1. Zugang zu Informationen

Bevor das Thema personenbezogene Daten in aller Munde war, waren sich die Unternehmen, die unsere Daten erworben haben, möglicherweise nicht bewusst, dass sie uns benachrichtigen müssen oder dass wir bestimmte Rechte in Bezug auf diese Daten ausüben können.

Infolgedessen sind wir alle schon einmal in Situationen geraten, in denen unsere persönlichen Daten ohne unser Wissen gesammelt wurden, insbesondere zum Zwecke der Kundenwerbung oder gezielter Werbung.

Seit die Datenschutz-Grundverordnung am 25. Mai 2018 in Kraft getreten ist, erkennen Unternehmen die Herausforderung, die Menschen zu informieren. In den Artikeln 13 und 14 der Verordnung heißt es, dass der für die Verarbeitung Verantwortliche den Personen spezifische Informationen zur Verfügung stellen muss, damit sie hinreichend verstehen, wie ihre Daten verwendet werden.

Doch wie muss der für die Datenverarbeitung Verantwortliche diese Informationen in der Praxis bereitstellen? Was sollte in diesen Daten enthalten sein?

2. Wie sollten Einzelpersonen informiert werden?

Die Art und Weise, wie die Person informiert wird, ist der jeweiligen Situation angemessen. Hier sind einige Beispiele:

Die Informationen können in den Allgemeinen Nutzungsbedingungen oder auf einer speziellen Seite innerhalb des Programms enthalten sein, wenn der Verbraucher sie herunterlädt.

Der für die Datenverarbeitung Verantwortliche kann am Tag nach der Veranstaltung eine Informations-E-Mail versenden, wenn auf einer Messe Visitenkarten gesammelt wurden.

Wenn eine Person einen Kauf auf einer E-Commerce-Website tätigt, kann sie durch die Allgemeinen Verkaufsbedingungen oder Informationen auf dem Kaufformular gewarnt werden, bevor sie ihre Einkäufe prüft.

Wenn der für die Verarbeitung Verantwortliche nur die über das Internet gesammelten Vor- und Nachnamen von Personen verarbeitet und keine Möglichkeit hat, mit ihnen in Kontakt zu treten, kann er sie über die Datenschutzbestimmungen seiner Website informieren.

In der Praxis gibt es einige Probleme, mit denen man sich auseinandersetzen muss. Die für die Einhaltung der DSGVO erforderlichen Informationshinweise werden häufig mehr als nur ein paar Zeilen lang sein. Aber wie kann man jemanden aufklären, der ein Online-Formular ausfüllt? Aus technischer oder rein visueller Sicht ist es unmöglich, Absätze an den Anfang eines Formulars zu stellen.

Zumal eine einzige Website mehrere Formulare enthalten kann (Newsletter-Abonnement, Kontaktformular usw.). Ist es notwendig, alle Daten in jedem Formular zu wiederholen?

In diesem Szenario könnte eine Teilinformation durch Verweis auf eine Vertraulichkeitserklärung gegeben werden, die alle in der Verordnung geforderten Informationen enthält. Die Datenschutz-Grundverordnung hingegen ist in diesem Punkt nicht eindeutig und gibt nicht an, ob ein solcher Verweis zur Information ausreicht. Daher steht es jedem für die Verarbeitung Verantwortlichen frei, über diesen Punkt zu entscheiden.

3. Wann sollten Einzelpersonen informiert werden?

In der DSGVO wird zwischen direkter und indirekter Datenerhebung unterschieden.

Wenn personenbezogene Daten direkt bei einer Person erhoben werden, sollten die Informationen zum Zeitpunkt der Erhebung bereitgestellt werden.

Werden personenbezogene Daten indirekt über Dritte erhoben, muss die betroffene Person innerhalb einer angemessenen Frist, spätestens jedoch einen Monat nach Erhebung der Daten, benachrichtigt werden. Allerdings:

Die Informationen müssen spätestens bei der ersten Mitteilung weitergegeben werden, wenn die Daten zur Kontaktaufnahme mit der Person verwendet werden.

Wenn die Informationen zum ersten Mal an einen Dritten übermittelt werden sollen, müssen sie zum Zeitpunkt der Übermittlung der Daten an den Dritten angegeben werden.

Die Informationsfrist verkürzt sich in beiden Fällen auf einen Monat, wenn die erste Mitteilung einen oder mehrere Monate nach der Abholung erfolgt.

Welche Informationen sollten den betroffenen Personen gegeben werden?

Die Personen, deren persönliche Daten gesammelt werden, müssen bestimmte Informationen erhalten.

1. Name und Kontaktinformationen des für die Datenverarbeitung Verantwortlichen (und gegebenenfalls des Vertreters)

Es ist ratsam, den Text damit zu beginnen, dass das Geschäft des Unternehmens in einer Zeile vorgestellt wird, unabhängig davon, ob es sich um eine Informations-E-Mail, eine Informations-E-Mail oder sogar eine Datenschutzerklärung handelt.

Die Kontaktinformationen des für die Verarbeitung Verantwortlichen müssen ebenfalls angegeben werden. Sie brauchen sie auf dieser Ebene nicht anzugeben, wenn sie mit denen des behördlichen Datenschutzbeauftragten identisch sind und bereits unter Punkt 8 angegeben wurden.

2. Kontaktinformationen des Datenschutzbeauftragten, falls zutreffend (DPD oder DSB)

Auch wenn die Organisation nicht verpflichtet ist, einen Datenschutzbeauftragten einzustellen, kann sie eine Kontaktstelle benennen, an die sich Personen wenden können, um ihre Rechte geltend zu machen. Andernfalls kann dies von der Rechtsabteilung übernommen werden.

3. Ziele und Rechtsgrundlage der Verarbeitung

Dies bedeutet, dass das Unternehmen klar und einfach erklären muss, warum es die Daten einer Person sammelt und auf welcher Rechtsgrundlage es dies tut.

3. Die berechtigten Interessen des für die Verarbeitung Verantwortlichen (oder eines Dritten), wenn sie die Rechtsgrundlage bilden

Der Nutzen, der aus der Verarbeitung gezogen werden kann, ist das rechtfertigende Interesse. Es kann nur dann als Rechtsgrundlage verwendet werden, wenn es die Rechte der betroffenen Personen schützt. Ein Unternehmen mag ein berechtigtes Interesse daran haben, die Vorlieben seiner Kunden zu kennen, um seinen Service zu personalisieren, aber es kann sich nicht auf ein berechtigtes Interesse als Rechtsgrundlage berufen, wenn es seine Kunden online und offline ohne Einschränkungen überwachen will. Die Rechte und Freiheiten des Einzelnen müssen infolgedessen gewährleistet sein.

In den Informationsvermerken reicht es jedoch aus, die berechtigten Interessen in einer Zeile zu beschreiben und den Rest leer zu lassen.

5. Die Begünstigten oder Kategorien von Empfängern, falls zutreffend

Diese Informationen beziehen sich auf die Personen oder Organisationen, die Zugang zu den gesammelten Daten haben werden, sei es intern (durch verschiedene Abteilungen oder Tochtergesellschaften des Unternehmens) oder extern (durch mehrere Abteilungen oder Tochtergesellschaften des Unternehmens) (Geschäftspartner, Dienstleister, B2B-Kunden).

6. Das Vorhandensein eines Transfers außerhalb der EU und die damit verbundenen Garantien

Wenn personenbezogene Daten außerhalb der Europäischen Union übermittelt werden (an eine Tochtergesellschaft, einen Dienstleister usw.), muss der Grund für die Übermittlung angegeben werden: beruht sie auf einer Angemessenheitsentscheidung?

7. Die Aufbewahrungsfrist und, falls dies nicht möglich ist, die Kriterien, nach denen sie festgelegt wird

Es muss unbedingt angegeben werden, wie lange das Unternehmen die Informationen speichern wird. Diese Frist darf die zulässigen Fristen nicht überschreiten.