Einschränkungen des Transparenzgebotes

Die Transparenz gegenüber Betroffenen nach DSGVO und BDSG ist ein Grundsatz, zu dem es jedoch Ausnahmen gibt. Interne Untersuchungen, Verdachtsmeldungen und Strafverfahren können faktische und rechtliche Einschränkungen auslösen, bis hin zu gesetzlichen Tipp-Off-Verboten (Mitteilungsverboten). Der Beitrag ordnet die allgemeinen Grenzen ein und zeigt, wann Unternehmen Betroffene nicht informieren sollten oder dürfen.

Wie weit reicht die Transparenz gegenüber Betroffenen nach DSGVO und BDSG?

Der Ausgangspunkt steht in Art. 5 Abs. 1 lit. a DSGVO. Personenbezogene Daten müssen demnach

„… in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.“

Konkretisiert wird dieser Grundsatz durch drei Normen: Art. 13 DSGVO für die Erhebung bei der betroffenen Person, Art. 14 DSGVO für Daten aus anderen Quellen und Art. 15 DSGVO für das antragsgebundene Auskunftsrecht samt Datenkopie.

Für die Unternehmenspraxis gilt damit die Regel, dass grundsätzlich alle Verarbeitungen offenzulegen sind, möglichst früh, vollständig und verständlich. Das Auskunftsrecht ist zudem voraussetzungslos, Antragsteller müssen ihr Motiv nicht offenlegen.

Jede Abweichung ist deshalb begründungs- und dokumentationsbedürftig. Wegen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO trägt der Verantwortliche die Last, die Voraussetzungen einer Ausnahme darzulegen.

Welche rechtlichen Einschränkungen sehen DSGVO und BDSG vor?

Beide Regelwerke kennen bewusste Ausnahmen, um kollidierenden Rechtsgütern Rechnung zu tragen:

• Art. 14 Abs. 5 DSGVO: keine Information bei indirekter Erhebung, unter anderem dann, wenn sie sich als unmöglich erweist, einen unverhältnismäßigen Aufwand erfordert (lit. a) oder die Daten einer Berufsgeheimnispflicht unterliegen (lit. d).
• Art. 23 DSGVO in Verbindung mit § 33 BDSG: Einschränkung der Informationspflicht, etwa zum Schutz der Verfolgung von Straftaten oder der Geltendmachung und Abwehr von Rechtsansprüchen (§ 33 Abs. 1 Nr. 2 lit. a und b BDSG).
• § 34 BDSG: Einschränkung des Auskunftsrechts, unter anderem bei reinen Aufbewahrungs-, Datensicherungs- und Datenschutzkontrolldaten.
• Art. 15 Abs. 4 DSGVO: Schutz der Rechte und Freiheiten anderer Personen, praktisch relevant für Informanten und genannte Dritte.
• § 29 BDSG: Unter anderem Vorrang gesetzlicher oder vertraglicher Geheimhaltungspflichten.

Praktisch heißt das: Unternehmen dürfen und müssen Informations- und Auskunftsrechte in bestimmten Konstellationen zurückfahren, zum Beispiel um interne Untersuchungen oder Strafverfahren nicht zu gefährden. Die Einschränkung wirkt dabei regelmäßig nur zeitlich und sachlich begrenzt.

Vorrang hat stets das mildeste Mittel. Statt einer Vollablehnung kommen Teilauskunft, Schwärzung, Zusammenfassung von Inhalten oder eine spätere Nachholung der Information in Betracht. Nach Art. 12 Abs. 4 DSGVO und § 34 Abs. 2 BDSG sind Ablehnungsgründe mitzuteilen und festzuhalten.

Wann entstehen faktische Einschränkungen und Tipp-Off-Verbote?

Nicht jedes Tipp-Off-Verbot steht ausdrücklich im Gesetz. Es kann sich auch faktisch aus allgemeinen Normen ergeben. Beispiel ist § 258 StGB. Ermittelt die Staatsanwaltschaft gegen Beschäftigte oder Kunden und fordert personenbezogene Daten an, kann die Information der Betroffenen einer Warnung gleichkommen und eventuell den Tatbestand der Strafvereitelung berühren. Das kann etwa dann relevant sein, wenn der Informierende klare Kenntnis davon hat, dass Beschuldigte oder Verdächtige aufgrund der Mitteilung Beweismittel vernichten könnten. Erforderlich ist Vorsatz, weshalb jeder Fall einzeln zu bewerten ist. Im Ergebnis entsteht aber eine Risikolage, die faktisch wie ein Verbot wirken kann.

Datenschutzrechtlich wird dieses Ergebnis abgesichert: Die Rechte aus Art. 14 und Art. 15 DSGVO lassen sich über Art. 23 DSGVO, § 33 und § 34 BDSG so lange und so weit einschränken, wie eine Information die Zwecke der Strafverfolgung konkret gefährden würde. Je nach Verfahrensstand ist die Information später nachzuholen. Daher ist für den Verantwortlichen in diesen Fällen ein interner Wiedervorlageprozess ratsam.

Eine weitere Fallgruppe betrifft Berufs- und Funktionsgeheimnisse. Ein Rechtsanwalt darf im Mandat Daten über Dritte verarbeiten, ohne diese nach Art. 14 DSGVO zu informieren, weil die Mandatsvertraulichkeit und § 203 StGB entgegenstehen.

Wie regeln GwG und HinSchG die Transparenz gegenüber Betroffenen?

Der Klassiker unter den ausdrücklichen Tipp-Off-Verboten ist § 47 GwG. Verpflichtete dürfen weder den Kunden noch Dritte darüber informieren, dass eine Verdachtsmeldung abgegeben wurde oder ein Prüfungs- oder Ermittlungsverfahren läuft. Betroffen sind unter anderem Kreditinstitute, Zahlungs- und Kryptodienstleister, Versicherer, Immobilienmakler, Notare und Rechtsanwälte in bestimmten Konstellationen sowie Güterhändler und Glücksspielanbieter. Die Folgen sind doppelt: Auskunftsersuchen laufen ins Leere, soweit sie den Verdachtsmeldekomplex berühren, und ein Hinweis an den Betroffenen ist bußgeldbewehrt. Die engen Ausnahmen des § 47 Abs. 2 GwG, etwa für den Austausch innerhalb einer Gruppe oder mit Behörden, sind sorgfältig zu prüfen.

Das Hinweisgeberschutzgesetz verfolgt denselben Gedanken aus anderer Richtung. § 8 HinSchG verpflichtet die Meldestelle zur Vertraulichkeit hinsichtlich der Identität hinweisgebender und weiterer genannter Personen. Beschuldigte (z. B. Beschäftigte) sind daher grundsätzlich (von Ausnahmen abgesehen) über die Verarbeitung ihrer Daten im Hinweisgeberverfahren zu informieren, nicht aber über die Quelle. In der Auskunft nach Art. 15 DSGVO wird die Meldung deshalb typischerweise nur geschwärzt oder zusammengefasst herausgegeben, gestützt auf Art. 23 DSGVO  in Verbindung mit § 34 BDSG und den Vertraulichkeitsvorgaben des HinSchG (für die Umsetzung hilfreich: Whistleblowing-Leitlinien des EDSB für europäische Behörden).

Transparenzpflichten sind damit kein Selbstzweck, sondern stehen im Spannungsfeld zu legitimen Geheimhaltungsinteressen und teils zu klaren gesetzlichen Verboten. Wer die relevanten Normen kennt, Prüfschritte festlegt und die Gründe für ein Zurückhalten von Informationen dokumentiert, macht seine Entscheidungen gegenüber Aufsichtsbehörden und Gerichten nachvollziehbar.