Der Grundsatz der Transparenz in der DSGVO: Warum eine Datenschutzinformation allein nicht ausreicht

Ein mittelständisches Unternehmen führt ein neues CRM-System ein. Vertriebsmitarbeiter dokumentieren Telefonate, legen Wiedervorlagen an und werten vorhandene Kundendaten aus, um bestimmte Kunden gezielt auf passende Zusatzprodukte anzusprechen. Eine Datenschutzinformation gibt es selbstverständlich – zwölf Seiten lang, vor Jahren von einem Dienstleister erstellt. Unter „Zwecke der Verarbeitung“ stehen Begriffe wie „Vertragsabwicklung“, „Kundenbetreuung“ oder „Marketing“, dahinter eine Aufzählung verschiedener Rechtsgrundlagen. Welche Rechtsgrundlage zu welchem Zweck gehört, bleibt offen. Das neue CRM-System und die Ableitung von Interessen aus bisherigen Käufen kommen darin gar nicht vor.

Dann fragt ein Kunde: „Woher wissen Sie eigentlich, dass ich mich für dieses Produkt interessiere?“ Genau in diesem Moment zeigt sich, worum es beim Grundsatz der Transparenz wirklich geht: nicht darum, dass irgendwo ein Dokument mit der Überschrift „Datenschutz“ existiert, sondern darum, dass eine betroffene Person tatsächlich verstehen kann, was mit ihren Daten geschieht.

Ein Grundprinzip, keine Formalität

Der Grundsatz der Transparenz steht bereits in Art. 5 Abs. 1 lit. a) DSGVO – auf derselben Ebene wie Zweckbindung, Datenminimierung oder Speicherbegrenzung. Er ist keine Formalität am Ende einer bereits geplanten Verarbeitung, sondern eine der grundlegenden Bedingungen für datenschutzkonformes Handeln. Erwägungsgrund 39 DSGVO bringt es auf den Punkt: Für natürliche Personen soll transparent sein, dass ihre Daten erhoben, verwendet oder anderweitig verarbeitet werden und in welchem Umfang.

Das ist zugleich die Voraussetzung dafür, dass Betroffene ihre Rechte überhaupt sinnvoll wahrnehmen können. Wer nicht weiß, dass Daten verarbeitet werden, kann weder Auskunft verlangen noch widersprechen noch eine Einwilligung widerrufen. Transparenz dient deshalb letztlich der Kontrolle der betroffenen Person über ihre eigenen Daten.

Was Transparenz nicht bedeutet

Ein verbreitetes Missverständnis: Transparenz heißt nicht, dass jede betroffene Person zum Datenschutzexperten werden muss. Ein Kunde muss nicht wissen, welche Datenbankversion auf dem Server läuft oder mit welchem Algorithmus die Festplatten verschlüsselt sind. Entscheidend ist vielmehr, dass die für ihn relevante Verarbeitung verständlich wird – bei einer Bonitätsprüfung also, welche Daten wofür verwendet werden und welche Bedeutung das Ergebnis für einen Vertragsschluss hat. Bei einer Videoüberwachung, dass überhaupt gefilmt wird, wer verantwortlich ist und wozu.

Eine zwanzigseitige Datenschutzinformation ist dabei nicht automatisch transparenter als eine vierseitige. Werden entscheidende Informationen zwischen langen juristischen Erläuterungen versteckt, sinkt die Nachvollziehbarkeit eher, als dass sie steigt. Transparenz verlangt die richtigen Informationen in verständlicher Form – nicht möglichst viele.

Art. 12 DSGVO: Fünf konkrete Anforderungen

Während Art. 5 den Grundsatz formuliert, macht Art. 12 DSGVO daraus handfeste Kommunikationsregeln. Informationen müssen präzise, transparent, verständlich, leicht zugänglich sowie in klarer und einfacher Sprache übermittelt werden. Diese Anforderungen gelten nicht nur für die klassische Datenschutzinformation nach Art. 13 oder 14 DSGVO, sondern für praktisch alle Mitteilungen im Umgang mit Betroffenenrechten – von der Auskunft über die Löschung bis zur Meldung einer Datenschutzverletzung.

Präzise bedeutet, dass sich Zweck und zugehörige Rechtsgrundlage eindeutig zuordnen lassen. Werden Zwecke und Rechtsgrundlagen in zwei getrennten Listen aufgezählt, muss die betroffene Person selbst raten, was zusammengehört – transparenter ist eine Tabelle, die jede Verarbeitung unmittelbar mit ihrem Zweck und ihrer Rechtsgrundlage verknüpft.

Verständlich richtet sich nicht danach, ob ein Datenschutzjurist den Text versteht, sondern nach der tatsächlichen Zielgruppe. Ein Satz wie „Die Verarbeitung erfolgt zur Wahrung unserer berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f) DSGVO“ gibt zwar den Gesetzestext wieder, sagt der betroffenen Person aber nicht, welches Interesse konkret gemeint ist. Hilfreicher: „Wir speichern die Kontaktdaten unserer Ansprechpartner, damit wir über laufende Aufträge kommunizieren können. Unser berechtigtes Interesse besteht in einer zuverlässigen Abwicklung der Geschäftsbeziehung.“

Einfache Sprache heißt nicht Kindersprache. Fachbegriffe wie „Verantwortlicher“ oder „Drittland“ lassen sich nicht vollständig vermeiden – entscheidend ist, dass sie aus dem Zusammenhang verständlich werden oder kurz erklärt sind. Ganze Gesetzespassagen in eine Datenschutzinformation zu kopieren, wirkt zwar juristisch korrekt, hilft der Zielgruppe aber wenig.

Leicht zugänglich betrifft nicht den Inhalt, sondern den Weg dorthin. Eine perfekte Datenschutzinformation nützt wenig, wenn sie erst über mehrere Untermenüs erreichbar ist. Gerade bei komplexeren Vorgängen hat sich dabei ein mehrstufiges Modell bewährt: Auf der ersten Ebene stehen die im Moment wichtigsten Informationen, von dort führt ein Link zu den vollständigen Angaben nach Art. 13 DSGVO. Die Grundidee lautet: schichten statt verstecken – wesentliche oder überraschende Verarbeitungen dürfen nicht erst tief in einer weiteren Ebene versteckt werden.

Wann informiert werden muss: Art. 13 und Art. 14 DSGVO

Werden Daten direkt bei der betroffenen Person erhoben, greift Art. 13 DSGVO – die Information muss grundsätzlich zum Zeitpunkt der Erhebung vorliegen, etwa beim Kontaktformular oder im Verkaufsgespräch. Der Europäische Gerichtshof hat dazu am 18. Dezember 2025 in der Rechtssache C-422/24 (Storstockholms Lokaltrafik) klargestellt, dass Art. 13 DSGVO auch dann gilt, wenn Daten nicht aktiv mitgeteilt, sondern etwa per Kamera beobachtet werden. Entscheidend ist die Quelle der Daten, nicht ob die betroffene Person selbst aktiv wird. „Der Kunde hat uns diese Daten doch gar nicht gegeben“ ist damit kein Argument gegen die Informationspflicht.

Kommen die Daten dagegen von einem Dritten – etwa von einer Auskunftei, einem Personalvermittler oder einem Geschäftspartner – greift Art. 14 DSGVO. Hier muss zusätzlich über die Datenkategorien und die Quelle informiert werden, und zwar innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats. Wichtig dabei: Ein Monat ist keine allgemeine Schonfrist. Wer einen erhaltenen Kontakt bereits am Folgetag anschreibt, muss auch dann informieren. Der EuGH hat zudem am 28. November 2024 in der Rechtssache C-169/23 (Másdi) klargestellt, dass auch selbst erzeugte oder abgeleitete Daten – etwa Scores oder interne Bewertungen – unter Art. 14 DSGVO fallen können, sofern sie nicht unmittelbar bei der betroffenen Person erhoben wurden.

Automatisierte Entscheidungen: Transparenz als Nachvollziehbarkeit

Besonders wichtig wird verständliche Information, wenn Daten zur Bewertung einer Person genutzt werden. Der EuGH hat mit Urteil vom 27. Februar 2025 in der Rechtssache C-203/22 (Dun & Bradstreet Austria) zum automatisierten Bonitätsscoring entschieden, dass Betroffene im Rahmen ihres Auskunftsrechts aussagekräftige Informationen über die involvierte Logik erhalten müssen – und zwar so, dass sie die Entscheidung nachvollziehen und gegebenenfalls anfechten können. Eine rein abstrakte Beschreibung des Algorithmus genügt dafür nicht. Für Unternehmen, die Scoring, Profiling oder KI-gestützte Entscheidungen einsetzen, gewinnt dieser Aspekt zunehmend an Bedeutung.

Grenzen der Transparenzpflicht

Transparenz ist weitreichend, aber nicht grenzenlos. Unternehmen müssen keinen Quellcode veröffentlichen oder Geschäftsgeheimnisse preisgeben, nur weil personenbezogene Daten verarbeitet werden. Für nichtöffentliche Stellen sieht § 33 BDSG unter bestimmten Voraussetzungen eine Ausnahme von der Informationspflicht nach Art. 14 DSGVO vor, etwa wenn die Information die Verteidigung zivilrechtlicher Ansprüche beeinträchtigen würde. § 29 BDSG betrifft speziell den Fall besonderer Berufs- oder Amtsgeheimnisse. Wer sich auf eine solche Ausnahme beruft, sollte deren Voraussetzungen aber genau prüfen und die Entscheidung dokumentieren – eine praktische Abkürzung, um auf unbequeme Informationen zu verzichten, sind diese Vorschriften nicht.

Typische Fehler in der Praxis

In kleinen und mittleren Unternehmen wiederholen sich dieselben Probleme:

• Die Datenschutzinformation beschreibt nicht die tatsächliche Verarbeitung – alte Tools sind noch aufgeführt, neue fehlen.
• Zwecke sind zu pauschal formuliert („Optimierung unseres Angebots“), Rechtsgrundlagen werden ohne erkennbare Zuordnung aufgezählt.
• Speicherfristen bleiben abstrakt („solange erforderlich“), obwohl konkrete Fristen bekannt wären.
• Berechtigte Interessen nach Art. 6 Abs. 1 lit. f) DSGVO werden nicht konkret benannt.
• Bei Daten, die nicht direkt von der betroffenen Person stammen, wird Art. 14 DSGVO schlicht vergessen.

Keiner dieser Punkte erfordert ein großes Datenschutzprojekt – die meisten lassen sich mit einer sauberen Bestandsaufnahme und klaren Prozessen lösen.

Warum das Thema 2026 besondere Aktualität hat

Der Europäische Datenschutzausschuss hat Transparenz- und Informationspflichten zum Gegenstand seiner europaweit koordinierten Durchsetzungsaktion für 2026 gemacht. Am 19. März 2026 startete die Aktion offiziell, 25 nationale Aufsichtsbehörden beteiligen sich. Datenschutzinformationen sind damit kein Randthema mehr, das nur zusammen mit einem anderen Verstoß betrachtet wird – die transparente Information selbst steht auf dem Prüfstand.

Wie ernst das genommen wird, zeigt ein Fall aus Hamburg: Der Hamburgische Beauftragte für Datenschutz verhängte 2021 gegen die Vattenfall Europe Sales GmbH ein Bußgeld von 901.388,84 Euro, weil rund 500.000 Kunden nicht ausreichend über einen internen Datenabgleich informiert worden waren. Bemerkenswert an diesem Fall ist die Begründung: Es ging nicht darum, dass der Datenabgleich als solcher unzulässig gewesen wäre – allein die unzureichende Erfüllung der Transparenzpflichten führte zum Bußgeld. Die Lehre daraus: Eine grundsätzlich zulässige Verarbeitung wird nicht automatisch datenschutzkonform, nur weil eine Rechtsgrundlage vorhanden ist. Auch die Transparenzanforderungen müssen erfüllt sein.

Ergänzend lohnt ein Blick nach Brüssel: Im Rahmen des sogenannten „Digital Omnibus“ werden derzeit auch Anpassungen an den Art. 12 bis 15 DSGVO diskutiert. Konkrete Beschlüsse stehen noch aus, Unternehmen sollten die Entwicklung aber im Blick behalten.

Der praktische Ausgangspunkt: das Verzeichnis von Verarbeitungstätigkeiten

Datenschutzinformationen entstehen in der Praxis häufig rückwärts: Man sucht eine Vorlage und überlegt dann, was hineinpasst. Sinnvoller ist der umgekehrte Weg. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO liefert bereits einen großen Teil der notwendigen Informationen – Zwecke, betroffene Personengruppen, Empfänger, Drittlandsübermittlungen und Löschfristen. Wird es in der Praxis etwas ausführlicher geführt und um Rechtsgrundlagen, Datenquellen und eingesetzte Systeme ergänzt, lässt sich daraus ein Großteil der externen Transparenz ableiten – mit dem angenehmen Nebeneffekt, dass Widersprüche zwischen internem Verzeichnis und externer Information seltener werden.

Zusammenfassung

Der Grundsatz der Transparenz verlangt keine möglichst langen Datenschutztexte und keine juristischen Abhandlungen. Er verlangt Nachvollziehbarkeit: Eine betroffene Person soll verstehen können, dass ihre Daten verarbeitet werden, zu welchem Zweck, auf welcher Grundlage und mit welchen Konsequenzen – ohne dabei die internen Abläufe des Unternehmens zu kennen oder Jura studiert haben zu müssen. Wer diesen Test besteht und zusätzlich dafür sorgt, dass die Information rechtzeitig, leicht zugänglich und nachweisbar bereitgestellt wird, hat einen wesentlichen Teil des Grundsatzes der Transparenz bereits erfolgreich umgesetzt.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.