Betroffene Personen sind in präziser, transparenter, verständlicher und leicht zugänglicher Form, in einer klaren und einfachen Sprache über die Verarbeitung personenbezogener Daten zu informieren. Doch wie präzise ist präzise genug? In einer kürzlichen Veröffentlichung umriss die Berliner Beauftragte für Datenschutz und Informationsfreiheit typische Fehler in Datenschutzinformationen. Darunter auch der Hinweis, dass – obwohl interne Empfänger konkret bekannt sind – in einer Datenschutzinformation ausschließlich Kategorien interner Empfänger benannt werden. Diese Forderung zur Nennung konkreter interner Empfänger ist nicht unumstritten und zum Stand Mitte August wurde die Mitteilung der Berliner Aufsichtsbehörde nun von der Internetseite genommen. Wir fragen uns: Wie präzise muss eine Datenschutzinformation sein?

Gesetzliche Anforderungen

Neben den einleitend aufgeführten formalen Anforderungen gemäß Art. 12 Abs. 1 Satz 1 DS-GVO an eine Datenschutzinformation, muss diese ebenfalls den inhaltlichen Anforderungen der Artikel 13 und 14 DS-GVO genügen. In der Regel sind die Datenschutzinformationen den betroffenen Personen zum Zeitpunkt der Erhebung der personenbezogenen Daten bereitzustellen. Zudem sollten die Informationen in der Sprache der Zielgruppe bereitgehalten werden. Sofern beispielsweise eine Internetseite in mehreren Sprachen angeboten wird, sind in den gleichen Sprachen auch die Datenschutzinformationen zur Verfügung zu stellen.

Zweck einer Datenschutzinformation

Erwägungsgrund 60 zur DS-GVO führt aus, dass „die Grundsätze einer fairen und transparenten Verarbeitung […] es erforderlich [machen], dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird.“ Und: „Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten.“

In eigenen Worten ausgedrückt bedeutet es, dass einerseits jede von einer Datenverarbeitung betroffene Person darüber in Kenntnis gesetzt werden muss, dass eine Datenverarbeitung stattfindet und andererseits sämtliche Informationen erhalten muss, die es ihr ermöglichen, den Zweck und Umfang der Datenverarbeitung zu verstehen. Dies wird insbesondere dem Ziel nach Art. 1 Abs. 2 DS-GVO gerecht, das Recht auf den Schutz personenbezogener Daten zu gewährleisten. Dies ist nur möglich, sofern die betroffene Person Interventionsmöglichkeiten in Form von Betroffenenrechten besitzt und als Voraussetzung hierfür zuallererst über das „ob“ und „wie“ einer Datenverarbeitung informiert wird.

„Präzise“ und „verständlich“

Unter Berücksichtigung der einschlägigen Kommentarliteratur kann sodann von einer präzisen Information die Rede sein, wenn diese hinreichend genau die wesentlichen Aspekte der Datenverarbeitung beschreibt. Vorausgesetzt wird demnach eine wahrheitsgetreue Abbildung der Verarbeitungsvorgänge. Eine abschließende Beschreibung einschließlich unwesentlicher Details wird jedoch zumindest dann nicht zu fordern sein, sofern hierunter die Verständlichkeit der Datenschutzinformation in ihrer Gesamtheit leidet. Schließlich kann die Verständlichkeit auch als konkrete Anforderung hinsichtlich einer klaren und einfachen Sprache zu verstehen sein.

Die Artikel 29-Gruppe beschreibt in den Leitlinien für Transparenz gemäß der DS-GVO aus April 2018, „dass die Verantwortlichen die Informationen / Mitteilungen auf eine einfache Formel gebracht und griffig formuliert vorlegen sollten, um einer Informationsermüdung vorzubeugen.“ Hieraus wird ersichtlich, dass bei der Erstellung von Datenschutzinformationen auch die Gesamtheit der Informationsfülle zu berücksichtigen ist. Ein solcher Ansatz entspricht auch der Rechtsprechung des Landgericht Frankfurt am Main (Urt. v. 10.6.2016 – 2-03 O 364/15), wonach datenschutzrelevante Darstellungen mit einem Umfang von 56 Seiten im Fließtext  nicht dazu geeignet sind, eine rechtswirksame Einwilligung einzuholen. Stattdessen sollten in einem solchen Fall Datenschutzinformationen in einer mehrschichtigen Form oder mit Unterteilung in sinnvolle Absätze bereitgestellt werden.

Leider lassen sich aus der Rechtsprechung und der Literatur keine griffigen Leitplanken für die Erstellung einer präzisen Datenschutzinformationen entnehmen. Mit einem Blick auf die Praxis der datenschutzrechtlichen Aufsichtsbehörden dürfte durchgehend von der Anforderung einer möglichst umfassenden Erläuterung der Datenschutzinformationen auszugehen sein. Als Ziel steht die möglichst umfassende Aufklärung der betroffenen Person im Vordergrund. Fraglich ist jedoch, ob dies auch tatsächlich im Sinne der betroffenen Personen ist. Entsprechend einer repräsentativen Umfrage aus dem Jahr 2019, lesen sich 73 Prozent deutscher Internetnutzer die bereitgestellten Datenschutzinformationen von Internetdiensten nicht durch, da sie es für „zwecklos“ halten.

Benennung von Empfängern

Mit Blick auf die eingangs dargestellte Auffassung der Berliner Aufsichtsbehörde, wonach auch interne Empfänger in einer Datenschutzinformation zu benennen sind, können im Sinne einer präzisen und verständlichen Datenschutzinformation sicherlich Pro- und Kontra-Argumente gefunden werden. Ausschlaggebend dürfte hierbei jedoch vielmehr die Definition des Empfängers gemäß Art. 4 Nr. 9 Satz 1 DS-GVO sein. Demnach handelt es sich bei einem Empfänger, um „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht.“

Nach der wohl herrschenden Literaturauffassung kann es sich bei Empfängern ausschließlich um Stellen außerhalb des Verantwortlichen bzw. um Stellen mit einem gewissen Grad an Eigenständigkeit handeln. Diese Auffassung scheint insbesondere mit Blick auf die Regelung des Art. 19 DS-GVO zutreffend. Hierbei besteht für den Verantwortlichen die Pflicht, allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede seitens betroffener Personen geforderte Berichtigung, Löschung oder Einschränkung der Verarbeitung mitzuteilen, die diese personenbezogenen Daten betreffen. Sinnfrei wäre eine gesetzliche Verpflichtung zur Mitteilung des Verantwortlichen an die eigenen Beschäftigten, obwohl dem Verantwortlichen selbst die Gewährleistung der Betroffenenrechte obliegt.

Selbst wenn die Regelung des Art. 4 Nr. 9 Satz 1 DS-GVO bzw. Art. 13 Abs. 1 lit. e) DS-GVO dahingehend zu verstehen ist, interne Empfänger im Rahmen einer Datenschutzinformation anzugeben, erscheint eine Angabe der Kategorien von Empfängern (z.B. Beschäftigte der Personalabteilung) gegenüber der Nennung konkreter Personen (z.B. Herr Müller, Frau Meier) bereits aus datenschutzrechtlichen Gesichtspunkten vorzugswürdig.

Fazit

Die Darstellungen zeigen, dass hinsichtlich der konkreten Anforderungen an eine gesetzeskonforme Datenschutzinformation eine gewisse Unschärfe besteht. Datenschutzinformationen müssen einerseits die Datenverarbeitung zutreffend beschreiben, andererseits muss jedoch auch die Gefahr der Informationsermüdung gebührend berücksichtigt werden. Dabei scheinen auch die tatsächlichen Anforderungen der betroffenen Personen und der Aufsichtsbehörden deutlich auseinander zu gehen. Anhand der Veröffentlichung der Berliner Aufsichtsbehörde wird jedoch auch deutlich, dass nicht alle Ausführungen einer Aufsichtsbehörde zwingend den zutreffenden Rechtsstand wiedergeben.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Wie kommunizieren Sie Datenschutz? Bei der Betrachtung der datenschutzrechtlichen Anforderungen stehen meist die diversen Dokumentationspflichten des Verantwortlichen, beispielsweise die Bereitstellung von Datenschutzinformationen gemäß Art. 13 DS-GVO , die vertragliche Einbindung externer Dienstleister im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DS-GVO oder die Erstellung des Verzeichnisses der Verarbeitungstätigkeiten gemäß Art. 30 DS-GVO im Fokus. Gleichwohl diese Dokumentationspflichten einen zentralen Aspekt der datenschutzrechtlichen Normierungen darstellen, kann in der alltäglichen Datenschutz-Praxis die richtige Kommunikation dieser Thematik einen sehr großen Einfluss auf die erfolgreiche Umsetzung der gesetzlichen Anforderungen nehmen. Nachdem wir uns in der vergangenen Woche bereits die Erwartungen der beteiligten Akteure sowie die interne Kommunikation angesehen haben, setzen wir uns heute mit der externen Kommunikation auseinander.

Datenschutz extern kommunizieren

Verantwortliche sollten sich grundsätzlich bewusst sein, dass sämtliche Datenverarbeitungen und Datenschutzinformationen, welche für Externe einsehbar sind, ihr datenschutzrechtliches Aushängeschild darstellen. Im Rahmen der Werkzeuge digitaler Kommunikation betrifft dies insbesondere die bereits erwähnten Internetseiten, Präsenzen in sozialen Netzwerken und Apps. Die Einbeziehung datenschutzrechtlicher Expertise kommt jedoch in diesem Bereich häufig zu kurz.

Durch Verantwortliche wird regelmäßig die Begründung des Missverhältnisses zwischen Aufwand und Nutzen einer detaillierten datenschutzrechtlichen Betrachtung sowie einer vollständig datenschutzkonformen Umsetzung der Datenverarbeitungen vorangestellt. Grundsätzlich wird jedoch im Rahmen der Umsetzung rechtlicher Anforderungen ein Vergleich von Aufwand und Nutzen nur in seltenen Fällen zugunsten des (wirtschaftlichen) Nutzens ausfallen. Hingegen ist regelmäßig eine Abwägung zwischen Aufwand und Risikobereitschaft zu empfehlen. Schließlich hat nach Art. 77 DS-GVO „jede betroffene Person […] das Recht auf Beschwerde bei einer Aufsichtsbehörde […], wenn die betroffene Person der Ansicht ist, dass die Verarbeitung […] gegen diese Verordnung verstößt.“ Das heißt, grundsätzlich steht allen Nutzenden der diversen Kommunikationskanäle ein Beschwerderecht zu, sofern diese auch nur der Ansicht sind, der Verantwortliche verstoße gegen datenschutzrechtliche Bestimmungen. Allein aus dem hieraus erwachsenden Risiko sollte vermehrt eine Betrachtung der datenschutzrechtlichen Aspekte erfolgen. Alternativ ist von einer hohen Risikobereitschaft auszugehen. Unter Berücksichtigung der Sanktionsmöglichkeiten der Aufsichtsbehörden, einschließlich der Möglichkeit zur Untersagung ganzer Datenverarbeitungen, kann dies jedoch kaum den Zielen einer erfolgreichen digitalen Kommunikation entsprechen.

Aufgrund der Komplexität und des Zusammenwirkens der rechtlichen Materie sowie der zahlreichen technischen Aspekte, ist im Rahmen digitaler Kommunikationsmittel stets der Datenschutzbeauftragte einzubeziehen. Mit diesem gemeinsam sollte ebenfalls die Erstellung der erforderlichen Datenschutzinformationen nach Art. 13 DS-GVO (auch „Datenschutzerklärungen“ genannt) erfolgen. Dabei ist unbedingt zu berücksichtigen, dass sowohl das Interesse als auch die Akzeptanz von ausufernden Datenschutzinformationen meist gering ist. Freilich muss eine solche Information inhaltlich den rechtlichen Anforderungen genügen, dies bedeutet jedoch keine Pflicht zum Füllen einer solchen mit inhaltsleeren Floskeln. Beispielsweise kann die Formulierung „Wir freuen uns sehr über Ihr Interesse an unserem Unternehmen. Datenschutz hat einen besonders hohen Stellenwert für die Geschäftsleitung. […]“ nicht überzeugen und wirkt nahezu ironisch, wenn die Datenverarbeitungen und Informationen erkennen lassen, dass es dem Verantwortlichen deutlich an datenschutzrechtlicher Expertise oder Willen mangelt. Auch ein häufig vorkommendes Zitieren der einzelnen Begriffsbestimmungen nach Art. 4 DS-GVO wird durch keine einzige datenschutzrechtliche Norm gefordert und führt lediglich zum ergebnislosen Aufblähen einer, dem Normtext nach, der Transparenz dienenden Erläuterung der Datenverarbeitungen.

Unumstritten bedingt eine solche Formulierung der Datenschutzinformationen einer detaillierten Auseinandersetzung mit den jeweiligen Datenverarbeitungen. Dies kann zugleich als Chance gesehen werden, die jeweiligen Datenverarbeitungen zu betrachten und deren zwingende Erforderlichkeit zu hinterfragen. In der Praxis kommt es nicht selten vor, dass im Rahmen der Nutzung von Analysesoftwares nur ein Bruchteil der Ergebnisse für die tatsächliche Auswertung, z.B. der Reichweitenanalyse, benötigt werden. Gängige Anbieter ermöglichen beispielsweise detaillierte Aussagen über bestimmte demografische Merkmale und Interessen der Nutzenden. Werden diese Kategorien personenbezogener Daten für die tatsächliche Auswertung nicht zwingend benötigt, widerspricht eine solche Datenverarbeitung dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c) DS-GVO und ist mithin unzulässig.

Weiterhin dürfen im Rahmen einer Datenschutzinformation ausschließlich Datenverarbeitungen beschrieben werden, welche tatsächlich auch in dieser Form bei einer Nutzung erfolgen. Oftmals finden sich in Datenschutzinformationen Ausführungen zur Nutzung einer externen Videoplattform, obwohl keine Videos über externe Dienste eingebettet werden. Auf Anfrage heißt es dann meist, dass die aufgeführte Videoplattform in Zukunft durchaus genutzt werden könnte und der entsprechende Textabschnitt für mögliche Änderungen bestehen bleibt. Nach überwiegender Auffassung handelt es sich in diesen Fällen um eine unzutreffende und damit intransparente Datenschutzinformation, somit um einen Verstoß gegen Art. 5 Abs. 1 lit. a), Art. 12 Abs. 1 Satz 1 sowie Art. 13 DS-GVO. In diesem Zusammenhang ist ebenfalls darauf hinzuweisen, dass sogenannte „Generatoren für Datenschutzerklärungen“ ausschließlich mit Vorsicht zu gebrauchen sind. Sie ermöglichen bereits mit wenigen Klicks die Erstellung umfassender Datenschutzinformationen, welche meist jedoch nicht auf die Besonderheiten einer Internetseite angepasst sind. Werden digitale Kommunikationskanäle mehrsprachig zur Verfügung gestellt, ist in den gleichen Sprachen ebenfalls die Datenschutzinformation bereitzustellen.

Datenverarbeitungen, welche zur Darstellung einer Internetseite oder zur Bereitstellung einer App technisch nicht zwingend erforderlich sind, bedürfen darüber hinaus in der Regel einer informierten und freiwilligen Einwilligung der jeweiligen Nutzenden. Hierunter fallen insbesondere Analysedienste, Implementierungen von Medieninhalten über externe Dienstleister sowie das Setzen entsprechender Cookies. Nach Erwägungsgrund 32 zur DS-GVO erfordert eine Einwilligung stets „eine eindeutige bestätigende Handlung“, womit die betroffene Person „unmissverständlich bekundet“, dass sie mit der Verarbeitung personenbezogener Daten einverstanden ist. Unzulässig sind dementsprechend sogenannte Cookie-Banner, welche den Nutzenden keine tatsächliche Wahl über das Setzen von Cookies oder die Vornahme weiterer Datenverarbeitungen lassen. Hierzu zählen beispielsweise Cookie-Banner mit der folgenden Formulierung: „Wir verwenden Cookies. Durch den Besuch der Internetseite erklären Sie sich mit der Verwendung von Cookies einverstanden.“ Umstritten ist das sogenannte „Nudging“ und die Verwendung sogenannter „Dark Patterns“. Hierbei werden Cookie-Banner so dargestellt, dass Nutzende zur Einwilligung in die weitere Datenverarbeitung geführt werden. Dies wird in der Regel visuell durch das farbliche Hervorheben des Buttons zur Einwilligung und das Erschweren der Ablehnung der Datenverarbeitung realisiert. Die Anwendung derartiger Techniken kann in der Regel nicht mit den Grundsätzen der Fairness, Transparenz und Datenminimierung in Einklang gebracht werden.

Abschließend ist auf einen in der Praxis weit verbreiteten Fehler hinzuweisen: Die dargestellten Transparenzanforderungen im Zusammenhang mit Datenschutzinformationen gelten ebenfalls für Präsenzen in sozialen Netzwerken. Das heißt, auch für diese digitale Kommunikationskanäle ist zu beschreiben, welche konkreten Datenverarbeitungen durch den Verantwortlichen sowie den Betreiber des sozialen Netzwerks als sogenannten gemeinsamen Verantwortlichen durchgeführt werden. Hierbei reicht es nicht aus und stellt ebenfalls einen Verstoß gegen datenschutzrechtliche Anforderungen dar, sofern ausschließlich eine Verlinkung auf die Datenschutzinformation der Internetseite erfolgt. Jeder Kommunikationskanal bedarf einer separaten Beschreibung der jeweils vorgenommenen Datenverarbeitungen. Die Implementierung derartiger Informationen gestaltet sich hingegen schwierig. Während einige soziale Netzwerke für die Verlinkung separate Felder vorsehen, muss in anderen sozialen Netzwerken die Biografie oder der Link zur Internetseite verwendet werden, um Datenschutzinformationen bereitstellen zu können. In diesem Zusammenhang eignen sich extra hierfür angelegte Landingpages.

Fazit

Bei der Betrachtung der Umsetzung datenschutzrechtlicher Anforderungen stehen die Dokumentationspflichten im Fokus. Dabei ist jedoch zwingend zu berücksichtigen, dass Datenschutz nicht von der Dokumentation, sondern insbesondere von der praktischen Umsetzung und einer angemessenen Kommunikation lebt. Eine besondere Herausforderung besteht dabei in den unterschiedlichen Erwartungen der jeweiligen Akteure. Um die datenschutzrechtlichen Anforderungen und Erwartungen umfassend umzusetzen, bedarf es einer funktionierenden Datenschutzorganisation und der Möglichkeit Missstände und Verbesserungspotenziale offen zu kommunizieren. Dem Datenschutzbeauftragten kommt hier eine zentrale Rolle zu, gleichwohl er nicht für die tatsächliche Umsetzung verantwortlich ist. Zusätzlich können Dienstleister einen entscheidenden Beitrag zur datenschutzkonformen Verarbeitung personenbezogener Daten leisten. Insbesondere im Rahmen der Erstellung und Bereitstellung digitaler Kommunikationskanäle empfiehlt sich die Aufnahme etwaiger Anforderungen in den Dienstleistungsverträgen. Schließlich stellen Internetseiten, Präsenzen in sozialen Netzwerken und Apps sowie deren Datenschutzinformationen das datenschutzrechtliche Aushängeschild des Verantwortlichen dar. Aufgrund der Komplexität der Thematik sowie der rechtlichen Risiken, empfiehlt sich stets die Einbindung des Datenschutzbeauftragten und eine detaillierte Auseinandersetzung mit den rechtlichen Anforderungen. Es sind eine Vielzahl von Besonderheiten zu berücksichtigen, jedoch zeigt sich in der Praxis, dass oftmals auch mit geringem wirtschaftlichem Aufwand in einigen Bereichen ein enormes Potenzial für datenschutzkonforme Lösungen vorhanden ist. Auf die rechtlichen Grundvoraussetzungen haben Verantwortliche keinen Einfluss, gleichwohl aber wie sie mit diesen umgehen können und wollen. Frei nach Art. 25 DS-GVO gilt: Datenschutz ist Einstellungssache. Dies betrifft gleichermaßen Mensch und Maschine.

Dieser Beitrag war ein Bestandteil der Jahrestagung des Sächsischen Museumsbundes e.V. unter dem Titel „Museen und digitale Kommunikation“
am 21. März 2022 in Hoyerswerda.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Wie kommunizieren Sie Datenschutz? Bei der Betrachtung der datenschutzrechtlichen Anforderungen stehen meist die diversen Dokumentationspflichten des Verantwortlichen, beispielsweise die Bereitstellung von Datenschutzinformationen gemäß Art. 13 DS-GVO , die vertragliche Einbindung externer Dienstleister im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DS-GVO oder die Erstellung des Verzeichnisses der Verarbeitungstätigkeiten gemäß Art. 30 DS-GVO im Fokus. Gleichwohl diese Dokumentationspflichten einen zentralen Aspekt der datenschutzrechtlichen Normierungen darstellen, kann in der alltäglichen Datenschutz-Praxis die richtige Kommunikation dieser Thematik einen sehr großen Einfluss auf die erfolgreiche Umsetzung der gesetzlichen Anforderungen nehmen.

Erwartungen der unterschiedlichen Akteure

Mit Blick auf die Normen der DS-GVO ergeben sich drei wesentliche Akteure, deren Interessen und Erwartungen in Einklang gebracht und bei einer Kommunikation angemessen zu berücksichtigen sind.

Als erste Gruppe sind die Verantwortlichen zu benennen. Gemäß Art. 4 Nr. 7 DS-GVO handelt es sich hierbei um eine natürliche oder juristische Person, welche allein oder gemeinsam mit anderen Verantwortlichen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Verpflichtungen in seinem Verantwortungsbereich zuständig. Bietet ein Unternehmen oder eine Behörde eine Internetseite, eine Präsenz in einem sozialen Netzwerk oder eine App an, so entscheidet diese(s) über den Zweck (z.B. Informationsportal für die Zielgruppe) und die Mittel (Bereitstellung einer Internetseite, einer Präsenz in einem sozialen Netzwerk oder einer App) der Verarbeitung personenbezogener Daten. Das Unternehmen bzw. die Behörde ist im Rahmen dieser Verarbeitung für die Einhaltung der datenschutzrechtlichen Normierungen verantwortlich.

Darüber hinaus sind die sogenannten betroffenen Personen anzuführen. Als betroffene Person bezeichnet die DS-GVO im Rahmen des Art. 4 Nr. 1 diejenigen natürlichen Personen, deren personenbezogene Daten verarbeitet werden. Den betroffenen Personen stehen insbesondere in Kapitel III der DS-GVO zahlreiche Rechte zu, beispielsweise die Bereitstellung transparenter Informationen über die jeweilige Datenverarbeitung, das Auskunftsrecht sowie das Recht auf Löschung. Über die Wahrnehmung der Rechte ist es den betroffenen Personen zumindest partiell jederzeit möglich, die Einhaltung des Datenschutzes durch den Verantwortlichen zu überprüfen.

Abschließend zu nennen sind die jeweils zuständigen datenschutzrechtlichen Aufsichtsbehörden des Bundes, der Länder bzw. der evangelischen und katholischen Kirchen. Ihre Aufgaben sind insbesondere die Durchsetzung und Überwachung sowie die Sensibilisierung hinsichtlich der datenschutzrechtlichen Anforderungen. Zur Durchsetzung können sich die Aufsichtsbehörden eines breiten Spektrums von Sanktionsmöglichkeiten, wie beispielsweise der Verhängung von Bußgeldern oder der Untersagung von Verarbeitungstätigkeiten bedienen.

Das Interesse bzw. die Erwartung aller genannten Akteure besteht zunächst in einer datenschutzkonformen Verarbeitung personenbezogener Daten, unterscheidet sich jedoch zunehmend im Detail. Während seitens der Verantwortlichen das Datenschutzrecht oftmals als „Verhinderer“ wahrgenommen wird, streben diese nach praxisnahen Lösungen, die den datenschutzrechtlichen Anforderungen (weitestgehend) entsprechen, jedoch zugleich die Geschäftstätigkeit nicht einschränken. Hierunter leiden oftmals insbesondere die datenschutzrechtlichen Dokumentationspflichten, wobei vor allem im Rahmen der digitalen Kommunikationswerkzeuge und den diesbezüglichen öffentlich einsehbaren Datenschutzinformationen die Folgen für die Verantwortlichen fatal sein können.

Betroffene Personen informieren sich mittels der verpflichtend bereitzustellenden Angaben über die Zwecke sowie die Durchführung der Datenverarbeitungen. Sie setzen diesbezüglich insbesondere eine Nachvollziehbarkeit der Datenverarbeitungen voraus, wobei sie seitens des Verantwortlichen eine hohe Sensibilität bezüglich datenschutzrechtlicher Anforderungen erwarten. Lässt die Darstellung der Datenschutzinformationen eine solche Sensibilität vermissen, beispielsweise da die bereitgestellten Angaben offensichtlich falsch sind oder gar datenschutzwidrige Verarbeitungen abbilden, wenden sich betroffene Personen zunehmend an die jeweils zuständigen Aufsichtsbehörden.

Die Aufsichtsbehörden müssen im Falle derartiger begründeter Eingaben tätig werden, können stets jedoch auch anlasslose Kontrolle durchführen. Dabei setzten die Aufsichtsbehörden seitens des Verantwortlichen stets ein hohes Bewusstsein für die durchgeführten Datenverarbeitungen voraus. Eine solche sollte sich insbesondere aus der Aktualität, Vollständigkeit und Richtigkeit der datenschutzrechtlichen Dokumentationen ergeben. Den Ansatzpunkt einer Überprüfung digitaler Kommunikationswerkzeuge stellen dabei zunächst die bereitgestellten Datenschutzinformationen sowie eine Plausibilitätskontrolle anhand technischer Untersuchungen dar. Für die Kommunikation folgt hieraus zwangsläufig, dass die Interessen des Verantwortlichen in Einklang mit den Erwartungen betroffener Personen und Aufsichtsbehörden zu bringen sind, um sich nicht der permanenten Gefahr einer entsprechenden Sanktionierung auszusetzen.

Datenschutz intern kommunizieren

Zunächst einmal ist festzuhalten, dass „Datenschutz“ nicht eine Aufgabe einer einzelnen Person des Verantwortlichen, beispielsweise des Datenschutzbeauftragten ist, sondern erst durch das Zusammenwirken aller Beteiligten erfolgreich bewältigt werden kann.

Die Leitungsebene trägt die Verantwortung für das datenschutzkonforme Agieren der gesamten Stelle. Ihr obliegt die Delegation datenschutzrechtlicher Handlungserfordernisse an weitere Führungskräfte bzw. an die Beschäftigten. Sie hat dafür Sorge zu tragen, dass nach den Regelungen des Art. 37 DS-GVO und §§ 5, 38 BDSG (Bundesdatenschutzgesetz) ein Datenschutzbeauftragter benannt und in die notwendigen Prozesse eingebunden wird. Weitere Führungskräfte haben die Aufgabe, die Einhaltung der datenschutzrechtlichen Anforderungen in ihrem Bereich zu überwachen, entsprechende Mängel zu beheben und die Kommunikation zwischen Beschäftigten, Leitungsebene und Datenschutzbeauftragten zu fördern. Aufgabe der Beschäftigten ist das datenschutzkonforme Handeln im Rahmen ihrer alltäglichen Arbeit, in Form der Umsetzung von Richtlinien, Arbeitsanweisungen sowie der Beachtung der im Rahmen von Sensibilisierungen dargestellten Handlungserfordernisse. Der Datenschutzbeauftragte berät alle Beteiligten, überwacht und fördert die Einhaltung der datenschutzrechtlichen Anforderungen. Darüber hinaus steht er betroffenen Personen und Aufsichtsbehörden als Ansprechperson zur Verfügung. Der Datenschutzbeauftragte ist dabei nicht zur Umsetzung der datenschutzrechtlichen Pflichten zuständig, dies obliegt allein dem Verantwortlichen.

Die Vielzahl der unterschiedlichen Beteiligten verdeutlicht, dass die Umsetzung datenschutzrechtlicher Anforderungen im Wesentlichen von der erfolgreichen Kommunikation untereinander abhängt. Das bedeutet jedoch auch, dass die Kommunikationsmöglichkeit unter den Beteiligten jeweils in beiden Richtungen eröffnet sein muss. Wird beispielsweise innerhalb einer Stelle durch die Leitungsebene eine Richtlinie zum Umgang mit personenbezogenen Daten verabschiedet, welche sich in der Praxis als nicht vollständig umsetzbar erweist, muss es den Beschäftigten möglich sein, derartige Schwachpunkte offen gegenüber den Führungskräften, der Leitungsebene und dem Datenschutzbeauftragten zu kommunizieren. Wird eine solche offene Kommunikation durch verschiedene Faktoren gehemmt, führt dies dazu, dass eine solche Richtlinie leerläuft und daraus datenschutzrechtliche Risiken erwachsen.

Besonders die Kommunikationskanäle zum Datenschutzbeauftragten sollten stets geöffnet sein. Einerseits ist dies zwingend erforderlich, damit der Datenschutzbeauftragte seinen Aufgaben nach Art. 39 DS-GVO angemessen nachkommen kann, andererseits wird hierdurch eine Möglichkeit geboten, vertrauliche Anliegen direkt mit dem Datenschutzbeauftragten zu klären, bevor datenschutzrechtliche Konflikte zu eskalieren drohen. Die Erfahrungen aus der Praxis zeigen, dass insbesondere im Rahmen des Beschäftigtendatenschutzes grundsätzlich ein nicht zu unterschätzendes Konfliktpotenzial besteht.

Seitens des Datenschutzbeauftragten ist darüber hinaus sicherzustellen, dass eine regelmäßige Erreichbarkeit gewährleistet wird. Dies setzt insbesondere bei externen Datenschutzbeauftragten nicht zwingend eine permanente Anwesenheit voraus, die Möglichkeit zum Austausch sollte jedoch durch E-Mail-Kommunikation, Telefonate oder Videokonferenzen sowie ergänzend durch angemessene Reaktionszeiten eröffnet werden. Der Datenschutzbeauftragte sollte neben seiner fachlichen Expertise entsprechend den Anforderungen des Art. 37 Abs. 5 DS-GVO auch die notwendigen sozialen Kompetenzen als wesentliche Voraussetzung einer zielführenden Kommunikation aufweisen. Auch wenn für den Verantwortlichen keine rechtliche Verpflichtung zur Benennung eines Datenschutzbeauftragten besteht, sollte sowohl für die Beschäftigten als auch für betroffene Personen eine Ansprechperson benannt werden, um auch in diesem Fall eine zentrale Anlaufstelle bieten zu können. Die Pflicht zur Umsetzung der datenschutzrechtlichen Anforderungen besteht für den Verantwortlichen ohnehin unabhängig von der gesetzlichen Pflicht zur Benennung eines Datenschutzbeauftragten.

Ebenfalls gegenüber Dienstleistern und Auftragsverarbeitern sind datenschutzrechtliche Anliegen und Verpflichtungen entsprechend zu kommunizieren. Dies kann beispielsweise über Verschwiegenheitsvereinbarungen oder Verträge zur Auftragsverarbeitung realisiert werden. Letztgenannte sind verpflichtend abzuschließen, sofern der Dienstleister personenbezogene Daten weisungsgebunden im Auftrag des Verantwortlichen verarbeitet oder ein Zugriff des Dienstleisters auf personenbezogene Daten nicht ausgeschlossen werden kann. Im Zusammenhang mit einer Internetseite betreffen dies beispielsweise den Hosting-Anbieter oder im Falle der Zugriffsmöglichkeit auf personenbezogene Daten der Nutzenden ebenfalls den technischen Betreuer. Insbesondere im Zusammenhang mit der Erstellung und Entwicklung von Internetseiten und Apps empfiehlt es sich darüber hinaus, bereits innerhalb der Leistungsvereinbarung Ergänzungen zur datenschutzkonformen Beschaffenheit aufzunehmen. Wird sodann im Rahmen der Abnahme festgestellt, dass nicht sämtliche datenschutzrechtlichen Anforderungen erfüllt werden, liegt ein Mangel vor. Der Dienstleister ist in diesem Falle auf eigene Kosten zur Nachbesserung verpflichtet.

Auch die Art und Weise der Kommunikation hat deutliche Auswirkungen auf die Effektivität der Umsetzung datenschutzrechtlicher Anforderungen und das Bewusstsein der Beschäftigten. Dessen müssen sich sowohl die Leitungsebene als auch der Datenschutzbeauftragte permanent bewusst sein. Als Negativ-Beispiele aus der Praxis zu benennen sind hierbei folgende Zitate von Führungspersonen verschiedener Verantwortlicher im Zusammenhang mit datenschutzrechtlichen Thematiken: „Der vom Datenschutz ist heute da. Wer hat denn hier Lust auf eine Datenschutzschulung?“, „Für die Veröffentlichung der Internetseite benötigen wir noch so eine Datenschutzerklärung. […] das sollte mit Copy & Paste ja schnell machbar sein.“ oder „Datenschutz ist ja ein wirklich sehr trockenes Thema. […] Ich wünsche viel Erfolg bei dem heutigen Ganztagesseminar!“. Derartige Äußerungen verkennen offensichtlich die Wichtigkeit der Thematik und bestätigen das durch die Medien geprägte Bild, nach welchem es sich bei Datenschutz um ein praxisfernes Übel handelt. Wenn die Führungsperson eines Verantwortlichen derart kommuniziert und agiert, aus welchen Gründen sollten die Beschäftigten dann anders handeln? Datenschutzrechtliche Verstöße sind auf diese Art und Weise bereits vorherzusehen.

Datenschutz extern kommunizieren

Welche besonderen Anforderungen gelten in der Kommunikation datenschutzrechtlicher Aspekte gegenüber Exernen? Das erfahren Sie in unserem Blog-Beitrag der nächsten Woche!

Dieser Beitrag war ein Bestandteil der Jahrestagung des Sächsischen Museumsbundes e.V. unter dem Titel „Museen und digitale Kommunikation“
am 21. März 2022 in Hoyerswerda.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.