§ 5 Informations- und Mitteilungspflichten des Verantwor ... / a) Unverhältnismäßiger Aufwand bei Weiterverarbeitung "analog gespeicherter Daten", § 32 Abs. 1 Nr. 1 BDSG-Neu

Rz. 94

Die Pflicht zur Information der betroffenen Person gemäß Art. 13 Abs. 3 DSGVO soll nach § 32 Abs. 1 Nr. 1 BDSG-Neu auch dann nicht bestehen, wenn die Erteilung der Information

Zitat

"eine Weiterverarbeitung analog gespeicherter Daten betrifft, bei der sich der Verantwortliche durch die Weiterverarbeitung unmittelbar an die betroffene Person wendet, der Zweck mit dem ursprünglichen Erhebungszweck gemäß der DSGVO vereinbar ist, die Kommunikation mit der betroffenen Person nicht in digitaler Form erfolgt und das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls, insbesondere mit Blick auf den Zusammenhang, in dem die Daten erhoben wurden, als gering anzusehen ist."

Rz. 95

Der Gesetzgeber hat hier sicherlich keine klare, einfache und aus sich heraus verständliche Ausnahmefallgruppe normiert.

aa) Analog gespeicherte Daten

Rz. 96

Dies beginnt bereits bei der Bestimmung des Anwendungsbereichs. So soll sich die Ausnahme nach § 32 Abs. 1 Nr. 1 BDSG nur auf die Weiterverarbeitung "analog gespeicherter" (personenbezogener) Daten beziehen. Eine nähere Erklärung dazu, was hierunter genau zu verstehen ist, findet sich nicht. In der Gesetzesbegründung^[98] wird heißt es lediglich, dass "durch die Einschränkung der Informationspflicht … insbesondere kleine und mittlere Unternehmen der analogen Wirtschaft von der Informationspflicht ausgenommen werden [sollen], deren Kommunikationswege ausschließlich oder überwiegend in nicht digitaler Form erfolgen."

Rz. 97

Da die DSGVO nichtautomatisierte Verarbeitungen nur dann adressiert, wenn die auf diese Weise verarbeiteten personenbezogenen Daten, in einem Dateisystem gespeichert sind oder gespeichert werden sollen, kann sich der Begriff der "analogen Speicherung" nur auf solche Daten beziehen, die ohne Einsatz von Datenverarbeitungsanlagen gespeichert wurden und über eine strukturierten Sammlung, die nach bestimmten Kriterien zugänglich ist, geordnet sind. Derartige nichtautomatisierte Datenverarbeitungen sind praktisch selten geworden, so ist kaum vorstellbar, dass nach wie vor eine beachtliche Anzahl von Unternehmen überhaupt noch ohne den Einsatz von Datenverarbeitungsanlagen^[99] agiert. Nur diese Unternehmen und ihre analogen Verarbeitungen sind von der Einschränkung überhaupt betroffen.

[98] BT-Drucks 18/12144 v. 26.2.1017, S. 4.

[99] Erwägungsgrund 15 spricht von "manueller Verarbeitung".

bb) Weiterverarbeitungsvorgang richtet sich unmittelbar an den Betroffenen

Rz. 98

Weiterhin muss sich der Verantwortliche durch die Weiterverarbeitung unmittelbar an die betroffene Person wenden, so dass nur solche Weiterverarbeitungen von der Einschränkungsnorm umfasst werden, die in einer gegenüber dem Betroffenen bekanntgegebenen Maßnahme münden bzw. selbst Gegenstand einer solchen Maßnahme sind. In der Gesetzesbegründung^[100] heißt es insoweit, "dass sich die Ausnahme von der Informationspflicht nur auf solche Fälle beschränkt, bei denen die betroffene Person als Adressat der Weiterverarbeitung zwangsläufig Kenntnis von der Weiterverarbeitung erlangt". Rein intern wirkendende Weiterverarbeitungen sind daher nicht umfasst.

[100] BT-Drucks 18/12144 v. 26.2.1017, S. 4.

cc) Weiterverarbeitung ist mit dem ursprünglichen Erhebungszweck vereinbar

Rz. 99

Weiterhin muss die Weiterverarbeitung mit dem ursprünglichen Erhebungszweck vereinbar sein. Die Norm adressiert hier – ausweislich der Gesetzesbegründung – die Anforderungen nach Art. 6 Absatz 4 DSGVO und verlangt vom Verantwortlichen insoweit eine Vereinbarkeitsprüfung nach den dort niedergelegten Kriterien.

dd) Keine digitale Kommunikation

Rz. 100

Die Maßnahme gegenüber dem Betroffenen, die Gegenstand der Weiterverarbeitung ist bzw. in dieser mündet, darf weiterhin keine digitale Kommunikation darstellen. Die Weiterverarbeitung darf also beispielsweise nicht in der Form erfolgen, dass der Betroffene per E-Mail angeschrieben wird. Auch wenn der Gesetzgeber allgemein von "digitaler Kommunikation" spricht, ist nicht davon auszugehen, dass er allein auf das eingesetzte technische Mittel abstellt, so dass die mündliche Kommunikation – auch wenn sie z.B. über VoIP erfolgt – nicht als digitale Kommunikation gilt und insoweit grundsätzlich vom Anwendungsbereich der Norm umfasst ist.

ee) Geringes Interesse des Betroffenen an Information

Rz. 101

Schließlich soll ein Absehen von der Informationspflicht nur möglich sein, wenn das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls als gering anzusehen ist. Dies ist unter Berücksichtigung der vernünftigen Erwartungen der betroffenen Person und mit Blick auf den Zusammenhang, in dem die Daten erhoben wurden, zu beurteilen.

ff) Fallbeispiel

Rz. 102

Folgendes Beispiel könnte ein Anwendungsfall sein:

Die kleine, durch einen Verein unterhaltene Kinderbuchbibliothek arbeitet auch im Jahre 2017 noch vollständig analog und ohne Einsatz von Computertechnik mit altmodischen Karteikarten. Sowohl die Verwaltung des Literaturbestandes als auch die Nutzerverwaltung wird auf diese Weise organisiert. Die "Kundendaten" sind per Hand auf einer Kartei dokumentiert worden, die neben den Stammdaten auch eine Mitgliedsnummer umfassen. Der Zweck der Erhebung dieser Daten lag sicherlich in der Begründung einer Bibliotheksmitg...