Transparente Information gemäß DSGVO
DSGVO Art 12, 15-22, 82, 83
Transparenzpflichten des Verantwortlichen - Identitätsprüfung - Frist der Auskunftserteilung - Rechtmäßige Verweigerung der Auskunftserteilung - Muster-Formulare zur Ausübung von Betroffenenrechten - Kosten der Auskunftserteilung - Geldstrafe und Schadenersatzklage drohen
Informationspflichten des Unternehmens (Verantwortlicher) dienen dem Schutz des Kunden (Betroffener). Ausreichende Information soll zum einen Datenverarbeitungen transparent machen und zum anderen die Geltendmachung der Betroffenenrechte ermöglichen. Nur wenn bekannt ist, was mit den persönlichen Daten passiert, können Gegenmaßnahmen ergriffen und Betroffenenrechte ausgeübt werden.
Transparenzpflichten des Verantwortlichen
Ein wichtiges Element der Datenschutz-Grundverordnung (DSGVO) ist der Grundsatz der Transparenz. Nach diesem Grundsatz soll jede Betroffene Kenntnis davon haben, welches Unternehmen bzw. welche Organisation, welche personenbezogenen Daten, auf welche Art und Weise verarbeitet.
Die Betroffenen haben das Recht auf umfassende Informationen darüber, was mit ihren personenbezogenen Daten geschieht. Daher müssen sie zum Zeitpunkt der Datenerhebung Auskunft über den Zweck und die Dauer der Speicherung, die Kontaktdaten des Verantwortlichen der verarbeitenden Stelle etc. erhalten. Jedes einzelne Betroffenenrecht, z.B. Auskunfts- oder Löschungsrecht, muss dem Nutzer dargelegt werden.
Gemäß Art 12 DSGVO ist daher geregelt in welcher Art und Weise die Ausgestaltung sowie die Bereitstellung der Datenschutzinformationen vom Verantwortlichen durchzuführen sind. Danach sind die Informationen der Betroffenen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln (insbesondere bei Kindern). Einen Auftragsverarbeiter (der im Auftrag eines Verantwortlichen personenbezogene Daten verarbeitet) trifft diese Informationsverpflichtung nicht.
Für den Betroffenen muss der datenschutzrelevante Inhalt der Informationen eindeutig sein und sich von anderen Inhalten leicht unterscheiden lassen.
Die leichte Zugänglichkeit der Informationen muss gewährleistet sein. Verantwortliche dürfen Datenschutzinformationen in Papierform an Betroffene übermitteln. Die DSGVO sieht auch eine elektronische Übermittlung vor. Hierbei muss eine angemessene Zustellmethode ausgewählt werden. Als zulässiges und gängiges Format ist die Datenübermittlung in PDF denkbar. Die Information kann auch mündlich erfolgen, wenn die betroffene Person es verlangt (Beweisproblem). Eine aktive Übermittlung der Information ist nicht erforderlich, es genügt auch die Bereitstellung auf der Website.
Die sprachliche Ausgestaltung muss in einfacher Sprache erfolgen. Verantwortliche müssen notwendige Informationen und Mitteilungen an Betroffene in deutscher Sprache durchführen. Dabei sollten Fremdwörter in den Erklärungen und lange Satzstrukturen vermieden werden.
Die DSGVO sieht hohe Anforderungen an die Verarbeitung personenbezogener Daten von Kindern vor. Aufgrund der besonderen Schutzwürdigkeit von Kindern müssen Datenschutzinformationen in einer klaren und einfachen Sprache erfolgen, so dass ein Kind sie verstehen kann. Zu beachten ist, dass bei längeren und komplexeren Texten eine sinnvolle Ordnung und Untergliederung durchzuführen ist.
Verantwortliche sollten klare Zuständigkeiten und Ansprechpartner gerade für Gesuche im Zusammenhang mit der datenschutzrechtlichen Rechtsausübung festlegen. Angaben über die Kontaktdaten der Ansprechperson sollten für Datenschutzfragen an leicht zugänglicher Stelle auf der Website gegenüber Betroffenen offengelegt werden.
Informationen können mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln.
Identitätsprüfung
Es muss gewährleistet werden, dass die zu beauskunftenden Daten nicht unbefugten Dritten verfügt werden. Hat der Verantwortliche begründete Zweifel an der Identität eines Antragstellers, so kann er zusätzliche Informationen zur Bestätigung der Identität nachfordern (Art 12 Abs 6 DSGVO).
Frist der Auskunftserteilung
Eine Auskunftserteilung über die Betroffenenrechte gemäß Art 15 bis 22 DSGVO durch den Verantwortlichen muss unverzüglich, aber spätestens innerhalb eines Monats erfolgen (Art 12 Abs 3 DSGVO). Verantwortliche müssen ohne schuldhaftes Zögern der Auskunftserteilung nachkommen. Nur in begründeten Ausnahmefällen kann die Monatsfrist um zwei weitere Monate verlängert werden. Als Gründe für eine Fristverlängerung sieht die DSGVO die Berücksichtigung der Komplexität des Antrags oder die hohe Anzahl der gestellten Anträge der Betroffenen vor. Wird eine solche Verlängerung als notwendig angesehen, ist der Betroffene innerhalb eines Monats nach Antragseingang über die Fristverlängerung und die Gründe der Verzögerung zu informieren.
Rechtmäßige Verweigerung der Auskunftserteilung
Verantwortliche dürfen unter bestimmten Voraussetzungen einen Antrag unbehandelt lassen. Gemäß Artikel 12 Abs 2 und Abs 5 DSGVO sind Gründe festgelegt, die ein Untätigbleiben rechtfertigen. Der Verantwortliche kann die Auskunftserteilung verweigern, wenn es ihm nicht möglich ist, den Betroffenen zu identifizieren. Macht der Betroffene in seinem Antrag unzureichende Angaben über seine Identitätsdaten, kann der Verantwortliche von einer Bearbeitung des Antrags absehen. Ferner darf der Verantwortliche keine Auskunft erteilen, wenn ein Betroffener ein und denselben Antrag zu oft gestellt hat. Schließlich dürfen Verantwortliche auch dann eine Auskunftserteilung verweigern, wenn die Anträge der Betroffenen offenkündig unbegründet sind. Das heißt, wenn die Voraussetzungen für die Ausübung eines Betroffenenrechts offensichtlich nicht vorliegen.
Muster-Formulare zur Ausübung von Betroffenenrechten
Verantwortliche müssen (vorbereitend) geeignete organisatorische Maßnahmen treffen, damit der Betroffene beispielsweise eine beantragte Auskunft fristgerecht und in verständlicher Form erhalten kann (Art 12 Abs 1 DSGVO). Denkbar ist ein Muster-Formular, das einer schnellen Bearbeitung von Betroffenenanliegen dient.
Kosten der Auskunftserteilung
Die Auskunftserteilung an den Betroffenen erfolgt durch den Verantwortlichen grundsätzlich kostenlos. Nur offenkundig unbegründete oder wiederholt gestellte Anträge können zur Ablehnung oder zur Zahlungsaufforderung eines angemessenen Entgelts führen.
Der Verantwortliche trägt die Beweislast für das Vorliegen eines unbegründeten oder wiederholt gestellten Antrags. Er muss den Betroffenen die Gründe für die Verweigerung der Auskunft mitteilen und sie über Rechtsschutzmöglichkeiten informieren (Art 12 Abs 4 DSGVO)
Geldstrafe und Schadenersatzklage drohen
Kommen Verantwortliche den ihnen durch Art 12 DSGVO auferlegten Pflichten nicht nach, kann dies mit Geldstrafe von bis zu 20 Mio. Euro oder im Falle eines Unternehmens von bis zu 4 Prozent seines gesamten weltweit erzielten Jahresumsatzes sanktioniert werden (Art 83 Abs 5 DSGVO). Über die Beschwerde einer Datenschutzverletzung entscheidet die Datenschutzbehörde. Weiters dürfen Betroffene Schadenersatzklagen geltend machen (Art 82 DSGVO). Betroffene können das Recht auf Schadenersatz beim Zivilgericht (NICHT Datenschutzbehörde) geltend machen.
mehr --> Auskunftsrecht gemäß Datenschutz-Grundverordnung (DSGVO)
mehr --> Welche Informationspflichten bestehen durch die Datenschutz-Gr...
mehr --> Ausbildungsreihe "betrieblicher Datenschutzbeauftragter"
mehr --> http://ftp.freenet.at/privacy/ds-eu/eu-ds-gvo-aktuell.pdf
|
