVO, Art. 14 Abs. 5 lit. a DSGVO). Eine Flut an Informationen bietet für den Betroffenen keinen Mehrwert und belastet den Verantwortlichen unnötig. Diese Ausnahme gilt nicht, wenn einzelne Inhalte der Informationspflichten überholt sind. Die Informationen müssen stets auf einem aktuellen Stand sein.
Spezielle Ausnahme für Informationspflichten nach Art. 14 DSGVO
Zusätzlich zu der eben genannten Ausnahme, enthält Art. 14 Abs. 5 DSGVO drei weitere Ausnahmen von den Informationspflichten. Diese Ausnahmen gelten also speziell für den Fall, dass die Daten nicht direkt bei dem Betroffenen erhoben wurden.
Das im Gegensatz zu den Informationspflichten nach Art. 13 DSGVO weitere Ausnahmen bestehen, ist dem Umstand geschuldet, dass Art. 14 DSGVO voraussetzt, dass der Verantwortliche die personenbezogenen Daten nicht vom Betroffenen erhalten hat. Bei der Erlangung auf „Umwegen“ sind die Informationspflichten teilweise schwerer oder sehr viel aufwendiger zu erfüllen.
Unmöglichkeit, Unverhältnismäßigkeit oder ernsthafte Beeinträchtigung von Zielen
Wann die Erteilung der Informationen unmöglich, unverhältnismäßig ist oder Ziele ernsthaft beeinträchtigt, ist letztendlich immer vom Einzelfall abhängig. Ist einer der genannten Ausnahmetatbestände erfüllt, hat der Verantwortliche geeignete Maßnahmen zum Schutz der Betroffenen zu ergreifen. Hierzu zählt unter anderem, dass die Informationen der Öffentlichkeit bereitgestellt werden, z.B. auf der Homepage oder durch einen Aushang.
Mittels Abwägung ist zu ermitteln, ob eine der drei in Art. 14 Abs. 5 lit. b DSGVO genannten Umstände erfüllt ist. Die Unmöglichkeit setzt vorraus, dass der Verantwortliche den Betroffenen nicht identifizieren kann. Für einen unverhältnismäßigen Aufwand werden Regelbeispiele genannt, nämlich für die Verarbeitung für im öffentlichen Interesse liegende
- Archivzwecke
- wissenschaftliche oder historische Forschungszwecke
- oder für statistische Zwecke vorbehaltlich der in 89 Abs. 1 DSGVO genannten Garantien.
Laut Erwägungsgrund 62 soll zudem als Anhaltspunkt, die Zahl der betroffenen Personen, das Alter der Daten oder etwaige geeignete Garantien in Betracht gezogen werden. Der Europäische Datenschutzausschuss (ehm. Artikel 29 Datenschutzgruppe) hat in seiner Leitlinie für Transparenz konkrete Beispielsfälle genannt, die unter die Ausnahmen fallen.
Regelungen durch Rechtsvorschriften der Union oder Mitgliedsstaaten
Soweit die Erlangung oder Offenlegung der Datenverarbeitung durch Unionsrecht oder Recht der Mitgliedsstaaten ausdrücklich vorgesehen ist, ist der Verantwortliche gem. Art. 14 Abs. 5 lit. c DSGVO auch von seiner Informationspflicht entbunden. Dies gilt bspw. im Steuerrecht, wonach eine Steuerbehörde zwingend verpflichtet ist, von den Arbeitgebern Angaben zu den Gehältern ihrer Angestellten zu erhalten.
Personenbezogene Daten die dem Berufsgeheimnis unterliegen
Nach Art. 14 Abs. 5 lit. d DSGVO besteht eine Ausnahme von der Informationspflicht, wenn personenbezogene Daten nach dem Unionsrecht oder dem nationalen Recht dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen. Berufsgeheimnisträger werden z.B. in § 203 StGB genannt (Ärzt, Rechtsanwälte etc.).
Weitere Ausnahmen
Weitere Ausnahmen können sich aus dem BDSG und spezialgesetzlichen, nationalen Rechtsvorschriften ergeben. Hierfür sieht die DSGVO Öffnungsklauseln vor. Zur Wahrung der in Art 23 Abs.1 DSGVO genannten Ziele, dürfen die Mitgliedsstaat weitere Ausnahmen von den Informationspflichten unter bestimmten Voraussetzungen schaffen. Weiterhin erlauben Art. 85 Abs. 2 DSGVO und Art. 88 Abs. 2 DSGVO nationale Abweichungen. So finden sich bspw. in § 29 Abs. 1 S.1 BDSG, § 32 BDSG und § 33 BDSG weitere Ausnahmen für die Informationspflichten.
Bei der Heranziehung einer Ausnahme ist Vorsicht geboten
Inwieweit eine der genannten Ausnahmen greift, muss letztendlich vom Verantwortlichen sorgsam, je nach den Umständen des Einzelfalls, abgewogen werden. Aufgrund des hohen Stellenwerts der Informationspflicht für den Betroffenen, sollten die Ausnahmen grundsätzlich eng ausgelegt werden. Die Beweislast dafür, dass ein Ausnahmetatbestand vorliegt, trägt jedenfalls der Verantwortliche. Daher sollte die Berufung auf einen Ausnahmetatbestand für Nachweiszwecke gründlich dokumentiert werden. Schließlich hat das von der polnischen Aufsichtsbehörde Anfang des Jahres verhängte Bußgeld gezeigt, dass die Berufung auf einen Ausnahmetatbestand böse enden kann.
