Читать книгу Praxishandbuch DSGVO - Tobias Rothkegel - Страница 115

224

Kann der Verantwortliche nachweisen, dass er nicht (mehr) in der Lage ist, die betroffene Person zu identifizieren, muss er diese gem. Art. 11 Abs. 2 S. 1 DSGVO hierüber – sofern dies möglich ist – informieren.

225

Diese Verpflichtung erscheint – auch wenn sie unter dem Vorbehalt der Möglichkeit steht – zunächst widersprüchlich, da der Verantwortliche die betroffene Person i.d.R. identifizieren muss, um sie informieren zu können – wozu er in der vorliegenden Fallkonstellation ja gerade nicht (mehr) in der Lage ist. Vor diesem Hintergrund ist bisher auch noch nicht eindeutig geklärt, wann eine Informationspflicht nach Art. 11 Abs. 2 S. 1 DSGVO besteht – eine Information also möglich i.S.d. Art. 11 Abs. 2 S. 1 DSGVO ist.

226

Teilweise wird in der Literatur verlangt, dass der Verantwortliche die betroffene Person informieren muss, wenn er zunächst identifizierende Merkmale über die betroffene Person verarbeitet, er sie dann aber löschen möchte, weil sie für den mit der Verarbeitung verfolgten Zweck nicht mehr erforderlich sind. In einem solchen Fall müsse der Verantwortliche die betroffene Person vor der Löschung der identifizierenden Merkmale darüber informieren.348 Der Sinn und Zweck eines solchen Hinweises des Verantwortlichen nach Art. 11 Abs. 2 S. 1 DSGVO würde dann darin bestehen, dass die betroffene Person darüber informiert wird, dass der Verantwortliche künftig weniger Informationen über sie speichert und sie ggf. – wie unten weiter ausgeführt wird – ihre Betroffenenrechte nur noch unter bestimmten Voraussetzungen geltend machen kann.349 Angesichts des geringen Nutzens dieser Information erscheint eine solche Informationspflicht allerdings zu bürokratisch.

227

Zudem wird in der datenschutzrechtlichen Literatur für die Informationspflicht nach Art. 11 Abs. 2 DSGVO auch der Beispielsfall genannt, dass ein Verantwortlicher u.a. Kontaktdaten verarbeitet, mittels derer er die betroffene Person kontaktieren, sie aber selbst nicht identifizieren kann.350

228

Teilweise wird der Hauptanwendungsfall der Informationspflicht nach Art. 11 Abs. 2 DSGVO auch darin gesehen, dass eine betroffene Person ihre Betroffenenrechte nach Art. 15ff. DSGVO geltend macht und einen entsprechenden Antrag beim (vermeintlich) Verantwortlichen stellt, der aber dann den entsprechenden Datensatz mangels Verarbeitung von identifizierenden Merkmalen der Person nicht bestimmen kann.351 Im letzteren Fall folgt eine Informationspflicht aber auch (schon) aus Art. 12 Abs. 4 DSGVO.352

229

Jedenfalls sollten Unternehmen (möglicherweise) betroffene Personen auch (schon) im Rahmen der nach Art. 13 bzw. Art. 14 DSGVO zu erteilenden Informationen über die ggf. eingeschränkte Möglichkeit zur Geltendmachung der Betroffenenrechte nach Art. 15–20 DSGVO und über den Zeitpunkt informieren, ab dem der Verantwortliche die betroffene Person nicht mehr identifizieren kann, z.B. weil die identifizierenden Merkmale gelöscht wurden.353

Praxishinweis

Unternehmen, die die identifizierenden Merkmale der betroffenen Personen löschen oder nur Kontaktdaten der betroffenen Person (ohne entsprechende Identifizierungsmerkmale) verarbeiten, sollten sich ggf. überlegen, zur Haftungsvermeidung bis auf Weiteres die betroffenen Personen nach Maßgabe von Art. 11 Abs. 2 S. 1 DSGVO zu informieren. Allerdings sollten sie zuvor prüfen, ob die Datenschutzaufsichtsbehörden in der Zwischenzeit Hinweise erteilt haben bzw. Rechtsprechung ergangen ist, die für mehr Klarheit bei der Auslegung von Art. 11 Abs. 2 S. 1 DSGVO sorgen/sorgt. Gegebenenfalls könnte es für besonders betroffene Unternehmen auch überlegenswert sein, das Vorgehen mit der zuständigen Datenschutzaufsichtsbehörde abzustimmen.

Sind Unternehmen nach Art. 11 Abs. 2 S. 1 DSGVO zur Information der betroffenen Person verpflichtet, sollten sie zudem rechtzeitig geeignete Verfahren einführen, um die Erfüllung dieser Pflicht sicherzustellen.