Datenschutzgrundverordnung – keine rückwirkende Informationsverpflichtung für bereits verarbeitete Daten

Rechtsanwalt und Datenschutzexperte Dr. Thomas Schweiger kann hier Entwarnung geben. „Es gibt keine Verpflichtung, Bestandskunden oder Personen, deren Daten am 25.05.2018 bereits verarbeitet wurden, zu informieren.“ Die DSGVO sieht vor, dass der Verantwortliche einer betroffenen Person im Zeitpunkt der Erhebung eine Information zur Datenverarbeitung zu geben hat. Der Auslöser für die Verpflichtung zur Information ist daher die Erhebung der Daten. Wurden jedoch Daten bereits vor dem 25.05.2018 erhoben (Bestandskunden, Marketingdatenbank …), dann ist es nicht mehr notwendig, am 25.502018 (oder danach), diese Personen über die Verarbeitungsvorgänge gewissermaßen mit einer „Standardinformation zum Datenschutz nach DSGVO“ zu informieren, so RA Dr. Thomas Schweiger.

Auch die Gesellschaft für Datenschutz und Datensicherheit e.V. (Deutschland) geht davon aus, dass die “DSGVO“ keine pauschale Bestandsinformation am 25. Mai 2018, also keinen „Transparenz-Reset“ vorsieht. Erst wenn Daten ab 25.05.2018 (neu) erhoben werden, muss die betroffene Person im Rahmen der Informationspflichten umfassend nach Art 13 (bei direkter Erhebung der Daten) oder Art 14 (bei indirekter Erhebung) informiert werden.

Sohin wird z.B. auch den Immobilienverwalter keine Verpflichtung treffen, sämtliche Bestandskunden (zB Mieter oder Eigentümer), deren Daten schon vor Inkrafttreten der DSGVO am 25.05.2018 erhoben bzw. „verarbeitet“ wurden, nun über eine gesonderte Information über die Datenverarbeitung zu informieren. Möglicherweise bietet sich im Rahmen der jährlichen Versendung der Jahresabrechnung die Beilage einer Datenschutzerklärung an die Bestandskunden an, aber eine Verpflichtung dazu besteht nicht, so Schweiger.

Insbesondere bei einer laufenden Rechtsbeziehung mit dem Betroffenen darf sich der Verantwortliche wohl auch auf die zum Zeitpunkt des Vertragsabschlusses gültigen Rechtsvorschriften beziehen können, wobei davon auszugehen ist, dass die Daten bereits unter den geltenden Datenschutzvorschriften (§ 24 DSG) zulässigerweise erhoben wurden.