Warum die Datenschutzinformation zum Datenbankschema passen muss

Dieser Beitrag beginnt mit einem Rechtstext, aber die Ursache des Problems liegt in der Software. Wo am genauesten zu sehen ist, welche Daten eine Organisation erhebt, ist das Datenbankschema der Anwendung, die sie nutzt. Passt die Datenschutzinformation nicht zu diesem Schema, sollte die Korrektur meistens nicht beim Text, sondern beim System beginnen.

Wenn ich den Datenschutzhinweis eines Unternehmens prüfe, lese ich ihn nicht zuerst. Ich nehme zuerst die dort aufgeführten Datenkategorien und vergleiche sie mit dem Datenbankschema.

Dieser Vergleich liefert fast immer dasselbe Ergebnis: Es gibt Felder, die der Hinweis nicht nennt. Manchmal ist es umgekehrt, Kategorien stehen im Hinweis, werden vom System aber nie erhoben. Beides deutet auf dasselbe Grundproblem hin. Der Hinweis stammt aus einer Vorlage, nicht aus einer echten Prüfung der Fakten.

Die Pflicht besteht nicht darin, ein Dokument zu erstellen

Artikel 10 des Gesetzes Nr. 6698 verlangt, dass der Verantwortliche bei der Erhebung personenbezogener Daten bestimmte Dinge offenlegt: seine Identität, den Zweck der Verarbeitung, die Empfänger, an die Daten übermittelt werden, und warum, die Erhebungsmethode und die Rechtsgrundlage sowie die in Artikel 11 genannten Rechte.

Das entscheidende Verb hier ist offenlegen. Das Dokument ist ein Mittel, die Pflicht besteht darin, zutreffende Informationen zu geben. Ein Hinweis, der unzutreffende Informationen liefert, ist schlechter als gar kein Hinweis, denn das Unternehmen hat damit bereits eine Aussage getroffen, die nicht der Wirklichkeit entspricht.

Deshalb muss die Erstellung des Hinweises nach dem Verzeichnis kommen, nicht davor. Ein Unternehmen mit Verzeichnis schreibt den Hinweis an einem Tag. Eines ohne schreibt ihn, ohne zu wissen, worüber es eigentlich schreibt.

Die fünf Fehler, die ich am häufigsten sehe

Seit Jahren sehe ich dieselben Fehler, und keiner davon beruht auf fehlendem juristischem Wissen.

Hinweis und ausdrückliche Einwilligung werden in einem einzigen Kontrollkästchen zusammengeführt. Die nutzende Person klickt "gelesen und einverstanden" und gilt damit zugleich als informiert und als einwilligend. Ein Hinweis ist eine Mitteilung, kein Angebot zur Annahme. Diese Vermischung untergräbt den Charakter der Einwilligung als eigenständige Willenserklärung.

Der Hinweis wird erst nach Abschluss des Vorgangs gezeigt. Das Formular wird abgeschickt, und erst auf einer Dankeseite erscheint ein Link zum Hinweis. Zu diesem Zeitpunkt sind die Daten bereits erhoben.

Ein einziger Hinweis wird sämtlichen Prozessen aufgezwungen. Bewerbungsverfahren, Kundenkontakt, Lieferantenbeziehungen und Website-Besuche werden in ein einziges Dokument gepackt. Das Ergebnis ist ein allgemeiner Hinweis, der keinen davon zutreffend beschreibt.

Die Rechtsgrundlage wird nicht genannt oder es werden alle auf einmal aufgezählt. Eine Formulierung wie "im Rahmen der in Artikel 5 und 6 genannten Voraussetzungen" nennt überhaupt keine Rechtsgrundlage. Aufgeführt werden sollte diejenige, auf der die jeweilige konkrete Verarbeitung tatsächlich beruht.

Die Aufbewahrungsfrist wird nicht genannt. Das Kommuniqué erwartet, dass sie in den an die betroffene Person gegebenen Informationen enthalten ist, und ohne sie kann die betroffene Person nicht erfahren, wie lange ihre Daten aufbewahrt werden.

Wie der Hinweis aufgebaut sein sollte

Ein guter Hinweis wird prozessbezogen verfasst. Er beginnt nicht mit "unser Unternehmen verarbeitet Ihre personenbezogenen Daten", sondern mit "wenn Sie das Kontaktformular ausfüllen, werden folgende Daten verarbeitet".

Eine vierspaltige Tabelle für jeden Prozess erleichtert das erheblich: Datenkategorie, Verarbeitungszweck, Rechtsgrundlage, Aufbewahrungsfrist. Liegt diese Tabelle vor, schreibt sich der Hinweis von selbst, und die lesende Person findet auch tatsächlich, wonach sie sucht.

Auch die Sprache ist wichtig. Das Kommuniqué verlangt, dass Informationen klar, verständlich und in einfacher Sprache vermittelt werden. In der Praxis sehen wir das Gegenteil. Hinweise werden länger, Sätze schwerer, das Ergebnis unlesbar. Ein Hinweis, den niemand liest, erfüllt seine Mitteilungsfunktion nicht. Vereinfachung ist hier keine Stilfrage, sondern das, was die Pflicht verlangt.

Den Hinweis aktuell halten

Ein Datenschutzhinweis ist kein Dokument, das man einmal schreibt und dann vergisst. Wird ein neues Feld hinzugefügt, ein neuer Anbieter eingebunden oder eine neue Übermittlung eingeführt, muss auch der Hinweis aktualisiert werden.

Der einzige nachhaltige Weg dahin ist, die Aktualisierung an den Entwicklungsprozess selbst zu koppeln. Eine Änderung, die dem Datenmodell ein neues personenbezogenes Datenfeld hinzufügt, sollte zugleich die Aktualisierung von Verzeichnis und Hinweis auslösen. Fehlt diese Verbindung, entfernt sich der Hinweis schon im ersten Jahr von der Wirklichkeit, ohne dass es jemand bemerkt.

Auf unserer eigenen Website haben wir diese Verbindung so hergestellt: Als wir die KI-gestützte Analysefunktion einführten, kam gleichzeitig ein eigener Abschnitt zur internationalen Datenübermittlung in den Hinweis. Die Funktion ging ohne diesen Abschnitt nicht live. So sollte die Reihenfolge sein.