Informationspflichten nach Art. 13 DSGVO

Jedes Kontaktformular, jede Bestellung, jede Bewerbung löst sie aus: Sobald Sie Daten unmittelbar bei einer Person erheben, müssen Sie Informationspflichten erfüllen – und zwar bevor die Daten bei Ihnen ankommen, nicht danach.

Erstgespräch vereinbaren

Wann Art. 13 greift und wann Art. 14

Die Unterscheidung ist einfach und wird trotzdem regelmäßig übersehen.

Art. 13 DSGVO gilt, wenn Sie die Daten bei der Person selbst erheben: Formular, Vertrag, Telefonat, Bewerbung. Informiert wird zum Zeitpunkt der Erhebung.

Art. 14 DSGVO gilt, wenn die Daten aus anderen Quellen stammen: gekaufte Adressen, öffentliche Register, Empfehlungen, Daten eines Konzernunternehmens. Hier haben Sie längstens einen Monat Zeit – und wenn Sie die Person vorher kontaktieren, spätestens zu diesem Zeitpunkt.

Praktisch bedeutsam ist das vor allem im Vertrieb. Wer Kontakte recherchiert und dann anschreibt, erfüllt eine Pflicht nach Art. 14 – und die wird fast nie erfüllt, weil alle nur an die Datenschutzerklärung auf der Website denken.

Die Pflichtangaben

Die Pflichtangaben
Angabe	Fundstelle
Name und Kontaktdaten des Verantwortlichen, gegebenenfalls seines Vertreters	Abs. 1 lit. a
Kontaktdaten des Datenschutzbeauftragten	Abs. 1 lit. b
Zwecke der Verarbeitung und die Rechtsgrundlage nach Art. 6 DSGVO	Abs. 1 lit. c
Bei berechtigtem Interesse: welches Interesse verfolgt wird	Abs. 1 lit. d
Empfänger oder Kategorien von Empfängern	Abs. 1 lit. e
Absicht der Übermittlung in ein Drittland samt Grundlage dafür	Abs. 1 lit. f
Speicherdauer oder die Kriterien für ihre Festlegung	Abs. 2 lit. a
Bestehen der Betroffenenrechte	Abs. 2 lit. b
Widerrufsrecht bei Einwilligungen, mit Wirkung für die Zukunft	Abs. 2 lit. c
Beschwerderecht bei einer Aufsichtsbehörde	Abs. 2 lit. d
Ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben ist – und welche Folgen es hat, sie zu verweigern	Abs. 2 lit. e
Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling, mit Logik und Tragweite	Abs. 2 lit. f

Zwei dieser Angaben bereiten in der Praxis die meiste Arbeit. Die Speicherdauer lässt sich nur benennen, wenn ein Löschkonzept existiert – „solange erforderlich” genügt nicht. Und die Empfänger lassen sich nur vollständig aufführen, wenn das Verarbeitungsverzeichnis gepflegt ist. Die Informationspflicht ist damit weniger ein Textproblem als eines der Dokumentation.

Den vollständigen Wortlaut finden Sie unter Art. 13 DSGVO.

Zeitpunkt und Form

Vorher, nicht nachher. Die Angaben müssen vorliegen, wenn die Person die Daten eingibt – nicht in der Bestätigungsmail.

Ein Verweis genügt, wenn er zu diesem Zeitpunkt erreichbar ist. Ein Link zur Datenschutzerklärung direkt am Formular erfüllt die Pflicht; ein Link im Fußbereich, der erst nach dem Absenden erscheint, nicht.

Die Form richtet sich nach Art. 12 Abs. 1 DSGVO: präzise, transparent, verständlich, leicht zugänglich, in klarer und einfacher Sprache. An diesem Maßstab scheitern die meisten Datenschutzerklärungen – nicht an fehlenden Angaben, sondern daran, dass sie niemand liest. Ein gestuftes Vorgehen hilft: kurze Information am Formular, ausführliche Fassung dahinter.

Außerhalb des Web gilt dasselbe: als Aushang im Geschäft, als Anlage zum Vertrag, als Blatt in den Bewerbungsunterlagen. Bei Videoüberwachung reicht ein Schild mit den Kernangaben und einem Hinweis, wo die vollständige Information zu finden ist. Wie eine Datenschutzerklärung inhaltlich aufgebaut wird, steht unter Datenschutzerklärung.

Wann die Informationspflichten entfallen

Nach Art. 13 Abs. 4 DSGVO entfällt die Pflicht, soweit die betroffene Person bereits über die Angaben verfügt. Zwei Punkte dazu:

Das „soweit” ist wörtlich zu nehmen. Es ist kein Alles-oder-nichts: Kennt die Person den Verantwortlichen und den Zweck, nicht aber die Speicherdauer, bleibt die Pflicht für den fehlenden Teil bestehen.

Und die Beweislast liegt bei Ihnen. Dass jemand „das ja weiß”, lässt sich schwer belegen. In der Praxis lohnt es sich selten, sich auf diese Ausnahme zu stützen.

Ein weiterer Fall wird oft übersehen: Nach Absatz 3 ist erneut zu informieren, bevor Sie Daten für einen anderen Zweck weiterverarbeiten als den, für den sie erhoben wurden. Wer Kundendaten später für Werbung nutzt, fällt genau darunter.

Die häufigsten Fehler

Nur die Website bedacht. Formulare, Verträge, Bewerbungen, Telefonaufzeichnungen und Videoüberwachung lösen dieselbe Pflicht aus.
Die Erklärung passt nicht zur Realität. Sie nennt Dienste, die nicht laufen, und verschweigt die, die laufen. Beides fällt bei einer Prüfung auf.
Keine Rechtsgrundlage genannt, sondern nur der Zweck. Beides ist verlangt.
Art. 14 vergessen. Der Klassiker bei recherchierten Kontakten im Vertrieb.
Kein Datenschutzbeauftragter angegeben, obwohl einer benannt ist.

Welche Rechte in der Information zu nennen sind, steht unter Betroffenenrechte; alle Beratungsthemen im Überblick unter Datenschutzberatung.

Kontakt

Sie sind unsicher, ob Ihre Formulare die Pflicht erfüllen? Das lässt sich anhand der Seite und der Erklärung in kurzer Zeit feststellen.