Datenschutzhinweise sollen Transparenz schaffen und Betroffene über die Nutzung ihrerDaten aufklären. Doch laut dem Europäischen Datenschutzausschuss (EDSA) könnendiese Informationen keine entscheidende Rolle dabei spielen, „vernünftige Erwartungen“der Betroffenen zu begründen.

Berechtigte Interessen und die Erwartungen Betroffener

Die Verarbeitung personenbezogener Daten auf der Basis berechtigter Interessen istzulässig, solange die Interessen, Grundrechte oder Freiheiten der Betroffenen nichtüberwiegen. Hierbei spielt die Frage eine Rolle, ob die betroffenen Personen„vernünftigerweise erwarten“ können, dass ihre Daten auf eine bestimmte Weiseverarbeitet werden.

Relevant wird dies zum Beispiel immer bei der Frage, ob ich erwarten konnte, dass beieiner Veranstaltung fotografiert wurde. Man könnte auf die Idee kommen, einfach auf diebeabsichtigte Veröffentlichung der Fotos auf allen Social-Media-Kanälen hinzuweisen.Schon wären die Besucher der Veranstaltung informiert und hätten die vernünftigeErwartung, dass ihre Aufnahmen weltweit geteilt werden.

EDSA: Datenschutzhinweise allein genügen nicht

Der EDSA hält in seinen Leitlinien 1/2024 zu Art. 6 Abs. 1 lit. f) DSGVO jedoch fest,dass bloße Datenschutzhinweise nach Art. 12 bis 14 DSGVO nicht genügen, um
„vernünftige Erwartungen“ zu prägen.

Es gilt das Risiko zu begrenzen, dass betroffene Personen von der Verarbeitung oderderen Folgen überrascht werden. Dabei stellt der EDSA klar:
Berechtigte Erwartungen hängen nicht unbedingt von den Informationen ab, die denbetroffenen Personen bereitgestellt werden. Während das Fehlen von Informationen dazubeitragen kann, dass die betroffene Person von einer bestimmten Verarbeitung überraschtwird, reicht die bloße Erfüllung der Informationspflichten gemäß den Artikeln 12, 13 und 14der DSGVO nicht aus, um anzunehmen, dass die betroffenen Personen eine bestimmteVerarbeitung vernünftigerweise erwarten können.

Faktoren für vernünftige Erwartungen

Der EDSA nennt mehrere Aspekte, die bei der Bewertung der Erwartungen berücksichtigt werden können:

  • Beziehung zur betroffenen Person: Kunden und Nicht-Kunden können unterschiedliche Erwartungen haben.
  • Ort und Kontext: Wo und wie wurden die Daten erhoben?
  • Alter der betroffenen Person: Kinder und Jugendliche haben oft andere Erwartungen als Erwachsene.
  • Status als öffentliche Person: Öffentliche Persönlichkeiten müssen mit anderen Verarbeitungsweisen rechnen als Privatpersonen.

Fazit

Datenschutzhinweise allein reichen nicht aus, um „vernünftige Erwartungen“ der Betroffenen zu prägen – entscheidend sind Kontextfaktoren wie die Beziehung zur betroffenen Person oder der Ort der Datenerhebung.

 

Rechtsanwalt Robert Harzewski