DS-GVO/BDSG. David Klein

für eine funktionierende Kommunikation erforderlich. So kann auch ein mittelbarer Kontakt, etwa über Dritte, die Bereitstellung der Transparenzinformationen nach Art. 12–14 ermöglichen.[6]

4. Informationspflicht bei Bildaufnahmen

      11

Für die Fotografie außerhalb des Journalismus hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) eine juristische Bewertung abgegeben.[7] Da Bildaufnahmen personenbeziehbare Daten darstellen, bedarf es hierfür i.S.d. Art. 5 Abs. 1 lit. a sowohl der Rechtmäßigkeit als auch der Transparenz. Gerade das Bereitstellen von Informationspflichten wird nahezu unmöglich sein, da dafür regelmäßig erst einmal die Identität der Betroffenen festgestellt werden müsste. Die Informationspflicht darf nach Auffassung des HmbBfDI auf Grundlage des Art. 11 Abs. 1 entfallen, wenn der Verantwortliche dafür die betroffene Person erst identifizieren müsste. Die Identifizierung der betroffenen Person durch den Verantwortlichen sei nach Auffassung des HmbBfDI in solchen Fällen nicht oder nicht mehr erforderlich. Der einzelne Fotograf habe im Regelfall weder ein Interesse daran noch die Möglichkeit, die auf dem Bild abgebildeten Personen ohne erheblichen Aufwand zu identifizieren. Eine solche Identifizierung würde dann allein aus dem Grund erfolgen, dass die Anforderungen der Art. 13 und 14 erfüllt werden können. Dies solle aber gerade durch die Regelung des Art. 11 verhindert werden, da in solchen Fällen die Identifizierung zur reinen Bereitstellung der Informationspflichten dem Betroffenen keine Stärkung seiner Rechte verschaffen würde, sondern diese Maßnahme vielmehr eine Erhöhung der Eingriffsintensität in sein Persönlichkeitsrecht darstellen würde.[8]

III. Rechtsfolgen bei der Nicht-Identifizierung des Betroffenen (Abs. 2 ) 1. Nachweis- und Unterrichtungspflicht (Abs. 2 S. 1)

a) Nachweispflicht

      12

      Sofern der Verantwortliche in Fällen gem. Abs. 1 nicht in der Lage ist, die betroffene Person zu identifizieren, so muss er hierüber grundsätzlich einen Nachweis beibringen. Über diesen Umstand, dass trotz vorhandener personenbezogener Daten der betroffenen Person die Identifizierung nicht möglich ist, trägt der Verantwortliche die Beweislast.

      13

Damit verhindert der Verordnungsgeber, dass der Verantwortliche sich pauschal seiner Verpflichtungen entledigt und der Betroffene Kenntnis besitzt, welche Daten er zur Identifizierung beibringen müsste.[9]

      14

Wem gegenüber dieser Nachweis zu leisten ist, lässt die Vorschrift tatsächlich undefiniert.[10] In Frage kommen als Adressaten die zuständige Aufsichtsbehörde in Form entsprechender Dokumentation[11] und die davon betroffene Person[12]. Um sowohl der Rechenschaftspflicht, als auch der grundsätzlich verlangten Transparenz gegenüber der betroffenen Person Rechnung zu tragen, ist der Nachweis beiden Akteuren gegenüber zu erbringen.

      15

Der Nachweispflicht kann die verantwortliche Stelle z.B. durch Auskünfte jeder Art, Aussagen von Mitarbeitern des Verantwortlichen, Urkunden und Akten oder Inaugenscheinnahme nachkommen.[13]

b) Unterrichtungspflicht

aa) Pflicht für den Verantwortlichen

      16

Nach Abs. 2 S. 1 obliegt dem Verantwortlichen in allen Fällen des Abs. 1 eine Informationspflicht gegenüber der betroffenen Person. Dieser muss dem Betroffenen grundsätzlich über den Umstand informieren, dass er nicht mehr in der Lage ist, das Datensubjekt zu identifizieren. Die damit verfolgte Schaffung von Transparenz zugunsten des Betroffenen verlangt detaillierte Informationen, welche Vorschriften nicht eingehalten werden können und aufgrund welcher fehlenden Daten dies der Fall ist, da die betroffene Person nur so entscheiden kann, ob sie dem Verantwortlichen die fehlenden Daten noch bereitstellen soll.[14]

      17

In der Praxis werden davon wohl Datenpools betroffen sein, bei denen der Verantwortliche personenbezogene Daten des Betroffenen verarbeitet, aber nicht mehr feststellen kann, welche Datensätze jeweils der einzelnen Person zuzuordnen sind; dies wird bei der selbst vom Verantwortlichen durchgeführten Pseudonymisierung und daran anschließenden Datenverarbeitung der Fall sein.[15]

bb) Form der Information

      18

Die formalen Anforderungen an die Unterrichtung sind in Abs. 2 nicht beschrieben. Wie in Art. 12 Abs. 4 wird an dieser Stelle von einer Unterrichtung gesprochen. Damit handelt es sich um eine eigenständige Informationspflicht für einen spezifischen Sachverhalt.[16] Der Verantwortliche muss dem Betroffenen gegenüber individuell die Informationspflicht erfüllen. Es steht ihm frei die Information mündlich, schriftlich, elektronisch, fernmündlich, digital, analog oder in welcher Form auch immer zu erteilen.[17]

cc) Ausnahmen

      19

Ausnahmen von der Informationspflicht bestehen nur in Fällen der Unmöglichkeit. Nicht möglich ist die Unterrichtung, wenn dem Verantwortlichen, etwa aufgrund exorbitant hohen Aufwands, kein Kontakt zum Betroffenen gelingt.[18] In diesem Fall könnte er die individuell erforderte Information schließlich nicht erteilen.

2. Wahrnehmung von Betroffenenrechten (Abs. 2 S. 2)

      20

Gemäß Abs. 2 S. 2 finden die Betroffenenrechte Art. 15–20 keine Anwendung, sofern ein Fall nach Abs. 1 vorliegt, die betroffene Person nach Abs. 2 S. 1 hierüber informiert wurde bzw. dies unmöglich ist und dass die betroffene Person daraufhin keine zusätzlichen Informationen bereitgestellt hat.[19] Die Vorschrift bringt zum Ausdruck, allein zum Zweck den Betroffenenrechten entsprechen zu können, auf zusätzliche Datenerhebungen zu verzichten und wertet die Datensparsamkeit somit als vorrangig. Sofern der Betroffene allerdings selbst die benötigten Information beibringt, ist der Vollzug der genannten Betroffenenrechte wieder möglich und die Informationspflichten der Art. 15 ff. gelten wieder.[20]

IV. Sanktionen

      21

      Die in der DS-GVO vorgesehenen drakonischen Bußgelder sollen Unternehmen von Verstößen abhalten und ein Bewusstsein für Datenschutz schaffen. Auch Verstöße gegen