Die Einführung der Datenschutz-Grundverordnung geht mit einer bewussten Stärkung der Betroffenenrechte einher. „Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen“ heißt es daher ausdrücklich in Erwägungsgrund (ErwGr) Nr. 11.
Hauptpfeiler der neuen Betroffenenrechte sind neben dem strengeren Haftungsregime und den neu eingeführten Einzelansprüchen vor allem die ausgeweiteten Transparenzpflichten bei der Datenverarbeitung. Art. 13 DS-GVO widmet sich den Informationspflichten bei der Direkterhebung, Art. 14 ist das Pendant bei Erhebung von Daten bei Dritten. Die betroffene Person soll die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erhalten (Art. 12 Abs. 1 Satz 1 DS-GVO) und dies stets unentgeltlich (Art. 12 Abs. 5).
Am 11. April 2018 verabschiedete die Artikel-29-Datenschutzgruppe ihr WP 260 zu den Transparenzregeln der Datenschutz-Grundverordnung (DS-GVO).
Die Informationspflichten bilden die Basis für die Ausübung der Betroffenenrechte (insbesondere der Art. 15 ff. DS-GVO). Nur wenn die betroffene Person weiß, dass personenbezogene Daten über sie verarbeitet werden, kann sie diese Rechte auch ausüben. Die Informationspflichten gemäß der DS-GVO gehen daher weit über die bisherige Rechtslage hinaus und müssen beachtet werden, sofern keine Ausnahmevorschriften greifen. Die Datenschutzkonferenz hat in Form des Kurzpapiers Nr. 10 „Informationspflichten bei Dritt- und Direkterhebung“ bereits erste weitergehende Ausführungen zu diesem Thema veröffentlicht.
Aktuell hat auch die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg) eine Orientierungshilfe mit dem Titel „Wie erfülle ich als Verantwortlicher meine Informationspflichten? Rechtliche Anforderungen unter der DS-GVO https://www.lda.brandenburg.de/media_fast/4055/Infoblatt_Informationspflichten.pdf“ veröffentlicht. Darin geht die LDA Brandenburg folgenden Fragen nach:
1. Was muss ich als Verantwortlicher tun, um die Informationspflichten aus Art. 13 und 14 Datenschutz-Grundverordnung (DS-GVO) zu erfüllen?
2. Muss ich die betroffene Person schriftlich informieren oder reicht ein Verweis auf meine Webseite, auf der ich die Informationen bereitstelle?
3. Muss ich nachweisen, dass ich die Informationspflichten erfüllt habe?
4. Wer muss die Informationspflichten erfüllen, wenn es sich um gemeinsame Verantwortliche i. S. d. Art. 26 DS-GVO handelt
5. Spezielle Fallgruppen
Abgerundet werden die einzelnen Fragen mit passenden Praxisbeispielen.
LDA Brandenburg