Die Datenschutzhinweise sind das eine DSGVO-Dokument, das jeder Besucher der Website eines Softwareunternehmens sieht, und das am häufigsten als Prosa darüber geschrieben wird, wie sehr einem der Datenschutz am Herzen liegt. Die Verordnung verlangt keine Prosa. Artikel 13 listet die Informationen, die ein Verantwortlicher mitteilt, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, zum Zeitpunkt der Erhebung; Artikel 14 listet die Informationen, die mitgeteilt werden, wenn die Daten nicht bei der betroffenen Person erlangt wurden, innerhalb eines Monats. Beide sind Listen von Informationen, jede mit ihrem eigenen Punkt, und Hinweise sind vollständig, wenn jede Information, die die Verarbeitung des Unternehmens berührt, eine Antwort hat. Dieser Artikel liest die zwei Listen gegen den Katalog, den StandardOS über die Verordnung führt, und die kostenlose Seite, die die Hinweise aus den Antworten schreibt, eine Eingabe pro Information.
Artikel 13: zwölf Informationen am Ort der Erhebung
Artikel 13 Absatz 1 nennt sechs Informationen, die in jedem Fall mitgeteilt werden: a) den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls seines Vertreters; b) die Kontaktdaten des Datenschutzbeauftragten, gegebenenfalls; c) die Zwecke der Verarbeitung und die Rechtsgrundlage für jeden; d) wenn die Grundlage berechtigte Interessen nach Artikel 6 Absatz 1 Buchstabe f sind, die verfolgten Interessen; e) die Empfänger oder Kategorien von Empfängern; f) gegebenenfalls die Absicht des Verantwortlichen, die Daten an ein Drittland oder eine internationale Organisation zu übermitteln, mit dem Angemessenheitsbeschluss oder den Garantien und wo eine Kopie davon zu erhalten ist. Artikel 13 Absatz 2 nennt sechs weitere Informationen, die für eine faire und transparente Verarbeitung notwendig sind: a) die Speicherdauer oder die Kriterien für ihre Festlegung; b) das Bestehen der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit; c) bei Einwilligung als Grundlage das Recht, sie zu widerrufen; d) das Beschwerderecht bei einer Aufsichtsbehörde; e) ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, und die Folgen der Nichtbereitstellung; f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling, mit aussagekräftigen Informationen über die Logik und die Auswirkungen. Artikel 13 Absatz 3 fügt hinzu, dass ein weiterer Zweck vor Beginn dieser Weiterverarbeitung angekündigt wird, und Artikel 13 Absatz 4 hebt die Pflicht auf, wenn die betroffene Person bereits über die Informationen verfügt.
Artikel 14: dreizehn Informationen, ein Monat, vier Ausnahmen
Artikel 14 Absatz 1 nennt sechs Informationen: den Verantwortlichen und seinen Vertreter, den Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage, die betroffenen Kategorien personenbezogener Daten, die Empfänger und die Übermittlungen mit ihren Garantien; Artikel 14 Absatz 2 nennt sieben weitere: die Speicherdauer, die berechtigten Interessen, wo sie die Grundlage sind, die Rechte, das Recht auf Widerruf der Einwilligung, das Beschwerderecht, die Quelle der Daten und ob sie aus öffentlich zugänglichen Quellen stammen, und die automatisierte Entscheidungsfindung. Der Zeitpunkt ist Artikel 14 Absatz 3: innerhalb einer angemessenen Frist nach Erlangung der Daten und spätestens innerhalb eines Monats, oder zum Zeitpunkt der ersten Kommunikation mit der betroffenen Person, wenn die Daten zur Kommunikation mit ihr verwendet werden, oder bei der ersten Offenlegung an einen anderen Empfänger, wenn eine Offenlegung beabsichtigt ist, je nachdem, was zuerst eintritt. Artikel 14 Absatz 5 hebt die Pflicht in vier Fällen auf: die betroffene Person verfügt bereits über die Informationen; die Erteilung erweist sich als unmöglich oder wäre mit einem unverhältnismäßigen Aufwand verbunden, insbesondere für Archivierung, Forschung oder Statistik, mit den Maßnahmen, die der Verantwortliche stattdessen ergreift; die Erlangung oder Offenlegung ist durch Rechtsvorschriften ausdrücklich geregelt, die geeignete Maßnahmen vorsehen; oder die Daten unterliegen dem Berufsgeheimnis. Ein Softwareunternehmen, das eine Anmeldung mit von einem Anbieter gekauften Daten anreichert, die Nutzerliste eines Kunden erhält oder ein öffentliches Profil ausliest, steht für diese Daten unter Artikel 14, und die Ausnahme "verfügt bereits über die Informationen" gilt nicht für eine Person, die noch nie von dem Unternehmen gehört hat.
Sieben der Informationen sind das Verzeichnis der Verarbeitungstätigkeiten
Ein Softwareunternehmen, das sein Verzeichnis der Verarbeitungstätigkeiten geschrieben hat, hat sieben der Informationen bereits beantwortet: Name und Kontaktdaten des Verantwortlichen (Artikel 30 Absatz 1 Buchstabe a), die Zwecke (30 Absatz 1 Buchstabe b), die Kategorien personenbezogener Daten (30 Absatz 1 Buchstabe c), die Empfänger (30 Absatz 1 Buchstabe d), die Übermittlungen und ihre Garantien (30 Absatz 1 Buchstabe e), die Speicherfristen (30 Absatz 1 Buchstabe f) und den Vertreter und den Beauftragten, wo es sie gibt (30 Absatz 1 Buchstabe a). Die Rechtsgrundlage pro Zweck ist die Spalte, die das Verzeichnis nicht hat und die Hinweise haben, und sie ist die, die am häufigsten fehlt: Hinweise, die für alles "berechtigte Interessen" nennen, ohne das Interesse zu nennen, haben Artikel 13 Absatz 1 Buchstabe d nicht beantwortet. Die Rechte sind in jedem Hinweis dieselben und werden aus den Artikeln 15 bis 22 gelesen; die Beschwerde ist Artikel 77; der Widerruf der Einwilligung ist Artikel 7 Absatz 3. Die Reihenfolge, die funktioniert, ist zuerst das Verzeichnis und daraus die Hinweise übernommen, und dafür ist die kostenlose Seite gebaut: jede Information, wie die Verordnung sie formuliert, eine Antwort darunter, und die Hinweise mit der Information als Überschrift geschrieben, damit nichts durch Schweigen behauptet wird und eine unbeantwortete Information als nicht angegeben geschrieben wird.
Form, Sprache und Zeitpunkt
Artikel 12 Absatz 1 legt die Form fest: präzise, transparent, verständlich und leicht zugänglich, in klarer und einfacher Sprache, schriftlich oder in anderer Form, gegebenenfalls elektronisch. Hinweise, die fünfzehn Seiten Prosa lang sind, scheitern am ersten Wort; Hinweise, die eine Liste der zwölf Informationen mit einem Satz unter jeder sind, bestehen alle. Der Zeitpunkt ist der Ort der Erhebung: das Anmeldeformular verlinkt die Hinweise, bevor der Knopf gedrückt wird, das Cookie-Banner nennt die Zwecke vor der Einwilligung, die Bewerbungsseite nennt die Speicherfrist vor dem Upload. Für Daten nach Artikel 14 ist der Zeitpunkt die erste Nachricht an die Person oder der Monat, je nachdem, was zuerst eintritt, sodass die Daten des Anreicherungsanbieters in der ersten E-Mail angekündigt werden, die sie verwendet. Das Werkzeug zur Übermittlung liefert die Antwort zur Übermittlungs-Information für jeden Empfänger außerhalb des EWR, und die Bestimmung der Pflichten sagt, ob das Unternehmen einen Vertreter oder einen Beauftragten zu nennen hat.
Was damit zu tun ist
Schreiben Sie das Verzeichnis, beantworten Sie dann die Informationen daraus, und setzen Sie die Hinweise dorthin, wo die Daten erhoben werden. Nennen Sie für jedes Formular auf der Website und jeden Bildschirm im Produkt, der personenbezogene Daten erhebt, die Information der Hinweise, die es abdeckt, und prüfen Sie, ob sie von dort erreichbar ist. Nennen Sie für jede Quelle personenbezogener Daten, die nicht die Person ist, die erste Nachricht oder den Monat und senden Sie die Hinweise nach Artikel 14 bis dahin. Bewahren Sie die Fassung der Hinweise, die eine Person an dem Tag gesehen hat, an dem sie sie gesehen hat, denn eine Zweckänderung lässt die Pflicht neu beginnen, und die Behörde fragt, welche Fassung galt. StandardOS schreibt die Hinweise aus dem Verzeichnis und bewahrt die Fassungen; die kostenlose Seite schreibt die erste.