Rechtsfrage

Die Informationspflichten nach Art. 13 und 14 DSGVO

Die Informationspflicht entsteht mit der Erhebung personenbezogener Daten und setzt kein Vertragsverhältnis voraus. Arbeitgeber müssen daher ihre Beschäftigten ebenso informieren wie Unternehmen ihre Kundinnen und Kunden. Die Datenschutzerklärung auf der Website erfüllt diese Pflicht in der Regel nicht. Welche Informationen bereitzustellen sind, richtet sich danach, aus welcher Quelle die Daten stammen.

Informiert wird auf der Website, nicht im Verfahren

Die Absage an eine Bewerberin ist geschrieben. Ob sie irgendwann erfahren hat, wie lange ihre Unterlagen liegen bleiben und wer sie sehen kann, weiß niemand. Auf der Website steht eine Datenschutzerklärung. Sie handelt von Cookies und vom Kontaktformular.

Beschäftigte und Bewerbende sind betroffene Personen wie alle anderen

Ob gegenüber eigenen Beschäftigten zu informieren ist, wird häufig mit dem Bestehen des Arbeitsverhältnisses beantwortet. Das geht fehl. Art. 13 Abs. 1 DSGVO knüpft an die Erhebung personenbezogener Daten bei der betroffenen Person. Ein Arbeitsvertrag ändert daran nichts.

§ 26 Abs. 1 BDSG erlaubt die Verarbeitung von Beschäftigtendaten, soweit sie für das Beschäftigungsverhältnis erforderlich ist. Eine Erlaubnis ist keine Befreiung von der Information. Beides steht in verschiedenen Kapiteln der Verordnung und beantwortet verschiedene Fragen.

Art. 13 Abs. 4 DSGVO nimmt die Pflicht zurück, soweit die betroffene Person bereits über die Informationen verfügt. Das ist eine schmale Ausnahme und keine Vermutung. Ein Satz über die Verarbeitung im Arbeitsvertrag sagt nichts über Empfänger, Fristen und die Rechtsgrundlage.

Der Katalog hängt an der Herkunft der Daten

Welche Angaben in einen Hinweistext gehören, entscheidet sich nicht am Adressaten, sondern an der Herkunft der Daten. Zwei Vorschriften stehen nebeneinander. Ihre Kataloge decken sich nicht.

Erhebung bei der Person oder anderswo

Art. 13 DSGVO	Merkmal	Art. 14 DSGVO
Daten von der Person selbstFormular, Gespräch, Bewerbung, Bestellung.	Anlass	Daten von anderswoAuskunftei, Vermittler, öffentliche Quelle, Empfehlung.
Bei der ErhebungAlso gleichzeitig mit dem Formular und nicht danach.	Zeitpunkt	Längstens ein MonatFrüher, wenn kommuniziert oder offengelegt wird.
Pflicht zur BereitstellungOb die Angabe vorgeschrieben ist und was ihr Fehlen bewirkt.	Zusätzliche Angabe	Quelle und DatenkategorienWoher die Daten stammen und welche Kategorien verarbeitet werden.
Nur bei VorkenntnisAbsatz 4, soweit die Person die Informationen schon hat.	Ausnahme	Auch bei UnverhältnismäßigkeitAbsatz 5, dazu Unmöglichkeit und gesetzliche Ausnahmen.

Wer nur einen Text pflegt, pflegt den Katalog des Art. 13 DSGVO und lässt bei zugekauften oder weitergegebenen Daten die Angabe zur Quelle aus. Das ist die Lücke, die im Auskunftsersuchen zuerst auffällt.

Verständlich zu sein ist keine Geschmacksfrage, sondern der Wortlaut

Wie lang ein Hinweistext werden darf, entscheidet nicht das Sicherheitsbedürfnis der schreibenden Stelle. Art. 12 Abs. 1 DSGVO verlangt eine präzise, transparente, verständliche und leicht zugängliche Form in klarer und einfacher Sprache. Ein Text, der alles nennt und niemanden erreicht, erfüllt die Vorschrift nicht besser als ein zu knapper.

Drei Schichten statt eines Blocks

Am Erhebungspunkt
Zwei bis drei Sätze unmittelbar am Formular oder im Gespräch: wer verarbeitet, wozu, wie lange und wo mehr steht.
Der vollständige Text je Kontext
Ein eigener Hinweis für Beschäftigte, einer für Bewerbende, einer für die Kundschaft, einer für die Videoerfassung. Nicht ein Dokument für alle.
Einzelheiten auf Abruf
Empfängerlisten, Drittlandangaben und Fristen als aufklappbarer Teil. Art. 12 Abs. 7 DSGVO erlaubt dafür ausdrücklich Bildsymbole.

3 von 3

Der mehrschichtige Aufbau ist keine Erleichterung der Pflicht, sondern ihre Erfüllung. Vollständig bleibt der Text auf der zweiten Schicht. Leicht zugänglich wird er durch die erste.

Ein Hinweistext veraltet mit dem nächsten System

Woran ein Hinweistext seine Aktualität verliert, ist derselbe Vorgang, der ein Verzeichnis veralten lässt. Die Zwecke nach Art. 13 Abs. 1 Buchst. c DSGVO und die Empfänger nach Buchstabe e sind dieselben Angaben, die im Verzeichnis nach Art. 30 Abs. 1 DSGVO stehen.

Sechs wiederkehrende Befunde

Empfänger fehlen, seit ein Dienstleister dazukam

Der häufigste Befund. Ein neues Bewerbermanagement, ein neuer Abrechnungsdienstleister, ein neues Ticketsystem. Der Hinweistext nennt weiterhin die Empfänger von vorgestern. Auffällig wird das erst bei einem Auskunftsersuchen nach Art. 15 DSGVO.

Die Rechtsgrundlage stimmt nicht mit der Praxis überein

Im Text steht Einwilligung, tatsächlich stützt sich die Verarbeitung auf Art. 6 Abs. 1 Buchst. b oder f DSGVO. Der Fehler kostet doppelt, weil er der betroffenen Person ein Widerrufsrecht ankündigt, das nicht besteht. Zudem ist die Interessenabwägung nirgends dokumentiert.

Fristen stehen im Text, aber in keinem System

Eine genannte Frist, die kein System ausführt, ist eine falsche Angabe und keine unvollständige. Wo die Frist noch nicht feststeht, gehören die Kriterien hinein, nach denen sie sich bestimmt.

Der Text nennt Verarbeitungen, die es nicht gibt

Die Folge einer übernommenen Vorlage. Sie sieht vollständig aus, beschreibt Newsletter und Gewinnspiele, die niemand betreibt. Die Zeiterfassung lässt sie aus.

Die Quelle fehlt, obwohl Daten zugekauft werden

Art. 14 Abs. 2 Buchst. f DSGVO verlangt die Angabe, aus welcher Quelle die Daten stammen. Wer Adressen zukauft oder Empfehlungen verarbeitet, schuldet sie und liefert sie fast nie.

Der Hinweis liegt nicht dort, wo die Daten anfallen

Ein Text im Fußbereich der Website informiert nicht über das Gespräch am Telefon, das Bewerbungsportal oder die Kamera am Eingang. Leicht zugänglich heißt erreichbar an der Stelle, an der die Daten anfallen.

Wo die Hinweistexte aus derselben Liste von Verarbeitungstätigkeiten entstünden, änderten sie sich mit ihr. Getrennt geführt laufen sie auseinander. Der Abstand fällt erst bei einem Auskunftsersuchen auf.

So unterstützen wir Sie bei den Informationspflichten

Was eine Überarbeitung leistet

Eine Aufnahme, an welchen Stellen im Unternehmen Daten anfallen und von wem
Je Kontext ein eigener Text, abgeleitet aus dem Verzeichnis und nicht aus einer Vorlage
Die Trennung nach Art. 13 und Art. 14 DSGVO, damit die Angabe zur Quelle nicht fehlt
Ein Kurzhinweis an jedem Erhebungspunkt, mit dem Verweis auf den vollständigen Text
Die Kopplung der Fortschreibung an dieselben Anlässe wie beim Verzeichnis

Häufige Fragen

Braucht es eigene Hinweise für Beschäftigte?

Ja. Art. 13 DSGVO knüpft an die Erhebung und nicht an das Bestehen eines Vertragsverhältnisses. § 26 Abs. 8 BDSG rechnet Bewerbende und Personen mit beendetem Beschäftigungsverhältnis ausdrücklich zu den Beschäftigten, sodass der Kreis größer ausfällt als die aktuelle Belegschaft.

Wann ist zu informieren?

Bei Erhebung von der betroffenen Person zum Zeitpunkt der Erhebung, Art. 13 Abs. 1 DSGVO. Stammen die Daten von anderswo, innerhalb einer angemessenen Frist und längstens innerhalb eines Monats, spätestens aber zur ersten Mitteilung oder Offenlegung, Art. 14 Abs. 3 DSGVO.

Darf der Hinweis entfallen, wenn er Aufwand macht?

Nur im Fall des Art. 14 DSGVO. Absatz 5 lässt die Information entfallen, soweit sie sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. Bei Art. 13 DSGVO gibt es diese Ausnahme nicht, dort entfällt die Pflicht allein, soweit die Person bereits über die Informationen verfügt.

Genügt ein Verweis auf die Datenschutzerklärung der Website?

Nur dort, wo sie den Vorgang tatsächlich beschreibt. Ein Verweis auf einen Text über Cookies und Kontaktformulare informiert nicht über die Lohnabrechnung. Leicht zugänglich im Sinne von Art. 12 Abs. 1 DSGVO ist ein Text, der an der Stelle erreichbar ist, an der die Daten anfallen.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.