In Artikel 14 DSGVO lesen Sie, was zu tun ist, wenn Sie personenbezogene Daten nicht direkt bei der betroffenen Person erheben. Sobald diese Situation n\u00e4mlich eintritt, m\u00fcssen Sie den Betroffenen dar\u00fcber informieren. Ein Vers\u00e4umnis hat schwere Konsequenzen, wie dieses Fallbeispiel aus meinem Alltag als Datenschutzexperte zeigt.<\/p>\n
Hin und wieder kommt es vor, dass Sie personenbezogene Daten nicht vom Besitzer dieser Daten selbst erhalten. Das ist zum Beispiel der Fall, wenn ein Handwerksbetrieb Kundendaten von einem anderen Betrieb erh\u00e4lt, der ebenfalls am Projekt beteiligt ist. Diese indirekte Erhebung darf nicht stillschweigend geschehen, denn einer der Grunds\u00e4tze der DSGVO lautet schlie\u00dflich: Transparenz!<\/p>\n
Deshalb fordert Artikel 14 der DSGVO, dass Sie die betroffene Person in jedem Fall \u00fcber die Datenweitergabe informieren m\u00fcssen \u2013 selbst, wenn sie aus den besten Gr\u00fcnden heraus erfolgt.<\/p>\n
Folgende Informationen sind neben den \u00fcblichen Angaben (Name und Kontaktdaten von Verantwortlichem, Vertreter und ggfs. Datenschutzbeauftragtem) notwendig:<\/p>\n
Am besten nat\u00fcrlich so schnell wie m\u00f6glich. Die DSGVO gestattet in Artikel 14 jedoch \u201eunter Ber\u00fccksichtigung der spezifischen Umst\u00e4nde der Verarbeitung\u201c einen Zeitraum von maximal einem Monat nach Erhebung der Daten. Ausnahmen:<\/p>\n
So viel zur Theorie. Schauen wir uns nun an, wie das in der Praxis aussieht \u2013 bzw. nicht aussehen sollte!<\/p>\n
Eine interessierte Firma kontaktierte mich mit der Bitte, ihren internen Datenschutzbeauftragten<\/a> abzul\u00f6sen. Der Grund war genau jener, den ich auch schon in einem vergangenen Beitrag zu internen Datenschutzbeauftragten angef\u00fchrt hatte: Interne DSB m\u00fcssen die Datenschutzprojekte parallel zu ihren \u201enormalen\u201c Aufgaben bearbeiten \u2013 und das wird schnell zu viel. Auch der interne DSB aus diesem Fallbeispiel hatte Schwierigkeiten, alles unter einen Hut zu bringen und dabei noch sorgf\u00e4ltig auf die korrekte Abwicklung zu achten. Die Folge: Er verga\u00df, einen Kunden \u00fcber die indirekte Datenerhebung nach Artikel 14 DSGVO zu informieren. Versch\u00e4rfend kam hinzu, dass diese Kundeninformationen \u201eauf dem kleinen Dienstweg\u201c an das Unternehmen kamen. Ein Konflikt war damit vorprogrammiert.<\/p>\n Und dieser Konflikt lie\u00df nicht lange auf sich warten. Denn wie es dann auch h\u00e4ufig so ist, bemerkte der Kunde diese Panne nat\u00fcrlich und wandte sich an die Aufsichtsbeh\u00f6rde.<\/p>\n F\u00fcr den Gesch\u00e4ftsf\u00fchrer der Firma aus diesem Beispiel war nun klar:<\/p>\n So kam der Gesch\u00e4ftsf\u00fchrer auf mich zu. Gemeinsam besprachen wir die Lage und er erhielt eindeutige Handlungsanweisungen, wie er mit dem entr\u00fcsteten Kunden kommunizieren und welche Angaben er zudem den Beh\u00f6rden \u00fcbermitteln sollte. So konnte die Situation letztendlich noch gerettet werden.<\/p>\n\n
Fazit: Vorsorge ist besser als Nachsorge<\/h2>\n