I. Regelungsinhalt
1
Art. 14 DSGVO verpflichtet den Verantwortlichen, die in der Norm genannten Informationen auch dann zur Verfügung zu stellen, wenn es sich nicht um eine Direkterhebung im Sinne des Art. 13 DSGVO handelt. Damit wird vom Verantwortlichen verlangt, dass er unabhängig von einem (erneuten) direkten Kontakt zur betroffenen Person selbst dann aktiv wird, wenn er die Daten auf andere Weise als bei der betroffenen Person erhebt (Abs. 1 und Abs. 2) oder bei erhobenen Daten diese zu einem anderen als den Erhebungszweck weiterverarbeitet (Abs. 4).1
2
Die Informationspflichten aus Art. 14 treffen den Verantwortlichen. Durch Art. 14 DSGVO soll ähnlich dem Art. 13 DSGVO sichergestellt werden, dass die notwendige Transparenz gegenüber der betroffenen Person hergestellt wird,2 was Grundvoraussetzung dafür ist, dass zum Beispiel das Recht aus Art. 15 DSGVO auf Auskunft, das Recht auf Berichtigung aus Art. 16, das Recht auf Löschung aus Art. 17 DSGVO und die weiteren sich aus dem dritten Kapitel noch ergebenden Betroffenenrechte, die ein aktives Handeln der betroffenen Person voraussetzen (Antrag), überhaupt wahrgenommen werden können.3 Dies entspricht dem Gedanken des ErwG 60, wonach der Grundsatz auf eine faire und transparente Verarbeitung die Unterrichtung der betroffenen Person über die Existenz des Verarbeitungsvorgangs und dessen Zweck erfordert, was umso mehr gilt, wenn die Daten nicht bei der betroffenen Person direkt erhoben werden und diese sonst überhaupt keine Möglichkeit hätte, auf die Datenverarbeitung zu reagieren bzw. davon überhaupt auch nur Kenntnis zu erlangen.
3
Die Informationspflichten aus Art. 14 DSGVO treffen wiederum ausschließlich den Verantwortlichen, der Auftragsverarbeiter wird durch Art. 14 DSGVO nicht verpflichtet, auch fehlt es an dessen Unterstützungspflicht gemäß Art. 28 Abs. 3 Satz 2 lit. e DSGVO, der sich lediglich auf die Betroffenenrechte aus Kapitel III bezieht, die eines Antrages bedürfen.4 Insgesamt behält die Datenschutz-Grundverordnung die Struktur der Datenschutzrichtlinie (DSRl) weiterhin bei, indem der Art. 14 DSGVO dem Art. 11 DSRl ähnelt, wonach die Information der betroffenen Person geregelt ist, wenn die Erhebung nicht bei der betroffenen Person selbst erfolgt.5 Die Bestimmungen des Art. 10 und Art. 11 DSRl wurden in Deutschland im Wesentlichen in den §§ 4 Abs. 3 und 33 BDSG a.F. und § 13 Abs. 1 TMG umgesetzt.6
4
Art. 14 DSGVO ähnelt in weiten Teilen den Regelungen des Art. 13 DSGVO, enthält aber zusätzlich eine Regelung zur Frist (Abs. 3) und Ausnahmetatbestände (Abs. 5).7 Ähnliche Regelungen enthielt bereits Art. 11 DSRl, weshalb einige Diskussionen die bereits im Rahmen der DSRl bestanden, im Rahmen des Art. 14 DSGVO weiterhin diskutiert werden.8
II. Informationspflichten bei Datenerhebung
5
Art. 14 DSGVO verlangt wie Art. 13 DSGVO zunächst einmal eine Erhebung personenbezogener Daten, d.h. die erstmalige zielgerichtete Erfassung von personenbezogenen Daten durch den Verantwortlichen.9 Eine derartige zielgerichtete Datenerhebung ist im Sinne des Art. 14 DSGVO auch dann anzunehmen, wenn der Verantwortliche die Daten zwar nicht auf eigenes Ersuchen hin erhält (sog. Spontanübermittlung), sich aber nach Erhalt der Daten für eine zielgerichtete Weiterverarbeitung entscheidet.10 Für die Informationspflicht nach Art. 14 dürfen die personenbezogenen Daten in Abgrenzung zu Art. 13 DSGVO jedoch nicht bei der Person selbst erhoben werden (dann Direkterhebung), sondern müssen entweder von Dritten erhalten oder aus öffentlich zugänglichen Quellen entnommen sein.11 Werden die Daten mehrerer betroffener Personen erhoben, ist für jede Person gesondert die Notwendigkeit der Information nach Art. 14 DSGVO zu prüfen.12 Zu berücksichtigen ist außerdem, dass eine Verpflichtung zur Information des Verantwortlichen nach Art. 14 DSGVO selbst dann besteht, wenn ein anderer Verantwortlicher die betroffene Person bereits einmal bei der Datenerhebung informiert hat, da die Pflicht zur Erteilung der Information allein aus der Perspektive des Verantwortlichen zu bewerten ist.13
6
Inhalt der Informationspflicht sind die in Abs. 1 und 2 genannten Angaben. Die Daten selbst sind demgegenüber nicht Gegenstand der Mitteilungspflicht, diese können vielmehr Gegenstand eines Auskunftsanspruches der betroffenen Person werden, sodass diese dann gegebenenfalls einen derartigen Antrag beim Verantwortlichen stellen muss (vgl. Art. 15 DSGVO).14 Art. 14 nimmt ebenfalls eine Gliederung der Informationspflichten in zwei Absätze vor, doch auch hier macht das für die eigentliche Pflicht zur Information, deren Vollständigkeit bezogen auf die Angaben beider Absätze und deren Reichweite keinen Unterschied.15
III. Informationspflichten nach Abs. 1
7
Die Informationspflichten des Art. 14 Abs. 1 DSGVO entsprechen in großen Teilen den Pflichten nach Art. 13 DSGVO. So findet sich in Art. 14 Abs. 1 lit. a und b DSGVO ebenfalls die Pflicht zur Mitteilung der Kontaktdaten des Verantwortlichen sowie seines Vertreters und des Datenschutzbeauftragten (Art. 13 Abs. 1 lit. a und b DSGVO), soweit vorhanden.16 In Abs. 1 lit. c findet sich die Pflicht des Verantwortlichen zur Angabe des Zwecks und der Rechtsgrundlage der Verarbeitung gegenüber der betroffenen Person (vgl. Art. 13 Abs. 1 lit. c DSGVO).17 Abs. 1 lit. e verpflichtet demgegenüber zur Mitteilung über die Empfänger und Kategorien von Empfängern der Daten (vgl. Art. 13 Abs. 1 lit. e DSGVO)18 und nach Abs. 1 lit. f besteht die Notwendigkeit des Verantwortlichen, die betroffene Person über eine geplante Übermittlung in Drittstaaten oder an internationale Organisationen (Art. 13 Abs. 1 lit.