Sie wissen hoffentlich, das Sie nach DSGVO Informationspflichten haben, oder?
Aber wissen Sie eigentlich…
…wie, wann und wo Sie über das informieren müssen, was Sie mit den Daten Ihrer Kunden, Beschäftigten, Interessenten, Geschäftspartnern, Lieferanten etc. machen?
Nach Artikel 12 Absatz 1 Satz 1 der Datenschutzgrundverordnung gilt:
„Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten.“
Die Art und Weise der Informationspflichten ist damit schon einmal konkreter. Es muss also verständlich, klar, eindeutig informiert werden. Also möglichst keine Fachbegriffe, keine Schachtelsätze, kein Juristendeutsch, sondern einfache Sprache, so dass „der Dümmste“ versteht, was mit seinen Daten passiert.
Und hier streichen zugegeben viele Juristen die Segel, denn der Text muss natürlich auch gleichermaßen richtig und vollständig sein. Ein Balanceakt der Extraklasse ist hier gefragt.
Und die Information muss auch leicht zugänglich sein, was bedeutet, dass sie gerade nicht versteckt oder beiläufig zu erteilen ist, sondern auffällig, erkennbar und deutlich als Datenschutzinformation gekennzeichnet sein muss. Daraus schließt man bspw., dass der Text auf der Website deutlich erkennbar bezeichnet sein muss (mit dem Wort „Datenschutz“, „Datenschutzerklärung“ oder „Datenschutzhinweise“) und, dass die Informationen auch von jeder Unterseite aus aufrufbar sein müssen.
Im nächsten Artikel, also Artikel 13 Absatz 1 Satz 1 DSGVO geht es weiter mit dem Wann:
„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit: (…)“
Also: Es ist zum Zeitpunkt (!) der Erhebung der Daten zu informieren. Streng vom Wortlaut ausgehend ist also auch schon eine Information, die eine Sekunde nach Erhebung erfolgt, zu spät. Denn gewollt ist, dass der Betroffene die Erhebung noch beenden bzw. die folgende Datenverarbeitung verhindern kann, wenn er durch die Information Dinge erfährt, die ihn davon abhalten die Erhebung weiter zu gestatten.
Doch im Alltag wird oftmals eine Information bei der Erhebung gar nicht gehen. Beispielsweise erhebt Ihre Telefonanlage schon die Telefonnummer des Anrufers bevor Sie den Hörer abnehmen: Selbst, wenn Sie also statt „Hallo“ zu sagen gleich die Datenschutzinformationen vorlesen ist es streng genommen zu spät.
„Beheben“ kann man diesen handwerklichen Fehler der Verordnung wohl nur dadurch, dass man hinein liest:
„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten oder spätestens im frühesten ihm möglichen Zeitpunkt Folgendes mit: (…)“
Das scheint auch die Meinung des Baden-Württembergischen Landesdatenschutzbeauftragten Dr. Stefan Brink zu sein, da er in seinem jüngsten Tätigkeitsbericht eine Bandansage über die Telefonanlage vorschlägt, bevor der Anruf durchgestellt wird.
Aber – wie leider noch so oft – haben wir zu diesem Thema bislang keinerlei Urteile oder belastbare Aussagen. Es wird aber, was den Zeitpunkt der Information angeht, an einem gewissen sinnvollen Pragmatismus nicht herum kommen. Sie sehen also, dass hier viel Fingerspitzengefühl und auch Wissen gefordert ist.
Sie haben auch Informationspflichten? Mit hoher Wahrscheinlichkeit.
Wenn Sie Unterstützung bei Erstellung, Formulierung, Ergänzung oder bzgl. des Einsatzes solcher Informationstexte haben möchten, dann rufen Sie mich an (0721 / 120 500) oder schreiben Sie mir eine E-Mail (ts@dsgvo-man.de).
Ich habe mittlerweile viele dieser Texte erstellt und meine Mandanten über deren Einsatz beraten.
Timo Schutt
DSGVO-Man
