Die Beauftragte für den Datenschutz und die Informationsfreiheit

Benachrichtigungsrecht

Jede Stelle, die Daten ohne Ihre Kenntnis erhebt und verarbeitet, muss Sie grundsätzlich hierüber benachrichtigen. Die Benachrichtigung ist die Grundlage für die Geltendmachung Ihrer Datenschutzrechte. Denn erst die Kenntnis darüber, wer welche Daten zu welchem Zweck über Sie erhebt und an wen die Daten gegebenenfalls weitergegeben werden, versetzt Sie in die Lage, Ihre Rechte gegenüber der verantwortlichen Stelle geltend zu machen.

Welche Informationen muss die Benachrichtigung enthalten?

Die Benachrichtigung muss Angaben über

  • die Identität der verantwortlichen Stelle,
  • die Art der Daten und
  • den mit der Erhebung, Verarbeitung oder Nutzung verfolgten Zweck

enthalten. Müssen Sie nicht mit der Übermittlung Ihrer Daten rechnen, hat die verantwortliche Stelle Sie auch über die Empfänger oder Kategorien von Empfängern zu unterrichten.

Die vorstehenden Informationen müssen Ihnen auch mitgeteilt werden, wenn Daten unmittelbar bei Ihnen erhoben werden (§ 4 Abs. 3 BDSG). In der Regel werden Sie allerdings, zum Beispiel im Rahmen des Vertragsschlusses, bereits auf andere Weisung Kenntnis von den Umständen der Datenverarbeitung erlangt haben, so dass eine gesonderte Benachrichtigung entfällt.

Wann müssen Sie benachrichtigt werden?

Die Benachrichtigungspflicht gilt sowohl für öffentliche (§ 19a BDSG) als auch für nicht-öffentliche Stellen (§ 33 BDSG).

Für nicht-öffentliche Stellen, die personenbezogene Daten ohne Ihre Kenntnis für eigene Geschäftszwecke speichern (zum Beispiel Unternehmen, das von einem Adresshändler Ihren Namen und Ihre Adresse bezogen haben), besteht eine Benachrichtigungspflicht bereits mit der ersten Speicherung (§ 33 Absatz 1 Satz 1 BDSG).

Werden Ihre Daten von einer nicht-öffentlichen Stelle gespeichert, um diese an Dritte zu übermitteln (zum Beispiel bei Auskunfteien und bei Adresshändlern), sind Sie spätestens zu benachrichtigen, wenn die Daten erstmalig übermittelt wurden (§ 33 Abs. 1 Satz 2 BDSG). 

Von öffentlichen Stellen des Bundes müssen Sie von der Speicherung unterrichtet werden, spätestens muss diese jedoch bei der ersten Übermittlung erfolgen (§ 19a Abs. 1 BDSG). Die Datenschutzgesetze der Länder enthalten für die öffentlichen Stellen der Länder vergleichbare Regelungen.

Gibt es Ausnahmen von der Benachrichtigungspflicht?

Von dem Regelfall, dass grundsätzlich zu benachrichtigen ist, gibt es zahlreiche Ausnahmen. Eine Pflicht zur Benachrichtigung besteht zum Beispiel nicht, wenn Sie auf andere Weise Kenntnis von der Speicherung oder der Übermittlung erlangt haben oder die Speicherung oder Übermittlung der Daten gesetzlich vorgesehen ist. Öffentliche Stellen müssen zudem nicht benachrichtigen, wenn die Unterrichtung einen unverhältnismäßigen Aufwand erfordert oder auch eine Auskunftspflicht nicht besteht, zum Beispiel bei einer überwiegenden Geheimhaltungspflicht (§ 19a Abs. 4 i.V.m. § 19 Abs. 4 BDSG).

Was ändert sich mit der Datenschutz-Grundverordnung?

Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO). Als europäische Verordnung enthält sie unmittelbar anwendbares Recht. Am gleichen Tag wird ein neues BDSG in Kraft treten, das die noch verbliebenen Regelungsspielräume der DSGVO aufgreift. Das geltende BDSG wird am 25. Mai 2018 außer Kraft treten.

Die Datenschutz-Grundverordnung (DSGVO) enthält in den Art. 13 und 14 ebenfalls Informationspflichten für die Verantwortlichen. Diese sind wesentlich umfassender als im geltenden Recht. Sie gelten unterschiedslos für nicht-öffentliche und öffentliche Stellen. Die DSGVO unterscheidet hier zwischen zwei Fällen: In Art. 13 DSGVO sind die Informationspflichten für den Fall geregelt, dass die Daten bei der betroffenen Person erhoben werden, in Art. 14 DSGVO für den Fall, dass die Daten bei Dritten erhoben werden. Die Vorschriften enthalten wenige Ausnahmen von der Informationspflicht, z. B. dann, wenn die betroffene Person bereits über die Informationen verfügt.

Das neue BDSG enthält in den §§ 32 (korrespondierend mit Art. 13 DSGVO) und 33 (korrespondierend mit Art. 14 DSGVO) weitere Einschränkungen der Informationspflichten. Diese sind beispielsweise zum Schutz der öffentlichen Sicherheit vorgesehen.

Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder hat hierzu ein Kurzpapier „Informationspflichten bei Dritt- und Direkterhebung“ herausgegeben, in dem Sie sich näher informieren können:
Das Kurzpapier „Informationspflichten bei Dritt- und Direkterhebung“ finden Sie hier:

Einen Überblick über Ihre Datenschutzrechte finden Sie auch in meinem Faltblatt: