Mit Geltungsbeginn der DSGVO am 25.05.2018 kam es auch zu neuen umfassenden Transparenzpflichten der Verantwortlichen. Jeder Verantwortliche ist verpflichtet, die betroffenen Personen über die Verarbeitung der Daten zu informieren. Viele Verantwortliche fragten sich, ob diese Verpflichtung „rückwirkend“ gilt, und daher betroffene Personen, deren Daten bereits vor dem 25.05.2018 verarbeitet wurden, auch iSd Art 13 oder 14 DSGVO zu informieren sind, oder nicht.
In Veranstaltungen und Seminaren habe ich immer die Meinung vertreten, dass dies nicht notwendig ist, da
1. die Informationsverpflichtung iSd Art 13 und 14 DSGVO erst mit 25.05.2018 in Geltung trat,
2. die Information des Art 13 DSGVO bei der Datenerhebung und des Art 14 DSGVO zu einem bestimmten Zeitpunkt, jedoch jedenfalls binnen einem Monat nach Datenerhebung zu erteilen ist, und damit
3. die Information am 25.05.2018 für bestehende Kunden, deren Daten aus einer direkten Erhebungshandlung iSd Art 13 DSGVO verarbeitet werden, ohnehin zu spät ist, und iSd Art 14 DSGVO uU auch die Maximalfrist überschritten ist, sowie
4. bereits davor „Transparenzregelungen“ im DSG 2000 enthalten waren, und diese zB durch Bekanntgabe der DVR-Nummer und des Auftraggebers eingehalten wurde.
Diese Ansicht wurde nun in einer Anfragebeantwortung vom Bayerischen Landesbeauftragten für den Datenschutz bestätigt; die Antwort ist von Datakontext GmbH veröffentlicht (Hervorhebung durch den Verfasser):
Antwort des BayLDA:
Das WP 260 ist hier nicht ganz eindeutig. Tendenziell gehen allerdings wir davon aus, dass die Pflicht nicht rückwirkend besteht. Unabhängig davon, ob diese rechtlich notwendig ist, kann es sinnvoll sein, alle Bestandskunden gleichzeitig unabhängig von einer Erhebung zu informieren. Dann muss bei der tatsächlichen (Neu-)Erhebung nach DS-GVO nicht überprüft werden, ob bereits eine Information vorliegt oder nicht.
Kommentar schreiben