Datenschutzhinweise nach Art. 13 DSGVO: Wann muss informiert werden?

Einordnung

Worum geht es bei Datenschutzhinweisen?

Datenschutzhinweise erklären einer betroffenen Person, wie ihre personenbezogenen Daten verarbeitet werden. Sie sind der praktische Ausdruck des Transparenzgrundsatzes. Die betroffene Person soll nicht erst auf Nachfrage erfahren, was mit ihren Daten passiert.

In der Praxis werden Datenschutzhinweise häufig bei Formularen, Anträgen, Bewerbungsprozessen, Vertragsunterlagen, Kontaktformularen, Online-Diensten, Veranstaltungen, Fotoaufnahmen oder Verwaltungsverfahren benötigt.

Wichtig ist: Datenschutzhinweise sind keine bloße Formalie. Sie müssen zur konkreten Verarbeitung passen. Wer einen allgemeinen Mustertext verwendet, aber die tatsächlichen Zwecke, Rechtsgrundlagen, Empfänger oder Speicherdauern nicht zutreffend beschreibt, erfüllt die Informationspflichten nicht sauber.

Rechtsgrundlagen

Gesetzliche Grundlage

Art. 13 DSGVO regelt die Informationspflicht bei Erhebung personenbezogener Daten bei der betroffenen Person. Die Information ist grundsätzlich zum Zeitpunkt der Erhebung zu erteilen.

Art. 12 DSGVO gibt vor, wie diese Informationen bereitzustellen sind. Sie müssen präzise, transparent, verständlich und leicht zugänglich sein. Die Sprache muss klar und einfach sein.

Art. 13 DSGVO verlangt insbesondere Angaben zum Verantwortlichen, zum Datenschutzbeauftragten, zu Zwecken und Rechtsgrundlagen, zu Empfängern, zu möglichen Drittlandübermittlungen, zur Speicherdauer, zu Betroffenenrechten, zum Beschwerderecht und gegebenenfalls zu automatisierten Entscheidungen.

Eine Ausnahme besteht nach Art. 13 Abs. 4 DSGVO, wenn und soweit die betroffene Person bereits über die Informationen verfügt. Diese Ausnahme sollte in der Praxis aber nicht vorschnell angenommen werden.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD stellt eine eigene Orientierungshilfe zu den Informationspflichten des Verantwortlichen bereit. Diese behandelt Art. 13 und Art. 14 DSGVO und richtet sich insbesondere an bayerische öffentliche Stellen.

Für Kommunen ist daraus vor allem wichtig: Die Informationspflichten müssen verfahrensbezogen gedacht werden. Es genügt nicht, irgendwo eine allgemeine Datenschutzerklärung bereitzuhalten, wenn Bürgerinnen und Bürger in einem konkreten Verfahren personenbezogene Daten angeben.

Bei kommunalen Formularen, Anträgen und Online-Diensten sollte deshalb jeweils geprüft werden, welche Verarbeitung stattfindet, wer verantwortlich ist, welche Rechtsgrundlage einschlägig ist und welche Speicherdauer gilt.

Bayerische Unternehmen

Was sagt der BayLDA?

Das BayLDA betont bei den Informationspflichten den Transparenzgrundsatz. Personenbezogene Daten sollen für betroffene Personen in nachvollziehbarer Weise verarbeitet werden.

Das BayLDA weist außerdem darauf hin, dass die Informationspflichten situationsgerecht auch abgestuft erfüllt werden können. Das ist praktisch relevant, wenn eine vollständige Information an Ort und Stelle unübersichtlich wäre. Dann können zunächst wesentliche Informationen gegeben und weitere Details über einen Link, ein Informationsblatt oder eine andere leicht zugängliche Stelle bereitgestellt werden.

Für Unternehmen bedeutet das: Datenschutzhinweise müssen nicht zwingend in jedem Gespräch vollständig vorgelesen werden. Sie müssen aber so bereitgestellt werden, dass betroffene Personen sie tatsächlich zur Kenntnis nehmen können.

Abgrenzung

Art. 13 oder Art. 14 DSGVO?

Art. 13 DSGVO gilt, wenn personenbezogene Daten direkt bei der betroffenen Person erhoben werden. Das ist etwa der Fall, wenn jemand ein Formular ausfüllt, einen Antrag stellt, sich bewirbt, eine Anfrage sendet oder persönliche Angaben telefonisch mitteilt.

Art. 14 DSGVO betrifft dagegen Fälle, in denen personenbezogene Daten nicht bei der betroffenen Person selbst erhoben werden. Das kann zum Beispiel bei Datenübermittlungen durch Dritte, Registerauskünften, Auskünften anderer Behörden oder bestimmten Recherchen der Fall sein.

Die Abgrenzung ist wichtig, weil Art. 14 DSGVO teilweise andere Zusatzinformationen und andere Zeitpunkte vorsieht. In der Praxis sollte deshalb zuerst sauber geklärt werden, woher die Daten stammen.

Pflichtangaben

Was muss in Datenschutzhinweise nach Art. 13 DSGVO?

Datenschutzhinweise nach Art. 13 DSGVO sollten mindestens die folgenden Punkte abdecken:

• Name und Kontaktdaten des Verantwortlichen,
• gegebenenfalls Kontaktdaten des Datenschutzbeauftragten,
• Zwecke der Verarbeitung,
• Rechtsgrundlagen der Verarbeitung,
• gegebenenfalls berechtigte Interessen bei Art. 6 Abs. 1 lit. f DSGVO,
• Empfänger oder Kategorien von Empfängern,
• gegebenenfalls Drittlandübermittlungen,
• Speicherdauer oder Kriterien für die Speicherdauer,
• Betroffenenrechte,
• Widerrufsrecht bei Einwilligungen,
• Beschwerderecht bei einer Aufsichtsbehörde,
• Angaben dazu, ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben ist,
• gegebenenfalls automatisierte Entscheidungsfindung einschließlich Profiling.

Die Angaben dürfen nicht nur abstrakt aus dem Gesetz übernommen werden. Sie müssen für die konkrete Verarbeitung verständlich ausgefüllt werden.

Zeitpunkt

Wann und wie muss informiert werden?

Bei Art. 13 DSGVO muss grundsätzlich zum Zeitpunkt der Datenerhebung informiert werden. Wer Daten über ein Formular erhebt, sollte die Datenschutzhinweise deshalb vor oder spätestens bei Abgabe des Formulars zugänglich machen.

Die Information kann schriftlich, elektronisch oder in anderer geeigneter Form erfolgen. Entscheidend ist nicht die äußere Form, sondern ob die betroffene Person die Informationen rechtzeitig, leicht zugänglich und verständlich erhält.

In der Praxis kann eine abgestufte Information sinnvoll sein. Direkt am Formular stehen dann die wichtigsten Angaben und ein gut erkennbarer Hinweis auf die vollständigen Datenschutzhinweise. Das darf aber nicht dazu führen, dass wesentliche Informationen versteckt oder praktisch nicht auffindbar sind.

Kommunale Praxis

Besonderheiten bei Kommunen

Kommunen erheben personenbezogene Daten in vielen unterschiedlichen Zusammenhängen: Bürgerbüro, Meldewesen, Gewerbeamt, Ordnungsamt, Bauamt, Kämmerei, Personalamt, Kindertageseinrichtungen, Feuerwehren, Veranstaltungen, Ratsarbeit oder Online-Dienste.

Gerade bei Kommunen ist die Rechtsgrundlage häufig nicht dieselbe wie bei Unternehmen. Öffentliche Stellen verarbeiten Daten oft zur Erfüllung einer öffentlichen Aufgabe oder aufgrund gesetzlicher Vorgaben. Pauschale Unternehmensmuster passen deshalb häufig nicht.

Für jedes Formular und jedes digitale Verfahren sollte geklärt werden: Welche Daten werden erhoben? Für welchen konkreten Zweck? Aufgrund welcher Rechtsgrundlage? Wer erhält die Daten? Wie lange werden sie gespeichert? Welche Stelle ist für Rückfragen zuständig?

Unternehmenspraxis

Besonderheiten bei Unternehmen, Vereinen und Praxen

Unternehmen, Vereine, Arztpraxen, Handwerksbetriebe und Dienstleister benötigen Datenschutzhinweise insbesondere bei Kundenanfragen, Vertragsabschlüssen, Bewerbungen, Newslettern, Veranstaltungen, Gewinnspielen, Patientenaufnahme, Mitgliederverwaltung oder Online-Formularen.

Typische Rechtsgrundlagen sind Vertragserfüllung, vorvertragliche Maßnahmen, rechtliche Verpflichtungen, berechtigte Interessen oder Einwilligungen. Welche Rechtsgrundlage passt, hängt vom konkreten Zweck ab.

Besondere Sorgfalt ist bei Gesundheitsdaten, Beschäftigtendaten, Bewerberdaten, Bankdaten, Kindern, sensiblen Kundenangaben oder Datenübermittlungen an Dienstleister erforderlich.

Abgrenzung

Unterschied zur Datenschutzerklärung einer Website

Eine Website-Datenschutzerklärung ist ein besonderer Anwendungsfall von Datenschutzhinweisen. Sie erklärt vor allem die Datenverarbeitung beim Besuch und bei der Nutzung einer Website.

Datenschutzhinweise nach Art. 13 DSGVO sind breiter. Sie betreffen jede direkte Datenerhebung, also auch Papierformulare, E-Mail-Kontakt, Telefonnotizen, Anträge, Bewerbungen, Vertragsunterlagen und Vor-Ort-Erhebungen.

Deshalb ersetzt eine allgemeine Website-Datenschutzerklärung nicht automatisch die verfahrensbezogenen Hinweise auf einem Antrag, einem Bewerbungsformular oder einem kommunalen Online-Dienst.

Praxisfehler

Typische Fehler

Ein häufiger Fehler ist, Datenschutzhinweise zu allgemein zu formulieren. Wenn der Text nicht erkennen lässt, welche konkrete Verarbeitung gemeint ist, hilft er der betroffenen Person kaum weiter.

Ebenso problematisch sind falsche oder pauschale Rechtsgrundlagen. Bei Kommunen wird zu häufig mit berechtigten Interessen gearbeitet, obwohl für öffentliche Aufgaben regelmäßig andere Rechtsgrundlagen zu prüfen sind.

Ein weiterer Fehler ist die fehlende Speicherdauer. Die Angabe „so lange wie erforderlich“ reicht allein häufig nicht aus, wenn sich konkrete gesetzliche oder organisatorische Aufbewahrungsfristen bestimmen lassen.

Auch veraltete Hinweise sind riskant. Wenn ein Formular geändert, ein Dienstleister eingebunden oder ein neuer Zweck aufgenommen wird, müssen die Datenschutzhinweise angepasst werden.

Prüfpunkte

Checkliste

Häufige Fragen

FAQ

Ergebnis

Fazit

Datenschutzhinweise nach Art. 13 DSGVO sind ein Kernbestandteil transparenter Datenverarbeitung. Sie müssen rechtzeitig, verständlich und konkret zur jeweiligen Verarbeitung bereitgestellt werden.

Besonders wichtig sind die klare Benennung von Zweck, Rechtsgrundlage, Verantwortlichem, Empfängern, Speicherdauer und Betroffenenrechten. Pauschale Mustertexte führen schnell zu Fehlern, wenn sie nicht zur tatsächlichen Verarbeitung passen.

Ob konkrete Datenschutzhinweise vollständig und zutreffend sind, hängt immer vom jeweiligen Verfahren, den erhobenen Daten und der tatsächlichen Verarbeitung ab.

Weiterlesen

Passende Themen auf der Website

Nachweise

Quellen