Was muss in einer Datenschutzerklärung stehen?

Die festen Bestandteile einer Datenschutzerklärung

Eine Datenschutzerklärung erwähnt in den meisten Fällen, wer die Daten verarbeitet, warum, und welche Rechte die betroffene Person dabei hat. Konkret geht es um die Identität und Kontaktdaten der Organisation, die die Daten verarbeitet, und um die Kontaktdaten eines Datenschutzbeauftragten, falls dieser bestellt wurde. Darüber hinaus wird darin angegeben, für welche Zwecke die Daten verwendet werden und auf welche rechtliche Grundlage sich dies stützt — denken Sie etwa an die Erfüllung eines Vertrags, eine gesetzliche Verpflichtung oder ein berechtigtes Interesse, wobei dieses berechtigte Interesse dann auch benannt wird.

Ferner sollte die Erklärung enthalten, an wen die Daten weitergegeben werden, ob sie in ein Land außerhalb der EU gehen, und wie lange sie gespeichert werden — oder, falls eine feste Frist nicht angegeben werden kann, nach welchen Kriterien dies bestimmt wird. Auch die Rechte der betroffenen Person werden aufgeführt: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch, Datenübertragbarkeit und die Möglichkeit, erteilte Einwilligung zu widerrufen. Abschließend erwähnt die Erklärung das Recht, eine Beschwerde bei der Aufsichtsbehörde einzureichen, und — soweit relevant — ob die Bereitstellung von Daten eine gesetzliche oder vertragliche Verpflichtung ist und welche Folgen sich aus der Nichtbereitstellung ergeben, sowie ob eine automatisierte Entscheidungsfindung oder Profilierung stattfindet.

Dies steht in Artikel 13 der DSGVO

Diese Aufzählung folgt unmittelbar aus Artikel 13 der DSGVO, der vorschreibt, welche Informationen eine Organisation bereitstellen muss, wenn sie personenbezogene Daten direkt bei der betroffenen Person erhebt. Die DSGVO ist eine Verordnung und diese Anforderungen gelten daher inhaltlich gleich in jedem Mitgliedstaat; was unterschiedlich ist, ist, bei welcher Aufsichtsbehörde das genannte Beschwerderecht in der Praxis wahrgenommen wird — in den Niederlanden die Autoriteit Persoonsgegevens, in Deutschland die Aufsichtsbehörde des Bundeslandes, in dem sich der Sitz befindet. Für den vollständigen Wortlaut der Bestimmung und für weitere Erläuterungen kann die Verordnung selbst zu Rate gezogen werden, und für die niederländische Praxis die Website der Autoriteit Persoonsgegevens.