2. Kommunikation (Abs. 3 lit. b)
16
Abs. 3 lit. b enthält außerdem eine Sonderregelung für den spätesten Zeitpunkt der Informationsverpflichtung, sofern die Datenerhebung zur Kommunikation mit der betroffenen Person dienen soll. Erfasst werden Datenerhebungen, in denen der Verantwortliche in Kontakt zur betroffenen Person treten will und dabei die erhobenen Daten überhaupt erst nutzt.41 In diesem Fall muss spätestens mit der ersten Mitteilung, also dem ersten kommunikativen Kontakt, die betroffene Person die Informationen erhalten.42 Damit wird zunächst einmal nur die äußere Grenze des Informationszeitpunktes bei Kontaktaufnahme zur betroffenen Person festgelegt, was lediglich eine Konkretisierung und Ergänzung von lit. a darstellt, sodass weiterhin die Verpflichtung des Verantwortlichen besteht, grundsätzlich im Rahmen einer angemessenen Frist im Sinne von Abs. 3 lit. a zu informieren und die Höchstfrist von einem Monat zu berücksichtigen.43
3. Offenlegung (Abs. 3 lit. c)
17
Abs. 3 lit. c enthält eine weitere Sonderregelung für die Datenerhebung zur Offenlegung, indem sie einen späteren Informationszeitpunkt ermöglicht. Danach muss die Information spätestens zum Zeitpunkt der Offenlegung erfolgen. Die betroffene Person muss die Möglichkeit erhalten, ihre Rechte gegenüber einer unzulässigen Offenlegung noch geltend zu machen, die mögliche Reaktionszeit ist entsprechend zu berücksichtigen.44 Die grundsätzliche Regelung des Abs. 3 lit. a wird aber auch durch Abs. 3 lit. c nicht vollständig verdrängt, womit bei einer geplanten Offenlegung der Daten trotzdem im Rahmen einer angemessenen Frist und der einmonatigen Höchstfrist – soweit möglich – eine Information der betroffenen Person erfolgen muss. Voraussetzung für die Anwendbarkeit von Abs. 3 lit. c ist es, dass die Absicht des Verantwortlichen besteht, die personenbezogenen Daten der betroffenen Person an einen anderen Empfänger offenzulegen, also eine zielgerichtete Handlung vorliegt, bei der die Offenlegung aus Sicht des Verantwortlichen den Verarbeitungszweck darstellt (bspw. Kreditkartenauskunft). Die reine Weitergabe innerhalb eines fortlaufenden Verarbeitungsprozesses reicht für die Anwendbarkeit von Abs. 3 lit. c hingegen nicht aus.45
VI. Informationspflichten bei Zweckänderung (Abs. 4)
18
Werden die Daten zu einem anderen Zweck als dem Erhebungszweck weiterverarbeitet, sind nach Abs. 4 durch den Verantwortlichen weitere Informationspflichten zu erfüllen. Die Formulierung entspricht der Regelung in Art. 13 Abs. 3 DSGVO und unterscheidet sich im Wortlaut lediglich dadurch, dass in Art. 14 DSGVO die Formulierung „erlangt wurden“ verwendet wird, ohne damit aber einen inhaltlichen Unterschied zu verfolgen.46 So wird nach Art. 14 Abs. 4 DSGVO ebenfalls vorausgesetzt, dass die Daten zu einem anderen Zweck als dem Erhebungszweck weiterverarbeitet werden sollen. Über diesen neuen Zweck muss der Verantwortliche die betroffene Person informieren, ebenso über die Rechtsgrundlage der Verarbeitung sowie gegebenenfalls über die Empfänger der Daten.47 Darüber hinaus muss der Verantwortliche die in Abs. 2 genannten Informationen ausgerichtet auf den geänderten Verarbeitungszweck hin der betroffenen Person in dem Umfang mitteilen, in dem diese die Informationen benötigt, um die mit der Zweckänderung verbundenen Risiken ausreichend einschätzen zu können.48 Dabei hat der Verantwortliche die betroffene Person vor der Weiterverarbeitung zu einem geänderten Zweck so rechtzeitig zu informieren, dass diese gegebenenfalls noch Einwände gegen die Weiterverarbeitung einbringen kann.49 Form und Darstellung richten sich auch hier nach Art. 12 Abs. 1, 7 und 8 DSGVO.
VII. Ausnahmen von der Informationspflicht (Abs. 5)
19
Abs. 5 enthält mehrere Ausschlusstatbestände, nach denen eine Informationspflicht nach Art. 14 unterbleiben kann.50 Dabei verbietet der Abs. 5 selbst die Information der betroffenen Person nicht, allerdings können andere Regelungen im Sinne der Ausschlusstatbestände von Abs. 5 lit. c und lit. d DSGVO derartige Informationsverbote enthalten.
1. Vorhandene Informationen
20
Verfügt eine betroffene Person bereits über die Informationen, so kann nach Abs. 5 lit. a eine Information unterbleiben. Es handelt sich hierbei um eine Regelung, die wortgleich mit der Formulierung in Art. 13 Abs. 4 DSGVO ist und ebenso anzuwenden ist.51 Wesentlich ist, dass die betroffene Person bereits auf andere Weise die Information erhalten hat, was beispielsweise bei einer Datenübermittlung der Fall sein kann, wenn die Informationspflicht des Übermittelnden bereits nach Art. 13 Abs. 1 lit. e oder Abs. 3 DSGVO besteht.52 In diesem Fall sollte der Verantwortliche jedoch sicherstellen, dass dann bereits die Informationspflicht des Übermittelnden auch wirklich erfüllt wurde und unbedingt prüfen inwieweit damit bereits alle Informationsinhalte abgedeckt wurden.
2. Unmöglichkeit, unverhältnismäßiger Aufwand, privilegierte Verarbeitungen und Schutz des Verarbeitungszwecks (Abs. 5 lit. b)
21
Abs. 5 lit. b fasst mehrere Ausschlusstatbestände mit unterschiedlichen Zielen zusammen. So findet sich zunächst einmal der Hinweis, dass eine Pflicht im Sinne des Art. 14 DSGVO des Verantwortlichen nicht besteht, wenn die Information unmöglich ist, weil zur betroffenen Person kein Kontakt aufgenommen werden kann (bspw. weil unbekannt).53 Hintergrund ist, dass ein Verantwortlicher gemäß Art. 11 Abs. 1 DSGVO nicht nur deswegen Identifikationsdaten über eine betroffene Person aufbewahren oder erheben soll, um seinen Verpflichtungen aus der Verordnung nachzukommen. Sofern er die Person aber problemlos identifizieren kann, stellt allein der Mangel an Kontaktdaten noch nicht die „Unmöglichkeit“ im Sinne des Abs. 5 lit. b Satz 1 Hs. 1 Alt. 1 DSGVO dar.54
22
Die Informationspflichten entfallen aber auch dann, wenn die Informationspflicht mit einem unverhältnismäßigen Aufwand verbunden ist (Abs. 5 lit. b Satz 1 Hs. 1 Alt. 2 DSGVO). Notwendig ist dann jedoch eine Abwägung zwischen dem für den Verantwortlichen zu erwartenden Aufwand und dem auf Seiten der betroffenen Person bestehenden Informationsinteresse.55 Dabei ist vor allem das Risiko der Datenverarbeitung und das damit verbundene Interesse der betroffenen Person auf Information darüber zu berücksichtigen. Je höher dies einzuschätzen ist, umso mehr Aufwand kann vom Verantwortlichen zur Umsetzung der Informationspflicht gefordert werden, sodass zumindest bei intensivem Eingriff in die Rechte der betroffenen Person sowie hohe Risiken für diese (bspw. durch massenhafte Datenerhebung), der zur Information notwendige Aufwand als nicht zu hoch im Sinne des Abs. 5 lit. b angesehen werden kann.56
23
Ein weiterer Grund für das Unterbleiben der Informationen kann ein im öffentlichen Interesse liegender Archivzweck, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke im Sinne des Art. 89 Abs. 1 darstellen (Abs. 5 lit. b Satz 1 Hs. 2 Alt. 1 DSGVO). Diese Privilegierung besteht unabhängig von der (öffentlich-rechtlichen oder privaten) Rechtsform des Verantwortlichen und erfordert keine weitere Abwägung der Interessen.57 Allerdings bleibt die Informationspflicht bestehen, wenn ein weiterer Verarbeitungszweck verfolgt wird, der nicht im Sinne der Vorschrift privilegiert ist (vgl. Art. 89 Abs. 4 DSGVO).58
24
Ebenso entfällt die Informationspflicht in den Fällen, in denen das Ziel der Verarbeitung durch die Information gefährdet würde (Abs. 5 lit. b Satz 1 Hs. 2 Alt. 2). Diese Möglichkeit einer längerfristigen verdeckten Datenerhebung erfordert jedoch ein sich aus dem Verarbeitungszweck ergebendes Geheimhaltungsbedürfnis, welches gegenüber den Interessen