DS-GVO/BDSG. David Klein

die Anforderungen des Art. 12 Abs. 1 für die öffentliche Bereitstellung der Informationen. Nationale Regelungen haben daher nur insoweit (mittelbare) Auswirkungen auf Art. 12, als dass die Informations- oder Mitteilungspflicht als Ganzes entfällt. Dies betrifft etwa § 86 Abs. 2 BDSG n.F. der die Betroffenenrechte der Art. 13–16, 19 und 21 für unanwendbar erklärt, soweit die Verarbeitung ausschließlich zur Vorbereitung und Durchführung staatlicher Verfahren bei Auszeichnungen und Ehrungen ohne Kenntnis des Betroffenen erfolgt. Daneben haben die aus kompetenzrechtlichen Gründen zuständigen Landesparlamente von der Öffnungsklausel des Art. 85 Abs. 2 Gebrauch gemacht und in den §§ 9c, 57 RStV sowie Landespressegesetzen weitreichende, auch die Betroffenenrechte betreffende Ausnahmen von den Vorgaben der DS-GVO vorgesehen.[137]

C. Praxishinweise

I. Relevanz für öffentliche Stellen

      83

      Die zugleich präzise wie auch transparente und verständliche Information in klarer und einfacher Sprache wird öffentliche und private Stellen gleichermaßen vor Herausforderungen stellen. Dies gilt insbesondere bei komplexen Datenverarbeitungsprozessen.

II. Relevanz für nichtöffentliche Stellen

      84

      Die auf Initiative des Verantwortlichen zu erfüllenden Informationspflichten erfordern notwendigerweise eine Überarbeitung und Anpassung der bislang verwendeten Datenschutzerklärungen[138]. Dabei stehen öffentliche wie nichtöffentliche Stellen vor der Herausforderung, die teils umfassenden Informationspflichten einerseits präzise und andererseits verständlich zu erfüllen. Dies wird nicht nur einen erheblich größeren administrativen Aufwand, sondern auch ein gewisses Maß an Kreativität erfordern. Zur Verbesserung der Effizienz der Informationsvermittlung bieten sich derzeit One-Pager an,[139] also ein Schichtenmodell, bei dem die zentralen Informationen auf einer Seite zusammengefasst sind und alle weiteren Informationen auf einer zweiten und ggf. dritten Ebene zur Verfügung gestellt werden. Dieses Konzept wird unter anderem auch vom Bundesministerium der Justiz und für Verbraucherschutz empfohlen.[140]

      85

      Durch die konkreten und sehr knappen Fristen bei der Bearbeitung von Anträgen Betroffener erlangt das Datenschutzmanagement für nichtöffentliche Stellen eine besondere Bedeutung. Denn die Fristen gehen davon aus, dass die zu beantwortenden Sach- und Rechtsfragen sowie ggf. notwendige Daten der Betroffenen nicht erst im Zeitpunkt des Antrags recherchiert werden müssen, sondern dass diese größtenteils bereits vorliegen. Anders wären die Fristen, insbesondere durch größere Unternehmen mit einem entsprechenden hohen Aufkommen an Anträgen, kaum zu erfüllen.

III. Relevanz für betroffene Personen

      86

      Betroffene Personen profitieren von erheblich erhöhten Transparenzanforderungen. Dies betrifft nicht nur die Art und Weise der Informationsvermittlung nach Abs. 1, sondern auch die Unterrichtungspflichten nach Abs. 3 und 4.

IV. Relevanz für Aufsichtsbehörden

      87

      Durch die teils schwierigen Abgrenzungsfragen bei der Umsetzung der Informationspflichten nach Abs. 1 kommt den Aufsichtsbehörden eine wichtige Orientierungsfunktion zu. So wird ein einheitliches Niveau bei der Umsetzung der Informationspflichten nur gewährleistet werden können, wenn die teils schwammigen und widersprüchlichen Anforderungen nach Abs. 1 durch Empfehlungen und „Best Practice“-Richtlinien der Aufsichtsbehörden konkretisiert werden.

V. Relevanz für das Datenschutzmanagement

      88

      Die Informationspflichten nach Abs. 1 erfordern auf Seiten des Datenschutzmanagements nicht nur eine systematische Erfassung sämtlicher Verarbeitungsprozesse, sondern zudem auch ein so detailliertes Verständnis, dass eine präzise wie verständliche Beschreibung möglich ist. Dies setzt eine enge Zusammenarbeit zwischen Rechts- und Datenschutzabteilungen mit Fachbereichen und Technik voraus, die auch prozessual abgebildet werden muss, um künftige Änderungen und Ergänzungen bei Datenverarbeitungsprozessen entsprechend in den Informationen an die Betroffenen zu berücksichtigen.

      89

      Das Datenschutzmanagement wird zudem durch die knappen Fristen nach Abs. 3 und 4 vor Herausforderungen gestellt. Dabei wird es entscheidend sein, den Eingang und die weitere Bearbeitung von Anträgen hinreichend zu dokumentieren und Prozesse zur Verfügung zu stellen, Betroffene möglichst automatisiert über den Stand der Bearbeitung ihres Antrages zu informieren. Für die elektronische Bearbeitung bieten sich insbesondere Ticketsysteme an, mit denen der Eingang und die systematische Verarbeitung von Anfragen erfasst, Betroffene über Statusänderungen informiert und Bearbeitungszeiten überwacht werden können. Hierbei bietet sich insbesondere ein entsprechendes Eskalationsmanagement bei solchen Anfragen an, bei denen sich die Notwendigkeit einer Fristverlängerung abzeichnet.