Wenn Sie personenbezogene Daten direkt bei einer Person erheben, müssen Sie sie zum Zeitpunkt der Erhebung informieren: wer verantwortlich ist, wozu und auf welcher Rechtsgrundlage Sie die Daten nutzen, an wen sie gehen, wie lange Sie sie speichern und welche Rechte die Person hat (Art. 13 DSGVO). Stammen die Daten aus einer anderen Quelle, gilt Art. 14 DSGVO mit eigenen Fristen. Wie Sie informieren, regelt Art. 12 DSGVO: verständlich, leicht zugänglich und kostenlos. Die Datenschutzerklärung auf der Website ist die bekannteste Umsetzung.
Wann gilt Art. 13 DSGVO, wann Art. 14 DSGVO?
- Art. 13 DSGVO, Direkterhebung: Die Person gibt ihre Daten selbst an, etwa im Kontaktformular, bei Vertragsschluss, in der Bewerbung oder beim Betreten eines videoüberwachten Bereichs.
- Art. 14 DSGVO, Dritterhebung: Sie erhalten Daten aus einer anderen Quelle, etwa von einem Geschäftspartner, aus öffentlichen Registern, von einem Adresshändler oder als Ansprechpartner eines Kunden.
Die Pflichtangaben nach Art. 13 DSGVO
| Angabe | Fundstelle |
|---|---|
| Name und Kontaktdaten des Verantwortlichen, ggf. des Vertreters | Art. 13 Abs. 1 lit. a |
| Kontaktdaten des Datenschutzbeauftragten, falls benannt | Abs. 1 lit. b |
| Zwecke und Rechtsgrundlage der Verarbeitung | Abs. 1 lit. c |
| Die berechtigten Interessen, wenn Sie sich auf Art. 6 Abs. 1 lit. f stützen | Abs. 1 lit. d |
| Empfänger oder Kategorien von Empfängern | Abs. 1 lit. e |
| Absicht einer Übermittlung in ein Drittland und die Garantien | Abs. 1 lit. f |
| Speicherdauer oder Kriterien für ihre Festlegung | Abs. 2 lit. a |
| Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit | Abs. 2 lit. b |
| Recht auf Widerruf einer Einwilligung | Abs. 2 lit. c |
| Beschwerderecht bei einer Aufsichtsbehörde | Abs. 2 lit. d |
| Ob die Angabe gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen eine Weigerung hat | Abs. 2 lit. e |
| Automatisierte Entscheidungsfindung einschließlich Profiling, mit Informationen zur Logik | Abs. 2 lit. f |
Beim Widerspruchsrecht gilt eine Besonderheit: Stützen Sie sich auf berechtigte Interessen oder betreiben Sie Direktwerbung, müssen Sie spätestens bei der ersten Kommunikation ausdrücklich und getrennt von anderen Informationen darauf hinweisen (Art. 21 Abs. 4 DSGVO).
Art. 12 DSGVO: Regeln für Form, Sprache und Fristen
Art. 12 DSGVO legt fest, wie Sie informieren und wie Sie mit Anträgen umgehen. Er gilt für die Informationen nach Art. 13 und 14 DSGVO, für alle Antworten auf Betroffenenrechte nach Art. 15 bis 22 DSGVO und für die Benachrichtigung nach einer Datenpanne (Art. 34 DSGVO).
| Regel | Fundstelle |
|---|---|
| Präzise, transparent, verständlich und leicht zugänglich, in klarer und einfacher Sprache, besonders gegenüber Kindern | Art. 12 Abs. 1 |
| Schriftlich oder in anderer Form, auch elektronisch; mündlich nur auf Wunsch und bei nachgewiesener Identität | Art. 12 Abs. 1 |
| Die Ausübung der Rechte erleichtern | Art. 12 Abs. 2 |
| Anträge unverzüglich beantworten, spätestens nach einem Monat; Verlängerung um zwei Monate nur mit Begründung innerhalb des ersten Monats | Art. 12 Abs. 3 |
| Werden Sie nicht tätig, teilen Sie das mit Gründen und dem Hinweis auf Beschwerde und Klage mit | Art. 12 Abs. 4 |
| Unentgeltlich; bei offenkundig unbegründeten oder exzessiven Anträgen angemessenes Entgelt oder Weigerung | Art. 12 Abs. 5 |
| Bei begründeten Zweifeln an der Identität zusätzliche Angaben anfordern | Art. 12 Abs. 6 |
| Standardisierte Bildsymbole sind zusätzlich möglich | Art. 12 Abs. 7 |
Für die Informationspflichten heißt das vor allem: kein Juristendeutsch, keine versteckten Hinweise und keine Kosten. Wie Sie die Fristen bei Anträgen einhalten, zeigt der Artikel zum Auskunftsersuchen nach Art. 15 DSGVO.
Zeitpunkt und Form
Nach Art. 13 DSGVO informieren Sie zum Zeitpunkt der Erhebung, also bevor oder während die Person ihre Daten angibt. Ein Link zur Datenschutzerklärung direkt am Formular erfüllt das, eine Information Wochen später nicht.
Für die Form hat sich ein gestuftes Vorgehen bewährt: Auf der ersten Ebene stehen die wichtigsten Angaben, etwa auf einem Hinweisschild oder am Telefon. Die vollständigen Informationen sind auf der zweiten Ebene leicht erreichbar, etwa über einen Link oder ein Informationsblatt.
Besonderheiten bei Art. 14 DSGVO
Bei der Dritterhebung kommen zwei Angaben hinzu: die Kategorien der verarbeiteten Daten und die Quelle, aus der die Daten stammen, gegebenenfalls ob sie öffentlich zugänglich war (Art. 14 Abs. 1 lit. d und Abs. 2 lit. f DSGVO).
Die Frist richtet sich nach Art. 14 Abs. 3 DSGVO:
- innerhalb einer angemessenen Frist, spätestens nach einem Monat,
- spätestens bei der ersten Kontaktaufnahme, wenn Sie die Daten zur Kommunikation mit der Person nutzen,
- spätestens bei der ersten Offenlegung, wenn Sie die Daten an einen anderen Empfänger weitergeben wollen.
Wann entfällt die Informationspflicht?
- Die Person hat die Informationen bereits (Art. 13 Abs. 4, Art. 14 Abs. 5 lit. a DSGVO). Das müssen Sie nachweisen können.
- Unmöglichkeit oder unverhältnismäßiger Aufwand, nur bei der Dritterhebung (Art. 14 Abs. 5 lit. b DSGVO). Dann müssen Sie andere Schutzmaßnahmen treffen, etwa die Informationen öffentlich bereitstellen.
- Gesetzliche Regelung oder Berufsgeheimnis (Art. 14 Abs. 5 lit. c und d DSGVO).
- Einschränkungen nach §§ 32 und 33 BDSG, etwa wenn die Information die Geltendmachung rechtlicher Ansprüche beeinträchtigen würde. Die Gründe müssen Sie dokumentieren.
Zweckänderung
Wollen Sie Daten später für einen anderen Zweck nutzen, müssen Sie die Person vorher über den neuen Zweck und alle maßgeblichen weiteren Informationen unterrichten (Art. 13 Abs. 3, Art. 14 Abs. 4 DSGVO).
Beispiele aus der Praxis
Kontaktformular auf der Website: Direkt am Formular steht ein kurzer Hinweis mit Link auf die Datenschutzerklärung. Diese erklärt Zweck (Bearbeitung der Anfrage), Rechtsgrundlage (Art. 6 Abs. 1 lit. b oder f DSGVO), Speicherdauer und Rechte.
Bewerbung: In der Stellenanzeige oder im Bewerberportal finden Bewerber eigene Datenschutzhinweise für das Bewerbungsverfahren, inklusive Löschfrist nach Abschluss des Verfahrens.
Visitenkarte auf der Messe: Sie erhalten die Daten direkt. Ein kurzer Hinweis am Stand oder in der ersten Folge-E-Mail mit Link auf die Datenschutzhinweise ist üblich. Ohne Information bis zur Erhebung ist das allerdings angreifbar.
Ansprechpartner beim Kunden: Sie erhalten Namen und E-Mail-Adresse von Ihrem Vertragspartner. Das ist eine Dritterhebung nach Art. 14 DSGVO. Informieren Sie spätestens bei der ersten Kontaktaufnahme, etwa über einen Link in der E-Mail-Signatur.
Videoüberwachung: Ein Hinweisschild vor dem überwachten Bereich enthält die wichtigsten Angaben. Das vollständige Informationsblatt liegt vor Ort aus oder ist online abrufbar.
Häufige Fehler in Datenschutzhinweisen
- Copy-and-paste-Texte: Die Datenschutzerklärung beschreibt Dienste, die gar nicht eingesetzt werden, und verschweigt tatsächlich genutzte.
- Pauschale Speicherdauer: "so lange wie nötig" nennt weder eine Frist noch Kriterien.
- Fehlende Rechtsgrundlage je Zweck: Eine Aufzählung aller Buchstaben des Art. 6 DSGVO ohne Zuordnung ist nicht transparent.
- Versteckte Hinweise: Die Information ist nur über mehrere Klicks oder erst nach dem Absenden eines Formulars erreichbar.
- Nur Website, sonst nichts: Für Beschäftigte, Bewerber, Lieferanten und Videoüberwachung fehlen eigene Hinweise.
- Veraltete Angaben: Nach dem Wechsel des Hosters oder Newsletter-Dienstes wird der Text nicht angepasst.
Checkliste
- Für jede Erhebungssituation festlegen, wo und wann informiert wird: Website, Formular, Telefon, Vertrag, Bewerbung, Kamera.
- Datenschutzerklärung mit dem Verzeichnis von Verarbeitungstätigkeiten abgleichen.
- Rechtsgrundlage je Zweck angeben, nicht pauschal "Art. 6 DSGVO".
- Konkrete Speicherfristen nennen.
- Dienstleister und Drittlandübermittlungen vollständig aufführen.
- Hinweis auf das Widerspruchsrecht hervorheben.
- Texte bei jeder neuen Software oder jedem neuen Dienstleister aktualisieren.
Was droht bei Verstößen?
Fehlende oder unvollständige Informationen verletzen den Grundsatz der Transparenz. Dafür sieht Art. 83 Abs. 5 lit. b DSGVO Bußgelder bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Hinzu kommen Beschwerden und Abmahnrisiken. Eine gepflegte Datenschutzerklärung und abgestimmte Hinweistexte sind deshalb Pflicht für jedes Unternehmen. Ein Datenschutz-Audit zeigt, ob Ihre Hinweise vollständig sind und zu den tatsächlichen Verarbeitungen passen.