§ 32 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person
(1) Die Pflicht zur Information der betroffenen Person gemäß Artikel 13 Absatz 3 der Verordnung (EU) 2016/679 besteht ergänzend zu der in Artikel 13 Absatz 4 der Verordnung (EU) 2016/679 genannten Ausnahme dann nicht, wenn die Erteilung der Information über die beabsichtigte Weiterverarbeitung
- eine Weiterverarbeitung analog gespeicherter Daten betrifft, bei der sich der Verantwortliche durch die Weiterverarbeitung unmittelbar an die betroffene Person wendet, der Zweck mit dem ursprünglichen Erhebungszweck gemäß der Verordnung (EU) 2016/679 vereinbar ist, die Kommunikation mit der betroffenen Person nicht in digitaler Form erfolgt und das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls, insbesondere mit Blick auf den Zusammenhang, in dem die Daten erhoben wurden, als gering anzusehen ist,
- im Fall einer öffentlichen Stelle die ordnungsgemäße Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgaben im Sinne des Artikels 23 Absatz 1 Buchstabe a bis e der Verordnung (EU) 2016/679 gefährden würde und die Interessen des Verantwortlichen an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen,
- die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde und die Interessen des Verantwortlichen an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen,
- die Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche beeinträchtigen würde und die Interessen des Verantwortlichen an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen oder
- eine vertrauliche Übermittlung von Daten an öffentliche Stellen gefährden würde.
(2) Unterbleibt eine Information der betroffenen Person nach Maßgabe des Absatzes 1, ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung der in Artikel 13 Absatz 1 und 2 der Verordnung (EU) 2016/679 genannten Informationen für die Öffentlichkeit in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache. Der Verantwortliche hält schriftlich fest, aus welchen Gründen er von einer Information abgesehen hat. Die Sätze 1 und 2 finden in den Fällen des Absatzes 1 Nummer 4 und 5 keine Anwendung.
(3) Unterbleibt die Benachrichtigung in den Fällen des Absatzes 1 wegen eines vorübergehenden Hinderungsgrundes, kommt der Verantwortliche der Informationspflicht unter Berücksichtigung der spezifischen Umstände der Verarbeitung innerhalb einer angemessenen Frist nach Fortfall des Hinderungsgrundes, spätestens jedoch innerhalb von zwei Wochen, nach.
Kommentar
§ 32 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
Die Vorschrift beinhaltet Regelungen zu Informationspflichten bei der Erhebung von Daten bei der Betroffenen Person.
Absatz 1 beschränkt die Informationspflicht nur für die Fälle nach Artikel 13 Absatz 3 DSGVO, nämlich dann, wenn der Verantwortliche beabsichtigt, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die Daten bei der betroffenen Person erhoben worden sind.
Die Vorschrift beinhaltet hingegen keine Beschränkung der Informationspflicht gemäß Artikel 13 Absatz 1 und 2 DSGVO.
Die in Art. 13 Absatz 3 DSGVO vorgesehene abermalige Informationspflicht des Verantwortlichen bei einer Zweckänderung ist ein datenschutzrechtliches Novum und existierte im BDSG a.F. nicht. Anders als in den Fällen von Artikel 13 Absatz 1 und 2 DSGVO besteht bei einer späteren Änderung des Zwecks der Datenverarbeitung regelmäßig kein unmittelbarer Kontakt zwischen dem Verantwortlichen und der betroffenen Person. Eine abermalige Kontaktaufnahme zum Zwecke der Information kann sich in diesen Fällen als unverhältnismäßig erweisen.
Absatz 1 Nummer 1 sieht deshalb eine Ausnahme von der Informationspflicht nach Artikel 13 Absatz 3 DSGVO vor, wenn und soweit die Erteilung der Information einen unverhältnismäßigen Aufwand erfordern würde und das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls, insbesondere wegen des Zusammenhangs, in dem die Daten erhoben wurden, als gering anzusehen ist. Ein unverhältnismäßiger Aufwand kann beispielsweise vorliegen, wenn die Kontaktdaten des Betroffenen dem Verantwortlichen nicht bekannt und auch nicht ohne Weiteres zu ermitteln sind. Als Anhaltspunkte für die Beurteilung der Unverhältnismäßigkeit können die Anzahl der betroffenen Personen, das Alter der Daten oder das Bestehen geeigneter Garantien einbezogen werden (vgl. Erwägungsgrund 62 DSGVO). Ebenso ist die Art der zur Verfügung stehenden Kommunikationswege zu berücksichtigen.
Absatz 1 Nummern 2 und 3 enthalten speziell für öffentliche Stellen geltende Einschränkungen der Informationspflicht, wenn die Erteilung der Information über die beabsichtigte Weiterverarbeitung die ordnungsgemäße Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgaben gefährden (Nummer 2) oder die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohle des Bundes oder eines Landes Nachteile bereiten würde (Nummer 3). Voraussetzung ist in beiden Fällen, dass die Interessen des Verantwortlichen an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen. Der in Absatz 1 Nummer 3 genannten „öffentliche Ordnung“ kommt im Lichte der öffentlichen Sicherheit keine eigenständige Bedeutung zu, da es über die positiv geregelten Rechtsvorschriften im Rahmen der öffentlichen Sicherheit hinaus keinen Raum für übergeordnete Ordnungsvorgaben nicht normativer Art gibt.
Absatz 1Nummer 4 sieht eine Einschränkung zur Sicherstellung der Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche vor (Artikel 23 Absatz 1 Buchstabe j DSGVO).
Absatz 1 Nummer 5 schützt die vertrauliche Übermittlung von Daten an öffentliche Stellen (Artikel 23 Absatz 1 Buchstabe e DSGVO). Erfasst werden z. B. Fälle, in denen die Information der betroffenen Person über die Weiterverarbeitung zu einer Vereitelung oder ernsthaften Beeinträchtigung des – legitimen – Verarbeitungszwecks führen würde, etwa wenn die zuständige Strafverfolgungsbehörde über den Verdacht einer Straftat informiert werden soll.
Absatz 2 bestimmt, dass der Verantwortliche geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person zu treffen hat, sofern eine Information der betroffenen Person nach Maßgabe von Absatz 1 nicht stattfindet (vgl. Artikel 23 Absatz 2 DSGVO). Zu den geeigneten Maßnahmen zählt die Bereitstellung dieser Informationen für die Öffentlichkeit in prägnanter einfacher Sprache. Eine Veröffentlichung in „leicht zugänglicher Form“ kann etwa die Bereitstellung der Information auf einer allgemein zugänglichen Internetseite des Verantwortlichen sein (vgl. Erwägungsgrund 58 Satz 2 DSGVO). Die Maßgaben zu präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache beruhen auf Artikel 12 Absatz 1 DSGVO. Der Verantwortliche hat schriftlich festzuhalten, aus welchen Gründen er von einer Information abgesehen hat. Diese Maßgabe dient der Kontrollierbarkeit durch die zuständige Aufsichtsbehörde.
Die Maßnahmen des Verantwortlichen gemäß Absatz 2 Satz 1 und 2 zum Schutz der berechtigten Interessen der betroffenen Person finden im Fall von Absatz 1 Nummer 4 und 5 keine Anwendung. Anderenfalls könnten die in Absatz 2 Satz 1 und 2 geforderten Maßnahmen zu einer Vereitelung oder ernsthaften Beeinträchtigung des – legitimen – Verarbeitungszwecks führen.
Absatz 3 bestimmt, dass der Verantwortliche die Information der betroffenen Person zeitnah nachzuholen hat, sofern die Ausschlussgründe gemäß Absatz 1 nur vorübergehend vorliegen.