Was ist ein Datenschutzhinweis?
Der Datenschutzhinweis erläutert einer natürlichen Person, wer ihre personenbezogenen Daten zu welchen Zwecken, auf welcher Rechtsgrundlage und auf welchem Weg verarbeitet und an wen die Daten übermittelt werden können.
Der Hinweis muss zum tatsächlichen Verarbeitungsvorgang passen. Für Bewerbungen, Kundendaten und gegebenenfalls Cookies können deshalb unterschiedliche Informationen erforderlich sein. Eine allgemeine Standardseite ersetzt diese Prüfung nicht.
Die Informationspflicht gehört zu den Grundpflichten des Verantwortlichen. Diese Verpflichtung setzt keine ausdrückliche Einwilligung des Betroffenen voraus. Auch bei Vorliegen einer ausdrücklichen Einwilligung ist die betroffene Person gesondert zu informieren.
Wann ist ein Datenschutzhinweis Pflicht?
Eine Informationspflicht besteht grundsätzlich in jedem Fall, in dem personenbezogene Daten verarbeitet werden. Persönliche Daten; Dabei handelt es sich um alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Hierzu können Name, Nachname, Telefonnummer, E-Mail-Adresse, IP-Adresse, Kameraaufzeichnung, Lebenslauf, Gesundheitsinformationen, Standortinformationen oder Kundentransaktionsinformationen gehören.
Die Information ist grundsätzlich bei der Datenerhebung zu erteilen. Werden Daten nicht direkt bei der betroffenen Person erhoben, gelten die Fristen und Vorgaben des einschlägigen türkischen Kommuniqués zur Informationspflicht: innerhalb einer angemessenen Frist, bei einer geplanten Kontaktaufnahme spätestens beim ersten Kontakt und bei einer geplanten Übermittlung spätestens bei der ersten Übermittlung.
Welche Informationen sollten im Datenschutzhinweis enthalten sein?
Der Datenschutzhinweis sollte mindestens folgende Informationen enthalten:
- Identität des Datenverantwortlichen und gegebenenfalls seines Vertreters,
- Zu welchen Zwecken werden personenbezogene Daten verarbeitet,
- An wen und zu welchen Zwecken die verarbeiteten Daten übermittelt werden können,
- Methode zur Erhebung personenbezogener Daten,
- Rechtsgrundlage der Datenverarbeitung,
- Rechte der betroffenen Person nach dem türkischen Datenschutzgesetz Nr. 6698.
Die Angaben müssen konkret, klar und verständlich sein. Zwecke und Rechtsgrundlagen sind für den tatsächlichen Verarbeitungsvorgang zu nennen; vage Formulierungen und pauschale Angaben für alle Tätigkeiten reichen nicht aus.
Sind Datenschutzhinweis und ausdrückliche Einwilligung dasselbe?
Information und ausdrückliche Einwilligung sind unterschiedliche Vorgänge. Der Datenschutzhinweis informiert über die Verarbeitung. Eine ausdrückliche Einwilligung ist eine freiwillige, informierte Erklärung zu einer bestimmten Verarbeitung.
Nicht jede Verarbeitung benötigt eine ausdrückliche Einwilligung. Liegt eine andere gesetzliche Verarbeitungsvoraussetzung vor, kann eine Verarbeitung ohne Einwilligung zulässig sein. Die Informationspflicht bleibt bestehen.
Wenn eine ausdrückliche Einwilligung eingeholt wird, muss sie von der Information getrennt und auf einen bestimmten Verarbeitungsvorgang bezogen sein. Ein Datenschutzhinweis darf nicht als pauschale Einwilligung dargestellt werden.
Reicht die Veröffentlichung eines Datenschutzhinweises auf der Website?
Die Veröffentlichung eines allgemeinen Datenschutzhinweises auf der Website allein reicht in den meisten Fällen möglicherweise nicht aus. Denn Zweck, Rechtsgrundlage, Datenkategorie und Übermittlungsempfänger jeder Datenverarbeitungsaktivität können unterschiedlich sein.
Kontaktformulare, Bewerbungen, Cookies, Newsletter und Terminangebote können unterschiedliche Verarbeitungsvorgänge auslösen. Die Information muss sich auf die tatsächlich eingesetzten Funktionen beziehen.
Der Hinweis muss für die betroffene Person rechtzeitig und tatsächlich zugänglich sein. Ein schwer auffindbarer Link im Footer reicht nicht in jedem Fall aus.
Beweisrisiko für den Verantwortlichen
Der Verantwortliche muss nachweisen können, dass er die Informationspflicht erfüllt hat. Daher ist auch festzuhalten, welche Textfassung wann und auf welchem Weg bereitgestellt wurde.
Je nach Vorgang können Versionierung, Zeitstempel, geeignete Protokolle oder dokumentierte Informationen vor Ort den Nachweis unterstützen. Eine Empfangsbestätigung ist keine Einwilligung; nicht jedes Verfahren passt zu jeder Verarbeitung.
Häufige Fehler in der Praxis
Typische Fehler bei Datenschutzhinweisen sind:
- Verwendung des gleichen allgemeinen Textes für jede Datenverarbeitungsaktivität,
- Fehlende klare Angabe der Rechtsgrundlage,
- Unklare Angaben zu Empfängern oder Empfängergruppen,
- Vermischung von Information und ausdrücklicher Einwilligung,
- Die Verarbeitungszwecke sind sehr weit gefasst und zukunftsorientiert vage formuliert,
- Übermittlung des Textes an die betroffene Person nach Erhalt der Daten,
- Fehlender Nachweis über die Erteilung der Informationen.
Diese Fehler können zu Verwaltungssanktionen, Beschwerden, Datensicherheitsuntersuchungen und Reputationsrisiken führen.
Häufig gestellte Fragen
Muss jedes Unternehmen einen Datenschutzhinweis erstellen?
Die Informationspflicht kommt grundsätzlich für natürliche oder juristische Personen in Betracht, die personenbezogene Daten verarbeiten. Der Umfang des Unternehmens, die Art der Datenverarbeitungstätigkeit und die Bezeichnung des Datenverantwortlichen sollten im konkreten Fall beurteilt werden.
Ist bei ausdrücklicher Einwilligung trotzdem eine Information erforderlich?
Ja. Auch bei Vorliegen einer ausdrücklichen Einwilligung ist die Informationspflicht gesondert zu erfüllen.
Genügt die Veröffentlichung auf der Website?
Nicht immer. Die Informationen müssen zum Verarbeitungsvorgang passen und rechtzeitig sowie zugänglich bereitgestellt werden.
Muss die Rechtsgrundlage genannt werden?
Ja. Es sollte klar dargelegt werden, auf welcher Rechtsgrundlage im türkischen Datenschutzgesetz Nr. 6698 die Datenverarbeitung beruht.
Wer weist nach, dass er seiner Informationspflicht nachgekommen ist?
Der Verantwortliche muss die Erfüllung der Informationspflicht nachweisen können.