Geschrieben am 23.06.2025 von:
Dominik Piroth
Privacy Consultant | Datenschutzbeauftragter (TÜV)
zum Profil
Kontaktiere mich:
+49 (0) 261 – 9886236 44
E-Mail senden
Nachdem du in unserem letzten Beitrag viel zum Thema Beschäftigtendatenschutz erfahren hast, schauen wir uns nun an, was die DS-GVO zum Thema Informationspflichten vorgibt. Die kurze Antwort: Eine ganze Menge, schließlich beinhaltet das einschlägige Kapitel III der DS-GVO sowohl die Informationspflichten selbst (Art. 13, 14 DS-GVO) als auch die Betroffenenrechte (Art. 15 – 22 DS-GVO). Vorausgestellt ist hier Art. 12 DS-GVO, der die Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Personen regelt. Aber fangen wir ganz von vorne an.
Gemäß Art. 12 DS-GVO trifft der Verantwortliche geeignete Maßnahmen, „um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Art. 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln“. Wie oben bereits erwähnt, legt Art. 12 DS-GVO somit fest, wie die Übermittlung der Information zu erfolgen hat. Sowohl bei den Informationspflichten (Art. 13 und 14 DS-GVO) als auch bei den Betroffenenrechten (Art. 15 ff. DS-GVO) sind also stets die Vorgaben des Art. 12 DS-GVO zu beachten.
Gehen wir nun etwas konkreter auf die Informationspflichten ein, hier insbesondere auf den Unterschied zwischen Art. 13 und 14 DS-GVO. Art. 13 DS-GVO regelt die Informationspflicht des Verantwortlichen gegenüber der betroffenen Person bei der Erhebung personenbezogener Daten. Konkret bedeutet das, dass Verantwortliche die betroffene Person bei der Erhebung ihrer Daten über bestimmte Aspekte informieren müssen. Art. 14 DS-GVO regelt wiederum die Informationspflichten, wenn personenbezogene Daten nicht bei der betroffenen Person selbst, sondern bei Dritten erhoben werden (wenn die Daten beispielsweise aus öffentlichen Quellen bezogen werden). In beiden Fällen allerdings muss die betroffene Person informiert werden, wobei die Informationen, die zu erteilen sind, sich ähneln. So gibt sowohl Art. 13 als auch 14 DS-GVO vor, dass etwa die Zwecke der Verarbeitung, die Rechtsgrundlage und die Kategorien von Empfängern benannt werden müssen. Bei Art. 14 DS-GVO kommt dann noch die Information hinzu, aus welcher Quelle die personenbezogenen Daten stammen.
Ab Art. 15 DS-GVO starten die Betroffenenrechte. Anders als bei den oben genannten Art. 13 und 14 DS-GVO, wird der Verantwortliche hier erst dann aktiv, sobald ein Betroffenenrecht geltend gemacht wird. Da hier allerdings Fristen laufen (vgl. Art. 12 Abs. 3 DS-GVO) ist es zu empfehlen, einschlägige Regelungen in Form einer internen Richtlinie und Formulare/Muster in den Unternehmensprozess zu implementieren. Die betroffene Person kann unterschiedliche Rechte geltend machen. So hat sie etwa das Recht von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden (Auskunftsrecht gemäß Art. 15 DS-GVO). Oder sie kann von dem Verantwortlichen verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden (Recht auf Löschung gemäß Art. 17 DS-GVO). Aus Gründen, die sich aus ihrer besonderen Situation ergeben, kann sie jederzeit gegen bestimmte Verarbeitungen Widerspruch einlegen (Widerspruchsrecht gemäß Art. 21 DS-GVO). Zu beachten ist, dass der Verantwortliche auf die Betroffenenrechte in jedem Fall (fristgemäß) reagieren muss. Auch wenn beispielsweise keine personenbezogenen Daten bei einem Verantwortlichen verarbeitet werden, hat die betroffene Person einen Anspruch auf diese Information (Negativauskunft).
Wenn du bei der Umsetzung dieser Pflichten in irgendeiner Weise Unterstützung benötigst, schreibe einfach eine kurze Nachricht an contact@morgenstern-privacy.com, dann helfen wir dir!