Datenschutzhinweise sollen Transparenz schaffen und Betroffene über die Nutzung ihrerDaten aufklären. Doch laut dem Europäischen Datenschutzausschuss (EDSA) könnendiese Informationen keine entscheidende Rolle dabei spielen, „vernünftige Erwartungen“der Betroffenen zu begründen.
Berechtigte Interessen und die Erwartungen Betroffener
Die Verarbeitung personenbezogener Daten auf der Basis berechtigter Interessen istzulässig, solange die Interessen, Grundrechte oder Freiheiten der Betroffenen nichtüberwiegen. Hierbei spielt die Frage eine Rolle, ob die betroffenen Personen„vernünftigerweise erwarten“ können, dass ihre Daten auf eine bestimmte Weiseverarbeitet werden.
Relevant wird dies zum Beispiel immer bei der Frage, ob ich erwarten konnte, dass beieiner Veranstaltung fotografiert wurde. Man könnte auf die Idee kommen, einfach auf diebeabsichtigte Veröffentlichung der Fotos auf allen Social-Media-Kanälen hinzuweisen.Schon wären die Besucher der Veranstaltung informiert und hätten die vernünftigeErwartung, dass ihre Aufnahmen weltweit geteilt werden.
EDSA: Datenschutzhinweise allein genügen nicht
Der EDSA hält in seinen Leitlinien 1/2024 zu Art. 6 Abs. 1 lit. f) DSGVO jedoch fest,dass bloße Datenschutzhinweise nach Art. 12 bis 14 DSGVO nicht genügen, um
„vernünftige Erwartungen“ zu prägen.
Es gilt das Risiko zu begrenzen, dass betroffene Personen von der Verarbeitung oderderen Folgen überrascht werden. Dabei stellt der EDSA klar:
Berechtigte Erwartungen hängen nicht unbedingt von den Informationen ab, die denbetroffenen Personen bereitgestellt werden. Während das Fehlen von Informationen dazubeitragen kann, dass die betroffene Person von einer bestimmten Verarbeitung überraschtwird, reicht die bloße Erfüllung der Informationspflichten gemäß den Artikeln 12, 13 und 14der DSGVO nicht aus, um anzunehmen, dass die betroffenen Personen eine bestimmteVerarbeitung vernünftigerweise erwarten können.
Faktoren für vernünftige Erwartungen
Der EDSA nennt mehrere Aspekte, die bei der Bewertung der Erwartungen berücksichtigt werden können:
- Beziehung zur betroffenen Person: Kunden und Nicht-Kunden können unterschiedliche Erwartungen haben.
- Ort und Kontext: Wo und wie wurden die Daten erhoben?
- Alter der betroffenen Person: Kinder und Jugendliche haben oft andere Erwartungen als Erwachsene.
- Status als öffentliche Person: Öffentliche Persönlichkeiten müssen mit anderen Verarbeitungsweisen rechnen als Privatpersonen.
Fazit
Datenschutzhinweise allein reichen nicht aus, um „vernünftige Erwartungen“ der Betroffenen zu prägen – entscheidend sind Kontextfaktoren wie die Beziehung zur betroffenen Person oder der Ort der Datenerhebung.
Verwandte Beiträge
- Neue Regelungen im Beschäftigten-Datenschutz
Nach einem Urteil des Europäischen Gerichtshofs (EuGH) vom 30.03.2023 (Az. C-34/21) muss der deutsche Gesetzgeber…
- 05/19-Datenschutz als Jahrhundertaufgabe
Datenschutz als Jahrhundertaufgabe. Einwilligung
- Datenschutz in der Pflege
Bereits im ersten Jahrhundert nach Christus definierte der Eid des Hippokrates die Pflicht zur Verschwiegenheit…