Das Wichtigste für den DSB
Der Datenschutzhinweis ist das Dokument, das alle haben und fast niemand erneut liest. 2026 ist es das Dokument, auf das alle europäischen Behörden gleichzeitig blicken. Wer ein Mandantenportfolio betreut, sollte sie dieses Jahr alle durchgehen - und nicht erst im September.
So funktioniert die koordinierte Aktion
Seit 2022 wählt der EDSA jährlich ein Thema, das die nationalen Behörden parallel prüfen: die einen versenden Fragebögen, andere eröffnen förmliche Prüfungen, wieder andere leiten Verfahren ein. Die Ergebnisse fließen in einen europäischen Bericht, der zur Auslegungsreferenz der Folgejahre wird. Bisherige Ausgaben betrafen die Rolle des DSB, das Auskunftsrecht und die Löschung. 2026 ist es die Transparenz.
Praktische Folge: Man muss nicht im Rampenlicht stehen, um in die Stichprobe zu geraten. Die Behörden wählen Verantwortliche jeder Größe aus, und für viele kommt die erste Nachricht als Fragebogen mit Frist.
Worauf sie tatsächlich achten
Art. 12 verlangt nicht, dass der Hinweis existiert: er verlangt, dass er präzise, transparent, verständlich, leicht zugänglich und in klarer, einfacher Sprache abgefasst ist. Fünf Eigenschaften, und jede davon ist eine mögliche Beanstandung. Ein vollständiger, aber unlesbarer Hinweis verstößt gegen Art. 12 genauso wie ein unvollständiger gegen Art. 13.
Art. 14 ist die eigentliche Schwachstelle
Stammen die Daten nicht von der betroffenen Person, sondern aus anderer Quelle - eine gekaufte Liste, ein durch Zukauf übernommener Bestand, ein Lieferant, der Daten weitergibt -, ist die Information dennoch geschuldet, muss binnen eines Monats erfolgen und muss angeben, WOHER die Daten stammen. In der Praxis ist das die am häufigsten übergangene Pflicht, weil niemand einen Prozess hat, der anspringt, wenn Daten über einen indirekten Kanal hereinkommen.
Die Fragen zu jedem Mandanten
- Ist der Hinweis auf dem Stand dessen, was der Mandant HEUTE tut, oder beschreibt er das Unternehmen von vor drei Jahren?
- Stimmen Zwecke und Rechtsgrundlagen mit dem Verarbeitungsverzeichnis nach Art. 30 überein? Beides weicht häufiger voneinander ab, als man denkt, und die Behörde vergleicht es.
- Gibt es dort, wo Daten von Dritten kommen, einen Hinweis nach Art. 14, und versendet ihn tatsächlich jemand innerhalb eines Monats?
- Sind Speicherfristen mit einem Kriterium angegeben oder mit «solange erforderlich», was niemanden informiert?
- Ist der Hinweis in weniger als zwei Klicks von der Erhebungsstelle aus erreichbar?
Was jetzt konkret zu tun ist
1) Erstellen Sie ein Verzeichnis aller Mandantenhinweise mit dem Datum der letzten Überarbeitung: alles, was älter als zwei Jahre ist, kommt zuerst dran. 2) Gleichen Sie je Mandant die Zwecke im Hinweis mit denen im Verzeichnis nach Art. 30 ab und notieren Sie Abweichungen - das ist die erste Prüfung der Behörde, weil sie nichts kostet. 3) Suchen Sie indirekte Datenflüsse: Listen, Partner, Zukäufe, Lieferanten, die Bestände übergeben. Jeder erfordert einen Hinweis nach Art. 14 mit Quellenangabe. 4) Nehmen Sie die Überarbeitung mit einem Datum in die Jahresplanung auf, nicht als Daueraufgabe: Daueraufgaben werden nie erledigt.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
