Informationspflichten bei der Erhebung von Daten nach der DSGVO¹¹Dieser Beitrag gibt ausschließlich die persönliche Meinung der Autorin wieder. (Zillner)

​​1. Einleitung

Der vorliegende Beitrag beschäftigt sich mit einem Thema, das Verantwortliche²²Art 4 Z 7 DSGVO: „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden. (spätestens) ab 25.05.2018 weit über das bisher bekannte Maß betreffen wird:

Es sind dies die Informationspflichten bei der Erhebung personenbezogener Daten nach der DSGVO und die Rechtsfolgen der Nichteinhaltung. Geregelt sind diese Informationspflichten – neben dem allgemeinen Transparenzgrundsatz des Art 5 Abs 1 – in Art 12 bis 14 DSGVO. Unter der Überschrift „Transparenz und Modalitäten“ sieht Art 12 DSGVO zunächst einige grundsätzliche Regeln für die Ausübung der Rechte der betroffenen Person vor.³³ Leiter in Gantschacher/Jelinek/Schmidl/Spanberger (Hrsg), Kommentar zur Datenschutz-Grundverordnung (2017) 158. Dieser allgemeinen Bestimmung folgend regelt Art 13 DSGVO die konkrete „Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“ und Art 14 die „Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden“. Adressat dieser Bestimmungen ist der Verantwortliche. Systematisch sind die Informationspflichten bei der Erhebung von Daten nun erstmals in den Betroffenenrechten angesiedelt. Unter einem (in der DSGVO nicht näher definierten) „Betroffenenrecht“ versteht Franck „Ansprüche und Gestaltungsmöglichkeiten, die den Berechtigten aufgrund ihrer Betroffeneneigenschaft zukommen und einen hinreichend konkreten, idealerweise vollstreckungsfähigen Inhalt besitzen“.⁴⁴Hervorhebungen weggelassen, Franck in Gola, Datenschutz-Grundverordnung (2017) 318 mwN. Die Eingliederung in die Betroffenenrechte indiziert nicht nur die besondere Bedeutung der Informationspflichten bei der Datenerhebung, sondern führt auch dazu, dass eine Verletzung derselben Geldbußen bis zu EUR 20 Millionen bzw 4% des weltweit erzielten Jahresumsatzes nach sich ziehen kann (Art 83 Abs 5 DSGVO).⁵⁵Siehe dazu auch Knyrim, Die neuen Pflichten nach der EU-Datenschutz-Grundverordnung im Überblick (Teil V), Dako 2016/6, 11.