Datenschutzerklärung (Datenschutz-Grundverordnung)

Die Datenschutzerklärung dient der Information der betroffenen Person. Sie soll Transparenz darüber herstellen, dass und in welchem Umfang personenbezogene Daten verarbeitet werden oder künftig noch verarbeitet werden sollen.^[2] Insofern schaffen diese Informationen die Grundlage, dass die betroffene Person von ihren Rechten Gebrauch machen kann.^[3]

Werden Daten der betroffenen Person erhoben, also gibt die Person die Daten beispielsweise selbst in ein Formular ein oder gibt diese mündlich bekannt sind die Informationen zum Zeitpunkt der Erhebung mitzuteilen.^[4]

Werden die Daten nicht bei der betroffenen Person erhoben, also beispielsweise durch ein automatisches Auslesen von Identifikatoren im Browser oder durch Erhebung bei einer Wirtschaftsauskunftei, so muss eine entsprechende Information

• spätestens einen Monat nach der Erlangung der Daten,
• spätestens bei der ersten Kommunikation mit betroffenen Person oder
• spätestens bei der Offenlegung an einen weiteren Empfänger

erfolgen, je nachdem welcher Zeitpunkt oder Fall zuerst eintritt. In bestimmten eng gesteckten Fällen kann von der Benachrichtigung abgesehen werden, insbesondere wenn die betroffene Person bereits über die Informationen verfügt oder eine Geheimhaltungspflicht gegen die Bekanntgabe spricht.

Die Datenschutz-Grundverordnung verpflichtet die verantwortlichen Stellen alle Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ zur Verfügung zu stellen.^[5] Die Datenschutzhinweise müssen daher „auf eine einfache Formel gebracht und griffig formuliert“ werden.^[6] Wesentlich ist, dass die Informationen für das Zielpublikum – also juristische Laien – verständlich sind. Sofern sich ein Angebot an Kinder richtet müssen die Informationen im Speziellen auch für diese verständlich sein.

Die Informationen zur Verarbeitung personenbezogener Daten kann schriftlich, elektronisch oder in einer anderen Form – auch mündlich – zur Verfügung gestellt werden.

Nach Artikel 13 DSGVO muss eine Datenschutzerklärung, wenn die Erhebung der Daten bei einer betroffenen Person erfolgt, folgende Informationen enthalten:

• Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters in der Europäischen Union
• gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten
• der Zweck der Datenverarbeitung und die Rechtsgrundlage (nach Art. 6 und gegebenenfalls nach Art. 9 oder Art. 10)
• die mit der Datenverarbeitung verfolgten berechtigten Interessen, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f) beruht
• gegebenenfalls die Empfänger oder Kategorien von Empfängern der Daten
• gegebenenfalls die Absicht, die Daten ins Nicht-EU-Ausland zu übertragen und die Rechtsgrundlage dafür (nach den Art. 44 ff.)
• die beabsichtigte Speicherdauer
• die Angabe der Betroffenenrechte nach den Art. 15 ff. (Bestehen eines Rechts auf Auskunft, Bestehen eines Rechts auf Berichtigung, Bestehen eines Rechts auf Löschung, Bestehen eines Rechts auf Einschränkung der Verarbeitung (Sperrung), Bestehen eines Widerspruchsrechts gegen die Verarbeitung, Bestehen eines Rechts auf Datenübertragbarkeit, Bestehen eines Rechts auf Widerruf der Einwilligung (soweit die Verarbeitung auf Art. 6 Abs. 1 lit. a) beruht), Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde)
• die Angabe, ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist und gegebenenfalls die Folgen einer Nichtbereitstellung
• gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung oder Profiling (Art. 22)

Werden die Daten nicht bei einer betroffenen Person erhoben, muss gemäß Art. 14 Abs. 2 lit. f. zusätzlich angeführt werden, aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus einer öffentlich zugänglichen Quelle stammen.