Die Weitergabe personenbezogener Daten endet nicht immer bei der Stelle, bei der sie ursprünglich erhoben wurden. Je nach Verarbeitung können weitere Empfänger hinzukommen, etwa Auftragsverarbeiter oder Dritte, wenn hierfür eine gesetzliche Grundlage besteht. Auch Aufgaben im öffentlichen Interesse können eine Weitergabe rechtfertigen.
Mit einem solchen Fall befasste sich nun die isländische Datenschutzaufsicht. Die Weitergabe personenbezogener Daten aus einem öffentlichen Pferderegister an eine kommerziell betriebene App erfolgte unter zulässiger Rechtsgrundlage. Auch die Veröffentlichung der Namen in der App wurde grundsätzlich nicht beanstandet. Problematisch war vielmehr die Transparenz: Die Datenschutzerklärung der App informierte nur die eigenen Nutzer. Personen, deren Daten aus dem Register übernommen wurden, erhielten dagegen keine ausreichenden Informationen über die Verarbeitung ihrer Daten.
Beschwerde bei der Datenschutzbehörde
Der isländische Bauernverband Bændasamtök Íslands (BÍ) betreibt die öffentliche Datenbank WorldFengur. Sie dient unter anderem als Ursprungsstammbuch des isländischen Pferdes und als offizielles Herdenregister. Neben Pferdedaten werden dort auch personenbezogene Angaben verarbeitet, etwa der Name des eingetragenen Eigentümers.
Die kommerzielle App Horseday dient als digitales Tagebuch für Pferdeverwaltung und Training. Unter der Voraussetzung, dass nur Personen mit bestehendem WorldFengur-Zugang die App nutzen, erhielt Horseday Zugriff auf Daten aus WorldFengur.
Eine isländische Pferdebesitzerin beschwerte sich daraufhin bei der Datenschutzbehörde Persónuvernd. Sie beanstandete sowohl die Weitergabe ihrer Daten durch BÍ an Horseday als auch die anschließende Verarbeitung dieser Daten durch Horseday in der App.
Ist die Datenweitergabe zulässig?
Die Datenschutzbehörde stellte zunächst klar, dass Daten über das Pferd selbst keine personenbezogenen Daten darstellen. Datenschutzrechtlich relevant war daher vor allem der Klarname der eingetragenen Eigentümerin, über den ein Bezug zu einem identifizierbaren Pferd hergestellt werden konnte.
BÍ berief sich zunächst auf eine gesetzliche Verpflichtung. Nach Auffassung der Behörde reichte die allgemeine Zugangsregelung des isländischen Informationsgesetzes dafür jedoch nicht aus. Für Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 6 Abs. 3 DSGVO müsste die Rechtsgrundlage die konkrete Verarbeitung hinreichend bestimmen.
Die Datenweitergabe erkannte die Datenschutzbehörde dennoch als zulässig an. Sie sah in der Verwaltung von WorldFengur eine Aufgabe im öffentlichen Interesse und stützte die Verarbeitung daher auf Art. 6 Abs. 1 lit. e DSGVO. Das öffentliche Interesse lag insbesondere darin, den Zugang zu Daten öffentlicher Stellen zu erleichtern und dadurch auch Innovation zu fördern.
Auch die Grundsätze der Zweckbindung und Richtigkeit sah die Behörde als eingehalten an. Eine zusätzliche Information nach Art. 13 DSGVO war aus Sicht der Behörde nicht erforderlich, weil die Beschwerdeführerin bereits über die wesentlichen Informationen verfügte. Die Datenschutzerklärung von BÍ wies auf mögliche Datenweitergaben hin, zudem wurde ihr eine Widerspruchsmöglichkeit angeboten.
Informationspflicht bei Daten anderer Herkunft
Auch die weitere Verarbeitung durch Horseday unterliegt einer Überprüfung. Nach der zulässigen Datenweitergabe verarbeitet Horseday die Daten für eigene Zwecke weiter und veröffentlicht sie in der App. Damit ist das Unternehmen selbst Verantwortlicher und benötigt für die Veröffentlichung eine eigene Rechtsgrundlage.
Die Datenschutzbehörde sah hierfür ein berechtigtes Interesse. Berücksichtigt wurden die Interessen von Pferdebesitzern und Trainern sowie die kommerziellen Interessen von Horseday. Die Zuordnung eines Pferdes zu seinem Eigentümer ist für Zucht und Verwaltung relevant. Für die Interessenabwägung sprachen außerdem der geringe Datenumfang, die öffentliche Registrierung, das Fehlen sensibler Daten und Maßnahmen zur Datenminimierung, wie Offenlegung der Pferdedaten nur durch Suchoption und mögliche Filtersetzung.
Problematisch war jedoch die Information der Betroffenen. Horseday hatte die Daten nicht direkt bei den betroffenen Personen erhoben, sondern aus WorldFengur übernommen. Deshalb galten die Informationspflichten aus Art. 14 Abs. 1 und 2 DSGVO.
Verstoß gegen Grundsatz der Transparenz
Die Datenschutzerklärung der App bezog sich nur auf Daten von App-Nutzern. Für Personen, deren Daten aus WorldFengur übernommen wurden, fehlten Angaben zur Verarbeitung. Insbesondere wurde nicht erläutert, woher die Daten stammen und ob sie aus öffentlich zugänglichen Quellen übernommen wurden.
Damit sah die Datenschutzbehörde Art. 14 DSGVO als verletzt an. Zudem konnte Horseday nach Art. 5 Abs. 2 DSGVO nicht nachweisen, dass die Grundsätze der Transparenz und Verarbeitung nach Treu und Glauben eingehalten wurden.
Die Behörde ordnete daher an, die Verarbeitung mit den Grundsätzen der Rechtmäßigkeit, Transparenz und Fairness in Einklang zu bringen. Auf eine Geldbuße und eine Verwarnung verzichtete sie jedoch. Ausschlaggebend waren insbesondere die begrenzte Art des Verstoßes und der geringe, nicht sensible Umfang der betroffenen Daten.
Fazit
Der Fall unterstreicht die Bedeutung von Transparenz- und Informationspflichten bei Datenweitergaben. Auch wenn hier nur wenige und nicht sensible personenbezogene Daten betroffen waren, gelten die Anforderungen der DSGVO uneingeschränkt.
Datenweitergaben können rechtmäßig erfolgen. Verarbeitet der Empfänger die Daten jedoch für eigene Zwecke und entscheidet selbst über deren Verwendung, wird er zum eigenständigen Verantwortlichen. Damit muss er Rechtsgrundlage, Datenschutzgrundsätze und Informationspflichten selbstständig erfüllen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
