§ 5 Informations- und Mitteilungspflichten des Verantwor ... / 4. Datenkategorien, Art. 14 Abs. 1 lit d.) DSGVO

Rz. 138

Abweichend von Art. 13 Abs. 1 DSGVO ist die Informationspflicht nach Art. 14 Abs. 1 DSGVO um die Verpflichtung zur Mitteilung der Kategorien personenbezogener Daten, die verarbeitet werden, erweitert. Diese Erweiterung rechtfertigt sich aus dem Umstand, dass die betroffene Person nicht Teil des Datenerhebungsvorganges ist und daher keine Kenntnis hat, welche Daten überhaupt gespeichert wurden. Gleichwohl verlangt Art. 14 Abs. 1 lit. d) DSGVO keine Mitteilung zu den konkret von der Verarbeitung betroffenen Daten, sondern fordert lediglich eine Angabe von Kategorien. Wie genau zu kategorisieren ist, lässt die DSGVO offen. Es spricht viel dafür, sich hinsichtlich der hier geforderten Angaben an den Vorgaben des SDM zu orientieren und eine Schutzklasseneinstufung vorzunehmen. Diese sind jedoch für den Betroffenen u.U. nicht ausreichend. Er kann nicht einschätzen, welche Daten im Einzelfall betroffen sind. Daher sollten entsprechende Oberbegriffe (wie beispielsweise Stammdaten, Adressdaten, Kommunikationsdaten, Sozialdaten usw.) ergänzt und den Schutzstufen zugeordnet werden.

Rz. 139

Dies könnte etwa wie folgt aussehen und geschehen:

Kategorien personenbezogener Daten, die verarbeitet werden:

Kategorie 1	Personenbezogene Daten	Daten, die frei zugänglich sind. Hierzu gehören im Einzelfall u.a Adress- und Kommunikations- und sonstige Stammdaten und solche Daten die der Betroffene, beispielsweise über soziale Medien, selbst öffentlich gemacht hat.
Kategorie 2		Daten, deren unsachgemäße Handhabung zwar keine besondere Beeinträchtigung des Betroffenen erwarten lässt und die aus "beschränkt öffentlichen Quellen" stammen. Hierzu zählen im Einzelfall u.a. Adress-, Kommunikations- u. Forderungsdaten.
Kategorie 3		Daten, deren Verarbeitung grundsätzlich eine Beeinträchtigung des Betroffenen bedingt und/oder Daten, gegen deren Verwendung der Schuldner explizite Einwände erhoben hat. Hierzu zählen u.a. sensible Schuldnerdaten, Bonitätsdaten, Daten über Beziehungen des Betroffenen zu Dritten.
Kategorie 4	Besondere Kategorien personenbezogener Daten	Daten, die in den Artt. 9 und 10 der DSGVO genannt sind, Daten betr. Kinder gem. Art. 8 DSGVO sowie weitere Daten, deren Bekanntwerden ein vergleichbares Schadenspotential mit sich bringt.