Informationspflichten nach der DSGVO: Warum „Wir haben doch eine Datenschutzerklärung“ nicht reicht

An einem ganz normalen Montag erhält ein mittelständisches Unternehmen personenbezogene Daten auf völlig unterschiedlichen Wegen: Ein Interessent füllt das Kontaktformular aus, ein Vertriebsmitarbeiter bekommt von einem Messeveranstalter eine Teilnehmerliste, eine Bewerbung geht per E-Mail ein, und die Kamera am Betriebseingang zeichnet Besucher auf. In jedem dieser Fälle stellt sich dieselbe Frage: Wie erfährt die betroffene Person eigentlich, was mit ihren Daten geschieht?

Genau darum geht es bei den Informationspflichten der DSGVO. In der Praxis wird das Thema gedanklich oft auf „die Datenschutzerklärung der Webseite“ reduziert. Das greift zu kurz. Mitarbeiter, Bewerber, Messekontakte oder Besucher eines videoüberwachten Bereichs besuchen die Webseite häufig nie – trotzdem können ihnen gegenüber Informationspflichten bestehen. Die eigentliche Aufgabe lautet deshalb nicht „Brauchen wir eine Datenschutzerklärung?“, sondern: Welche betroffene Person muss zu welchem Zeitpunkt welche Informationen über welche konkrete Verarbeitung erhalten?

Der Transparenzgrundsatz als Fundament

Die Informationspflichten sind kein bürokratischer Anhang, sondern Ausdruck des Transparenzgrundsatzes aus Art. 5 Abs. 1 lit. a) DSGVO. Eine betroffene Person kann ihre einmal übermittelten Daten nicht zurückholen – sie soll aber nachvollziehen können, wer sie verarbeitet, warum, wie lange, an wen sie weitergegeben werden und welche Rechte bestehen. Ohne diese Information laufen viele andere Betroffenenrechte praktisch leer: Wer nicht weiß, dass ein Unternehmen seine Daten verarbeitet, wird kaum Auskunft verlangen oder widersprechen.

Für die Umsetzung im Unternehmen bedeutet das: Die Informationspflicht sollte nicht als eigenständiges Dokumentationsprojekt behandelt werden. Wer Zweck, Rechtsgrundlage, Empfänger, Drittlandübermittlungen und Löschfristen bereits im Verzeichnis der Verarbeitungstätigkeiten sauber dokumentiert hat, kann daraus die Datenschutzinformation nahezu automatisch ableiten.

Art. 13 oder Art. 14 – die entscheidende Weichenstellung

Im Alltag wird oft mit einer Faustformel gearbeitet: Gibt die betroffene Person ihre Daten selbst an, gilt Art. 13 DSGVO. Kommen sie von jemand anderem, gilt Art. 14 DSGVO. Als erste Orientierung funktioniert das – nach der aktuellen Rechtsprechung des EuGH greift es aber zu kurz. Entscheidend ist die Quelle der Daten, nicht, ob die Person selbst aktiv geworden ist.

Das hat der Gerichtshof mit Urteil vom 18. Dezember 2025 in der Rechtssache C-422/24 klargestellt. Ein Verkehrsunternehmen in Stockholm hatte seine Fahrkartenkontrolleure mit Körperkameras ausgestattet. Die schwedische Aufsichtsbehörde hatte deswegen ein Bußgeld von umgerechnet rund 355.000 Euro wegen unzureichender Information verhängt. Der EuGH entschied: Auch die bloße Beobachtung einer Person ist eine Direkterhebung im Sinne von Art. 13 DSGVO – eine aktive Mitwirkung ist nicht erforderlich. Videoüberwachung, Sensorik und vergleichbare Beobachtungssituationen dürfen deshalb nicht automatisch Art. 14 zugeordnet werden, nur weil niemand aktiv etwas eingetippt hat.

Umgekehrt gilt Art. 14 DSGVO, wenn Daten von einem Geschäftspartner, einem Kollegen oder aus einer öffentlich zugänglichen Quelle stammen – auch eine frei im Internet auffindbare geschäftliche E-Mail-Adresse bleibt personenbezogen und informationspflichtig. Der EuGH hat diesen Gedanken in der Rechtssache C-169/23 („Másdi“, Urteil vom 28. November 2024) noch weiter zugespitzt: Selbst Informationen, die ein Unternehmen selbst erzeugt, können unter Art. 14 fallen, wenn sie auf Daten beruhen, die ursprünglich nicht unmittelbar bei der betroffenen Person erhoben wurden – etwa wenn ein Vertriebsmitarbeiter im CRM vermerkt, dass ein Ansprechpartner Einkaufsleiter eines bestimmten Unternehmens ist. Die Unterscheidung „selbst erzeugt oder fremd erhalten“ reicht damit allein nicht mehr aus. Entscheidend ist die gesamte Herkunftskette der Daten.

Für die Praxis heißt das: Bei jeder Verarbeitung lohnt sich die Frage, woher die Information ursprünglich stammt – und nicht nur, wer sie zuletzt ins System eingetragen hat.

Was in eine Datenschutzinformation gehört

Art. 13 und Art. 14 DSGVO verlangen im Kern dieselben Angaben: Name und Kontaktdaten des Verantwortlichen, Zweck und Rechtsgrundlage der Verarbeitung, Empfänger, gegebenenfalls Drittlandübermittlungen, Speicherdauer, Betroffenenrechte und das Beschwerderecht bei einer Aufsichtsbehörde. Bei Art. 14 kommen zusätzlich die Kategorien der verarbeiteten Daten und die Quelle hinzu, aus der sie stammen.

Die eigentliche Schwierigkeit liegt selten darin, diese Punkte irgendwo unterzubringen – sondern darin, sie konkret genug zu formulieren. Ein sehr verbreiteter Fehler: Zunächst werden alle Zwecke aufgelistet (Vertragsabwicklung, Werbung, Bonitätsprüfung, Buchhaltung), und mehrere Absätze später folgen separat alle Rechtsgrundlagen. Für die betroffene Person bleibt dann offen, welche Rechtsgrundlage zu welchem Zweck gehört – genau das widerspricht dem Transparenzgedanken. Besser ist eine unmittelbare Zuordnung, etwa: „Auftragsabwicklung: Verarbeitung der Bestelldaten zur Durchführung der Bestellung auf Grundlage von Art. 6 Abs. 1 lit. b) DSGVO.“

Auch beim berechtigten Interesse nach Art. 6 Abs. 1 lit. f) DSGVO genügt die bloße Artikelnummer nicht – das konkrete Interesse muss benannt werden, etwa der Schutz von Mitarbeitern vor Übergriffen bei einer Videoüberwachung. Und bei den Empfängern ist die Kategorie „Dritte“ fast immer zu wenig aussagekräftig. Funktionale Bezeichnungen wie „IT-Dienstleister für Hosting“ oder „externe Lohnabrechnung“ schaffen echte Transparenz. Gleiches gilt für Speicherfristen: Die Formulierung „so lange wie erforderlich“ wiederholt nur das Gesetz. Wo immer möglich, sollte eine konkrete oder zumindest nachvollziehbar bestimmbare Frist genannt werden – das ist gleichzeitig ein guter Qualitätscheck für das eigene Löschkonzept.

Der richtige Zeitpunkt

Der Zeitpunkt ist einer der wichtigsten Unterschiede zwischen beiden Vorschriften. Bei einer Direkterhebung nach Art. 13 müssen die Informationen bereits bei der Erhebung vorliegen – ein Datenschutzhinweis, der erst mit der Auftragsbestätigung nachgereicht wird, kommt zu spät. Art. 14 räumt aufgrund der anderen Erhebungssituation mehr Zeit ein: innerhalb einer angemessenen Frist, spätestens aber innerhalb eines Monats. Diese Monatsfrist ist jedoch keine Wartefrist, die stets ausgeschöpft werden darf – wird vorher erstmals mit der Person kommuniziert oder werden die Daten vorher erstmals offengelegt, muss die Information bereits zu diesem früheren Zeitpunkt vorliegen.

Ebenfalls leicht übersehen: Sollen vorhandene Daten später für einen anderen Zweck verwendet werden als ursprünglich erhoben, muss die betroffene Person vor dieser Weiterverarbeitung informiert werden (Art. 13 Abs. 3, Art. 14 Abs. 4 DSGVO) – etwa wenn ein neues System eingeführt wird, das Mitarbeiterdaten für einen bislang nicht beschriebenen Zweck nutzt.

Was eine Datenschutzinformation nicht ist

Ein hartnäckiges Missverständnis: Eine Datenschutzinformation ist keine Einwilligung. Die eine erfüllt eine Informationspflicht, die andere ist eine Rechtsgrundlage für eine Verarbeitung – zwei völlig unterschiedliche Instrumente. Eine betroffene Person muss die Information deshalb grundsätzlich weder „akzeptieren“ noch ihr „zustimmen“. Sinnvoll ist stattdessen, die Bereitstellung zu dokumentieren, etwa: „Datenschutzinformation Mitarbeiter, Version 3.2, am 15.07.2026 zusammen mit den Onboarding-Unterlagen bereitgestellt.“ Ob die Person den Text tatsächlich gelesen hat, muss ein Unternehmen ohnehin nicht sicherstellen – entscheidend ist, dass die Information in einer Form zur Verfügung gestellt wurde, die Lesen und Verstehen ermöglicht.

Wichtig ist außerdem, dass die Information tatsächlich verständlich bleibt: Eine 35-seitige, juristisch vollständige Datenschutzinformation kann ihren Zweck trotzdem verfehlen. Der Europäische Datenschutzausschuss hat deshalb den Ansatz der gestuften Information anerkannt – besonders anschaulich bei Videoüberwachung: Ein Hinweisschild vermittelt vor dem überwachten Bereich die wesentlichen Informationen, die vollständigen Angaben stehen an einem leicht zugänglichen zweiten Ort oder digital zur Verfügung. Der EuGH hat dieses Modell im bereits erwähnten Urteil C-422/24 ausdrücklich bestätigt.

Typische Fehler – und woran man sie erkennt

In der Praxis wiederholen sich einige Probleme immer wieder: eine einzige, alle Verarbeitungen zusammenfassende Datenschutzinformation, aus der niemand mehr erkennen kann, welche Angabe zu welcher Verarbeitung gehört. Die pauschale Formel „wir geben Ihre Daten gegebenenfalls an Dritte weiter“ ohne jede weitere Erläuterung. Die Vermischung von Datenschutzerklärung und Einwilligung über einen Klick-Button und – besonders häufig übersehen – die Anwendung von Art. 14 auf geschäftliche Ansprechpartner, deren Daten scheinbar „nur geschäftlich“ sind. Ein Name, eine personalisierte E-Mail-Adresse oder eine berufliche Funktion beziehen sich aber immer auf eine natürliche Person, und stammen sie aus einer fremden Quelle, ist Art. 14 einschlägig.

Wie ernst Aufsichtsbehörden Transparenzverstöße nehmen, zeigt der Fall WhatsApp Ireland: 2021 verhängte die irische Datenschutzbehörde nach einem verbindlichen Verfahren des Europäischen Datenschutzausschusses eine Geldbuße von 225 Millionen Euro – unter anderem wegen unzureichender Information von Nutzern und Nichtnutzern. Verstöße gegen Art. 12 bis 22 DSGVO fallen in die höhere Bußgeldkategorie des Art. 83 Abs. 5 DSGVO, mit einem Rahmen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Das bedeutet nicht, dass jedem kleinen Unternehmen bei jedem Fehler Millionenbeträge drohen – zeigt aber, dass Informationspflichten aus Sicht der Behörden keine dekorative Formalität sind.

Zusammenfassung

Informationspflichten lassen sich am einfachsten beherrschen, wenn sie nicht als eigenständige juristische Fleißaufgabe, sondern als selbstverständlicher Bestandteil jeder Verarbeitung verstanden werden. Ausgangspunkt ist das Verzeichnis der Verarbeitungstätigkeiten. Daraus lässt sich ableiten, ob Art. 13 oder Art. 14 einschlägig ist, welche Gruppe von betroffenen Personen welche Information zu welchem Zeitpunkt und über welchen Weg erhalten muss – und wie sich das Ganze nachweisbar dokumentieren lässt. Die wichtigste Unterscheidung bleibt dabei die zwischen Direkt- und Dritterhebung, und hier hat der EuGH mit seiner neueren Rechtsprechung die Linie geschärft: Eine Direkterhebung setzt keine aktive Mitwirkung voraus, und selbst intern erzeugte Informationen können unter Art. 14 fallen.

Am Ende lässt sich das Thema auf einen einfachen Gedanken reduzieren: Die betroffene Person soll nicht irgendwo eine Datenschutzerklärung finden müssen. Sie soll dort, wo ihre Daten tatsächlich verarbeitet werden, rechtzeitig und verständlich erfahren, was damit geschieht.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.