Die Informationspflichten nach Art. 13 DSGVO verpflichten jedes Unternehmen, betroffene Personen bereits bei der Erhebung ihrer personenbezogenen Daten verständlich darüber zu informieren, wer die Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet, wie lange sie gespeichert werden und welche Rechte bestehen. Die Pflicht gilt unabhängig von der Unternehmensgröße und unabhängig davon, ob die Daten online oder analog erhoben werden.
In der Praxis wird die Pflicht häufig auf die Datenschutzerklärung der Website reduziert. Tatsächlich entsteht sie überall dort, wo ein Unternehmen Daten direkt bei Menschen erhebt: bei Bewerbungen, bei der Anbahnung von Verträgen, in Kontaktformularen, bei der Videoüberwachung am Eingang, im Besucherempfang, bei der Einstellung von Beschäftigten und bei Kundenkarten. Jede dieser Situationen verlangt eine passende Information.
Fehlende oder fehlerhafte Informationen gehören zu den häufigsten Beanstandungen der Aufsichtsbehörden, weil sie leicht zu prüfen sind und einen Verstoß gegen die Betroffenenrechte darstellen können. Dieser Beitrag erläutert die Pflichtangaben, den richtigen Zeitpunkt, Anforderungen an Form und Sprache, die Umsetzung in typischen Situationen und die häufigsten Fehler.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Titelbild: Foto von Aleix Ventayol auf Unsplash.
Rechtlicher Rahmen: Transparenz als Grundprinzip
Die Informationspflichten konkretisieren den Grundsatz der Transparenz aus Art. 5 Abs. 1 lit. a DSGVO. Personen sollen nachvollziehen können, was mit ihren Daten geschieht. Art. 12 DSGVO legt fest, wie die Information zu erfolgen hat, nämlich in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache. Art. 13 DSGVO regelt, welche Angaben bei einer Erhebung direkt bei der betroffenen Person zu machen sind. Art. 14 DSGVO behandelt den Fall, dass die Daten nicht bei der betroffenen Person erhoben wurden, etwa bei der Übernahme aus einem Adressverzeichnis oder von einem anderen Unternehmen.
Wer gegen diese Pflichten verstößt, riskiert Maßnahmen der Aufsichtsbehörden bis hin zu Geldbußen. Nach Art. 83 Abs. 5 lit. b DSGVO kommen für Verstöße gegen die Rechte der betroffenen Personen Bußgelder von bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes in Betracht, je nachdem, welcher Betrag höher ist. Die Höhe im Einzelfall richtet sich nach Schwere, Dauer und Umständen des Verstoßes. Hinzu kommen Abmahnrisiken durch Wettbewerber und Verbände sowie Schadensersatzansprüche, die im Einzelfall geltend gemacht werden können.
Abgrenzung Art. 13 und Art. 14
Maßgeblich ist, woher die Daten stammen. Füllt eine Interessentin ein Kontaktformular aus oder reicht ein Bewerber seine Unterlagen ein, greift Art. 13. Erwirbt das Unternehmen dagegen Daten aus einer öffentlichen Quelle oder erhält sie von einem Dritten, richtet sich die Information nach Art. 14, mit teilweise abweichenden Fristen. Viele Unternehmen müssen beide Konstellationen abdecken und sollten die Informationen entsprechend trennen.
Die Pflichtangaben im Überblick
Art. 13 Abs. 1 und 2 DSGVO listet die Angaben auf, die der betroffenen Person mitzuteilen sind. Die folgende Übersicht fasst sie zusammen und ordnet sie der jeweiligen Vorschrift zu.
| Angabe | Fundstelle | Praxishinweis |
|---|---|---|
| Name und Kontaktdaten des Verantwortlichen | Abs. 1 lit. a | Vollständige Firmierung mit Anschrift, E-Mail-Adresse und Telefonnummer |
| Kontaktdaten des Datenschutzbeauftragten | Abs. 1 lit. b | Nur falls ein Datenschutzbeauftragter benannt ist |
| Zwecke und Rechtsgrundlage der Verarbeitung | Abs. 1 lit. c | Zweck je Verarbeitung konkret benennen, Rechtsgrundlage mit Artikel angeben |
| Berechtigte Interessen | Abs. 1 lit. d | Nur bei Verarbeitung nach Art. 6 Abs. 1 lit. f, mit konkreter Beschreibung des Interesses |
| Empfänger oder Kategorien von Empfängern | Abs. 1 lit. e | Etwa Hosting-Anbieter, Steuerberatung, Versanddienstleister |
| Übermittlung in Drittländer | Abs. 1 lit. f | Mit Hinweis auf Angemessenheitsbeschluss oder geeignete Garantien |
| Speicherdauer oder Kriterien für ihre Festlegung | Abs. 2 lit. a | Konkrete Fristen oder nachvollziehbare Kriterien |
| Betroffenenrechte | Abs. 2 lit. b | Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit |
| Widerrufsrecht bei Einwilligung | Abs. 2 lit. c | Mit dem Hinweis, dass die Rechtmäßigkeit bis zum Widerruf unberührt bleibt |
| Beschwerderecht bei der Aufsichtsbehörde | Abs. 2 lit. d | Allgemeiner Hinweis genügt, nennen Sie bei Bedarf die zuständige Behörde |
| Pflicht zur Bereitstellung und mögliche Folgen | Abs. 2 lit. e | Ob die Angabe gesetzlich oder vertraglich erforderlich ist |
| Automatisierte Entscheidungsfindung einschließlich Profiling | Abs. 2 lit. f | Aussagekräftige Informationen über die involvierte Logik, soweit zutreffend |
Zusätzlich verlangt Art. 21 Abs. 4 DSGVO, dass auf das Widerspruchsrecht spätestens bei der ersten Kommunikation ausdrücklich und in einer von anderen Informationen getrennten Form hingewiesen wird, wenn die Verarbeitung auf einem berechtigten Interesse oder der Wahrnehmung einer Aufgabe im öffentlichen Interesse beruht.
Konkret statt pauschal
Aufsichtsbehörden beanstanden regelmäßig Pauschalformulierungen. Sätze wie „Wir verarbeiten Ihre Daten zur Vertragsabwicklung und zu weiteren Zwecken“ genügen nicht. Erforderlich ist, dass die betroffene Person erkennt, welche Daten zu welchem konkreten Zweck verarbeitet werden. Gleiches gilt für Speicherfristen: Die Angabe „solange erforderlich“ allein ist zu unbestimmt. Besser sind konkrete Fristen oder nachvollziehbare Kriterien, etwa die gesetzlichen Aufbewahrungsfristen nach Handels- und Steuerrecht.
Der richtige Zeitpunkt und die Form der Information
Die Information muss nach Art. 13 Abs. 1 DSGVO zum Zeitpunkt der Erhebung erfolgen. Das bedeutet: vor oder spätestens im Moment, in dem die Daten erhoben werden. Eine nachträgliche Information per E-Mail Wochen später genügt grundsätzlich nicht. Bei Online-Formularen wird deshalb ein Hinweis in unmittelbarer Nähe zum Absendeknopf mit Verlinkung auf die ausführliche Datenschutzinformation empfohlen.
Hinsichtlich der Form fordert Art. 12 DSGVO eine leicht zugängliche und verständliche Darstellung. Bewährt hat sich ein mehrstufiger Ansatz. Auf der ersten Ebene stehen die wichtigsten Angaben in knapper Form, etwa auf einem Aushang, einem Formularkopf oder einem Hinweisschild. Auf der zweiten Ebene folgt die vollständige Information, die über einen Link, QR-Code oder ein ausgehändigtes Merkblatt erreichbar ist. Der Europäische Datenschutzausschuss hat diesen Ansatz in seinen Leitlinien zur Transparenz befürwortet.
Eine Datenschutzinformation, die niemand versteht, erfüllt die Pflicht nicht, auch wenn sie vollständig ist.
Für die Sprache gilt: kurze Sätze, wenig Fachbegriffe, klare Gliederung. Bei Angeboten an Kinder sind besonders einfache Formulierungen zu wählen. Fremdsprachige Angebote erfordern in der Regel auch eine Information in dieser Sprache.
Umsetzung in typischen Situationen
Website und Kontaktformulare
Die Datenschutzerklärung der Website sollte alle Verarbeitungen abbilden, die tatsächlich stattfinden: Server-Logfiles, Kontaktformular, Newsletter, Einbindung externer Dienste wie Karten, Videos oder Statistik, Cookies und ähnliche Technologien. Sie muss von jeder Seite aus mit einem Klick erreichbar sein. Wichtig ist, dass die Erklärung mit der Realität übereinstimmt. Wird ein neuer Dienst eingebunden, ist die Erklärung vor dem Start anzupassen.
Bewerbungen und Beschäftigte
Für Bewerberinnen und Bewerber sollte bereits die Stellenausschreibung oder die Karriereseite auf eine Datenschutzinformation verweisen. Sie nennt Zweck, Rechtsgrundlage, Dauer der Speicherung nach Abschluss des Verfahrens und die beteiligten Stellen. Für Beschäftigte stützt sich die Verarbeitung regelmäßig auf § 26 BDSG und auf Art. 6 DSGVO. Auch hier ist eine eigene Information erforderlich, die sich von der Website-Erklärung unterscheidet, etwa als Anlage zum Arbeitsvertrag oder im Intranet. Sie behandelt Personalakte, Lohnabrechnung, Zeiterfassung und gegebenenfalls Zugangssysteme.
Videoüberwachung und Besucher
Bei Videoüberwachung wird typischerweise auf der ersten Ebene ein gut sichtbares Hinweisschild vor dem überwachten Bereich angebracht, das die wesentlichen Angaben enthält, und auf der zweiten Ebene die vollständige Information bereitgehalten. Gleiches gilt für Besucherlisten, Zutrittskontrollen und Parkplatzsysteme. Die Information muss erfolgen, bevor Betroffene den Erfassungsbereich betreten.
Kundenbeziehung und Vertragsanbahnung
Im Vertrieb und bei der Auftragsabwicklung fallen Daten über Ansprechpersonen bei Kunden und Lieferanten an. Auch deren Daten unterliegen der Informationspflicht. Praktisch bewährt haben sich ein Datenschutzhinweis in den Angebots- und Auftragsunterlagen, ein Link in der E-Mail-Signatur oder ein Merkblatt für Geschäftspartner. Für bestehende Geschäftsbeziehungen kann eine einmalige Information ausreichen, sofern sich die Verarbeitung nicht wesentlich ändert.
Ausnahmen und Zweckänderung
Art. 13 Abs. 4 DSGVO sieht vor, dass die Information entfallen kann, soweit die betroffene Person bereits über die Informationen verfügt. Diese Ausnahme sollte zurückhaltend angewendet werden, da der Verantwortliche nachweisen muss, dass die Kenntnis tatsächlich besteht. Weitere Ausnahmen für bestimmte Konstellationen ergeben sich aus dem Bundesdatenschutzgesetz, etwa in § 32 BDSG bei Verarbeitungen zu einem anderen Zweck.
Ändert sich der Zweck der Verarbeitung nach der Erhebung, verlangt Art. 13 Abs. 3 DSGVO, dass der betroffenen Person vor der Weiterverarbeitung Informationen über diesen anderen Zweck und alle maßgeblichen weiteren Informationen zur Verfügung gestellt werden. Beispiel: Kontaktdaten, die für eine Terminvereinbarung erhoben wurden, sollen später für Newsletter genutzt werden. Dafür ist nicht nur die Information, sondern in der Regel eine eigene Rechtsgrundlage erforderlich, die geprüft werden muss.
Typische Fehler in der Praxis
- Veraltete Erklärung: Die Datenschutzerklärung beschreibt Dienste, die längst nicht mehr eingesetzt werden, oder verschweigt neu eingebundene.
- Muster ohne Anpassung: Texte aus Generatoren oder Vorlagen enthalten Passagen, die für das Unternehmen nicht zutreffen, und lassen Zutreffendes aus.
- Fehlende Rechtsgrundlagen: Zwecke werden genannt, die Rechtsgrundlagen jedoch nicht oder nur pauschal.
- Unklare Speicherdauer: Es fehlen Fristen oder nachvollziehbare Kriterien.
- Information zu spät: Der Hinweis erfolgt erst nach der Datenerhebung, etwa im Nachgang per E-Mail.
- Keine Information für Beschäftigte: Die Website-Erklärung wird als alleiniges Dokument verwendet, obwohl Personaldaten verarbeitet werden.
- Zu unübersichtlich: Seitenlange Textblöcke ohne Gliederung erfüllen die Anforderung an Verständlichkeit nicht.
- Keine Abstimmung mit dem Verzeichnis: Die Angaben weichen vom Verzeichnis der Verarbeitungstätigkeiten ab.
Vorgehen: So bauen Sie die Informationspflichten auf
- Verarbeitungen erfassen: Grundlage ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Aus ihm lassen sich Zwecke, Empfänger, Fristen und Drittlandbezug ableiten.
- Erhebungssituationen identifizieren: Wo erhebt das Unternehmen Daten direkt bei Menschen? Website, Bewerbung, Vertragsanbahnung, Zutritt, Beschäftigung, Veranstaltungen.
- Zielgruppen trennen: Je Gruppe, etwa Website-Besucher, Bewerber, Beschäftigte, Kunden und Lieferanten, wird eine passende Information erstellt.
- Texte erstellen: Klare Sprache, Gliederung nach Zwecken, Pflichtangaben vollständig, Rechtsgrundlagen mit Artikel benannt.
- Zeitpunkt und Kanal festlegen: Wo und wann wird die Information übergeben oder verlinkt? Erste Ebene und zweite Ebene definieren.
- Verantwortung und Pflege regeln: Wer aktualisiert die Texte, wenn sich Prozesse oder Dienste ändern? Ein jährlicher Prüftermin ist sinnvoll.
- Nachweis führen: Versionen der Informationen werden archiviert, damit sich belegen lässt, welcher Text wann zur Verfügung stand.
Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass das Unternehmen die Einhaltung nachweisen kann. Dazu gehört, dass Texte, Veröffentlichungsdaten und Änderungshistorie dokumentiert sind.
Checkliste: Sind Ihre Informationspflichten vollständig?
- Das Verzeichnis von Verarbeitungstätigkeiten ist aktuell und bildet die Grundlage der Information.
- Für Website, Bewerbung, Beschäftigte, Kunden und Videoüberwachung liegen eigene Informationen vor.
- Alle Pflichtangaben nach Art. 13 Abs. 1 und 2 DSGVO sind enthalten.
- Zwecke, Rechtsgrundlagen, Empfänger und Speicherfristen sind konkret benannt.
- Der Hinweis auf das Widerspruchsrecht nach Art. 21 Abs. 4 DSGVO ist, soweit erforderlich, deutlich abgesetzt.
- Die Information erfolgt zum Zeitpunkt der Erhebung und ist leicht auffindbar.
- Bei neuen Diensten oder Zweckänderungen wird die Information vorab angepasst.
- Es gibt einen verantwortlichen Prüfrhythmus und eine Archivierung der Fassungen.
Den Gesetzestext finden Sie in der Datenschutz-Grundverordnung auf EUR-Lex. Ergänzende Regelungen für Beschäftigte enthält § 26 BDSG auf gesetze-im-internet.de.
Fazit
Die Informationspflichten nach Art. 13 DSGVO sind eine Querschnittsaufgabe, die weit über die Website hinausgeht. Sie setzen voraus, dass das Unternehmen seine Verarbeitungen kennt, sie konkret beschreiben kann und die Information rechtzeitig und verständlich bereitstellt. Wer das Verzeichnis von Verarbeitungstätigkeiten als Ausgangspunkt nutzt, die Zielgruppen trennt und einen festen Pflegeprozess etabliert, reduziert Beanstandungsrisiken und schafft Vertrauen bei Kunden, Bewerbern und Beschäftigten.
FAQ
Wann muss die Information nach Art. 13 DSGVO erfolgen?
Sie muss zum Zeitpunkt der Erhebung der personenbezogenen Daten erfolgen, also vor oder spätestens im Moment der Erhebung. Eine nachträgliche Information genügt grundsätzlich nicht.
Was ist der Unterschied zwischen Art. 13 und Art. 14 DSGVO?
Art. 13 gilt, wenn die Daten direkt bei der betroffenen Person erhoben werden, etwa über ein Formular. Art. 14 gilt, wenn die Daten aus anderen Quellen stammen, zum Beispiel von Dritten oder aus öffentlich zugänglichen Verzeichnissen. Die Fristen und Ausnahmen unterscheiden sich teilweise.
Reicht die Datenschutzerklärung auf der Website aus?
Nein, in der Regel nicht. Sie deckt nur die Verarbeitungen im Zusammenhang mit der Website ab. Für Beschäftigte, Bewerber, Kunden, Lieferanten und Videoüberwachung sind jeweils eigene, passende Informationen erforderlich.
Welche Angaben gehören zu den Pflichtinformationen?
Dazu zählen Verantwortlicher, gegebenenfalls Datenschutzbeauftragter, Zwecke und Rechtsgrundlagen, berechtigte Interessen, Empfänger, Drittlandübermittlung, Speicherdauer, Betroffenenrechte, Widerrufsrecht, Beschwerderecht, Pflicht zur Bereitstellung der Daten und automatisierte Entscheidungsfindung, soweit zutreffend.
Welche Folgen drohen bei fehlenden Informationen?
Aufsichtsbehörden können Anordnungen treffen und Bußgelder verhängen. Nach Art. 83 Abs. 5 lit. b DSGVO ist ein Rahmen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vorgesehen. Hinzu können Abmahnungen und Schadensersatzansprüche kommen.
Wie oft sollte die Datenschutzinformation überprüft werden?
Mindestens einmal jährlich sowie jedes Mal, wenn sich Verarbeitungen, eingesetzte Dienste oder Empfänger ändern. Die Überprüfung sollte mit dem Verzeichnis von Verarbeitungstätigkeiten abgeglichen und dokumentiert werden.
