Die Einhaltung der Datenschutzgrundverordnung (DSGVO) ist für Unternehmen und Organisationen von entscheidender Bedeutung, um die Rechte und Privatsphäre der betroffenen Personen zu schützen. Ein wichtiger Aspekt der DSGVO ist die Informationspflicht, die sicherstellen soll, dass die betroffenen Personen über die Verarbeitung ihrer personenbezogenen Daten informiert werden. In diesem Zusammenhang spielt die Informationspflicht bei der Zweckänderung eine entscheidende Rolle, da die betroffenen Personen über jede Änderung informiert werden müssen, die sich auf die Verarbeitung ihrer Daten auswirken könnte. In diesem Blogbeitrag werden die rechtlichen Anforderungen und praktischen Aspekte der Informationspflicht bei der Zweckänderung gemäß der DSGVO näher erläutert.
Inhalt der Datenschutzinformation
Sollen personenbezogene Daten zu einem anderen Zweck als dem ursprünglichen Erhebungszweck verarbeitet werden, ergibt sich die Pflicht, den Betroffenen erneut gem. Art. 13 Abs. 3 DSGVO sowie Art. 14 Abs. 4 DSGVO zu informieren. Diese Informationspflichten gelten sowohl für die Direkterhebung nach Art. 13 DSGVO als auch die Dritterhebung nach Art. 14 DSGVO.
Neben der geänderten Zweckbestimmung muss der Verantwortliche alle Informationen gem. Art. 13 oder Art. 14 DSGVO erneut zur Verfügung stellen, die aufgrund des geänderten Zwecks erforderlich sind. Maßgeblich sind also solche Informationen, hinsichtlich derer sich seit der Datenerhebung Änderungen ergeben haben.
Der betroffenen Person müssen daher die Zweckänderung und die entsprechende Rechtsgrundlage, auf welche sich die neue Verarbeitung stützt, genannt werden. Beabsichtigt der Verantwortliche, die Daten zu übermitteln, damit der Empfänger sie für einen anderen Zweck weiterverarbeiten kann, muss auch über die Empfänger der Daten informiert werden. Geboten sind zudem Informationen über die Speicherdauer der Daten sowie ggf. über das Recht der betroffenen Person zum Widerspruch oder Widerruf ihrer Einwilligung sowie über eine automatisierte Entscheidungsfindung, sofern dies erforderlich ist.
Im Falle einer direkten Datenerhebung muss die betroffene Person auch darüber informiert werden, ob die Zweckänderung von ihrem Willen abhängt. Falls dies der Fall ist, muss der Verantwortliche darüber aufklären, ob eine (vertragliche) Pflicht besteht, die Zweckänderung zu akzeptieren und welche Konsequenzen eine Ablehnung für die betroffene Person haben könnte gem. Art. 13 Abs. 2 lit. e DSGVO.
Zeitpunkt der Datenschutzinformation
Vor der geplanten Weiterverarbeitung sind die betroffenen Personen zu informieren. Die Artikel-29-Datenschutzgruppe argumentiert, dass zwischen der Benachrichtigung und der Verarbeitung eine angemessene Zeitspanne liegen sollte und die Verarbeitung nicht unmittelbar nach Erhalt der Benachrichtigung durch die betroffene Person beginnen sollte. Das Fairnessprinzip erfordert, dass die Frist umso länger sein sollte, je tiefgreifender oder unerwarteter die weitere Verarbeitung ist.
Form der Datenschutzinformation
Vorgaben zur Form finden sich primär in Art. 12 Abs. 1 und 7 DSGVO. Da die Mitteilung nicht (wie bei der Datenerhebung) zeitlich und sachlich mit anderen Handlungen gegenüber dem Betroffenen verbunden ist, besteht für den Verantwortlichen ein größerer Spielraum dahingehend, wie er die betroffene Person informiert. Auch wenn der Verantwortliche z.B. die Daten mit einem schriftlichen Formular erhoben hat, darf er der betroffenen Person die Informationen über die bevorstehende Zweckänderung elektronisch zur Verfügung stellen. Zudem fordert Art. 13 Abs. 3 DSGVO eine aktive Unterrichtung der betroffenen Person (vgl. Kühling/Buchner, 2020 und Art-29-Datenschutzgruppe WP 260). Die betroffene Person muss tatsächlich in der Lage sein, aufgrund der Information ggf. noch vor der Weiterverarbeitung Einwände zu erheben oder Rechte nach der DSGVO geltend zu machen.
In der Praxis empfiehlt es sich daher die Betroffenen direkt mittels vorhandener Kontaktdaten über die Zweckänderung zu informieren. Dies kann per E-Mail erfolgen oder postalisch. Die Datenschutzinformationen bzgl. der Zweckänderung können auch auf der Webseite angezeigt werden, allerdings sollten die Betroffenen dennoch aktiv auf diese Zweckänderung aufmerksam gemacht werden.
Fazit
Wird die betroffene Person nicht, nicht vollständig oder nicht zutreffend über die beabsichtigte Zweckänderung informiert, so handelt der Verantwortliche pflichtwidrig. Gemäß Artikel 83 Absatz 5 lit. b DSGVO kann diese Pflichtverletzung mit einer Geldbuße geahndet werden.