Ein Spaziergang durch die DS-GVO – Artikel 14

Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Das letzte Wegstück sind wir im vergangenen Dezember gegangen. Höchste Zeit also für die nächste Etappe, sonst wird der Spaziergang gar zu gemächlich – und wir benötigen für die verbliebenen Artikel etwa ein viertel Jahrhundert – wer weiß, ob die DS-GVO dann vielleicht nur noch rechtshistorisch interessiert. An Ihnen hat es nicht gelegen, also muss der Wanderleiter das Tempo erhöhen. Sind gute Vorsätze im Mai noch erlaubt?

Nachtrag

Zur Sache, zur DS-GVO und zu den noch nicht aufgelösten Weihnachtsrätseln:

• Der Unterschied zwischen den Absätzen 1 von Art. 13 und Art.  14 findet sich natürlich im jeweiligen Buchstaben d). Art. 13 Abs. 1 Buchstabe d) bildet bei Art. 14 im Abs. 2 als Buchstabe b). Warum das so ist – warum also die Interessenabwägung in den Fällen der Direkterhebung immer mitgeteilt werden muss und in den Fällen der Dritterhebung nur gelegentlich – weiß wohl niemand. Oder gibt es Vermutungen in der Wandergruppe? Noch rätselhafter wird es in der Gegenrichtung: Art. 14 Abs. 1 Buchstabe d) verlangt die Information, welche Kategorien personenbezogener Daten überhaupt verarbeitet werden. In Artikel 13 fehlt dies. Muss bei der Direkterhebung also gar nicht informiert werden, auf welche Daten sich die Information bezieht? Wohl ein Versehen des Gesetzgebers…?

• Die zweite Rätselfrage zum Unterschied zwischen Art. 13 Abs. 3 und 14 Abs. 4 betrifft ein einziges Wort: In Art. 13 werden die Daten erhoben und in Art. 14 erlangt.

Ansonsten ist der Absatz wortgleich – Respekt für die präzise Übersetzungsarbeit in Brüssel (trotz des üblichen hohen Zeitdrucks). Und selbst das eine abweichende Wort ist keine Unachtsamkeit der Übersetzer: Auch die englische Sprachfassung bietet mit collected und obtained an derselben Stelle Wortvarianten. Inhaltliche Bedeutung hat das nicht; der EU-Gesetzgeber wollte offenbar seine Übersetzer testen. Und die haben bravourös bestanden.

Absatz 1

Zu einigen Pflichtangaben in Absatz 1 – sowohl bei Art. 13, also auch bei Art. 14:

• Buchstabe a) verlangt den Namen und die Kontaktdaten des Verantwortlichen. Ausreichend sind aber schlicht Kontaktdaten, auf denen der Verantwortliche zuverlässig erreichbar ist, z. B. Postanschrift oder E-Mail-Adresse. Es müssen nicht alle Kontaktdaten sein.

• Beim in Buchstaben a) genannten Vertreter handelt es sich – anders, als in der Praxis manchmal missverstanden – nicht um den gesetzlichen Vertreter des Verantwortlichen, z. B. Geschäftsführer einer GmbH, sondern um den Vertreter nach Art. 27 DS-GVO, sofern es ihn gibt. Für die GmbH muss der aktuelle Geschäftsführer also nicht benannt werden. Das spart Aktualisierungen bei Personalwechsel.

• Buchstabe b) verlangt nur Kontaktdaten des Datenschutzbeauftragten – anders als Buchstabe a) also nicht den Namen. Dementsprechend muss eine Datenschutzinformation auch nicht den Namen des jeweiligen Datenschutzbeauftragten nennen – sie darf es natürlich, dann entsteht allerdings wieder Aktualisierungsbedarf bei Personalwechsel.

• Bei Buchstaben e) ist das EuGH-Urteil vom 12.01.2023 (Rs. C-154/21) zu Art. 15 Abs. 1 lit. c) DS-GVO wohl übertragbar: Der Verantwortliche muss konkrete Empfänger nennen, soweit ihm dies möglich ist – darf sich also nicht auf die Nennung von Empfängerkategorien zurückziehen. Nach dem Gesetzeswortlaut scheint das nicht ganz zwingend, aber Luxemburg locuta, causa finita.

• In Buchstaben f) scheint bemerkenswert, dass die Information ausdrücklich nicht nur das Vorhandensein, sondern auch das Fehlen eines Angemessenheitsbeschlusses der Kommission bei Drittstaatsübermittlungen inkludiert. Heißt: Bei beabsichtigten Datenübermittlungen nach Brasilien genügt es nicht, in der Datenschutzinformation die getroffenen (Schutz-)Maßnahmen zu nennen, sondern es muss zusätzlich verlautbart werden, dass derzeit kein Angemessenheitsbeschluss der Kommission für Brasilien existiert.

Absätze 2, 3 und 4

Absatz 2 können wir beim Wandern getrost überspringen. Er könnte insgesamt ersetzt werden durch einen Hinweis auf das Auskunftsrecht – für diejenigen Betroffenen, die wirklich weitergehende Informationen wünschen. Absatz 3 klärt den Zeitpunkt der Informationserteilung. Erwähnenswert ist insoweit eigentlich nur, dass in der Variante des Buchstaben a) nicht immer die Monatsfrist gilt, sondern – je nach Einzelfall – die angemessene Frist auch zuvor schon ablaufen kann. In Absatz 4 – Sie erinnern sich: fast wortgleich mit Art. 13 Abs. 3 – befiehlt der Gesetzgeber für den Fall einer Zweckänderung der Datenverarbeitung eine neue Information.

Absatz 5

Und Absatz 5 ist wieder – wie Art. 13 Abs. 4 – etwas für Mutige: Wer die dortigen Ausnahmefälle beweisen kann, braucht keine oder nur eine teilweise Datenschutzinformation zu erteilen.

Die Ausnahmefälle in Buchstaben b), c) und d) sind nur hier – und nicht bei Artikel 13 – geregelt. Das Rätselraten der Juristen, ob dies etwas zu bedeuten hat – und gegebenenfalls was – ist noch nicht ganz abgeschlossen. Zum Beispiel: In Art. 14 Abs. 5 Buchstabe b) verzichtet der Gesetzgeber gnädig auf Informationen, wenn sich deren „Erteilung […] als unmöglich erweist“. Art. 13 bietet diese Ausnahme nicht – müssen dort also auch unmögliche Informationen erteilt werden? Wahrscheinlich – einmal mehr – ein Fehler in der Gesetzgebung. Das scheint noch relativ eindeutig.

Aber schon gleich danach entbrennt heißer Streit: In Art. 14 findet sich an derselben Stelle auch eine Ausnahme für Informationen, deren Erteilung „einen unverhältnismäßigen Aufwand erfordern würde“. Gilt das auch bei Artikel 13 oder hat der Gesetzgeber dort bewusst geschwiegen? Und Folgefrage für Knobelfreunde: Wird aus unverhältnismäßig irgendwann unmöglich? Falls ja: Wann genau? Disclaimer vorab: Für diese Rätselfragen gibt es leider auch in der nächsten Folge keine Auflösung. – Wenn Sie eine Meinung haben möchten: Unverhältnismäßig ist bei Artikel 13 genauso wenig geschuldet, wie bei Artikel 14. Das Problem besteht im Nachweis der Unverhältnismäßigkeit – also in der Einigung, was unverhältnismäßig ist.

Damit kehren wir Artikel 14 den Rücken. Ihnen allen schöne Spaziergänge im Mai und bis bald!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.