Wer personenbezogene Daten erhebt, muss die betroffene Person darüber informieren: bei Erhebung direkt bei ihr nach Art. 13 DSGVO, bei Erhebung aus anderen Quellen nach Art. 14 DSGVO. Die Datenschutzerklärung der Website deckt davon nur einen kleinen Teil ab. Beschäftigte, Bewerber, Kunden, Lieferanten und Besucher brauchen jeweils eigene, passende Informationen.
Art. 13 und Art. 14: der Unterschied
Art. 13 gilt, wenn die Daten bei der Person selbst erhoben werden, etwa im Kontaktformular, im Bewerbungsgespräch oder bei Vertragsschluss. Informiert wird zum Zeitpunkt der Erhebung, also nicht nachträglich.
Art. 14 gilt, wenn die Daten aus einer anderen Quelle stammen, zum Beispiel von einem Geschäftspartner, aus einem Register oder von einem Kollegen der Person. Dann ist innerhalb einer angemessenen Frist zu informieren, spätestens nach einem Monat, bei Kontaktaufnahme spätestens bei der ersten Mitteilung. Zusätzlich anzugeben sind die Datenkategorien und die Quelle.
Was in die Information gehört
- Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten,
- Zwecke und Rechtsgrundlage, bei berechtigtem Interesse auch dieses Interesse,
- Empfänger oder Kategorien von Empfängern, eine etwaige Übermittlung in Drittländer,
- Speicherdauer oder die Kriterien dafür,
- die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit, das Recht auf Widerruf einer Einwilligung und das Beschwerderecht bei einer Aufsichtsbehörde,
- ob die Angabe der Daten vorgeschrieben ist und was passiert, wenn sie fehlt,
- eine etwaige automatisierte Entscheidung im Einzelfall.
Die häufigste Lücke ist die Speicherdauer. „Solange erforderlich“ reicht nicht. Gemeint ist eine konkrete Frist oder ein nachvollziehbares Kriterium, das idealerweise aus dem Löschkonzept übernommen wird.
Wo im Betrieb informiert werden muss
Beschäftigte
Ein Informationsblatt bei Einstellung, das die Verarbeitung im Arbeitsverhältnis beschreibt: Lohnabrechnung, Zeiterfassung, IT-Nutzung, gegebenenfalls Videoüberwachung. Es wird bei Änderungen aktualisiert.
Bewerber
Mit der Eingangsbestätigung oder im Bewerbungsportal. Wichtig ist hier die Speicherdauer nach Absage und, falls gewünscht, die Einwilligung in einen Talentpool.
Kunden und Lieferanten
Ein Link in Angeboten, Auftragsbestätigungen oder der E-Mail-Signatur auf eine Informationsseite genügt in der Regel, wenn er vor oder bei der Erhebung sichtbar ist.
Telefon und persönliche Gespräche
Am Telefon muss niemand ein Merkblatt vorlesen. Zulässig ist ein gestufter Ansatz: Die wichtigsten Punkte kurz nennen und auf die vollständige Information verweisen, die auf Wunsch per E-Mail oder Post kommt.
Videoüberwachung
Hier gilt ein eigenes, zweistufiges Verfahren mit Hinweisschild. Details stehen im Beitrag Videoüberwachung im Betrieb.
Wann die Pflicht entfällt
Die Information entfällt, soweit die Person sie bereits hat. Bei Art. 14 gibt es weitere Ausnahmen, etwa wenn die Information unmöglich ist oder einen unverhältnismäßigen Aufwand erfordert oder wenn ein Berufsgeheimnis entgegensteht. Die §§ 32 und 33 BDSG enthalten zusätzliche, eng begrenzte Ausnahmen. Wer sich auf eine Ausnahme stützt, sollte die Begründung festhalten.
Typische Fehler
Ein Text für alles
Die Website-Datenschutzerklärung wird für Beschäftigte und Lieferanten mitverwendet, obwohl sie deren Verarbeitung gar nicht beschreibt.
Rechtsgrundlagen ohne Zuordnung
Eine Liste aller Rechtsgrundlagen am Ende hilft niemandem. Jeder Zweck braucht seine eigene Rechtsgrundlage.
Der Text passt nicht mehr zur Praxis
Neue Software, neue Dienstleister, aber das Informationsblatt ist drei Jahre alt. Am einfachsten bleibt es aktuell, wenn es aus dem Verarbeitungsverzeichnis abgeleitet wird. Fragt eine Person später nach, schließt sich ein Auskunftsersuchen nach Art. 15 nahtlos an, wenn beides übereinstimmt.
Unser Vorgehen
Wir erstellen die Informationstexte für die Gruppen, mit denen Ihr Betrieb tatsächlich zu tun hat, und leiten sie aus dem Verarbeitungsverzeichnis ab. Als externer Datenschutzbeauftragter halten wir sie bei Änderungen aktuell.
Ein Erstgespräch dauert rund zwanzig Minuten: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zu den Informationspflichten
Was ist der Unterschied zwischen Art. 13 und Art. 14 DSGVO?
Art. 13 gilt, wenn Daten direkt bei der betroffenen Person erhoben werden, Art. 14, wenn sie aus einer anderen Quelle stammen. Bei Art. 14 sind zusätzlich Datenkategorien und Quelle zu nennen, und die Information erfolgt innerhalb einer angemessenen Frist, spätestens nach einem Monat.
Wann muss nach Art. 13 DSGVO informiert werden?
Zum Zeitpunkt der Erhebung der Daten. Eine nachträgliche Information erfüllt die Pflicht nicht. In der Praxis heißt das: im Formular, in der Eingangsbestätigung oder per Link in der ersten Kommunikation.
Reicht die Datenschutzerklärung auf der Website?
Nur für die Verarbeitung über die Website. Beschäftigte, Bewerber, Kunden und Lieferanten brauchen eigene Informationen, die ihre jeweilige Verarbeitung beschreiben.
Muss ich am Telefon über den Datenschutz informieren?
Ja, aber gestuft. Es genügt, die wichtigsten Punkte kurz zu nennen und auf die vollständige Information zu verweisen, die auf Wunsch zugesandt wird oder online abrufbar ist.
Was passiert, wenn die Informationspflicht verletzt wird?
Verstöße gegen Art. 13 und 14 DSGVO können mit Bußgeld geahndet werden. Häufiger ist aber, dass fehlende Informationen in einer Prüfung oder bei einer Beschwerde auffallen und nachgearbeitet werden müssen.
