Informationspflicht

Die Informationspflicht nach der Datenschutz-Grundverordnung verpflichtet Verantwortliche, betroffene Personen transparent über eine Verarbeitung personenbezogener Daten zu informieren. Werden die Daten direkt bei der betroffenen Person erhoben, richtet sich der Inhalt vor allem nach Art. 13 DSGVO. Stammen die Daten aus einer anderen Quelle, ist Art. 14 DSGVO maßgeblich.

Zu den Informationen gehören je nach Fall unter anderem die Identität und Kontaktdaten des Verantwortlichen, die Zwecke und Rechtsgrundlagen der Verarbeitung, Empfänger, geplante Übermittlungen in Drittländer sowie die Speicherdauer oder ihre Kriterien. Zusätzlich sind die einschlägigen Betroffenenrechte, ein allfälliger Widerruf einer Einwilligung, das Beschwerderecht und gegebenenfalls Informationen über automatisierte Entscheidungen zu erklären. Bei einer Erhebung aus einer anderen Quelle sind auch die Kategorien der personenbezogenen Daten und ihre Herkunft anzugeben.

Die Information muss präzise, transparent, verständlich und leicht zugänglich sein und eine klare, einfache Sprache verwenden. Bei einer direkten Erhebung erfolgt sie grundsätzlich zum Zeitpunkt der Erhebung. Werden die Daten nicht bei der betroffenen Person erhoben, gelten für die Information je nach weiterer Verwendung besondere Zeitpunkte, spätestens grundsätzlich innerhalb eines Monats nach Erhalt der Daten. Ein unverändertes Muster passt daher nicht zu jedem Verarbeitungsvorgang.

Für Unternehmen empfiehlt es sich, die Information an Zweck, Datenfluss, Empfänger und Aufbewahrung des konkreten Prozesses anzupassen und Änderungen nachvollziehbar zu dokumentieren. Vertiefungen finden Sie bei Compliance und Datenschutz-Governance. Verwandt sind die Begriffe Rechtsgrundlage, Personenbezogene Daten und Einwilligung.