Wer personenbezogene Daten von einem Geschäftspartner, einem Register oder einem Datenlieferanten erhält, muss die Informationspflicht nach Artikel 14 DSGVO prüfen. Dass die Daten öffentlich auffindbar sind oder berufliche Kontakte betreffen, beseitigt diese Pflicht nicht. Entscheidend ist, welche Daten der Verantwortliche aus welcher Quelle erhält und was er damit vorhat.
Der praktische Ausgangspunkt ist ein Beschaffungsvorgang: Eingang der Daten, erste Kontaktaufnahme und erste Weitergabe müssen feststehen, bevor ein Team die Informationen nutzt. Dieser Leitfaden verbindet die Pflichtangaben mit einer Fristenentscheidung und einem ausgefüllten Beispiel. Er ersetzt keine Prüfung, ob bereits die Beschaffung oder der geplante Kommunikationskanal rechtmäßig ist.
1. Direkte und indirekte Erhebung unterscheiden
Artikel 13 betrifft Daten, die bei der betroffenen Person erhoben werden. Artikel 14 betrifft Daten, die nicht bei ihr erhoben wurden. Typische Fälle sind Ansprechpartnerlisten eines Lieferanten, Daten aus öffentlich zugänglichen beruflichen Profilen, Auskünfte eines Vermittlers oder Angaben über eine Person, die ein anderer Beschäftigter übermittelt.
Stammen Angaben im Bewerbungsverfahren aus einem Führungszeugnis oder einer entsprechenden Fremdauskunft, muss zusätzlich die Zulässigkeit der Verarbeitung strafrechtlicher Informationen geprüft werden. Eine erteilte Information nach Artikel 14 schafft selbst keine Rechtsgrundlage für diese Erhebung.
Auch ein gemischter Vorgang ist möglich: Eine Person übermittelt ihre eigene E-Mail-Adresse im Formular; die Organisation ergänzt anschließend eine berufliche Funktion aus einer anderen Quelle. Die Informationsprüfung muss beide Datenflüsse erfassen. Für die direkte Erhebung hilft der Leitfaden zur Gestaltung von Datenschutzinformationen im Formular.
Prüfen Sie zuerst, ob die Angaben tatsächlich personenbezogene Daten sind und welche Organisation über ihre Verwendung entscheidet. Ein Auftragsverarbeiter erfüllt nicht automatisch eigene Informationspflichten eines neuen Verantwortlichen, nur weil er eine Datei technisch importiert. Die Rollenabgrenzung zwischen Verantwortlichem und Auftragsverarbeiter verhindert hier falsche Zuständigkeiten.
2. Welche Informationen erforderlich sind
Die verbindliche Checkliste steht in Artikel 14 Absätze 1 und 2 DSGVO. Neben den allgemeinen Datenschutzinformationen sind bei indirekter Erhebung besonders die Datenkategorien und die Herkunft wichtig. Der Hinweis muss dem tatsächlichen Vorgang entsprechen und bedingte Angaben enthalten, soweit sie einschlägig sind.
| Bereich | Inhalt für den konkreten Vorgang |
|---|---|
| Verantwortlichkeit | Identität und Kontaktdaten des Verantwortlichen, gegebenenfalls seines Vertreters und des Datenschutzbeauftragten |
| Verarbeitung | Konkrete Zwecke, passende Rechtsgrundlagen und Kategorien personenbezogener Daten |
| Berechtigte Interessen | Die verfolgten Interessen, soweit Artikel 6 Absatz 1 Buchstabe f verwendet wird |
| Empfänger | Empfänger oder aussagekräftige Empfängerkategorien |
| Drittlandbezug | Geplante Übermittlung, Angemessenheitsentscheidung beziehungsweise einschlägige Garantien und Zugang zu deren Kopie oder Fundstelle |
| Aufbewahrung | Speicherdauer oder, wenn nicht möglich, nachvollziehbare Kriterien |
| Rechte | Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit entsprechend ihren Voraussetzungen |
| Einwilligung | Widerrufsmöglichkeit, soweit die Verarbeitung auf Einwilligung beruht, ohne rückwirkende Beseitigung der bisherigen Rechtmäßigkeit |
| Beschwerde | Beschwerderecht bei einer Aufsichtsbehörde |
| Herkunft | Quelle der Daten und gegebenenfalls ihre öffentliche Zugänglichkeit |
| Automatisierte Entscheidungen | Bei einschlägigen Entscheidungen nach Artikel 22 Absatz 1 und 4: aussagekräftige Angaben zu Logik, Tragweite und angestrebten Auswirkungen |
Artikel 12 verlangt eine verständliche und leicht zugängliche Darstellung. Bedingungslose Versprechen wie „Sie können sämtliche Daten jederzeit löschen lassen“ erklären die Rechte unzutreffend. Umgekehrt darf eine pauschale Formulierung „Rechte nach geltendem Recht“ die praktische Information nicht ersetzen.
3. Die früheste relevante Informationsfrist bestimmen
Informiert werden muss innerhalb einer angemessenen Frist nach Erlangung der Daten, spätestens innerhalb eines Monats. Sollen die Daten zur Kommunikation mit der betroffenen Person verwendet werden, ist spätestens bei der ersten Mitteilung zu informieren. Ist eine Offenlegung an einen anderen Empfänger beabsichtigt, spätestens bei dieser ersten Offenlegung. Ein früheres solches Ereignis zieht die Information vor; der Monat ist keine allgemeine Warteerlaubnis.
Erfassen Sie deshalb drei Termine: tatsächlicher Eingang, erste vorgesehene Mitteilung und erste vorgesehene Offenlegung. Weder der Beginn einer späteren Kundenbeziehung noch die Aktivierung einer Marketingkampagne startet die Frist neu. Auch eine technische Weitergabe an einen Dienstleister gehört in die Prüfung des Empfängerkreises.
Eine Organisation erhält beispielsweise am 3. September Kontaktdaten. Sie will am 9. September mit der Person sprechen, die Daten aber schon am 7. September einem Kooperationspartner offenlegen. Ohne einschlägige Ausnahme muss sie spätestens zur früheren Offenlegung informieren. Sie darf nicht bis zum 3. Oktober warten. Zusätzlich bleibt zu prüfen, ob die Umstände bereits eine noch zeitnähere Information verlangen.
4. Die Quelle konkret und überprüfbar benennen
„Aus öffentlich verfügbaren Quellen“ hilft wenig, wenn die Organisation tatsächlich eine bestimmte Unternehmenswebsite oder einen benannten Listenanbieter verwendet hat. Speichern Sie bei der Übernahme den Lieferanten, die konkrete Fundstelle, den Beschaffungstag und die gelieferten Kategorien. Dadurch lässt sich die Herkunft erklären und eine falsche Angabe gezielt berichtigen.
Die vom EDSA bestätigten Transparenzleitlinien WP260rev.01 erläutern die Informationspflichten. Bei zusammengeführten Quellen ist eine aussagekräftige Herkunftsangabe erforderlich; eine technisch nicht mehr trennbare Zusammenführung rechtfertigt keine absichtlich inhaltsleere Beschreibung. Planen Sie die Herkunftsdokumentation deshalb bereits beim Import.
Eine Zusicherung des Lieferanten, die Daten seien „DSGVO-konform“, belegt weder die eigene Rechtsgrundlage noch die eigene Information. Fordern Sie konkrete Angaben zur Erhebung und zu bereits erteilten Informationen an. Für eine behauptete Einwilligung muss insbesondere verständlich werden, welche Organisationen, Zwecke und Kommunikationswege sie tatsächlich umfasst.
5. Ein ausgefüllter Informations- und Zustellvermerk
Das folgende Beispiel betrifft die fiktive Elbufer Anlagenservice GmbH. Sie erhält von einem gewerblichen Kunden den Namen und die dienstliche E-Mail-Adresse seiner technischen Ansprechpartnerin, um einen bereits bestellten Wartungstermin zu koordinieren. Die Person ist nicht selbst Vertragspartei. Das Beispiel verwendet deshalb nach einer vorausgesetzten dokumentierten Erforderlichkeits- und Interessenabwägung Artikel 6 Absatz 1 Buchstabe f; der Vertrag mit ihrem Arbeitgeber allein macht Buchstabe b nicht automatisch passend.
Der interne Vermerk lautet: „Daten am 3. September von der technischen Leitung des Kunden erhalten. Kategorien: Name, dienstliche Adresse und Funktion. Zweck: Abstimmung des Wartungstermins am Kundenstandort. Erstkontakt am 4. September. Keine vorherige Offenlegung geplant. Information Version W-3 mit der ersten Terminabstimmung bereitstellen; verantwortliche Funktion: Servicekoordination.“
Ein ausgefüllter Kurztext für diese erste Ebene könnte so aussehen: „Wir haben Ihren Namen, Ihre dienstliche E-Mail-Adresse und Ihre Funktion von der technischen Leitung Ihres Arbeitgebers erhalten. Die Elbufer Anlagenservice GmbH verwendet diese Angaben zur Abstimmung des beauftragten Wartungstermins. Unser berechtigtes Interesse ist die verlässliche Koordination der Arbeiten am Standort. Einzelheiten zu Aufbewahrung, Empfängern und Ihren Rechten finden Sie in den beigefügten Datenschutzinformationen zur Wartungskoordination. Für Rückfragen steht datenschutz@elbufer-anlagenservice.example zur Verfügung.“
Dieser Kurztext ist bewusst nur die erste Informationsebene. Die vollständige zweite Ebene muss alle einschlägigen Angaben aus der Tabelle enthalten, einschließlich realer Identitäts- und Kontaktdaten, Aufbewahrungsentscheidung und Beschwerdehinweis. Die Beispieldomain ist kein erreichbarer Kontakt. Für die eigene Fassung sind tatsächliche Empfänger und Übermittlungen zu ermitteln; „keine Weitergabe“ darf nicht verwendet werden, wenn Hosting oder externe Koordination Daten erhalten.
6. Die vier Ausnahmen aus Absatz 5 einzeln prüfen
Buchstabe a greift, soweit die Person die Informationen bereits besitzt. Dokumentieren Sie, welche Fassung sie erhalten hat und ob diese den aktuellen Verantwortlichen, Zweck und Datenumfang abdeckt. Eine beliebige Erklärung auf der Website des ursprünglichen Lieferanten reicht dafür nicht.
Buchstabe b erfasst nach seinen Voraussetzungen Unmöglichkeit, unverhältnismäßigen Aufwand oder eine voraussichtliche Vereitelung beziehungsweise ernsthafte Beeinträchtigung der Verarbeitungsziele durch die Information. Die Vorschrift hebt insbesondere Archivierung im öffentlichen Interesse, Forschung und Statistik unter den dort genannten Bedingungen hervor. Bloße Unbequemlichkeit oder eine große eingekaufte Liste begründen keine pauschale Ausnahme.
Wo Buchstabe b tatsächlich greift, sind geeignete Schutzmaßnahmen zu ergreifen, einschließlich öffentlicher Bereitstellung der Informationen. Beurteilen Sie Hindernis, alternative Informationswege, Umfang und Auswirkungen konkret. Ein veröffentlichter Datenschutzhinweis erzeugt die Ausnahme nicht erst; er ist Teil der Maßnahmen nach einer tragfähigen Ausnahmeprüfung.
Buchstabe c setzt voraus, dass Erlangung oder Offenlegung ausdrücklich durch anwendbares Unions- oder Mitgliedstaatenrecht geregelt ist und dieses geeignete Schutzmaßnahmen vorsieht. Buchstabe d betrifft gesetzlich geregelte berufliche Geheimhaltung einschließlich gesetzlicher Geheimhaltungspflichten. Eine privat vereinbarte Vertraulichkeitsklausel ist damit nicht gleichzusetzen.
In Deutschland können zusätzliche spezielle Einschränkungen einschlägig sein. So enthält § 33 BDSG differenzierte Voraussetzungen für öffentliche und nichtöffentliche Stellen; Absatz 2 verlangt bei einer darauf gestützten Nichtinformation Schutzmaßnahmen und eine schriftliche Begründung. Diese Vorschrift ist keine allgemeine Ausnahme für Geschäftskontakte. Prüfen Sie den konkreten gesetzlichen Tatbestand und seinen Anwendungsbereich.
7. Datenschutzinformation ist keine Werbeerlaubnis
Bei einer deutschen E-Mail-Kampagne muss unabhängig von Artikel 14 insbesondere § 7 UWG beachtet werden. Eine berufliche Adresse begründet keine allgemeine Erlaubnis für unerbetene elektronische Werbung. Die gesetzliche Bestandskundenausnahme hat mehrere kumulative Bedingungen und lässt sich nicht allein mit einem vorhandenen Geschäftskontakt begründen.
Eine neutrale erforderliche Datenschutzinformation sollte nicht mit Angeboten oder Verkaufsargumenten vermischt werden, um eine fehlende Werbeerlaubnis zu umgehen. Die Abgrenzung von Opt-in und Opt-out ordnet die unterschiedlichen Entscheidungen ein. Das Widerspruchsrecht nach Artikel 21 muss bei Direktwerbung praktisch umgesetzt werden und spätestens bei der ersten Kommunikation ausdrücklich und getrennt hervorgehoben werden.
8. Änderungen und fehlgeschlagene Zustellung bearbeiten
Bei einem neuen Zweck verlangt Artikel 14 Absatz 4 grundsätzlich vor der Weiterverarbeitung die Information über diesen Zweck und relevante weitere Angaben. Eine alte Information über Wartungskoordination deckt keine heimliche Ergänzung um Verkaufsprofile ab. Prüfen Sie zudem die Rechtmäßigkeit und Zweckvereinbarkeit der Änderung.
Dokumentieren Sie die verwendete Informationsversion, den gewählten Weg und das Zustellergebnis in angemessenem Umfang. Ein Versandfehler ist ein Anlass, den Weg zu korrigieren und die Frist zu prüfen; er beweist nicht automatisch Unmöglichkeit. Bewahren Sie nur erforderliche Nachweise auf. Das Nachweisverzeichnis zur Rechenschaftspflicht verbindet diese Belege mit der Beschaffungsentscheidung und einer verantwortlichen Funktion, sodass spätere Rückfragen nicht bei einer anonymen Datenlieferung enden.