Kurzdefinition: Die Informationspflicht verpflichtet den Verantwortlichen, die betroffene Person aktiv über die Verarbeitung aufzuklären. Nach Art. 13 DSGVO geschieht das bei Erhebung der Daten bei der Person selbst und zum Zeitpunkt der Erhebung. [N-DSGVO-13]
Der Normwortlaut
Art. 13 Abs. 1 DSGVO bestimmt: Werden personenbezogene Daten bei der betroffenen Person erhoben, so „teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten“ unter anderem Name und Kontaktdaten, die Zwecke und die Rechtsgrundlage der Verarbeitung sowie gegebenenfalls die Empfänger mit. [N-DSGVO-13]
Wann muss informiert werden?
Zum Zeitpunkt der Erhebung. Art. 13 DSGVO betrifft die Direkterhebung bei der Person und verlangt die Information genau dann, wenn die Daten erhoben werden — nicht erst auf Nachfrage. Werden Daten nicht bei der Person selbst erhoben, gilt die eigene Informationspflicht des Art. 14 DSGVO. [N-DSGVO-13] [N-DSGVO-14]
Was muss mitgeteilt werden?
Ein klar umrissener Katalog. Nach Art. 13 DSGVO gehören dazu Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage, bei berechtigtem Interesse dessen Benennung, die Empfänger sowie eine etwaige Drittlandübermittlung. Ergänzend sind unter anderem Speicherdauer, Betroffenenrechte, das Widerrufsrecht und das Beschwerderecht anzugeben. [N-DSGVO-13] [N-DSGVO-6]
In welcher Form muss informiert werden?
Verständlich und zugänglich. Die Informationspflicht wird durch Art. 12 DSGVO überlagert: Die Angaben müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache erfolgen. In der Praxis geschieht das über die Datenschutzerklärung. [N-DSGVO-13] [N-DSGVO-12]
Wann ist zu informieren?
Zum Zeitpunkt der Erhebung. Art. 13 Abs. 1 DSGVO verlangt, dass der Verantwortliche die betroffene Person zum Zeitpunkt der Erhebung der Daten informiert. Die Information erfolgt also nicht nachträglich, sondern unmittelbar bei der Erhebung. [N-DSGVO-13]
Welche Angaben sind mitzuteilen?
Kerninformationen. Dazu zählen unter anderem Name und Kontaktdaten des Verantwortlichen, die Zwecke und die Rechtsgrundlage der Verarbeitung sowie gegebenenfalls die Empfänger der Daten. [N-DSGVO-13]
Gilt Art. 13 DSGVO bei jeder Erhebung?
Bei Direkterhebung. Art. 13 DSGVO betrifft die Erhebung der Daten bei der betroffenen Person selbst. Werden die Daten nicht bei ihr erhoben, greift stattdessen die Informationspflicht des Art. 14 DSGVO. [N-DSGVO-13]
Häufige Fehlannahmen
- „Die Information genügt auf Nachfrage.“ Nein. Art. 13 DSGVO verlangt sie von sich aus zum Zeitpunkt der Erhebung. [N-DSGVO-13]
- „Ein Hinweis auf die Website reicht immer.“ Nur, wenn er die Pflichtangaben verständlich und zugänglich enthält. [N-DSGVO-13]
- „Art. 13 und Art. 14 DSGVO sind austauschbar.“ Nein. Art. 13 gilt bei Direkterhebung, Art. 14 bei Erhebung aus anderer Quelle. [N-DSGVO-13]
- „Bei Daten aus fremder Quelle genügen dieselben Angaben.“ Nein. Bei Erhebung aus anderer Quelle sind zusätzlich die verarbeiteten Datenkategorien und die Herkunft der Daten mitzuteilen. [N-DSGVO-14]
- „Auch bei Dritterhebung muss sofort informiert werden.“ Nein. Dort gilt eine angemessene Frist, spätestens innerhalb eines Monats nach Erlangung der Daten. [N-DSGVO-14]
Was die Geschäftsleitung tun sollte
- Datenschutzhinweise pflegen. Pflichtangaben vollständig und aktuell halten.
- Erhebungszeitpunkt treffen. Information genau bei der Erhebung bereitstellen.
- Quelle unterscheiden. Direkterhebung (Art. 13) und Fremderhebung (Art. 14) trennen.
- Verständlich formulieren. Klare, einfache Sprache nach Art. 12 DSGVO nutzen.
Für die Geschäftsleitung
Die Informationspflicht ist die Bringschuld des Datenschutzes: Das Unternehmen muss von sich aus erklären, was mit den Daten geschieht — und zwar bei der Erhebung, nicht erst auf Nachfrage. Wer die Datenschutzhinweise vollständig und verständlich hält, erfüllt Art. 13 DSGVO und schafft zugleich Vertrauen bei Kunden und Beschäftigten.
Quellen
- [N-DSGVO-13] Art. 13 DSGVO (Informationspflicht bei Erhebung bei der betroffenen Person). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-14] Art. 14 DSGVO (Informationspflicht, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-6] Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-12] Art. 12 DSGVO (Transparente Information und Modalitäten). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
