Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben.

Gerade waren wir an der Einwilligung bei Art. 6 Abs. 1 Satz 1 lit. a) DS-GVO schnell vorbeigelaufen; nun sehen wir sie aus der Nähe: Die Königin der informationellen Selbstbestimmung. In der fiktiven selbstbestimmtesten aller Datenschutzwelten wäre nur die Einwilligung überhaupt eine Rechtfertigung für Datenverarbeitungen. „Volunti non fit iniuria“ – „Freiwilligen geschieht kein Unrecht“, meinten schon die alten Römer und finden wir auch heute noch im Datenschutz. Allerdings gilt das natürlich nur, wenn bestimmte Voraussetzungen erfüllt sind – und damit befasst sich Artikel 7. Das zeigt schon der Titel: Bedingungen für die Einwilligung. Welche Bedingungen hätten wir da?

Absatz 1

Der Verantwortliche muss die Einwilligung nachweisen können. Das passt zu Art. 5 Abs. 2 DS-GVO und verursacht einen gewissen, oft lästigen Aufwand. Vielleicht und hoffentlich bringt die Zeit Besserung, denn viele Einwilligungsformulare sind immer noch viel zu lang und umständlich. Das liegt meist an der verständlichen Angst, irgendetwas Wichtiges zu vergessen. Dann wird verständlicherweise manchmal lieber zu viel, als zu wenig aufgeschrieben. Wie gesagt, hoffentlich wird es besser oder einfacher im Laufe der Zeit…

Momentan ist (noch?) vieles umstritten und unsicher. Gerade deshalb hier einige Thesen zur Diskussion:

• Wenn jemand etwas tut, dass nach allgemeiner Erwartung bestimmte Datenverarbeitungen beim Kommunikationspartner nach sich zieht, willigt er bzw. sie in diese Verarbeitungen ein. Natürlich nur, solange sich im Einzelfall kein anderer Wille zeigt. Beispiele:
  • Wer eine Visitenkarte überreicht, muss nicht gefragt werden, ob die Daten auf dieser Karte gespeichert und genutzt werden dürfen.
  • Wer in eine Kamera lacht und posiert, ist mit dem Foto einverstanden.
  • Wer eine unverschlüsselte E-Mail schickt, ist mit einer unverschlüsselten Antwort zufrieden. Auch darüber wird ja gestritten: Betroffene dürfen in Risiken einwilligen. Natürlich.
    
• Bei Minderjährigen entscheiden die Sorgeberechtigten über die Einwilligung. Dafür gilt meines Erachtens:
  • Wenn ein Einwilligungsformular bei Einwilligung Sorgeberechtigte unterschrieben ist, dürfen die Verantwortlichen davon ausgehen, dass Sorgeberechtigte unterschrieben haben. Die Geburtsurkunde wird ebenso wenig gebraucht, wie Erklärungen des Jugendamts… .
  • Wenn ein Unterzeichner behauptet, die andere Sorgeberechtigte mit zu vertreten, darf der Verantwortliche sich darauf verlassen.
    
• Einwilligungen dürfen auch als Liste von mehreren Personen (z.B. von Teilnehmenden einer Veranstaltung) eingeholt werden.

• In Erwägungsgrund 42 Satz 4 der DS-GVO heißt es: „Damit sie in Kenntnis der Sachlage ihre Einwilligung geben kann, sollte die betroffene Person mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen.“ Man darf es dabei auch belassen und weitere Informationen auf Rückfrage anbieten. Mit anderen Worten: Betroffene dürfen selbst entscheiden, wieviel Detail-Information sie vor ihrer Entscheidung haben möchten.

• Da fehlende oder fehlerhafte Einwilligungen zu Schadenersatzforderungen führen können, darf (nicht: muss) die Einwilligung bis zum Ablauf der Verjährungsfrist gespeichert bleiben (zehn Jahre nach Ende der Verarbeitung).

• Es genügt, anstelle der konkreten Einwilligung nachzuweisen, dass der Workflow eine Datenverarbeitung erst nach Einwilligung zulässt. Zum Beispiel: Erst nach Abhaken des Einwilligungs-Kästchens kann der Newsletter bestellt werden.

Einverstanden? Oder haben wir Zank?

Absatz 2

… gibt mal wieder Anlass zum Nörgeln. Satz 2 ist sowieso überflüssig. Und Satz 1 ist grammatisch falsch, weil das Ersuchen um Einwilligung natürlich immer „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erfolgen“ muss, nicht nur bei Schriftform.

Absatz 3

Einwilligungen dürfen widerrufen werden. Man kann es sich also später auch noch anders überlegen. Das muss den Betroffenen vorab auch mitgeteilt werden und der Widerruf darf nicht aufwändig sein. Verboten: Einwilligung per E-Mail, Widerruf nur per Einschreibebrief.

Freiwilligkeit und Widerruflichkeit heißt für die Verantwortlichen: Einwilligungen sind nicht planbar. Deshalb eignen sie sich nicht für Datenverarbeitungen, die man unbedingt und auf Dauer braucht. Wenn ein Unternehmen Fortbildungsplanung auf die amerikanische Konzernmutter überträgt und dazu Einwilligungen der ganzen Belegschaft einholt, ist das nicht nachhaltig.

Absatz 4

… ist missglückt, weil man ja, wenn eine Datenverarbeitung zur Erfüllung eines Vertrags erforderlich ist, meist gar keine Einwilligung braucht (siehe Art. 6 Abs. 1 Satz 1 lit. b) DS-GVO). Nur unbeteiligte Dritte müssten vielleicht zustimmen. Zum Beispiel: Unternehmen A möchte Frau B zum 100. Geburtstag per Zeitungsinserat gratulieren; Frau B willigt ein.

Was der Gesetzgeber wohl sagen wollte – in klarer und einfacher Sprach: Bei der Prüfung von Freiwilligkeit muss beachtet werden, welche Nachteile man ohne Einwilligung erleidet und ob diese Nachteile nötig sind oder zumindest zumutbar. Zum Beispiel: Verlag A bietet Informationen im Internet entweder ohne Tracking und gegen Geld oder kostenlos, mit Tracking bei Einwilligung. Das darf man (derzeit?) koppeln – vielleicht nicht nötig, aber zumutbar.

Aber wiederum nicht bei Leistungen, auf die Betroffene einen Anspruch haben. Zum Beispiel: Eine Behörde will Ihren Antrag nur bearbeiten, wenn Sie einem Foto für die Öffentlichkeitsarbeit zustimmen. – Nicht nötig und nicht zumutbar. Besser: Die Behörde bearbeitet erst den Antrag und fragt dann nach der Einwilligung.

Manche reden vom Kopplungsverbot (absolut und relativ). Das heißt aber nur: Unnötige und unzumutbare Kopplungen sind verboten. Es bleibt dabei: Was nötig ist und was zumutbar, darauf kommt‘s an. Und darüber kann man manchmal streiten. Eine Entscheidungshilfe kennt übrigens der Volksmund aus der Bibel: „Was Du nicht willst, das man Dir tu, das füg auch keinem Andern zu.“

Auf bald!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Im Zivilrechtsrepetitorium meines Jurastudiums lernte ich den „Oma-Test“ kennen. Dabei fragt man sich am Ende einer juristischen Prüfung: Was würde meine Oma von diesem Ergebnis halten? Geprüft wird, ob das Ergebnis allgemeinverständlich und nachvollziehbar ist. Insbesondere für unkomplizierte Sachverhalte bietet der Test grundsätzlich sehr gute Ergebnisse, was in einer Demokratie ja auch erwartbar sein sollte. In diesem Artikel widmen wir uns der Informationspflicht im Rahmen der Betroffenenrechte, die wir zum einen Anhand des Gesetzes und den herrschenden (Literatur-)Meinungen, aber auch nach Maßgabe des „Oma-Tests“ prüfen. Konkret soll es um die Informationspflicht über das Beschwerderecht bei der Aufsichtsbehörde nach Art. 13 Abs. 2 lit. d) DS-GVO gehen.

Die Informationspflicht nach Art. 13 und 14 DS-GVO

Artikel 13 DS-GVO kodifiziert die Informationspflicht für den Fall, dass personenbezogene Daten beim Betroffenen erhoben werden, während Artikel 14 DS-GVO die Situation regelt, in der die Daten nicht bei der betroffenen Person (selbst) erhoben werden. Als betroffene Person einer Datenverarbeitung hat man das Recht sich bei der zuständigen Aufsichtsbehörde zu beschweren, worüber sie von dem Verantwortlichen in Kenntnis gesetzt werden muss, Art. 13 Abs. 2 lit. d), bzw. Art. 14 Abs. 2 lit. e) DS-GVO.

Der Hauptunterschied zwischen den Informationspflichten von Art. 13 und 14 DS-GVO liegt darin, dass (nur) nach Art. 14 Abs. 5 DS-GVO die Aufklärung unterbleiben kann, wenn sie einen unverhältnismäßigen Aufwand erfordert, oder wenn sie durch Rechtsvorschriften abbedungen wird. Diese Ausnahmen lässt Art. 13 DS-GVO nicht zu. Nach Art. 13 Abs. 4 DS-GVO darf die Aufklärung nur dann unterbleien, wenn die betroffene Person bereits Kenntnis von dem Aufklärungsinhalt hat. Der Ausnahmetatbestand (der in beiden Normen existiert) wirft für die Praxis zweierlei Fragen auf:

Welcher Betroffene hat tatsächlich Kenntnis über sein Beschwerderecht bei der zuständigen (!) Aufsichtsbehörde und welcher Verantwortliche weiß dann auch noch, dass der Betroffene diese Kenntnis hat? Aus Gründen der Rechtssicherheit bleibt dem Verantwortlichen daher stets nur die Möglichkeit eine Datenschutzinformation in alle Unternehmensprozesse zu implementieren, bei denen beim Betroffenen Daten verarbeitet werden.

Nur holzschnittartig soll aufgezeigt werden, was eine umfassende Information erfasst: Gemäß Art. 13 DS-GVO ist unter anderem (!) aufzuklären über  

• die Rechtsgrundlage der Verarbeitung,
• die Speicherdauer, oder dessen Kriterien,
• ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist.

Da beispielsweise die Rechtsgrundlage und der Speicherdauer bei ähnlichen Verarbeitungsvorgängen variieren können, ergibt sich schnell das Problem, dass Standardlösungen fehleranfällig werden.

Die Praxis

Braucht meine Oma einen Friseurtermin, ruft sie (initiativ) vorher beim Friseur an. Dieser notiert ihren Namen, ihre Telefonnummer und den Termin. Hierbei handelt es sich um eine Datenverarbeitung beim Betroffenen, da der Friseur ihre Daten gemäß Art. 4 Nr. 2 DS-GVO sowohl erfasst als auch im Kalender speichert. Dementsprechend löst die Datenverarbeitung Informationspflichten aus. Man kann weder davon ausgehen, dass meine Oma schon mal von der (zuständigen) Aufsichtsbehörde gehört hat, noch dass sie Kenntnis darüber hat, wie lange ihr Friseur seinen Kalender aufbewahrt. Das bizarre daran ist, dass der Friseur beides wohl auch nicht weiß. Dennoch muss er informieren.

Hierzu sei noch gesagt, dass sich dieses Problem nicht über einen Websitehinweis lösen lässt. Denn gemäß Art. 13 Abs. 1 DS-GVO muss die Information zum Zeitpunkt der Datenerhebung erfolgen und aus Sinn und Zweck der Vorschrift ergibt sich, dass die Information bereits vor der Datenverarbeitung und ohne Medienbruch erfolgen muss (Taeger/Gabel/Mester, 4. Aufl. 2022, DS-GVO Art. 13 Rn. 34-36).

In einem letzten Rettungsversuch könnte man daran denken, Art. 14 Abs. 5 lit. b) DS-DVO analog auf Art. 13 DS-GVO anzuwenden, um zu sagen, dass an dieser Stelle die Informationspflichten einen unverhältnismäßig hohen Aufwand bedeuteten. Dieser Rettungsversuch ist aber aus mehren Gründen zum Scheitern verurteilt: Zum einen besteht schon keine Regelunglücke, da man wohl davon ausgehen muss, dass der Gesetzgeber zwei unterschiedliche Informationspflichten für zwei unterschiedliche Situationen schaffen wollte. Aufgrund der systematischen und sprachlichen Ähnlichkeiten spricht daher alles für eine bewusste Andersformulierung und somit gegen eine Regelungslücke.

Ferner ergibt sich aus Art. 14 Abs. 5 lit. b) DS-DVO, sowie aus Erwägungsgrund 62, dass ein unverhältnismäßig hoher Aufwand vorliege, wenn „im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke, oder zu statistische Zwecke“, dies erforderten. Diese Gründe sind für unseren Fall allesamt nicht subsumtionsfähig und regeln deutlich abweichende Konstellationen. Folglich wäre ein Unterlassen der Information selbst dann nicht unverhältnismäßig, wenn man (zu Unrecht) eine Analogie bejahen würde.

Zuletzt sei nicht nur darauf hingewiesen, dass der Friseur hinsichtlich der erfolgten Aufklärung rechenschaftspflichtig (also nachweispflichtig) ist (Art. 5 Abs. 2 DS-GVO), sondern auch auf die Konsequenzen, welche die DS-GVO für das Unterbleiben der Aufklärung vorsieht. Nach Art. 83 Abs. 5 lit. b) DS-GVO können Unternehmen mit einer Geldbuße in Höhe von bis zu vier Prozent des weltweit erzielten Umsatzes des vorangegangenen Geschäftsjahres bestraft werden, wenn sie nicht – oder nicht richtig – informieren. Für Nicht-Unternehmen ist die Strafe auf 20 Millionen Euro gedeckelt.

Fazit

Der Alltagstest macht deutlich, dass die DS-GVO für die großen Player geschrieben wurde, aber schnell an ihre Grenzen stößt, wenn sie (beispielsweise) von kleinen Unternehmen angewendet werden soll. Das Ergebnis ist in zweierlei Hinsicht widersprüchlich: Der Datenschutz begegnet uns der ständig im Alltag –etwa auf Hinweisschildern von Überwachungskameras, oder wenn wir Softwareupdates erhalten. Somit werden wir auch über das Beschwerderecht bei der Aufsichtsbehörde alltäglich aufgeklärt – und trotzdem kennen es die wenigsten Betroffenen. 

Man kann daher wohl mir Recht sagen, dass es den Googles und Metas dieser Welt nicht gelingt die Betroffenen – und schon gar nicht meine Oma – adäquat zu informieren. Mit dieser Aufgabe faktisch überfordert, wird nun der Friseurbetrieb von nebenan vor dieselbe Aufgabe gestellt – und scheitert (selbstverständlich) ebenfalls. Dabei sei gesagt, dass es sich hier nicht um ein exklusives „Friseurproblem“ handelt. Auch das Abspeichern von Handynummern im Berufshandy, stellt Datenverarbeitung dar – und das ganz abgesehen von jeder Problematik um eine datenschutzkonforme WhatsApp-Nutzung. Wer einen Kontakt via Mail weiterleitet, oder eine Anrufnotiz erstellt, muss den Anrufer ebenfalls DS-GVO konform informieren. Ein Ergebnis, das wohl nicht nur für meine Oma schwer nachzuvollziehen wäre.

Ausblick

Kern des Problems ist, dass die durch die DS-GVO verpflichteten Akteure zu unterschiedlich sind, um gleich behandelt zu werden. Lösung kann nur sein, dass ein Friseursalon hinsichtlich der Informationspflicht anders als ein millionenschweres Unternehmen reguliert werden muss. Eine denkbare Lösung wäre eine Erweiterung des Art. 23 Abs. 1 DS-GVO. Dieser lässt gesetzliche Beschränkungen der Betroffenenrechte zu, wenn es beispielsweise durch Belange der öffentlichen Sicherheit erforderlich ist. Eine Öffnung der Norm für Alltagsprobleme könnte Abhilfe schaffen, um individuell auf die Bedürfnisse der Betroffenen eingehen zu können. Die aktuelle Lösung führt jedenfalls zu erheblichen Rechtsunsicherheiten – sowohl in der Praxis, als auch bei meiner Großmutter.

Über den Autor: Felix Lückert ist Volljurist (Ass. Jur.) und beim Dresdener Institut für Datenschutz als externer Datenschutzbeauftragter tätig. Der Fokus seiner Tätigkeiten liegt in der Beratung von Hochschulen und Gemeinden. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Viele, wenn nicht sogar die meisten Datenschutzbeauftragten halten regelmäßig Schulungen für Beschäftigte. Besonders für externe Datenschutzbeauftragte gehört die Schulung der Unternehmen, die sie betreuen, fast schon zu den alltäglichen Aufgaben. Personen, die in diesem Bereich tätig sind, ist klar, dass eine gründliche Sensibilisierung von Angestellten, die regelmäßig mit personenbezogenen Daten in Berührung kommen, ein sehr effektives Mittel ist, grobe Schnitzer im Umgang mit Daten zu vermeiden. Datenschützer sind daher sehr interessiert Beschäftigte laufend zu schulen, da durch ein Mindestmaß an Awareness allen Beteiligten sehr viel Arbeit und viele weitere negative Konsequenzen erspart werden können.

Vor der Durchführung der Datenschutz-Schulungen werden wir öfters mit Fragen konfrontiert wie: „Besteht eine gesetzliche Pflicht zur Schulung?“ oder „Wie oft müssen wir geschult werden?“. Dieser Beitrag soll kurz darstellen, aus welchen Gründen Datenschützer auf Schulungen bestehen und welche Zwecke sie eigentlich verfolgen. Zudem wollen wir Ihnen eine grobe Empfehlung geben, welche Themen Bestandteil einer Datenschutz-Schulung sein sollten.

Ziele von Schulungen

Datenschutz-Schulungen sind für alle Personen, die regelmäßig mit personenbezogenen Daten hantieren, essenziell. Es ist mittlerweile kein Geheimnis mehr, dass ein falscher Umgang mit personenbezogenen Daten seit Einführung der DS-GVO zu schwerwiegenden Konsequenzen für das Unternehmen, wie beispielsweise Bußgeldern oder Untersagung von Datenverarbeitungen führen kann. Ein rechtswidriger Umgang passiert schneller als man denkt: Hat jemand einen USB-Stick mit personenbezogenen Daten verloren? Wurde eine E-Mail oder ein Brief an den falschen Empfänger gesendet? Dies sind bereits meldepflichtige Datenschutzverletzungen! Zudem bemerken wir immer wieder einen eher lapidaren Umgang mit alltäglichen Dokumenten: Oftmals werden diese einfach offen auf dem Tisch liegen gelassen, für alle sichtbar. Dokumente, die nicht mehr gebraucht werden, werden über den Hausmüll entsorgt oder es werden Software und Dienstleister eingesetzt, die nicht datenschutzkonform sind. Da wir ständig mit solchen Dingen in Berührung kommen, behalten viele die Brisanz nicht im Hinterkopf, weshalb der Datenschutz bei der Ausführung täglicher Aufgaben schlichtweg vergessen wird.

Hauptziel von Datenschutz-Schulungen ist es, Beschäftigte zu sensibilisieren und Ihnen unter Nennung der möglichen Konsequenzen für das Unternehmen, für sie selbst und den betroffenen Personen die Wichtigkeit des Themas klarzumachen. Geraten deren personenbezogenen Daten nämlich in die falschen Hände, können mit diesen Daten auch Cyber-Angriffe verübt werden. Die möglichen negativen Folgen für Betriebe, insbesondere jedoch für betroffene Personen können verheerend sein.

Schulungen im Datenschutz haben grundsätzlich nicht die Aufgabe, den Teilnehmern genau vorzuschreiben, wie sie mit Daten umgehen und wie sie ihren betrieblichen Alltag einrichten müssen um datenschutzkonform zu operieren. Schulungen dienen lediglich dazu, den Datenschutz beim Umgang mit personenbezogenen Daten immer im Hinterkopf zu behalten und Leute daran zu erinnern, dass eine gewisse Vorsicht geboten ist.

Sind Schulungen gesetzlich vorgeschrieben?

Aus dem Gesetz ergibt sich zunächst keine direkte Verpflichtung zur Durchführung und Teilnahme an Schulungen, kann sich jedoch gleichwohl aus der Rechenschaftspflicht einer jeden verantwortlichen Stelle gemäß Art. 5 Abs. 2 DS-GVO ableiten lassen. Darüber hinaus obliegt dem Datenschutzbeauftragten gemäß Art. 39 Abs. 1 lit. b) DS-GVO unter anderem die Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Beschäftigten. Auch hieraus ergibt sich eine indirekte Pflicht zur Schulung im Datenschutz.

Wie oft muss geschult werden?

Auch gibt es keinerlei zwingende Vorgaben, in welchem Rhythmus geschult werden muss. Wir empfehlen jedoch eine Schulung in einem Zweijahresrhythmus. Zudem sollten neue Beschäftigte zeitnah zum Onboarding-Prozesses unterrichtet werden. Berücksichtigt werden sollte auch, dass eine Übersensibilisierung der Beschäftigten ebenfalls negative Folgen, wie beispielsweise eine geringe Akzeptanz oder im schlimmsten Fall gar die Nichtbeachtung zukünftiger Sensibilisierungsmaßnahmen, haben kann.

Was können Inhalte der Schulungen sein?

Nun bleibt lediglich die Frage offen, was genau eine solche Schulung beinhalten muss. Leider – oder vielleicht auch zum Glück – gibt die DS-GVO auch hierzu keine Vorgaben. Dies lässt natürlich einen gewissen Spielraum für etwaige Anpassungen an das jeweilige Unternehmen oder sogar an die jeweilige Abteilung zu. Man kann somit nicht pauschal sagen, welche Inhalte genau angesprochen werden sollen. Dennoch sollten Sie einige Eckpfeiler als Basis für ein solides Grundgerüst einbauen, welche wir Ihnen vorschlagen möchten:

Zunächst ist es sinnvoll die datenschutzrechtlichen Grundbegriffe vorzustellen, wie etwa personenbezogene Daten, Betroffene, Verarbeitung, Auftragsverarbeitung und Einwilligung. Anschließend empfehlen wir auch auf die Grundsätze der Datenverarbeitung i. S. d Art. 5 DS-GVO einzugehen. Weiterhin sollten auch die Themen Beschäftigtendatenschutz sowie die Wahrnehmung und Gewährleistung von Betroffenenrechten dargestellt werden.

Sofern innerhalb der verantwortlichen Stelle viele internationale Anwendungen und Dienstleister zum Einsatz kommen, sollten auch die rechtlichen Risiken im Zusammenhang mit Datenverarbeitungen außerhalb der Europäischen Union sowie die zwingend erforderliche Einbeziehung des Datenschutzbeauftragten bei dieser Thematik verdeutlicht werden. Natürlich empfiehlt es sich auch grundsätzlich auf die Rolle und die Aufgaben des Datenschutzbeauftragten als „Freund und Helfer“ des Verantwortlichen einzugehen – gerade weil die Wahrnehmung in der Realität oftmals eine andere ist.

Besonders empfehlenswert sind auch die kleinen, aber hilfreichen Tipps und Hinweise für den Berufsalltag, mit denen Beschäftigte einen bedeutenden Teil zum Datenschutz beitragen können. Hierzu kann auch auf die Umsetzung der für die Beschäftigten relevanten technischen und organisatorischen Maßnahmen gehören.

Unbedingt sollte zudem auf die Thematik der Datenschutzverletzung eingegangen werden. Beschäftigten ist nahe zu bringen, welche Ereignisse eine Datenschutzverletzung darstellen und wie sie sich in derartigen Fällen zu verhalten, beziehungsweise an welche Personen sie eine solche Datenschutzverletzung zu melden haben. In diese Zusammenhang sollte auch klargestellt werden, aus welchen Gründen es für verantwortliche Stellen essenziell ist, die Regelungen des Datenschutzes einzuhalten und welche Sanktionen im Zweifelsfall drohen können.

Am Ende liegt es bei der verantwortlichen Stelle beziehungsweise bei dem Datenschutzbeauftragten selbst, welche Themen angesprochen werden müssen. Hierbei sollte stets ein Ausgleich zwischen den rechtlichen Anforderungen der verantwortlichen Stelle und den Bedarfen der Beschäftigten realisiert werden. So kann die Datenschutz-Schulung effektiv zur Umsetzung und Einhaltung der datenschutzrechtlichen Anforderungen beitragen. Kommen Sie gern auf uns zu, wenn Sie auch für Ihr Unternehmen oder Ihre Behörde eine auf die Bedarfe der Beschäftigten zugeschnittene Sensibilisierung wünschen!

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Die datenschutzrechtlichen Regelungen sind für eine Vielzahl von Unternehmen und Behörden auch vier Jahre nach Anwendungsbeginn der Datenschutz-Grundverordnung (DS-GVO) noch mit einem nicht zu vernachlässigendem Umsetzungsaufwand verbunden. Zusätzlich finden sich an zahlreichen Stellen Diskussionen über die Sinnhaftigkeit der hiesigen Anforderungen, teilweise wird Datenschutz als Innovationsbremse oder Verhinderer der Digitalisierung bezeichnet. Inmitten dieses Umfelds: in der Gründung befindliche Unternehmen mit innovativen Geschäftsideen und -modellen – Startups. Aus welchen Gründen es empfehlenswert ist, trotz des schlechten Rufs des Datenschutzes, diesen von Beginn an angemessen zu berücksichtigen und in die wachsenden Prozesse einzubinden, zeigen wir im nachfolgenden Beitrag.

Datenschutz als Wettbewerbsvorteil

Insbesondere sofern Produkte oder Dienstleistungen gegenüber anderen Unternehmen angeboten werden sollen, kann eine frühzeitige datenschutzrechtliche Betrachtung und datenschutzkonforme Umsetzung einen entscheidenden Wettbewerbsvorteil gegenüber weiteren Unternehmen mit ähnlichen Produkten oder Dienstleistungen darstellen.

Werden im Rahmen des Produktes oder der Dienstleistung beispielsweise personenbezogene Daten im Auftrag des jeweiligen Kunden verarbeitet, handelt es sich um eine Auftragsverarbeitung im Sinne des Art. 28 DS-GVO. Gemäß Art. 28 Abs. 1 DS-GVO ist der Kunde bereits vor Einsatz eines Produktes oder Inanspruchnahme einer Dienstleistung verpflichtet, eine Überprüfung durchzuführen, ob hinreichende Garantien dafür bestehen, „dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen [der DS-GVO] erfolgt und den Schutz der Rechte der betroffenen Personen gewährleistet.“ Fällt eine solche Überprüfung negativ aus, darf der potenzielle Kunde die Produkte oder Dienstleistungen nicht in Anspruch nehmen.

Aber auch hinsichtlich der bestehenden rechtlichen Problematik im Zusammenhang mit der Übermittlung personenbezogener Daten in datenschutzrechtliche Drittländer kann ein hierzu bestehendes Problembewusstsein für ein Hervorstechen des eigenen Produkts oder der eigenen Dienstleistung sorgen: Innerhalb der Europäischen Union werden zunehmend insbesondere die Folgen der Abhängigkeit von US-amerikanischen IT-Unternehmen spürbar. Gelingt es einem Startup, im Rahmen des eigenen Produkts oder der eigenen Dienstleistung auf einen Rückgriff auf derartige Unternehmen zu verzichten, können die potenziellen Kunden die in diesem Zusammenhang bestehenden rechtlichen Unsicherheiten vermeiden. Auch die Praxis der datenschutzrechtlichen Aufsichtsbehörden zeigt, dass bei gleichwertigen Produkten und Dienstleistungen, der datenschutzfreundlicheren Alternative, beispielsweise derer ohne Drittland-Problematik, der Vorzug zu gewähren ist.

Mehr Menschen erreichen

Doch auch wenn sich das Produkt oder die Dienstleistung direkt an Endverbraucher richtet, kann durch eine datenschutzfreundliche Ausgestaltung womöglich eine größere Zielgruppe erreicht werden. Teilweise wird der Anteil derer, für welche datenschutzrechtliche Belange im Rahmen einer Kaufentscheidung Berücksichtigung finden, massiv unterschätzt. Betrachtet man beispielweise das Deloitte-Papier „Automotive Data Treasure – Fahrzeugdigitalisierung und die Frage nach dem Datenschutz“ aus dem Jahr 2017, ergibt sich hieraus, dass 64% der Befragten angeben, Datenschutz stelle für Sie ein Kaufkriterium dar. Eine ähnliche Umfrage von IBM aus dem Jahr 2018 erzielte hierbei sogar einen Anteil von 73% der Befragten. Darüber hinaus gaben sogar 75% der Befragten an, sie würden unabhängig von der Qualität des Produktes auf den Kauf verzichten, wenn sie nicht auch deren Datenschutz vertrauen könnten.

Diese Zahlen zeigen deutlich, dass auch bei einem Großteil der Endverbrauchern Anforderungen an die Datenschutzkonformität von Produkten bestehen. Weiterhin ist hierzulande seit einigen Jahren eine zunehmende Sensibilisierung der Menschen zu beobachten, wobei die Akzeptanz datenschutzwidriger Datenverarbeitungen, Prozesse und Geschäftsmodelle (leicht) sinkt. Aus den jährlich durch die Aufsichtsbehörden des Bundes und der Länder zu veröffentlichenden Tätigkeitsberichten ist regelmäßig zu entnehmen, dass die Zahlen der Beschwerden betroffener Personen sowie der gemeldeten Datenschutzverletzungen stetig steigen.

Risikominimierung durch Datenschutz

Insoweit dient eine ganzheitliche Betrachtung der datenschutzrechtlichen Anforderungen bereits zu Beginn der Geschäftstätigkeit im eigenen Interesse ebenfalls einer Risikominimierung hinsichtlich der Gefahr aufsichtsbehördlicher Maßnahmen. Schließlich hat nach Art. 77 DS-GVO „jede betroffene Person […] das Recht auf Beschwerde bei einer Aufsichtsbehörde […], wenn die betroffene Person der Ansicht ist, dass die Verarbeitung […] gegen diese Verordnung verstößt.“ Das heißt, grundsätzlich steht allen Nutzenden des Produktes oder Dienstleistungen, hinsichtlich der Internetseite sogar sämtlichen Besuchenden, ein Beschwerderecht zu, sofern diese auch nur der Ansicht sind, der Verantwortliche verstoße gegen datenschutzrechtliche Bestimmungen.

Allein aus dem hieraus erwachsenden Risiko sollte vermehrt eine Betrachtung der datenschutzrechtlichen Aspekte erfolgen. Alternativ ist von einer hohen Risikobereitschaft auszugehen. Unter Berücksichtigung der Sanktionsmöglichkeiten der Aufsichtsbehörden, einschließlich der Möglichkeit zur Untersagung ganzer Datenverarbeitungen, kann dies jedoch kaum den Zielen eines aufstrebenden Unternehmens entsprechen. Weiterhin dürften etwaige Bußgelder, auch wenn diese bei kleineren Unternehmen und Einzelpersonen geringer ausfallen sollten, nicht im Budgetplan enthalten sein. Ein weiteres, nicht zu unterschätzendes finanzielles Risiko stellen zudem Schadenersatzforderungen aufgrund datenschutzrechtlicher Verstöße dar.

Auf Wachstum vorbereitet sein

Begründeter Weise kann der bisherigen Betrachtung entgegengestellt werden, dass die Implementierung datenschutzkonformer Prozesse ebenfalls mit einem erhöhten finanziellen und zeitlichen Aufwand einhergeht. Einerseits sind datenschutzfreundlichere Anwendungen und Systeme zumeist kostenpflichtig, sodass insbesondere in der Gründungsphase zulasten des Datenschutzes auf kostenfreie Alternativen zurückgegriffen wird. Andererseits bedarf es zusätzlich der datenschutzrechtlichen Expertise, welche im Regelfall ebenfalls von extern eingekauft werden muss. In diesem Zusammenhang sollte durch die Unternehmen geprüft werden, ob im Rahmen einer Gründungsfinanzierung ebenfalls eine externe datenschutzrechtliche Beratung bezuschusst werden kann. Bereits in den vergangenen Jahren wurden von öffentlichen Stellen oftmals derartige finanzielle Mittel bereitgestellt, die von den Anspruchsberechtigten jedoch nur unzureichend genutzt wurden.

Auch wenn es für Unternehmen in der Gründungsphase in der Regel einen erhöhten Aufwand darstellt, datenschutzrechtliche Anforderungen bereits von Beginn an umzusetzen, nehmen diese mit zunehmender Etablierung auf dem Markt und wachsendem Kundenstamm weiter zu. Kann in der Wachstumsphase auf bereits bestehende datenschutzrechtliche Strukturen aufgebaut werden, stellt das einen erheblichen Vorteil dar. Alternativ müssten bereits bestehende Prozesse und Abläufe nun erneut überdacht und grundlegend datenschutzkonform ausgestaltet werden. Denn mit zunehmendem Wachstum nimmt auch das Risiko für etwaige Sanktionen bei Missachtung datenschutzrechtlicher Regularien zu. Weiterhin steigt mit dem erwirtschafteten Umsatz entsprechend der Regelungen des Art. 83 DS-GVO die Höhe des potenziellen Bußgeldes.

Fazit

Die Betrachtung zeigt, dass es nicht nur sinnvoll, sondern auch besonders empfehlenswert ist, datenschutzrechtliche Anforderungen von Beginn an angemessen zu berücksichtigen und erforderliche Prozesse zu etablieren. Auf der einen Seite sichert dies bereits in einer frühen Phase den Fortbestand und die Entwicklungsmöglichkeiten des Startups durch die Vermeidung etwaiger Sanktionen, auf der anderen Seite kann hierdurch unter Umständen ebenfalls ein Wettbewerbsvorteil entstehen. Gern können Sie für eine datenschutzrechtliche Beratung einschließlich Fragen zu etwaigen Förderungsmöglichkeiten auf uns zukommen!

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Die steigende Bedeutung von Datenschutz und IT-Sicherheit für die Wirtschaft sind spätestens seit dem Wirkungsbeginn der Datenschutz-Grundverordnung (DS-GVO) auch im Bereich der Landwirtschaft und dem Agribusiness deutlich spürbar. Im Rahmen des letzten Network Digital Livestock (NDL) Digital Agribusiness Leader Workshop wurde der Schutz personenbezogener Daten als Erfolgsfaktor fürs Agribusiness der Zukunft beleuchtet. Einer Kurzdarstellung der wesentlichen Inhalte des Whitepapers widmet sich der nachfolgende Beitrag.

WELCHE PERSONENBEZOGENEN DATEN GIBT ES IM AGRIBUSINESS?

Gemäß Art. 4 Nr. 1 DS-GVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen. Die DSGVO geht in für die personenbezogene Daten zugrunde liegenden Informationen von einem sehr weiten, weil unbeschränkten Verständnis des Informationsbegriffs aus. Erfasst werden bekanntlich alle Informationen aus denen unmittelbar die Identität einer natürlichen Person hervorgeht, aber auch solche Angaben durch die allein die Identifizierung (also die Wiedererkennung) zwar selbst nicht unmittelbar möglich ist, eine entsprechende Identifizierung aber mittels Verknüpfung mit weiteren Informationen hergestellt werden kann. Personenbezogener Daten in der Fütterungsberatung können Futteranalysen, Rationen, MLP und Melkdaten, Kontaktdaten, Gesprächsnotizen und Nachrichten, Bestellhistorien und viele mehr sein. Wichtig ist eine exakte Differenzierung. Nicht all zu selten werden personenbezogene Daten mit den für Unternehmen sensiblen Daten gleichgesetzt. Dies ist allerdings nicht immer zutreffend.

WELCHE GRUNDSÄTZE GELTEN FÜR DIE DATENVERARBEITUNG?

Die DS-GVO enthält in Art. 5 Abs. 1 Grundsätze für die Verarbeitung personenbezogener Daten, an denen sich jeder Datenverarbeitungsvorgang messen lassen muss. Zu diesen Grundsätzen zählen Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit.

Dies bedeutet u.a., dass personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und grundsätzlich nicht für andere Zwecke weiterverarbeitet werden dürfen. Außerdem dürfen nicht mehr personenbezogene Daten erhoben und verarbeitet werden als es für den bestimmten Zweck notwendig und rechtlich zulässig ist. Ist der Zweck der Datenverarbeitung entfallen, dürfen personenbezogene Daten nicht mehr verarbeitet werden. Danach dürfen Sie allenfalls für den Zeitraum von gesetzlich vorgeschriebenen Aufbewahrungspflichten – von den Daten, die noch genutzt werden dürfen, getrennt – gespeichert oder aufbewahrt werden.

Weiter müssen personenbezogene Daten so verarbeitet werden, dass eine angemessene Sicherheit gewährleistet ist, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Hierzu wurden geeignete technische und organisatorische Maßnahmen ergriffen, die zwingend einzuhalten sind. Der aktuelle Ransomware-Angriff auf AGCO-Werke zeigt anschaulich, welche Auswirkungen derartige Bedrohungen haben können. So führte der Angriff auf den Mutterkonzern auch bei dem Landtechnik-Hersteller Fendt zu einem Produktionsstillstand.

WIE WIRD DIE EINHALTUNG DER DATENSCHUTZRECHTLICHEN BESTIMMUNGEN KONTROLLIERT?

Die Einhaltung der datenschutzrechtlichen Bestimmungen wird dreifach kontrolliert:

– Selbstkontrolle (Datenschutzorganisation der verantwortlichen Stelle): Die verantwortliche Stelle trägt dafür Sorge, dass die Abläufe im Unternehmen vollumfänglich den datenschutzrechtlichen Anforderungen entsprechen sowie die technischen und organisatorischen Maßnahmen für die Gewährleistung eines dem Schutzbedarf der verarbeiteten personenbezogenen Daten angemessenen Datenschutzniveaus zur Verfügung stehen. Hierfür hat sie in bestimmten Fällen einen betrieblichen Datenschutzbeauftragten zu bestellen. Weiterhin muss sie u.a. dafür Sorge tragen, dass alle Beschäftigten des Unternehmens zum richtigen Umgang mit personenbezogenen Daten geschult werden.

– Eigenkontrolle (betroffene Personen üben ihre Rechte aus): Einer betroffenen Person (die natürliche Person, deren personenbezogene Daten durch die verantwortliche telle verarbeitet werden) stehen die in den Art. 12 bis Art. 22 DS-GVO niedergelten Rechte zu. Neben dem Recht auf Löschung personenbezogener Daten (Art. 17 DS-GVO) stellt das Auskunftsrecht (Art. 15 DS-GVO) das in der Praxis wohl relevanteste Betroffenenrecht dar. Jede betroffene Person kann Auskunft über die Verarbeitung ihrer personenbezogenen Daten verlangen. Gegebenenfalls ist der betroffenen Person hierfür eine Kopie ihrer personenbezogenen Daten bereitzustellen, wobei dies jedoch nicht die Rechte von anderen Personen beeinträchtigen darf. Werden innerhalb der verantwortlichen Stelle keine personenbezogenen Daten der auskunftsbegehrenden Person verarbeitet, ist auch dies der betroffenen Person mitzuteilen. Außerdem steht betroffenen Person gemäß Art. 77 DS-GVO ein Recht zur Beschwerde bei einer Datenschutzaufsichtsbehörde zu, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DS-GVO verstößt. Darüber hinaus besteht die Möglichkeit nach Art. 82 DS-GVO zivilrechtliche Schadenersatz Ansprüche geltend zu machen.

– Fremdkontrolle (staatliche Kontrolle): Verstöße gegen datenschutzrechtliche Bestimmungen können strafrechtliche Sanktionen nach sich ziehen und sind zudem gemäß Art. 83 und Art. 84 DS-GVO bußgeldbewährt und können mithin von der jeweils zuständigen Datenschutzaufsichtsbehörde in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sanktioniert werden.

FAZIT

Die Einhaltung und Umsetzung der datenschutzrechtlichen Bestimmungen macht auch vor der Landwirtschaft bzw. dem Agribusiness keinen Halt. Um betroffenen verantwortlichen Stellen eine Hilfestellung zu geben, ist der Download eines Whitepapers auf der Seite des NDL in Deutsch und Englisch möglich.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

NORMADRESSATEN

Die Anforderungen aus Art. 25 DS-GVO richten sich grundsätzlich an den Verantwortlichen im Sinne des Art. 4 Nr. 7 DS-GVO und somit an sämtliche öffentliche sowie nicht-öffentliche Stellen, welche personenbezogene Daten in eigener Verantwortlichkeit verarbeiten. Dementsprechend bezieht sich die Normierung ausdrücklich nicht auf Auftragsverarbeiter oder sonstige Anbieter von Produkten und Dienstleistungen, sofern sie nicht selbst als Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO tätig werden. Dennoch ist festzuhalten, dass Auftragsverarbeiter und sonstige Anbieter von Produkten und Dienstleistungen die Auswirkungen des Art. 25 DS-GVO zumindest mittelbar betreffen können.

Art. 28 Abs. 1 DS-GVO setzt hinsichtlich der Auftragsverarbeitung beispielsweise voraus, dass Verantwortliche ausschließlich mit solchen Auftragsverarbeitern zusammenarbeiten, „die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt […].“ Der Erwägungsgrund 78 zur DS-GVO sieht weiterhin vor, dass Hersteller von Produkten, Diensten und Anwendungen zumindest ermutigt werden, die entsprechenden Anforderungen umzusetzen. Abgestellt wird hierbei auf eine Durchgriffswirkung der rechtlichen Verpflichtung des Verantwortlichen und daraus resultierender Nachfragen datenschutzkonformer Produkte und Dienstleistungen gegenüber den Anbietern. Dies kann durch die Verantwortlichen beispielsweise mittels expliziter vertraglicher Regelungen oder Anforderungen im Rahmen von Ausschreibungen konkret gefordert werden.

MÖGLICHKEITEN ZUR UMSETZUNG DATENSCHUTZFREUNDLICHER TECHNIKGESTALTUNG

Zunächst ist zu betonen, dass Art. 25 Abs. 1 DS-GVO konkret fordert, dass eine Umsetzung entsprechender Maßnahmen zur Gewährleistung des Datenschutzes durch Technikgestaltung bereits zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung, das heißt grundsätzlich bereits vor der Aufnahme der jeweiligen Verarbeitung personenbezogener Daten zu erfolgen hat. Diesbezüglich empfiehlt sich bei der Einführung neuer Verarbeitungstätigkeiten neben der Gewährleistung der weiteren Anforderungen aus der DS-GVO auch in Bezug auf Art. 25 DS-GVO die frühestmögliche Einbeziehung des Datenschutzbeauftragten.

Die Formulierung des Art. 25 Abs. 1 DS-GVO stellt zunächst allgemein auf die Umsetzung geeigneter technischer sowie organisatorischer Maßnahmen ab. Weiterhin wird lediglich eine beispielhafte Benennung der Pseudonymisierung zur Erreichung des Grundsatzes der Datenminimierung vorgenommen. Aus Erwägungsgrund 78 zur DS-GVO ergeben sich jedoch weitreichendere Anforderungen: Gemäß Satz 2 sollte der Verantwortliche interne Strategien festlegen, „die insbesondere den Grundsätzen des Datenschutzes […] Genüge tun.“ Dementsprechend sollte der Verantwortliche vor Aufnahme der Verarbeitung dokumentiert festlegen, durch welche konkreten Funktionalitäten und Prozesse die jeweiligen Grundsätze nach Art. 5 Abs. 1 DS-GVO sichergestellt werden können.

Demnach ist beispielsweise anzuführen, dass durch Bereitstellung von Informationspflichten die Transparenz, durch Festlegung eines Berechtigungskonzeptes die Zweckbindung, durch Verschlankung von Systemen die Datenminimierung, durch Festlegung von Meldeprozessen die Richtigkeit, durch Installation einer Löschroutine die Speicherbegrenzung sowie durch Verwendung von Signaturen die Integrität gewährleistet werden. Im Ergebnis muss eine umfassende Darstellung der Gewährleistung der datenschutzrechtlichen Grundsätze dokumentiert nachvollziehbar erkennbar sein. Insofern kann dies auch im Rahmen einer Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO oder der voranzustellenden Risiko-/Schwellenwertanalyse erfolgen.

Darstellungen weiterer möglicher umzusetzender technischer und organisatorischer Maßnahmen ergeben sich darüber hinaus aus den Arbeitspapieren der Europäischen Agentur für Netz- und Informationssicherheit (ENISA) sowie aus den Guidelines 4/2019 des Europäischen Datenschutzausschusses (EDSA).

KRITERIEN UMZUSETZENDER MAßNAHMEN

Nach der Formulierung des Art. 25 Abs. 1 DS-GVO haben die umzusetzenden technischen und organisatorischen Maßnahmen den Stand der Technik, die Implementierungskosten sowie die näheren Umstände der Verarbeitung sowie der sich möglicherweise hieraus ergebenden Risiken für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen. Insoweit muss der Verantwortliche sicherstellen, dass die Ausgestaltung der Verarbeitungstätigkeit aktuellen Leitlinien von Aufsichtsbehörden oder Fachverbänden berücksichtigt, entsprechend der (objektiven) wirtschaftlichen Leistungsfähigkeit des Verantwortlichen verhältnismäßige Maßnahmen realisiert werden sowie etwaige potenzielle Schadenseintritte entsprechend ihren Eintrittswahrscheinlichkeiten und der Schwere des jeweiligen Risikos zu erörtern und abzusichern sind. Auch diesbezügliche Kriterien können in die vorbenannte Risiko-/Schwellenwertanalyse Eingang finden.

Im Ergebnis hat der Verantwortliche hinsichtlich der zu erwartenden Risiken der Verarbeitung wirtschaftlich und technisch angemessene sowie für den effektiven Schutz personenbezogener Daten geeignete Maßnahmen und Prozesse umzusetzen. Dem Verantwortlichen ist hierbei ein umfangreicher Beurteilungsspielraum beizumessen. Dies stellt ihn jedoch nicht grundsätzlich von der Pflicht frei, auf marktübliche Produkte oder Dienstleistungen zu verzichten, sofern ein datenschutzkonformer Einsatz nicht vollumfänglich möglich ist. Im Zweifelsfall ist durch den Verantwortlichen zu prüfen, ob durch Vornahme zusätzlicher Maßnahmen dennoch eine Gewährleistung der datenschutzrechtlichen Grundsätze möglich ist oder gegebenenfalls Alternativen existieren. Erfolgt dies nachweislich nicht, liegt seitens des Verantwortlichen unter Umständen ein fehlerhafter Ermessensgebrauch vor, welcher durch die Aufsichtsbehörden entsprechend beanstandet und sanktioniert werden kann.

UMFANG DATENSCHUTZFREUNDLICHER VOREINSTELLUNGEN

Grundsätzlich setzt Art. 25 Abs. 2 DS-GVO voraus, dass seitens des Verantwortlichen durch entsprechende technische und organisatorische Maßnahmen gewährleistet wird, dass der Umfang der zu verarbeitenden Daten entsprechend des Verarbeitungszwecks auf das absolut erforderliche Minimum reduziert wird. Erreicht werden kann dies, wie auch teilweise in Art. 25 Abs. 2 Satz 2 DS-GVO aufgeführt wird, durch eine Reduzierung der erhobenen personenbezogenen Daten (z.B. durch Reduzierung von Pflichtangaben), einen gemäßigten Umfang der Datenverarbeitung (z.B. durch Verzicht auf Profilbildung), die Festlegung von Speicherfristen (z.B. automatisierte Deaktivierung oder Löschung von inaktiven Nutzenden) sowie eine Beschränkung der Zugänglichkeit (z.B. Einrichtung eines Zugriffskonzeptes). Dabei ist gemäß Art. 25 Abs. 2 Satz 3 DS-GVO zu berücksichtigen, dass derartige Maßnahmen insbesondere dazu geeignet sein müssen, personenbezogene Daten ohne zusätzliches Eingreifen der betroffenen Person vor der Zugänglichmachung gegenüber einem unbestimmten Personenkreis zu schützen. Ändert die betroffene Person jedoch bewusst derartige datenschutzfreundliche Voreinstellungen, ist der Verantwortliche nicht zum Zurücksetzen der Einstellungen verpflichtet.

NACHWEIS DER UMSETZUNG

Wie aus den bisherigen Ausführungen deutlich hervorgeht, lassen die Anforderungen des Art. 25 DS-GVO erheblichen Raum für Argumentationen. Insoweit besteht das Risiko, dass einander entgegenstehende Interessen sowie Rechtsunsicherheiten zu einer unzureichenden Anwendung und einem mangelhaften Nachweis der in Art. 25 DS-GVO dargelegten Anforderungen führen. Dementsprechend gibt Art. 25 Abs. 3 DS-GVO zugleich über genehmigte Zertifizierungsverfahren nach Art. 42 DS-GVO einen entsprechenden Faktor zum Nachweis der entsprechenden Anforderungen an die Hand.

Darüber hinaus empfiehlt sich für Verantwortliche die Festlegung von verbindlichen Leitlinien und internen Strategien, insbesondere zur Gewährleistung der datenschutzrechtlichen Grundsätze sowie deren Nachweis. Weiterhin kann an bestehende Dokumentationen angeknüpft und eine Darstellung potenzieller Risiken und etwaiger Abhilfemaßnahmen im Rahmen einer Risiko-/Schwellenwertanalyse, einer Datenschutz-Folgenabschätzung oder dem Verzeichnis der Verarbeitungstätigkeiten erfolgen.

FAZIT

Zusammenfassend ist festzuhalten, dass es sich bei den Anforderungen aus Art. 25 DS-GVO um eine besonders weitreichende und teilweise schwer zu fassende Thematik handelt. Verantwortliche sollten die Problematik in Abstimmung mit dem Datenschutzbeauftragten zwingend umfassend erörtern sowie notwendige und auf die Verarbeitungstätigkeiten abgestimmte technische und organisatorische Maßnahmen treffen. Zuvor verbindlich festgelegte Leitlinien können insbesondere dabei helfen, die eigentliche Zielsetzung nicht aus dem Blick zu verlieren.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

BEGRIFF DES VERANTWORTLICHEN

Der Begriff des Verantwortlichen (auch „verantwortliche Stelle“) ist in Art. 4 Nr. 7 DS-GVO legaldefiniert. Verantwortlicher ist demnach „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, […].“ Entscheidend für die Feststellung und Abgrenzung einer verantwortlichen Stelle ist demnach, dass die entsprechende Stelle tatsächlich über die Entscheidungsbefugnis hinsichtlich Zwecke und Mittel, das heißt über das „ob“, „warum“ und „wie“, einer Datenverarbeitung verfügt. Sie unterscheidet sich damit beispielsweise grundsätzlich von einem Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DS-GVO, welcher Datenverarbeitungen stets strikt nach Weisung und im Auftrag einer verantwortlichen Stelle durchführt.

Aus der Legaldefinition des Begriffs der verantwortlichen Stelle folgt demnach auch, dass Datenverarbeitungen von Einzelpersonen oder Personengruppen, die einen Bezug  zu einem Beschäftigtenverhältnis oder einer ähnlich gearteten Tätigkeit aufweisen, grundsätzlich der übergeordneten Stelle, zum Beispiel dem Arbeitgeber, zuzurechnen sind. Führt eine einzelne Person in dieser Konstellation jedoch Datenverarbeitungen zu eigenen Zwecken durch und handelt in diesem Zusammenhang etwa gegen Anweisungen oder Richtlinien der übergeordneten Stelle, ist unter Umständen auch diese als verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DS-GVO anzusehen. Hierbei ist jedoch nicht auszuschließen, dass die übergeordnete Stelle aufgrund unzureichender technischer und organisatorischer Maßnahmen zumindest eine Mitverantwortung trifft.

KOMMUNE ALS VERANTWORTLICHER

Aus der obigen Darstellung ergibt sich somit ohne Zweifel, dass die einzelnen Fachbereiche und Ämter einer Kommune der Kommune selbst als verantwortlicher Stelle zuzurechnen sind. Unter Umständen weniger eindeutig ist dies jedoch bei einzelnen Gremien oder weiteren Stellen und Einrichtungen:

PERSONALRAT

Parallel zu der Frage, ob der Betriebsrat als Teil der verantwortlichen Stelle anzusehen ist, stellte sich diese Frage ebenso lange Zeit hinsichtlich des Personalrates. Auch wenn es in den landesspezifischen Personalvertretungsgesetzen überwiegend keine zu § 79a Betriebsverfassungsgesetz vergleichbare Regelungen gibt, sprechen die zum Teil hervorgebrachten Argumente für eine Zuordnung zur Kommune als verantwortliche Stelle. Im Ergebnis ergibt sich für den Personalrat eine Mitwirkungsverpflichtung zur Einhaltung der datenschutzrechtlichen Grundsätze sowie zur Umsetzung der datenschutzrechtlichen Dokumentationspflichten, jedoch keine ausschließliche Verantwortlichkeit im Sinne des Art. 4 Nr. 7 DS-GVO.

GEMEINDE-/STADTRAT

Der Gemeinde-/Stadtrat ist grundsätzlich als Verwaltungsorgan und mithin als Organ der jeweiligen Gemeinde beziehungsweise Stadt anzusehen. Als Organ ist der Gemeinde-/Stadtrat demzufolge als integrierter Bestandteil der jeweiligen Gebietskörperschaft als juristischer Person und mithin nicht als eigene verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DS-GVO zu verstehen. Dies geht beispielsweise auch aus der Informationsbroschüre „Datenschutz für bayerische Gemeinderatsmitglieder“ hervor: „Als ehrenamtliches Gemeinderatsmitglied entscheiden Sie nicht im eigenen Namen und meist auch nicht allein über Datenverarbeitungen Ihrer Gemeinde. Sie wirken vielmehr  an den Entscheidungen des Gemeinderats mit, der seinerseits als Organ für die Gemeinde handelt. Das Handeln dieses Organs wird dann der Gemeinde zugerechnet, mit der Folge, dass sie im Datenschutzrecht die Rolle des Verantwortlichen spielt.“

ORTSCHAFTSRAT

Gleiches gilt im Ergebnis für Ortschaften als nicht rechtsfähige Körperschaften des öffentlichen Rechts sowie die zugehörigen Ortschaftsräte, einschließlich der Ortsvorsteher. Diese sind als unselbständiger Teil der jeweiligen Gemeinde beziehungsweise Stadt anzusehen, sodass die Tätigkeiten des Ortschaftsrates nach datenschutzrechtlichen Gesichtspunkten stets der verantwortlichen Stelle der Kommune zuzurechnen sind.

KINDERTAGESSTÄTTEN

Hinsichtlich der Kindertagesstätten ist für die Beurteilung der datenschutzrechtlichen Verantwortlichkeit zunächst die Frage nach der jeweiligen Trägerschaft entscheidend. Sofern sich eine Kindertagesstätte in der Trägerschaft der jeweiligen Kommune befindet, ist davon auszugehen, dass die Kommune grundsätzlich über die Zwecke und Mittel der Datenverarbeitungen entscheidet. Dies beschränkt sich dann nicht ausschließlich auf die Vergabe der Kindertagesstättenplätze sondern erstreckt sich auch auf die Datenverarbeitungen innerhalb der Kindertagesstätte, wie zum Beispiel das Führen von Anwesenheitslisten, die Vornahme der Entwicklungsdokumentation sowie die Anfertigung von Foto- und Videoaufnahmen. Etwas anderes gilt dann, sofern sich eine Kindertagesstätte in freier Trägerschaft befindet. Die datenschutzrechtliche Verantwortlichkeit für Datenverarbeitungen im Alltag der Kinder liegt dann beim jeweiligen Träger. Für die Vergabe der Kindertagesstättenplätze verbleibt jedoch die Kommune verantwortliche Stelle.

KULTUR- UND FREIZEITEINRICHTUNGEN

Bei Kultur- und Freizeiteinrichtungen entscheidet sich die datenschutzrechtliche Verantwortlichkeit anhand des konkreten Betreibers: Oftmals werden für den Betrieb derartiger Einrichtungen (gemeinnützige) Gesellschaften gegründet. Hieraus folgt dann, dass diese Gesellschaft als eigenständige juristische Person und nicht die Kommune als Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO einzustufen ist.

UMSETZUNG IN DER PRAXIS

Aufgrund der Strukturen der Kommunalverwaltung und der Vielzahl der Kommune als verantwortliche Stelle zuzurechnender Stellen, Einrichtungen und Organe, ist die Einführung eines umfassenden Datenschutzmanagementsystems zu empfehlen. Aus diesem sollten sich zunächst die Reichweite der datenschutzrechtlichen Verantwortlichkeit der Kommune sowie die hieraus resultierenden Mitwirkungspflichten der einzelnen Personen und Personengruppen (z.B. Gemeinde-/Stadträte, Ortsvorsteher, Beschäftigte der Kindertagesstätten) ergeben. Weiterhin bedarf es der Implementierung von Prozessketten, sodass im Falle von Datenschutzverletzungen oder bei Geltendmachung von Betroffenenrechten sowohl der behördliche Datenschutzbeauftragte als auch die Leitung der verantwortlichen Stelle hiervon unmittelbar Kenntnis erlangen.

Darüber hinaus ist eine weitere Zuweisung von Zuständigkeiten sinnvoll, zum Beispiel: In welchem Rahmen und durch welche Personenkreise erfolgt eine Zuarbeit hinsichtlich der Erstellung und Aktualisierung des Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 DS-GVO sowie der Datenschutzinformationen nach Art. 13 und Art. 14 DS-GVO? Durch welche fachbereichs- oder prozessverantwortliche Stelle erfolgt eine Überprüfung und Aufbewahrung der Verträge zur Auftragsverarbeitung nach Art. 28 DS-GVO beziehungsweise zur gemeinsamen Verantwortlichkeit nach Art. 26 DS-GVO?

Der Kommune obliegt zudem die Gewährleistung der Sicherheit der Verarbeitung nach Art. 32 DS-GVO für alle Ämter, Fachbereiche, Gremien, Organe und Einrichtungen. Dies umfasst beispielsweise regelmäßig die Bereitstellung der notwendigen technischen Infrastruktur (z.B. von Laptops und E-Mail-Postfächern) sowie die entsprechende Absicherung (z.B. Verschlüsselung von Festplatten, Einrichtung von Firewalls und Antiviren-Softwares) dieser. Die Nutzung privater Endgeräte und Postfächer wird datenschutzrechtlich regelmäßig als problematisch bis unzulässig einzustufen sein.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

BERICHTIGUNG

Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen, Art. 16 S. 1 DS-GVO. Unrichtig sind solche Daten, die objektiv nicht mit der Wirklichkeit übereinstimmen. Beispiele sind etwa unzutreffende Angaben zu Name, Adresse oder Geburtsdatum. Der Anspruch bezieht sich grundsätzlich auf Tatsachenangaben und nicht auf Meinungen oder Werturteile. Unerheblich für die Geltendmachung des Anspruchs ist, ob die Daten von Anfang an falsch abgespeichert wurden oder sich die Daten der Person geändert haben.  Der Berichtigungsanspruch des Betroffenen ist ein Interventionsrecht, mit dem er die Rechtslage gestalten kann.

VERVOLLSTÄNDIGUNG

Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten zu verlangen, Art. 16 S. 2 DS-GVO. Unvollständig sind Daten, wenn das Fehlen von Angaben im konkreten Informationszusammenhang zu einer Irreführung oder Missverständnissen führt. Letzteres wäre der Fall, wenn Fehlzeiten eines Arbeitnehmers festgehalten werden, ohne dass nach den Gründen wie Fortbildung, Urlaub oder Krankheit usw. differenziert wird. Vervollständigung kann dem Wortlaut nach nur „unter Berücksichtigung der Zwecke der Verarbeitung“ verlangt werden, wobei der Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DS-GVO maßgeblich zu berücksichtigen ist. Personenbezogene Daten dürfen nur insoweit erhoben werden, als sie zwingend für den jeweiligen Zweck erforderlich sind.

BESCHRÄNKUNG DES RECHTS AUF BERICHTIGUNG

Ausnahmen von der Berichtigungspflicht werden in Art. 16 DS-GVO nicht direkt generiert. Allerdings wird der Union und den nationalen Gesetzgebern durch die Art. 23 sowie Art. 89 Abs. 2 und 3 DS-GVO („Öffnungsklauseln“), die Möglichkeit eröffnet den Berichtigungsanspruch zu beschränken. Von einer solchen Beschränkung hat der deutsche Gesetzgeber zum Beispiel in den §§ 27 Abs. 2 und 28 Abs. 3 Bundesdatenschutzgesetz (BDSG) für Forschungs-, Statistik- und Archivzwecke gebrauch gemacht. Danach kann ein Betroffener seinen Berichtigungsanspruch nicht geltend machen, wenn dadurch die zur Verarbeitung festgelegten Zwecke beeinträchtigt werden.

DER ABLAUF EINES BERICHTIGUNGSPROZESSES

Das Recht der betroffenen Person auf Berichtigung hängt eng mit den Transparenzrechten, insbesondere mit dem Auskunftsrecht nach Art. 15 DS-GVO zusammen. Ohne das Recht auf Auskunft könnte der Betroffene von seinem Berichtigungsrecht nicht Gebrauch machen, denn er wüsste nicht von den falschen Informationen, die über ihn verarbeitet werden.

Grundsätzlich kann ein Berichtigungsantrag von jeder natürlichen Person gestellt werden. Der Antrag unterliegt keinerlei Formanforderungen, kann also schriftlich, mündlich, per E-Mail oder sonst elektronisch gestellt werden. Im Rahmen eines konkreten Antrags auf Berichtigung ist zunächst die Identität des Antragsstellers festzustellen und sodann sind die vorhandenen Datenbestände zu identifizieren. Der Berichtigungsanspruch umfasst sämtliche Datenbestände, in denen die unrichtigen personenbezogenen Daten des Antragstellers gespeichert sind. Die Berichtigung der Daten ist unverzüglich durch eine entsprechende Maßnahme durchzuführen. Bezogen auf den Einzelfall, kann dies durch Veränderung, teilweise oder vollständige Löschung oder Speicherung ergänzender oder neu erhobener Daten erfolgen. Längstens ist der Antragsteller nach einer absoluten Frist von einem Monat über die Entscheidung bzw. Maßnahmen des Berichtigungsantrages zu informieren. Sofern die Frist unter Berücksichtigung der Komplexität des Antrags nicht eingehalten werden kann, ist eine Verlängerung um weitere zwei Monate möglich. Der Antragsteller ist unter Angaben von Gründen zu informieren.

Hat der Verantwortliche die gespeicherten personenbezogenen Daten des Antragstellers an Dritte übermittelt, müssen auch diese über die Berichtigung der Daten informiert werden, sofern dies vernünftigerweise möglich ist. Alle zur Berichtigung ergriffenen Maßnahmen, sind unentgeltlich zu erbringen.

VERSTOß GEGEN DAS RECHT AUF BERICHTIGUNG

Verstöße gegen Betroffenenrechte sind keine Kavaliersdelikte. Ein Verstoß gegen das Recht auf Berichtigung, kann mit Geldbußen entsprechend des Art. 83 Abs. 5 lit. b DS-GVO geahndet werden. Daneben steht der betroffenen Person ein Schadensersatzanspruch gemäß Art. 82 DS-GVO zu, soweit ihr durch die Verarbeitung sie betreffender unrichtiger Daten ein materieller oder immaterieller Schaden entstanden ist.

FAZIT

Auf den ersten Blick handelt es sich um eine klare und einfache Regelung, die sich bei näherer Betrachtung als sehr Komplex erweist. Für den Verantwortlichen besteht die Herausforderung vor allem darin, die unterschiedlichen Betroffenenrechte auseinanderzuhalten und die jeweiligen Voraussetzungen zu kennen. Der Berichtigungsanspruch ist zügig, kontrolliert und dokumentiert durchzuführen. Es lohnt sich auch diesen Prozess zu standardisieren und in einem Datenschutzkonzept in einfach umsetzbaren Routinen zu berücksichtigen. 

Über die Autorin: Carolin Rubel ist Rechtsanwältin und als externe Datenschutzbeauftragte beim Dresdner Institut für Datenschutz tätig. Im Fokus ihrer Beratungstätigkeiten liegen neben der Betreuung von Auftraggebern aus den allgemeinen Bereichen Industrie, Handel und Dienstleistung ebenfalls Wohnungsunternehmen sowie kirchliche Stellen und Auftraggeber aus dem Gesundheitsbereich. Für Anregungen und Reaktionen zu diesem Beitrag können Sie die Autorin gern per E-Mail kontaktieren.

WORUM GEHT ES BEI EINEM AUSKUNFTSANSPRUCH?

Die gesetzgeberische Intention hinter der Stärkung der Betroffenenrechte im Kapitel III der DS-GVO ist klar: Schaffung von Transparenz und mithin die Wahrung des Grundsatzes gemäß Art. 5 Abs. 1 lit. a) DS-GVO. Der Auskunftsanspruch ist – soweit auch unstreitig – dem Grunde nach dazu angelegt, die Überprüfung der Rechtmäßigkeit einer Datenverarbeitung durchzuführen und somit letztlich auch der Ausübung des Rechts auf informationelle Selbstbestimmung nachzukommen. In Der Praxis wird der Auskunftsanspruch – insbesondere im arbeitsrechtlichen Prozess – als taktisches Mittel verwendet, um „Druck“ auf die Gegenseite auszuüben und/oder einen Überblick über vorhandene Datenbestände zu erlangen, um unter Umständen Folgeansprüche vorzubereiten.

Neben dem „reinen“ Auskunftsanspruch aus Art. 15 Abs. 1 DS-GVO, wohnt dem Art. 15 Abs. 3 DS-GVO zudem das Recht auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, inne. Darüber hinaus kann das Recht auf Auskunft zur Vorbereitung der Geltendmachung weiterer Betroffenenrechte, beispielsweise des Rechtes auf Berichtigung gemäß Art. 16 DS-GVO oder des Rechtes auf Löschung gemäß Art. 17 DS-GVO dienen.

Allerdings ergeben sich abseits zahlreicher juristischer Streitigkeiten rund um die Reichweite des Anspruchs für Verantwortliche bei der Umsetzung in der Praxis einige inhaltliche sowie prozessuale Herausforderungen, welche im Folgenden näher beleuchtet werden sollen.

WELCHE SCHWIERIGKEITEN BESTEHEN IM RAHMEN EINES AUFKUNFTERSUCHENS?

Bei der Betrachtung des Art. 15 DS-GVO entsteht regelmäßig Diskussionsbedarf, insbesondere in Bezug auf die Fragen:
– Müssen dem Antragsteller auch Daten zur Verfügung gestellt werden, welche ihm bereits vorliegen?
– Muss der Anspruch auf Erhalt einer Kopie gesondert geltend gemacht werden?
– Welchen Umfang entfaltet das Recht auf Erhalt einer Kopie?
– Wann kann der Anspruch auf Erhalt der Kopie beschränkt werden?
– Wann gilt ein Auskunftsbegehren als unverhältnismäßig?

Das Hauptaugenmerk soll nun auf die praktische Umsetzung gelegt werden. Für die Bearbeitung von Auskunftsersuchen genügt insoweit nicht, wenn sich der Blick des Anwenders nur auf Art. 15 DS-GVO richtet. Vielmehr ist eine Gesamtschau mit den Normen aus Art. 4, Art. 11 und Art. 12 DS-GVO notwendig. Außerdem finden sich weitere Bestimmungen – insbesondere zu Ausnahmetatbeständen – im Bundesdatenschutzgesetz (BDSG).

WIE LÄUFT EIN AUSKUNFTSPROZESS AB?

Den Stein des Anstoßes bei einem Auskunftsprozess bildet der Antrag des Betroffenen, vgl. Art. 12 Abs. 2 Satz 1 DS-GVO. Der Verantwortliche ist gemäß Art. 12 Abs. 1 DS-GVO dazu angehalten die Betroffenen bei der Wahrnehmung ihrer Rechte zu unterstützen. Eingehen können Betroffenenanfragen auf allen denkbaren Kommunikationskanälen der verantwortlichen Stelle. Unter Umständen ist eine Auslegung der Anfrage notwendig, insbesondere wenn der Betroffene sich nicht ausdrücklich auf Art. 15 DS-GVO beruft – was er selbstverständlich nicht muss. Es genügt insoweit ein formloser Antrag, welcher keiner Begründung bedarf. Damit Verantwortliche weiterführende Datenschutzverstöße vermeiden können, empfiehlt sich strengstens die Identität des Antragstellers zu überprüfen. Über das exakte Vorgehen haben wir bereits berichtet. Es ist dem Antragsteller ebenfalls unbenommen in zwei Stufen vorzugehen:
– zunächst kann die betroffene Person eine Bestätigung verlangen, ob bei dem Verantwortlichen sie betreffende personenbezogene Daten verarbeitet werden;
– um bejahendenfalls auf einer zweiten Stufe um Auskunft über diese personenbezogenen Daten sowie die Informationen des Art. 15 Abs. 1 lit. a) bis h) DS-GVO zu verlangen.

Verarbeitet der Verantwortliche große Mengen an Informationen, besteht nach Erwägungsgrund (ErwG) 63 S. 7 DS-GVO die Möglichkeit, dass er vom Betroffenen verlangen kann, dass dieser seine Anfrage derart präzisiert, auf welche Informationen oder welche Verarbeitungsvorgänge sich das Auskunftsersuchen konkret bezieht.

Um auf Auskunftsersuchen beziehungsweise allgemein Betroffenenanfragen fristgerecht (unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags gemäß Art. 12 Abs. 3 DS-GVO) empfiehlt sich die Implementierung eines Melde- und Bearbeitungsprozesses, beispielsweise durch eine interne Anweisung, Richtlinie oder Policy zum Umgang mit Betroffenenanfragen.  Ein solche Prozess kann folgende Etappen umfassen:
– Antragseingang und gegebenenfalls Auslegung des Betroffenenbegehren,
– Eingang dokumentieren und Frist für die Beantwortung notieren,
– Eingangsbestätigung an den Antragsteller senden (vgl. Art. 5 Abs. 2 DS-GVO),
– Identitätsprüfung durchführen,
– Vorliegen von Beschränkungen prüfen (vgl. Art. 15 Abs. 4 DS-GVO, §§ 29, 34 BDSG etc.),
– Datenbestände prüfen,
– gegebenenfalls Fristverlängerung begründen (vgl. Art. 12 Abs. 3 Satz 2 DS-GVO),
– Form der Beantwortung einhalten (schriftlich/elektronisch, jedenfalls identischer Kommunikationsweg),
– Auskunft oder Negativauskunft erteilen (aufgrund fehlenden Identitätsnachweises, dem Vorliegen von Beschränkungen, kein Vorliegen von Datenbeständen etc.),
– Kopie der personenbezogenen Daten zur Verfügung stellen,
– Ausgang der Antwort dokumentieren und Frist streichen,
– gesetzliche Aufbewahrungsfrist von Betroffenenanfragen einhalten (Art. 83 und Art. 5 DS-GVO, § 41 BDSG, § 31 Gesetz über Ordnungswidrigkeiten (OWiG)).

Nicht nur aus Gründen zur Erfüllung der Rechenschaftspflicht und im Sinne eines funktionierenden Managementsystems empfiehlt sich die Initiierung und Fortschreibung eines solchen Prozesses. Vielmehr kann ein vorgeschriebener Ablauf bei den Anwendern – also den Beschäftigten der verantwortlichen Stelle – für Sicherheit im Umgang mit Betroffenenanfragen sorgen.

WELCHE KONSEQUENZEN DROHEN BEI FEHLERHAFTEN AUSKUNFTSPROZESSEN?

Die Folgen von unterbliebenen beziehungsweise verspätet erteilten Auskünften liegen auf der Hand: Es besteht das Risiko eines Gesetzesverstoßes, welcher durch eine Aufsichtsbehörde geahndet werden kann, beispielsweise im Rahmen der Sanktionierung von Art. 83 DS-GVO. Daneben steht den Betroffenen die Möglichkeit der Geltendmachung eines Schadenersatzanspruches gemäß Art. 82 DS-GVO zu, wobei es hier aber zentral auf die Nachweisbarkeit eines konkreten Schadens ankommen wird.

FAZIT

Unabdingbar für die (fristgerechte) Bearbeitung von Betroffenenanfragen ist die Etablierung entsprechender Prozesse mitsamt Dokumentation der konkreten Einzelfälle. Hilfestellungen zum Umgang mit Anfragen Betroffener in der Praxis finden sich unter anderem beim Bayrischen Landesamt für Datenschutzaufsicht sowie beim Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.