Informationspflichten nach Art. 13 und 14 – wenn’s doch nur einfach wäre

Wie inzwischen jeder wissen sollte, muss der für eine Datenverarbeitung Verantwortliche der Person, dessen Daten er verarbeitet, verschiedene Informationen, wie z.B. den Zweck der Datenverarbeitung, den Namen und die Kontaktdaten des Verantwortlichen, ggf. die Kontaktdaten des Datenschutzbeauftragten etc. mitteilen. Zumeist werden dabei die beiden Hausnummern ohne weitere Differenzierung in einem Atemzug genannt, doch lohnt ein tieferer Blick in die Vorschriften der Artikel 13 und 14 DSGVO. Denn Während für Art. 13 der Handlungsbedarf relativ schnell identifiziert ist – es trifft zunächst mal jeden, der unmittelbar von einer betroffenen Person Daten erhebt – so fühlt man sich in Bezug auf Art. 14 nicht immer eindeutig damit konfrontiert.

Inhaltlich jedenfalls sind die Unterschiede relativ schnell ausgemacht. Bei beiden muss auf das Wesentliche der Datenverarbeitung hingewiesen werden: Da hätten wir zum einen die Zwecke, die Rechtsgrundlagen, die Empfänger und die ganze Latte an Betroffenenrechten. Ein expliziter Hinweis auf die Kategorien der erhobenen Daten ist übrigens nur in Art. 14 DSGVO vorgesehen.

Anwendungsfälle in der Praxis

In der Vergangenheit haben wir u.a. bereits ausführlich die Modalitäten der Erteilung von Informationen erläutert. Der Anwendungsbereich dieser Norm lässt hingegen noch manche Frage offen und nähert sich einem gelegentlich auf geradezu hinterlistige Art und Weise.

Wie muss zum Beispiel der Betreiber eines großen medizinischen Labors eingehende Proben von Patienten behandeln? Vorsichtig und sorgfältig – das ist klar. Aber uns geht es dabei primär um die datenschutzrechtliche Seite. Muss hier jeder Patient von dem Labor selbst kontaktiert werden, um ihm mitzuteilen, dass man seine Blut- oder Gewebeprobe von Hausarzt Dr. X aus Hintertupfingen erhalten hat? Falls der Arzt dies nicht zuvor selbst erledigt hat – siehe hierzu die Ausnahmeregelung in Art. 14 Abs. 5 lit. a – müsste man dies wohl bejahen. Aber gilt das auch, wenn ein erheblicher administrativer und zeitlicher Aufwand dahintersteckt? Immerhin kommen hier schnell mehrere hundert Postsendungen zusammen – pro Tag! Wo hier die Grenze zur Unverhältnismäßigkeit gemäß Art. 14 Abs. 5 lit. b zu ziehen ist, bedarf letztlich einer Betrachtung im Einzelfall.

Neben weiteren „Klassikern“ wie die Weitergabe von Daten an Auskunfteien wie Schufa oder Creditreform, die ihrerseits Vorlagen zur Information nach Art. 14 für ihre Kunden zur Verfügung gestellt haben, gibt es aber noch weitere Szenarien, über die man schnell ins Grübeln kommen kann.

Und ewig lockt der Adressenfang

Nehmen wir einmal das Einrichten einer Baustelle für ein Einfamilienhaus oder den Neubau eines Bäckers am Rande einer Stadt: Hier ist es – je nach Größe und Umfang – erforderlich, ein gut sichtbares Hinweisschild anzubringen, auf dem u.a. der Bauleiter und der Bauherr zu nennen sind, und zwar mit Namen, Anschrift und Telefonnummer. Findige Vertriebler nehmen dies gern zum Anlass, die hierauf enthaltenen Kontaktinformationen zu notieren und zu speichern, um später Verbindung aufzunehmen. Zwar handelt es sich fraglos um Daten von der betroffenen Person. Die spannende Frage in diesem Zusammenhang ist aber, ob es sich um eine Erhebung „bei“ der betroffenen Person (im Sinne von Art. 13 Abs. 1 DSGVO) handelt. Direkt eingebunden ist die als Bauherr benannte Person nämlich gerade nicht.

In Anlehnung an die Grundgedanken von Transparenz und Selbstbestimmung erscheint es daher naheliegend, nur diejenigen Vorgänge unter Art. 13 zu fassen, auf die der Einzelne auch direkten Einfluss nehmen kann, also z.B., wenn er befragt wird oder selbst ein Formular ausfüllt. Im Übrigen würde man die Vorschrift dahingehend auslegen, dass ein Erhaschen von Informationen, ohne dass die betroffene Person davon Wind bekommt – insbesondere ohne ihre direkte Mitwirkung – unter Art. 14 einzusortieren ist. Dem Wortlaut nach müsste also auch hier spätestens zum Zeitpunkt der Kontaktaufnahme eine Information nach Art. 14 erfolgen.