Im Zivilrechtsrepetitorium meines Jurastudiums lernte ich den „Oma-Test“ kennen. Dabei fragt man sich am Ende einer juristischen Prüfung: Was würde meine Oma von diesem Ergebnis halten? Geprüft wird, ob das Ergebnis allgemeinverständlich und nachvollziehbar ist. Insbesondere für unkomplizierte Sachverhalte bietet der Test grundsätzlich sehr gute Ergebnisse, was in einer Demokratie ja auch erwartbar sein sollte. In diesem Artikel widmen wir uns der Informationspflicht im Rahmen der Betroffenenrechte, die wir zum einen Anhand des Gesetzes und den herrschenden (Literatur-)Meinungen, aber auch nach Maßgabe des „Oma-Tests“ prüfen. Konkret soll es um die Informationspflicht über das Beschwerderecht bei der Aufsichtsbehörde nach Art. 13 Abs. 2 lit. d) DS-GVO gehen.

Die Informationspflicht nach Art. 13 und 14 DS-GVO

Artikel 13 DS-GVO kodifiziert die Informationspflicht für den Fall, dass personenbezogene Daten beim Betroffenen erhoben werden, während Artikel 14 DS-GVO die Situation regelt, in der die Daten nicht bei der betroffenen Person (selbst) erhoben werden. Als betroffene Person einer Datenverarbeitung hat man das Recht sich bei der zuständigen Aufsichtsbehörde zu beschweren, worüber sie von dem Verantwortlichen in Kenntnis gesetzt werden muss, Art. 13 Abs. 2 lit. d), bzw. Art. 14 Abs. 2 lit. e) DS-GVO.

Der Hauptunterschied zwischen den Informationspflichten von Art. 13 und 14 DS-GVO liegt darin, dass (nur) nach Art. 14 Abs. 5 DS-GVO die Aufklärung unterbleiben kann, wenn sie einen unverhältnismäßigen Aufwand erfordert, oder wenn sie durch Rechtsvorschriften abbedungen wird. Diese Ausnahmen lässt Art. 13 DS-GVO nicht zu. Nach Art. 13 Abs. 4 DS-GVO darf die Aufklärung nur dann unterbleien, wenn die betroffene Person bereits Kenntnis von dem Aufklärungsinhalt hat. Der Ausnahmetatbestand (der in beiden Normen existiert) wirft für die Praxis zweierlei Fragen auf:

Welcher Betroffene hat tatsächlich Kenntnis über sein Beschwerderecht bei der zuständigen (!) Aufsichtsbehörde und welcher Verantwortliche weiß dann auch noch, dass der Betroffene diese Kenntnis hat? Aus Gründen der Rechtssicherheit bleibt dem Verantwortlichen daher stets nur die Möglichkeit eine Datenschutzinformation in alle Unternehmensprozesse zu implementieren, bei denen beim Betroffenen Daten verarbeitet werden.

Nur holzschnittartig soll aufgezeigt werden, was eine umfassende Information erfasst: Gemäß Art. 13 DS-GVO ist unter anderem (!) aufzuklären über  

• die Rechtsgrundlage der Verarbeitung,
• die Speicherdauer, oder dessen Kriterien,
• ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist.

Da beispielsweise die Rechtsgrundlage und der Speicherdauer bei ähnlichen Verarbeitungsvorgängen variieren können, ergibt sich schnell das Problem, dass Standardlösungen fehleranfällig werden.

Die Praxis

Braucht meine Oma einen Friseurtermin, ruft sie (initiativ) vorher beim Friseur an. Dieser notiert ihren Namen, ihre Telefonnummer und den Termin. Hierbei handelt es sich um eine Datenverarbeitung beim Betroffenen, da der Friseur ihre Daten gemäß Art. 4 Nr. 2 DS-GVO sowohl erfasst als auch im Kalender speichert. Dementsprechend löst die Datenverarbeitung Informationspflichten aus. Man kann weder davon ausgehen, dass meine Oma schon mal von der (zuständigen) Aufsichtsbehörde gehört hat, noch dass sie Kenntnis darüber hat, wie lange ihr Friseur seinen Kalender aufbewahrt. Das bizarre daran ist, dass der Friseur beides wohl auch nicht weiß. Dennoch muss er informieren.

Hierzu sei noch gesagt, dass sich dieses Problem nicht über einen Websitehinweis lösen lässt. Denn gemäß Art. 13 Abs. 1 DS-GVO muss die Information zum Zeitpunkt der Datenerhebung erfolgen und aus Sinn und Zweck der Vorschrift ergibt sich, dass die Information bereits vor der Datenverarbeitung und ohne Medienbruch erfolgen muss (Taeger/Gabel/Mester, 4. Aufl. 2022, DS-GVO Art. 13 Rn. 34-36).

In einem letzten Rettungsversuch könnte man daran denken, Art. 14 Abs. 5 lit. b) DS-DVO analog auf Art. 13 DS-GVO anzuwenden, um zu sagen, dass an dieser Stelle die Informationspflichten einen unverhältnismäßig hohen Aufwand bedeuteten. Dieser Rettungsversuch ist aber aus mehren Gründen zum Scheitern verurteilt: Zum einen besteht schon keine Regelunglücke, da man wohl davon ausgehen muss, dass der Gesetzgeber zwei unterschiedliche Informationspflichten für zwei unterschiedliche Situationen schaffen wollte. Aufgrund der systematischen und sprachlichen Ähnlichkeiten spricht daher alles für eine bewusste Andersformulierung und somit gegen eine Regelungslücke.

Ferner ergibt sich aus Art. 14 Abs. 5 lit. b) DS-DVO, sowie aus Erwägungsgrund 62, dass ein unverhältnismäßig hoher Aufwand vorliege, wenn „im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke, oder zu statistische Zwecke“, dies erforderten. Diese Gründe sind für unseren Fall allesamt nicht subsumtionsfähig und regeln deutlich abweichende Konstellationen. Folglich wäre ein Unterlassen der Information selbst dann nicht unverhältnismäßig, wenn man (zu Unrecht) eine Analogie bejahen würde.

Zuletzt sei nicht nur darauf hingewiesen, dass der Friseur hinsichtlich der erfolgten Aufklärung rechenschaftspflichtig (also nachweispflichtig) ist (Art. 5 Abs. 2 DS-GVO), sondern auch auf die Konsequenzen, welche die DS-GVO für das Unterbleiben der Aufklärung vorsieht. Nach Art. 83 Abs. 5 lit. b) DS-GVO können Unternehmen mit einer Geldbuße in Höhe von bis zu vier Prozent des weltweit erzielten Umsatzes des vorangegangenen Geschäftsjahres bestraft werden, wenn sie nicht – oder nicht richtig – informieren. Für Nicht-Unternehmen ist die Strafe auf 20 Millionen Euro gedeckelt.

Fazit

Der Alltagstest macht deutlich, dass die DS-GVO für die großen Player geschrieben wurde, aber schnell an ihre Grenzen stößt, wenn sie (beispielsweise) von kleinen Unternehmen angewendet werden soll. Das Ergebnis ist in zweierlei Hinsicht widersprüchlich: Der Datenschutz begegnet uns der ständig im Alltag –etwa auf Hinweisschildern von Überwachungskameras, oder wenn wir Softwareupdates erhalten. Somit werden wir auch über das Beschwerderecht bei der Aufsichtsbehörde alltäglich aufgeklärt – und trotzdem kennen es die wenigsten Betroffenen. 

Man kann daher wohl mir Recht sagen, dass es den Googles und Metas dieser Welt nicht gelingt die Betroffenen – und schon gar nicht meine Oma – adäquat zu informieren. Mit dieser Aufgabe faktisch überfordert, wird nun der Friseurbetrieb von nebenan vor dieselbe Aufgabe gestellt – und scheitert (selbstverständlich) ebenfalls. Dabei sei gesagt, dass es sich hier nicht um ein exklusives „Friseurproblem“ handelt. Auch das Abspeichern von Handynummern im Berufshandy, stellt Datenverarbeitung dar – und das ganz abgesehen von jeder Problematik um eine datenschutzkonforme WhatsApp-Nutzung. Wer einen Kontakt via Mail weiterleitet, oder eine Anrufnotiz erstellt, muss den Anrufer ebenfalls DS-GVO konform informieren. Ein Ergebnis, das wohl nicht nur für meine Oma schwer nachzuvollziehen wäre.

Ausblick

Kern des Problems ist, dass die durch die DS-GVO verpflichteten Akteure zu unterschiedlich sind, um gleich behandelt zu werden. Lösung kann nur sein, dass ein Friseursalon hinsichtlich der Informationspflicht anders als ein millionenschweres Unternehmen reguliert werden muss. Eine denkbare Lösung wäre eine Erweiterung des Art. 23 Abs. 1 DS-GVO. Dieser lässt gesetzliche Beschränkungen der Betroffenenrechte zu, wenn es beispielsweise durch Belange der öffentlichen Sicherheit erforderlich ist. Eine Öffnung der Norm für Alltagsprobleme könnte Abhilfe schaffen, um individuell auf die Bedürfnisse der Betroffenen eingehen zu können. Die aktuelle Lösung führt jedenfalls zu erheblichen Rechtsunsicherheiten – sowohl in der Praxis, als auch bei meiner Großmutter.

Über den Autor: Felix Lückert ist Volljurist (Ass. Jur.) und beim Dresdener Institut für Datenschutz als externer Datenschutzbeauftragter tätig. Der Fokus seiner Tätigkeiten liegt in der Beratung von Hochschulen und Gemeinden. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Das erste Kapitel liegt hinter uns. Ging doch, oder? Schon müde vom… Laufen? Mit vier Artikeln gehört Kapitel I zu den kürzeren der DS-GVO. Kleine Abfrage unnützen Wissens: Wie lang ist das kürzeste Kapitel der DS-GVO? Und das längste? – Antworten erst am Ende des Blog-Beitrags und einstweilen Ihren Tipp am besten wieder notieren.

Kapitel II trägt den bedeutungsschweren Titel Grundsätze und fällt mit sieben Artikeln immerhin fast doppelt so lang aus wie sein Vorgeher. Die Grundsätze für die Verarbeitung personenbezogener Daten in Art. 5 kommen recht übersichtlich daher. Jedenfalls gehören sie nicht zu den besonders verwirrenden Regeln der DS-GVO. Aber bei genauem Hinsehen finden wir sicher wieder Verbesserungspotenzial. Absatz 1 listet die eigentlichen Grundsätze und Absatz 2 klärt, wer sie zu befolgen hat. Zäumen wir das Pferd von hinten auf, schauen uns also zuerst Absatz 2 an.

Absatz 2

Die erste Aussage ist drolliges und schlechtes Juristen-Deutsch: „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich.“ Andere Sprachfassungen kommen wenigstens ohne Wortwiederholung aus, im Englischen zum Beispiel: „The controller shall be responsible […]“.

Die zweite Aussage: Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können. Das Gesetz verwendet dafür den Begriff Rechenschaftspflicht (accountability). Gelegentlich wird das mit einer Beweislastumkehr gleichgesetzt. Ganz dasselbe ist es allerdings nicht, wie wohl zuerst Veil (ZD 2018, 9, 12) gezeigt hat: In Ordnungswidrigkeiten- und Strafverfahren kann z.B. wegen DS-GVO-Verstößen nicht einfach mit der Begründung verurteilt werden, die Beschuldigten hätten ihre Unschuld beweisen müssen und das sei ihnen nicht gelungen. Deshalb müssen auch Datenschutz-Aufsichtsbehörden beispielsweise in Bußgeldverfahren den jeweiligen Verstoß der verantwortlichen Stelle nachweisen. Sie können nicht ein Bußgeld verhängen mit der Begründung, der Verantwortliche könne nicht beweisen, dass er keine Fehler gemacht hat.

Rechenschaftspflicht oder Dokumentationspflicht (ein bisschen komplizierter: Revisionsfähigkeit) trifft es also besser als Beweislastumkehr. Die Verantwortlichen müssen die DS-GVO nicht nur einhalten, sondern das auch zeigen können. Das bedeutet für Bußgeldverfahren: Wenn zum Beispiel bei einer zwischenzeitlich verstorbenen betroffenen Person nicht geklärt werden kann, ob sie in eine Datenverarbeitung eingewilligt hat oder nicht, würde das Bußgeld nicht wegen fehlender Einwilligung verhängt, sondern wegen fehlender Dokumentation. Damit genug der langen Ausführungen zum kurzen Absatz 2 und hinein in Absatz 1.

AbsATZ 1

Buchstabe a) stellt scheinbar drei Grundsätze auf, von denen bei genauem Hinsehen aber nur einer übrig bleibt: Personenbezogene Daten sollen „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden“. Zum ersten Grundsatz, nämlich der Rechtmäßigkeit, ist erstaunlicherweise schon viel geschrieben worden. Er besteht jedoch nur aus Luft: Es ist ja gerade Aufgabe des Gesetzgebers zu klären, was rechtmäßig ist. Der Grundsatz Tue das Richtige taugt nichts.

Nicht sehr viel besser steht es mit dem Grundsatz von Treu und Glauben – in der englischen Sprachfassung: fairness. Was fair ist, muss durch Spielregeln geklärt werden. Ansonsten können die Meinungen sehr weit auseinandergehen. Fußballfreunde wissen, was gemeint ist?

Echten Inhalt besitzt deshalb wohl nur der Grundsatz der Transparenz: Alle sollen wissen, wer welche Daten über sie besitzt und wofür diese Daten genutzt werden. Datenschutz-Veteranen erinnern sich an das berühmte, nun reichlich 40 Jahre alte Volkszählungsurteil des Bundesverfassungsgerichts. Schon damals war erkannt, dass informationelle Selbstbestimmung viel damit zu tun hat, zu wissen, wo welche Daten verarbeitet werden.

Buchstabe b) behandelt die Zweckbindung. Dieser Grundsatz ist vor allem wichtig als prinzipielles Verbot der Vorratsdatenspeicherung. Aus Sicht der Verantwortlichen ergeben sich daraus manchmal große Schwierigkeiten, nicht nur für Wünsche der staatlichen Überwachung (an die Datenschützer natürlich zuerst denken). Auch bei „chaotischen“ und „ergebnisoffenen“ Verarbeitungsvorgängen (Stichworte: KI, Data Mining, Marketing, aber auch: Forschung) sind Ziele und Zwecke der Datenverarbeitungen anfangs häufig noch unklar, also nicht so genau beschreibbar, wie Datenschützer sich das wünschen würden.

Gruselvorstellung für Historiker: Hätte in mittelalterlichen Klöstern die DS-GVO gegolten, wie viele Dokumente zum Klosterleben wären uns verloren gegangen? Hätten Unternehmen nach der Deutschen Reichsgründung 1871 die DS-GVO befolgt: Wüssten wir genauso viel über die Sozial- und Wirtschaftsgeschichte des Deutschen Kaiserreiches? Übrigens können sich Historiker bei Art. 5 Abs. 1 lit. b) DS-GVO nicht nur über den Grundsatz der Zweckbindung ärgern, sondern auch darüber, dass – hier wie öfter in der DS-GVO – von „wissenschaftlichen oder historischen Forschungszwecken“ die Rede ist, also die Geschichtswissenschaft in Brüssel also offenbar nicht als „Wissenschaft“ gesehen wird.

Schlussbemerkung zu Buchstabe b: Der zweite Halbsatz bedeutet natürlich nicht, dass Datenverarbeitungen für Archiv-, Forschungs- und statistische Zwecke immer zulässig wäre. Solche Zwecke gelten nur „nicht als unvereinbar mit den ursprünglichen Zwecken“. Bei diesen Zielen scheitert die Verarbeitung also nicht von vornherein an einer Unzulässigkeit der Zweckänderung (Ausblick nach vorn: Art. 6 Abs. 4). Trotzdem wird natürlich jeweils eine Rechtsgrundlage für die Verarbeitung zum geänderten Zweck benötigt.

Buchstabe c): Datenminimierung ließe sich gut verbinden mit Buchstaben b) Zweckbindung und Buchstaben e) Speicherbegrenzung – letztlich nur der zeitliche Aspekt der Datenminimierung. Alle drei Buchstaben gemeinsam ergeben: Personenbezogene Daten bitte nur verarbeiten, soviel und solange dies für einen konkreten Zweck nötig ist.

Buchstabe d) schreibt vor, dass die Verantwortlichen die Richtigkeit personenbezogener Daten anzustreben haben. Das ist – bei genauerem Hinsehen – seltsam und hat mit informationeller Selbstbestimmung gar nicht viel zu tun: Vielleicht ist betroffenen Personen ja ganz recht, wenn verantwortliche Stellen sich irren? Beispiel: Bei Vereinsmitglied A ist in der Buchhaltung fehlerhaft vermerkt, dass der Mitgliedsbeitrag des laufenden Jahres schon gezahlt wurde. Laut DS-GVO ein Datenschutzverstoß – aber ist das sinnvoll? Würde nicht für das Selbstbestimmungsrecht der Anspruch auf Berichtigung genügen? Dann kann die betroffene Person selbst entscheiden, ob ihr die Berichtigung wichtig ist oder ob sie vielleicht gern ein bisschen günstiger dasteht.

Buchstabe e) war oben schon erwähnt; das muss genügen. Und Buchstabe f) behandelt die in der Informationssicherheit bekannte Trias von Vertraulichkeit, Integrität und Verfügbarkeit (schöne alte Eselsbrücke: CIA – confidentiality, integrity, availability). Allerdings wurde die „Verfügbarkeit“ im Klammerzusatz vergessen. Verbesserungsvorschlag: „[…] f) in einer Weise verarbeitet werden, die ihre Integrität, Vertraulichkeit und Verfügbarkeit durch geeignete technische und organisatorische Maßnahmen gewährleisten“.

Klitzekleiner Korrekturhinweis zum Schluss: Absatz 1 müsste natürlich mit einem „Punkt“, nicht mit Semikolon enden. Vielleicht wird es bei der zweiten DSGVO-Evaluation bemerkt. Nun aber schnellen Schrittes zum spannenden Artikel 6! Auflösung zu den eingangs gestellten Quizfragen: Am kürzesten und längsten sind die Kapitel … ach nein, schauen Sie selbst!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Viele, wenn nicht sogar die meisten Datenschutzbeauftragten halten regelmäßig Schulungen für Beschäftigte. Besonders für externe Datenschutzbeauftragte gehört die Schulung der Unternehmen, die sie betreuen, fast schon zu den alltäglichen Aufgaben. Personen, die in diesem Bereich tätig sind, ist klar, dass eine gründliche Sensibilisierung von Angestellten, die regelmäßig mit personenbezogenen Daten in Berührung kommen, ein sehr effektives Mittel ist, grobe Schnitzer im Umgang mit Daten zu vermeiden. Datenschützer sind daher sehr interessiert Beschäftigte laufend zu schulen, da durch ein Mindestmaß an Awareness allen Beteiligten sehr viel Arbeit und viele weitere negative Konsequenzen erspart werden können.

Vor der Durchführung der Datenschutz-Schulungen werden wir öfters mit Fragen konfrontiert wie: „Besteht eine gesetzliche Pflicht zur Schulung?“ oder „Wie oft müssen wir geschult werden?“. Dieser Beitrag soll kurz darstellen, aus welchen Gründen Datenschützer auf Schulungen bestehen und welche Zwecke sie eigentlich verfolgen. Zudem wollen wir Ihnen eine grobe Empfehlung geben, welche Themen Bestandteil einer Datenschutz-Schulung sein sollten.

Ziele von Schulungen

Datenschutz-Schulungen sind für alle Personen, die regelmäßig mit personenbezogenen Daten hantieren, essenziell. Es ist mittlerweile kein Geheimnis mehr, dass ein falscher Umgang mit personenbezogenen Daten seit Einführung der DS-GVO zu schwerwiegenden Konsequenzen für das Unternehmen, wie beispielsweise Bußgeldern oder Untersagung von Datenverarbeitungen führen kann. Ein rechtswidriger Umgang passiert schneller als man denkt: Hat jemand einen USB-Stick mit personenbezogenen Daten verloren? Wurde eine E-Mail oder ein Brief an den falschen Empfänger gesendet? Dies sind bereits meldepflichtige Datenschutzverletzungen! Zudem bemerken wir immer wieder einen eher lapidaren Umgang mit alltäglichen Dokumenten: Oftmals werden diese einfach offen auf dem Tisch liegen gelassen, für alle sichtbar. Dokumente, die nicht mehr gebraucht werden, werden über den Hausmüll entsorgt oder es werden Software und Dienstleister eingesetzt, die nicht datenschutzkonform sind. Da wir ständig mit solchen Dingen in Berührung kommen, behalten viele die Brisanz nicht im Hinterkopf, weshalb der Datenschutz bei der Ausführung täglicher Aufgaben schlichtweg vergessen wird.

Hauptziel von Datenschutz-Schulungen ist es, Beschäftigte zu sensibilisieren und Ihnen unter Nennung der möglichen Konsequenzen für das Unternehmen, für sie selbst und den betroffenen Personen die Wichtigkeit des Themas klarzumachen. Geraten deren personenbezogenen Daten nämlich in die falschen Hände, können mit diesen Daten auch Cyber-Angriffe verübt werden. Die möglichen negativen Folgen für Betriebe, insbesondere jedoch für betroffene Personen können verheerend sein.

Schulungen im Datenschutz haben grundsätzlich nicht die Aufgabe, den Teilnehmern genau vorzuschreiben, wie sie mit Daten umgehen und wie sie ihren betrieblichen Alltag einrichten müssen um datenschutzkonform zu operieren. Schulungen dienen lediglich dazu, den Datenschutz beim Umgang mit personenbezogenen Daten immer im Hinterkopf zu behalten und Leute daran zu erinnern, dass eine gewisse Vorsicht geboten ist.

Sind Schulungen gesetzlich vorgeschrieben?

Aus dem Gesetz ergibt sich zunächst keine direkte Verpflichtung zur Durchführung und Teilnahme an Schulungen, kann sich jedoch gleichwohl aus der Rechenschaftspflicht einer jeden verantwortlichen Stelle gemäß Art. 5 Abs. 2 DS-GVO ableiten lassen. Darüber hinaus obliegt dem Datenschutzbeauftragten gemäß Art. 39 Abs. 1 lit. b) DS-GVO unter anderem die Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Beschäftigten. Auch hieraus ergibt sich eine indirekte Pflicht zur Schulung im Datenschutz.

Wie oft muss geschult werden?

Auch gibt es keinerlei zwingende Vorgaben, in welchem Rhythmus geschult werden muss. Wir empfehlen jedoch eine Schulung in einem Zweijahresrhythmus. Zudem sollten neue Beschäftigte zeitnah zum Onboarding-Prozesses unterrichtet werden. Berücksichtigt werden sollte auch, dass eine Übersensibilisierung der Beschäftigten ebenfalls negative Folgen, wie beispielsweise eine geringe Akzeptanz oder im schlimmsten Fall gar die Nichtbeachtung zukünftiger Sensibilisierungsmaßnahmen, haben kann.

Was können Inhalte der Schulungen sein?

Nun bleibt lediglich die Frage offen, was genau eine solche Schulung beinhalten muss. Leider – oder vielleicht auch zum Glück – gibt die DS-GVO auch hierzu keine Vorgaben. Dies lässt natürlich einen gewissen Spielraum für etwaige Anpassungen an das jeweilige Unternehmen oder sogar an die jeweilige Abteilung zu. Man kann somit nicht pauschal sagen, welche Inhalte genau angesprochen werden sollen. Dennoch sollten Sie einige Eckpfeiler als Basis für ein solides Grundgerüst einbauen, welche wir Ihnen vorschlagen möchten:

Zunächst ist es sinnvoll die datenschutzrechtlichen Grundbegriffe vorzustellen, wie etwa personenbezogene Daten, Betroffene, Verarbeitung, Auftragsverarbeitung und Einwilligung. Anschließend empfehlen wir auch auf die Grundsätze der Datenverarbeitung i. S. d Art. 5 DS-GVO einzugehen. Weiterhin sollten auch die Themen Beschäftigtendatenschutz sowie die Wahrnehmung und Gewährleistung von Betroffenenrechten dargestellt werden.

Sofern innerhalb der verantwortlichen Stelle viele internationale Anwendungen und Dienstleister zum Einsatz kommen, sollten auch die rechtlichen Risiken im Zusammenhang mit Datenverarbeitungen außerhalb der Europäischen Union sowie die zwingend erforderliche Einbeziehung des Datenschutzbeauftragten bei dieser Thematik verdeutlicht werden. Natürlich empfiehlt es sich auch grundsätzlich auf die Rolle und die Aufgaben des Datenschutzbeauftragten als „Freund und Helfer“ des Verantwortlichen einzugehen – gerade weil die Wahrnehmung in der Realität oftmals eine andere ist.

Besonders empfehlenswert sind auch die kleinen, aber hilfreichen Tipps und Hinweise für den Berufsalltag, mit denen Beschäftigte einen bedeutenden Teil zum Datenschutz beitragen können. Hierzu kann auch auf die Umsetzung der für die Beschäftigten relevanten technischen und organisatorischen Maßnahmen gehören.

Unbedingt sollte zudem auf die Thematik der Datenschutzverletzung eingegangen werden. Beschäftigten ist nahe zu bringen, welche Ereignisse eine Datenschutzverletzung darstellen und wie sie sich in derartigen Fällen zu verhalten, beziehungsweise an welche Personen sie eine solche Datenschutzverletzung zu melden haben. In diese Zusammenhang sollte auch klargestellt werden, aus welchen Gründen es für verantwortliche Stellen essenziell ist, die Regelungen des Datenschutzes einzuhalten und welche Sanktionen im Zweifelsfall drohen können.

Am Ende liegt es bei der verantwortlichen Stelle beziehungsweise bei dem Datenschutzbeauftragten selbst, welche Themen angesprochen werden müssen. Hierbei sollte stets ein Ausgleich zwischen den rechtlichen Anforderungen der verantwortlichen Stelle und den Bedarfen der Beschäftigten realisiert werden. So kann die Datenschutz-Schulung effektiv zur Umsetzung und Einhaltung der datenschutzrechtlichen Anforderungen beitragen. Kommen Sie gern auf uns zu, wenn Sie auch für Ihr Unternehmen oder Ihre Behörde eine auf die Bedarfe der Beschäftigten zugeschnittene Sensibilisierung wünschen!

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

NACHWEIS EINER EINWILLIGUNG

Grundsätzlich fordert die Datenschutz-Grundverordnung (DS-GVO) keine schriftliche Einwilligung der betroffenen Person, sodass eine Datenverarbeitung auch auf eine „konkludente“ (aus dem Verhalten einer betroffenen Person schlüssig ableitbare) Einwilligung gestützt werden kann. Vielfach wird in diesem Zusammenhang beispielhaft angeführt, dass das Posieren einer betroffenen Person vor einer Kamera bereits als konkludente Einwilligung gewertet werden könne. Probleme ergeben sich hierbei jedoch im Rahmen des Nachweises: Art. 7 Abs. 1 DS-GVO fordert seitens des Verantwortlichen, dass dieser die Einwilligung der betroffenen Person in die Verarbeitung ihrer personenbezogenen Daten nachweisen können muss. Gleiches ergibt sich auch aus der Rechenschaftspflicht des Art. 5 Abs. 2 DS-GVO.

Besonderheiten ergeben sich zudem im Rahmen der Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DS-GVO. Die Rechtsgrundlage des Art. 9 Abs. 2 lit. a DS-GVO setzt nach ihrem Wortlaut bereits eine ausdrückliche Einwilligung der betroffenen Person voraus. Das Abstellen auf eine konkludente Einwilligung ist in diesem Rahmen nicht möglich. Erfolgt die Verarbeitung personenbezogener Daten eines Kindes in Bezug auf Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 DS-GVO, bedarf es darüber hinaus der Einwilligung der Träger der elterlichen Verantwortung. Gemäß Art. 8 Abs. 2 DS-GVO hat sich der Verantwortliche mit angemessenen Anstrengungen über die tatsächliche Einwilligung der Träger der elterlichen Verantwortung zu vergewissern. Dies ist im Zweifelsfall nachzuweisen.

FREIWILLIGKEIT, BESTIMMTHEIT, TRANSPARENZ

Eine Einwilligung setzt stets ein aktives Handeln einer betroffenen Person voraus. Dabei ist zu berücksichtigen, dass diese tatsächlich eine freie Wahl über die (Nicht-)Abgabe ihrer Einwilligung besitzt. Nach Erwägungsgrund (ErwGr.) 42  Satz 5 zur DS-GVO muss die betroffene Person insbesondere in der Lage sein, ihre Einwilligung zu verweigern oder zurückzuziehen, ohne hierdurch Nachteile zu erleiden. Dies ist bereits dann nicht anzunehmen, sofern die Erbringung einer Dienstleistung von der Abgabe einer Einwilligung abhängig gemacht wird oder  wenn zu verschiedenen Verarbeitungsvorgängen nicht gesondert eine Einwilligung erteilt werden kann (Art. 7 Abs. 4 DS-GVO, ErwGr. 43 Satz 2 zur DS-GVO). Auch kann dann nicht von einer freiwillig erteilten Einwilligung ausgegangen werden, wenn zwischen Verantwortlichem und betroffener Person ein klares Ungleichgewicht besteht und es im konkreten Fall unwahrscheinlich ist, dass die Einwilligung freiwillig erteilt wurde (ErwGr. 43  Satz 1 zur DS-GVO). Dies kann in bestimmten Fällen beispielsweise bei Behörden oder im Beschäftigungskontext anzunehmen sein.

Ferner bedarf es gegenüber der betroffenen Person einer umfangreichen Information, zumindest über die verantwortliche Stelle sowie die konkreten Zwecke der Verarbeitung (ErwGr. 42 Satz 4 zur DS-GVO). Es empfiehlt sich jedoch die Inhalte der Einwilligungserklärung entsprechend den Anforderungen an Datenschutzinformationen nach Art. 13 DS-GVO zu gestalten, um zugleich dieser datenschutzrechtlichen Verpflichtung nachzukommen. Die Einwilligungserklärung ist in verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache zur Verfügung zu stellen (ErwGr. 42 Satz 3 zur DS-GVO). Dies umfasst gemäß Art. 7 Abs. 2 DS-GVO auch, dass eine Einwilligungserklärung im Rahmen anderer Erklärungen deutlich als Ersuchen um Einwilligung der betroffenen Person hervorzuheben und von weiteren Sachverhalten deutlich abzutrennen ist.

GELTUNGSDAUER EINER EINWILLIGUNG

Eine zeitlich beschränkte Geltungsdauer der Einwilligung sieht die DS-GVO nicht vor. In Art. 7 Abs. 3 DS-GVO heißt es lediglich, dass die betroffene Person das Recht hat, ihre Einwilligung zu widerrufen, wobei der Widerruf so einfach wie die Erteilung der Einwilligung sein muss.

In der Vergangenheit ging die Rechtsprechung zu Teilen davon aus, dass eine abgegebene Einwilligung nach einer Nichtnutzung von anderthalb bis zwei Jahren erlischt (AG Bonn, Urt. v. 10. Mai 2016 – 104 C 227/15; LG München, Urt. v. 08. April 2010 – 17 HK O 138/10; LG Berlin, Beschl. v. 02. Juli 2004 – 15 O 653/03). Der Bundesgerichtshof (BGH) führte jedoch 2018 in einem Urteil bezugnehmend auf die Werbeeinwilligung nach § 7 UWG (Gesetz gegen den unlauteren Wettbewerb) sowie auf die Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG) aus, dass eine Einwilligung nicht allein durch Zeitablauf endet (BGH, Urt. v. 01. Februar 2008 – III ZR 196/17). Mit Blick auf Art. 7 Abs. 3 DS-GVO ist für die Einwilligung nach der DS-GVO selbiges anzunehmen.

RECHTSFOLGEN EINER NICHT-KONFORMEN EINWILLIGUNG

Entspricht eine Einwilligungserklärung nicht den dargestellten rechtlichen Anforderungen, so ist diese als unwirksam anzusehen. Die Datenverarbeitung kann dementsprechend nicht auf die Rechtsgrundlage einer Einwilligung gestützt werden. Kann der Verantwortliche die Umsetzung der datenschutzrechtlichen Voraussetzungen an eine Einwilligungserklärung nicht zweifelsfrei nachweisen, ist dies ebenso rechtswidrig.

Verarbeitungen personenbezogener Daten ohne (nachweisbare) einschlägige Rechtsgrundlage stellen grundsätzlich einen Verstoß gegen die datenschutzrechtlichen Grundsätze aus Art. 5 DS-GVO dar und können durch die Aufsichtsbehörden entsprechend (z.B. mit einem Bußgeld und/oder durch Untersagung der jeweiligen Datenverarbeitung) geahndet werden.

BEISPIELE AUS DER PRAXIS

In der Praxis wird sich häufig auf die Einwilligung als Rechtsgrundlage gestützt. Doch nicht immer ist dies auch sinnvoll. Regelmäßig ergeben sich anderweitig einschlägige Rechtsgrundlagen, welche für den konkreten Verarbeitungszweck besser – oder gar ausschließlich – geeignet sind. Einwilligungen können ausschließlich dann als Rechtsgrundlage herangezogen werden, sofern die beabsichtigte Datenverarbeitung nicht zwingend erforderlich ist. Eine Einwilligung der betroffenen Person ist beispielsweise in folgenden Konstellationen nicht erforderlich:

– Beschäftigtenverhältnis: Datenverarbeitungen, welche zwingend zur Begründung, Durchführung oder Beendigung des Beschäftigtenverhältnisses erforderlich sind (z.B. Bewerbermanagement, Lohn- und Gehaltsabrechnung), sind auf die Rechtsgrundlage des Art. 88 Abs. 1 DS-GVO i.V.m. § 26 Abs. 1 BDSG (Bundesdatenschutzgesetz) zu stützen. Eine Einwilligung von Beschäftigten ist ausschließlich dann erforderlich, sofern darüberhinausgehende Datenverarbeitungen erfolgen sollen. Ein klassisches Beispiel ist die Veröffentlichung von Fotoaufnahmen auf der Internetseite oder in Broschüren. Die Rechtsgrundlage bildet hierfür die Einwilligung gemäß Art. 88 Abs. 1 DS-GVO i.V.m. § 26 Abs. 2 BDSG.

– Vertragsverhältnis: Sofern die Verarbeitung personenbezogener Daten zur Erfüllung eines Vertrages (z.B. Abrechnung) oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist (z.B. zur Erstellung eines unverbindlichen Angebotes), bildet Art. 6 Abs. 1 Satz 1 lit. b DS-GVO die einschlägige Rechtsgrundlage. Ein Rückgriff auf die Rechtsgrundlage der Einwilligung verbietet sich hierbei bereits aufgrund der untrennbaren Verknüpfung zwischen (potenziellem) Vertragsverhältnis und Datenverarbeitung.

– Rechtliche Verpflichtung: Einer Einwilligung der betroffenen Person bedarf es ferner nicht, falls die verantwortliche Stelle zur Verarbeitung der personenbezogenen Daten verpflichtet ist. Die einschlägige Rechtsgrundlage stellt Art. 6 Abs. 1 Satz 1 lit. c DS-GVO i.V.m. einer spezialgesetzlichen Rechtsvorschrift dar. Eine solche rechtliche Verpflichtung liegt beispielsweise hinsichtlich der Aufbewahrung handels- bzw. steuerrechtlicher Unterlagen vor, welche nach den Regelungen des Handelsgesetzbuches sowie der Abgabenordnung aufzubewahren sind. Derartige spezialgesetzliche Aufbewahrungsfristen gelten vorrangig zur Verpflichtung zur Löschung personenbezogener Daten nach Art. 17 DS-GVO.

FAZIT

Wie der Beitrag aufzeigt, sind im Zusammenhang mit einer Einwilligung zahlreiche Anforderungen, zum Beispiel hinsichtlich der Transparenz und der Freiwilligkeit zu beachten. Weiterhin sollte stets überprüft werden, ob gegebenenfalls alternative Rechtsgrundlagen zur Verarbeitung personenbezogener Daten einschlägig sind. Auf eine Einwilligung sollte sich tatsächlich nur in Ausnahmefällen gestützt werden. Weitergehende Informationen lassen sich auch dem Kurzpapier Nr. 20 „Einwilligung nach der DS-GVO“ der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK) entnehmen. Hierzu ist in Kürze auch mit einer überarbeiteten Fassung zu rechnen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.