§ 33 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
(1) Die Pflicht zur Information der betroffenen Person gemäß Artikel 14 Absatz 1, 2 und 4 der Verordnung (EU) 2016/679 besteht ergänzend zu den in Artikel 14 Absatz 5 der Verordnung (EU) 2016/679 und der in § 29 Absatz 1 Satz 1 genannten Ausnahme nicht, wenn die Erteilung der Information
- im Fall einer öffentlichen Stelle
a) die ordnungsgemäße Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgaben im Sinne des Artikels 23 Absatz 1 Buchstabe a bis e der Verordnung (EU) 2016/679 gefährden würde oder
b) die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde
und deswegen das Interesse der betroffenen Person an der Informationserteilung zurücktreten muss,
- im Fall einer nichtöffentlichen Stelle
a) die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche beeinträchtigen würde oder die Verarbeitung Daten aus zivilrechtlichen Verträgen beinhaltet und der Verhütung von Schäden durch Straftaten dient, sofern nicht das berechtigte Interesse der betroffenen Person an der Informationserteilung überwiegt, oder
b) die zuständige öffentliche Stelle gegenüber dem Verantwortlichen festgestellt hat, dass das Bekanntwerden der Daten die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde; im Fall der Datenverarbeitung für Zwecke der Strafverfolgung bedarf es keiner Feststellung nach dem ersten Halbsatz.
(2) Unterbleibt eine Information der betroffenen Person nach Maßgabe des Absatzes 1, ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung der in Artikel 14 Absatz 1 und 2 der Verordnung (EU) 2016/679 genannten Informationen für die Öffentlichkeit in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache. Der Verantwortliche hält schriftlich fest, aus welchen Gründen er von einer Information abgesehen hat.
(3) Bezieht sich die Informationserteilung auf die Übermittlung personenbezogener Daten durch öffentliche Stellen an Verfassungsschutzbehörden, den Bundesnachrichtendienst, den Militärischen Abschirmdienst und, soweit die Sicherheit des Bundes berührt wird, andere Behörden des Bundesministeriums der Verteidigung, ist sie nur mit Zustimmung dieser Stellen zulässig.
§ 33 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
Die Vorschrift beinhaltet Regelungen für Informationspflichten in Fällen, in denen die Datenerhebung nicht bei den betroffenen Personen erfolgt ist.
Absatz 1 enthält Ausnahmen von der Informationspflicht des Verantwortlichen aus Artikel 14 Absatz 1, 2 und 4 in Ergänzung zu den Fällen gemäß Artikel 14 Absatz 5 DSGVO und § 29 Absatz 1 Satz 1.
Absatz 1 Nummer 1 gilt nur für öffentliche Stellen. Die Regelung ist angelehnt an die Ausnahmeregelungen gemäß § 19a Absatz 3 i. V. m. § 19 Absatz 4 Nummer 1 und 2 BDSG a.F.
Absatz 1 Nummer 2 gilt nur für nichtöffentliche Stellen. Im Gesetzgebungsverfahren war anfänglich eine Formulierung von Buchstabe a in Anlehnung an § 33 Absatz 2 Satz 1 Nummer 7b BDSG a.F. vorgesehen, wonach die die Benachrichtigung unterbleiben durfte, wenn Geschäftszwecke der nichtöffentlichen Stelle erheblich gefährdet worden wären (BT Drs. 18/11325, S. 34). In das Gesetz (BDSG 2018) hat indessen eine weiter gehende Regelung Eingang gefunden. Eine Information darf danach bereits dann unterbleiben, wenn sie die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche beeinträchtigen würde (Varianten 1 bis 3) oder wenn die Verarbeitung Daten aus zivilrechtlichen Verträgen beinhaltet und der Verhütung von Schäden durch Straftaten dient (Variante 4). Alle Varianten setzen voraus, dass Interessen der betroffenen Person nicht überwiegen. Als Ausnahmetatbestand ist die Vorschrift eng auszulegen.
Ein Anwendungsfall von Absatz 1 Nummer 2 Buchstabe a ist die Datenverarbeitungen zum Zwecke der Verfolgung zivilrechtlicher Ansprüche (vgl. Artikel 23 Absatz 1 Buchstabe j DSGVO).
Absatz 1 Nummer 2 Buchstabe b ist an § 33 Absatz 2 Satz 1 Nummer 6 BDSG a. F. angelehnt. Die Beschränkung der Informationspflicht (vgl. Artikel 23 Absatz 2 Buchstabe c DSGVO) dient den Zielen der nationalen Sicherheit (Artikel 23 Absatz 1 Buchstabe a DSGVO), der Landesverteidigung (Artikel 23 Absatz 1 Buchstabe b DSGVO, der öffentlichen Sicherheit (Artikel 23 Absatz 1 Buchstabe c DSGVO), der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (Artikel 23 Absatz 1 Buchstabe d DSGVO) sowie sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder der Bundesrepublik Deutschland (Artikel 23 Absatz 1 Buchstabe e DSGVO).
Absatz 2 ist Wortgleich mit § 32 Absatz 2 Satz 1 und 2. Auf die Kommentierung zu § 32 Absatz 2 wird verwiesen.
Absatz 3 regelt die Informationserteilung durch öffentliche Stellen an die genannten Stellen. Vorschriften dazu fanden sich zuvor in § 19a Absatz 3 i. V. m. § 19 Absatz 3 BDSG a.F.