entfällt dadurch aber nicht vollständig, sondern ist nachzuholen, sobald der Verarbeitungszweck durch die Information nicht mehr gefährdet wird (bspw. bei Ermittlungen eines Privatdetektives, wenn die Ermittlungen abgeschlossen sind).59
25
Überdies verlangt Abs. 5 lit. b Satz 2 aber außerdem, dass bei Anwendung der in Satz 1 genannten Ausschlussgründe, geeignete Schutzvorkehrungen zugunsten der betroffenen Person zu ergreifen sind. Hierzu dürfte es vor allem notwendig sein, dass wie bereits dargelegt die Abwägung der Interessen vorgenommen wurde, die dann aber auch im Sinne des Art. 5 Abs. 2 dokumentiert werden, d.h. neben der allgemeinen Dokumentationspflicht außerdem die Gründe der unterlassenen Information sowie die vorgenommene Abwägung mit aufgenommen wird.60 Darüber hinaus nennt Abs. 5 lit. b Satz 2 die Veröffentlichung der Informationen als eine der möglichen Schutzmechanismen, was aber allenfalls im Falle des zu großen Aufwands der Information eine geeignete Schutzvorkehrung sein kann.61
3. Ausdrückliche Regelung (Abs. 5 lit. c)
26
Regelt eine Rechtsvorschrift ausdrücklich die Erhebung oder Offenlegung der Daten, entfällt die Informationspflicht nach Art. 14 DSGVO ebenfalls, da die betroffene Person die Hintergründe dann der Rechtsvorschrift entnehmen kann (bspw. bei Meldepflichten an Behörden zur Geldwäschebekämpfung).62 Voraussetzung ist jedoch, dass der Informationsgehalt der Rechtsvorschrift mit der Informationspflicht des Verantwortlichen als gleichwertig zu betrachten ist und die betroffene Person in ausreichendem Maße die Reichweite und das Risiko der Datenerhebung und Weiterverarbeitung einschätzen kann.63 Sofern Vorschriften demgegenüber lediglich die Erlaubnis zur Datenverarbeitung enthalten (vgl. Art. 6 DSGVO), kann dies nicht als ausreichend erachtet werden.64 Damit eine betroffene Person daher die Datenerhebung im Einzelfall nachvollziehen kann, muss eine Rechtsvorschrift im Sinne von Abs. 5 lit. c neben der Erlaubnis zur Datenverarbeitung außerdem die Art der erhobenen Daten, die Voraussetzungen deren Erhebung und den Zweck der Verarbeitung ausreichend spezifizieren und normenklar festlegen.65 Insbesondere wird nach Abs. 5 lit. c verlangt, dass die Rechtsvorschrift geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen. Inwieweit der Verantwortliche hierbei zur Prüfung dieser Voraussetzungen verpflichtet sein soll, lässt sich Abs. 5 lit. c hingegen nicht entnehmen. Allerdings sollte auch in diesem Fall der Verantwortliche genau dokumentieren, auf welcher Grundlage und nach welchen Prüfungsschritten er die Information nach Abs. 5 lit. c unterlassen hat.66
4. Berufsgeheimnis (Abs. 5 lit. d)
27
Zum Schutz des Berufsgeheimnisses enthält Abs. 5 lit. d eine weitere Ausnahmeregelung zur Informationspflicht. Das Berufsgeheimnis kann sich sowohl aus Unionsrecht als auch aus dem Recht der Mitgliedstaaten ergeben, wobei es auf einer rechtlichen Grundlage beruhen muss. Ausreichend ist danach eine Regelung des Berufsgeheimnisses in Form des § 203 Abs. 1 und Abs. 2 StGB, wonach ein Arzt gegebenenfalls nicht zur Information an betroffene Personen verpflichtet ist, sofern er deren personenbezogene Daten im Rahmen eines Patienten-Arztverhältnisses erhalten hat.67 Danach müssen Familienangehörige dann nicht informiert werden, wenn beispielsweise im Rahmen einer Familienanamnese Angaben zu Vorerkrankungen von Angehörigen erfragt oder während einer Therapie von einem Psychologen Angaben zu Familienangehörigen erhoben werden.68
5. Fakultative Beschränkungen nach Art. 23
28
Darüber hinaus können gemäß Art. 23 DSGVO die Informationspflichten aus Art. 14 DSGVO außerdem durch Gesetzgebungsmaßnahmen der Union oder eines Mitgliedstaates zusätzlich zu Abs. 5 beschränkt werden. Möglich ist dies zum Beispiel, wenn zum Schutz privater Geschäftszwecke oder zur Erfüllung behördlicher Aufgaben die Datenerhebung und deren nachfolgende Verarbeitung geheim gehalten werden sollen, wobei wegen des starken Eingriffs in die Rechte der betroffenen Person an die Regelungen dann hohe Anforderungen in Bezug auf die Bestimmtheit und die Verhältnismäßigkeit zu stellen sind.69
VIII. Form und Darstellung der Informationen
29
Vorgaben für die Form und die Darstellung der Informationen finden sich für Art. 14 DSGVO ebenfalls nicht in der Vorschrift selbst, sondern ergeben sich lediglich aus Art. 12 Abs. 1, 7 und 8 DSGVO.70 Auch im Zusammenhang des Art. 14 DSGVO ist dabei auf eine verständliche Vermittlung der Informationen zu achten, sodass die betroffene Person in die Lage versetzt wird, den Umfang der Datenverarbeitung zu verstehen und gegebenenfalls ihre Betroffenenrechte sowohl dem Verantwortlichen als auch Dritten gegenüber wahrnehmen zu können.71 Dabei kann auch die Verwendung von Bildsymbolen eine Möglichkeit darstellen, die Informationen der betroffenen Person mitzuteilen.72
IX. Sanktionen
30
Wird eine betroffene Person durch den Verantwortlichen nicht nach Abs. 1, Abs. 2 oder Abs. 4 informiert bzw. der nach Abs. 3 einzuhaltende Zeitraum überschritten, handelt es sich um eine Informationspflichtverletzung, welche gemäß Art. 83 Abs. 5 lit. b DSGVO mit einer Geldbuße geahndet werden kann.73 Die Verletzung der Informationspflichten führt aber nicht zwingend zur Rechtswidrigkeit der Datenerhebung, vielmehr kommt es auch im Rahmen des Art. 14 Abs. 1 und Abs. 2 DSGVO darauf an, ob die Datenerhebung von der Entscheidung der betroffenen Person abhing, sie also die Entscheidung mangels der notwendigen Informationen nicht treffen konnte.74 Hätte die Information demnach schon bei der Datenerhebung erfolgen müssen (bspw. bei einer notwendigen Einwilligung oder der Vorbereitung eines Vertragsverhältnisses), so ist deren Weiterverarbeitung rechtswidrig. Dies ist auch dann der Fall, wenn die Weiterverarbeitung nach einer Zweckänderung gemäß Abs. 4 vom Willen der betroffenen Person abhängt.75 Ansonsten bleibt die Weiterverarbeitung rechtmäßig, die Informationen müssen allerdings durch den Verantwortlichen umgehend nachgeholt werden.76
1 Zur Bestrebung, die Betroffenenrechte zu stärken und die Verantwortlichen mehr in die Pflicht zu nehmen, siehe u.a. bei Thode, in: Schläger/Thode, Handbuch Datenschutzrecht und IT-Sicherheit, Kapitel A m.w.N. 2 Zur sog. „aktiven Transparenz“ und den Betroffenenrechten im Einzelnen siehe außerdem Franck, RDV 2015, 137, 141. 3 Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 13 Rn. 1, Art. 14 Rn. 1. 4 Dazu Franck, in: Gola, DS-GVO, Art. 13 Rn. 1, Art. 14 Rn. 1. 5 Im Einzelnen bei Knyrim, in: Ehmann/Selmayr, DS-GVO, Art. 13 Rn. 1. 6 Für die weitere Anwendung des TMG, solange die E-Privacy-Richtlinie nicht kommt, so noch Venzke-Caparese, DuD 2018, 156; siehe aber auch die Meinung der Aufsichtsbehörden, DSK v. 26.4.2018; darüber hinaus wurde inzwischen das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beschlossen, welches bereits ab dem 1.12.2021 gilt, mit dem Ziel, die Datenschutzbestimmungen des Telekommunikationsgesetzes (TKG) sowie des Telemediengesetzes (TMG) an die Datenschutzgrundverordnung anzupassen, bestehende Rechtsunsicherheiten zu beseitigen und die Datenschutzbestimmungen von TKG und TMG zusammenzufassen, hierzu näher unter https://www.gdd.de/aktuelles/startseite/gdd-veroeffentlicht-praxishilfe-das-neue-telekommunikation-telemedien-datenschutz-gesetz-ttdsg-im-ueberblick (zuletzt abgerufen am 15.7.2021). 7 Die Vorschrift als Pedant zu Art. 13 bezeichnend Franck, in: Gola, DS-GVO, Art. 14 Rn. 1. 8 Dazu Franck, in: Gola,