Das Jahr, in dem die Behörden die Datenschutzinformation lesen: CEF 2026 zur Transparenz

Der Grund, weshalb diese Maßnahme unangenehmer ist als die vorherigen, hat nichts mit der Strenge der Behörden zu tun. Er liegt darin, dass Transparenz die einzige Pflicht der Verordnung ist, die man durch Lesen beurteilt, von der Seite des Lesers. Ein Verzeichnis der Verarbeitungstätigkeiten wird an der Vollständigkeit seiner Felder gemessen; eine Sicherheitsmaßnahme daran, was sie verhindert; eine Datenschutzinformation daran, ob eine beliebige Person nach der Lektüre weiß, was mit ihren Daten geschieht. Das ist eine Prüfung, die keinen Besuch vor Ort braucht: der Text ist längst öffentlich, und das seit Jahren.

Es empfiehlt sich, die drei Artikel getrennt zu halten, denn sie werden zusammen zitiert und als einer behandelt. Art. 12 betrifft die Form: präzise, transparente, verständliche und leicht zugängliche Informationen in klarer und einfacher Sprache. Art. 13 betrifft den Inhalt, wenn die Daten bei der Person erhoben werden. Art. 14 betrifft den Inhalt, wenn die Daten von jemand anderem kommen. In der Praxis gibt es die ersten zwei fast immer in irgendeiner Form; den dritten gibt es in der großen Mehrheit der Fälle überhaupt nicht.

• «Für die zur Erreichung der genannten Zwecke erforderliche Zeit» ist keine Speicherfrist: es ist die Frage, als Antwort wiederholt. Art. 13 Abs. 2 Buchst. a verlangt die Dauer oder die Kriterien für ihre Festlegung.
• «Unsere Partner», «ausgewählte Lieferanten», «Unternehmen der Gruppe» sind keine Kategorien von Empfängern. Eine Kategorie erkennt man daran, dass der Leser versteht, wer gemeint ist.
• Die Rechtsgrundlage ist für jeden Zweck anzugeben, nicht einmal am Ende für alle. Bei fünf Zwecken und drei Grundlagen muss die Zuordnung lesbar sein.
• Die Übermittlung außerhalb der Union ist mit dem Instrument zu erklären, das sie trägt, und mit dem Hinweis, wo eine Kopie zu erhalten ist.
• Die Information nach Art. 14 ist innerhalb eines Monats nach Erlangung der Daten zu erteilen, oder bei der ersten Mitteilung an die betroffene Person, wenn diese früher erfolgt.

Wie man sich vorbereitet, ohne den Bericht abzuwarten. Die erste Übung besteht darin, die eigene Datenschutzinformation so zu lesen, wie ein Kunde sie liest, also einmal und ohne Lust. Die zweite besteht darin, sie neben das Verzeichnis der Verarbeitungstätigkeiten zu legen und Zeile für Zeile zu vergleichen: Zwecke, Grundlagen, Empfänger, Fristen, Übermittlungen. Erklärt die Information vier Zwecke und das Verzeichnis listet neun, ist eines von beiden falsch, und es ist unerheblich, welches — die Unstimmigkeit zwischen den zwei Dokumenten ist selbst die Feststellung, denn sie zeigt, dass eines von ihnen die Wirklichkeit nicht beschreibt.

Zum Fragebogen, falls er kommt, eine methodische Warnung. Die Versuchung besteht darin, die Organisation so zu beschreiben, wie man sie sich wünscht. Das ist ein Fehler, der zweimal kostet: die Behörde vergleicht die Antworten mit den Dokumenten, und die Abweichung zwischen dem, was im Fragebogen steht, und dem, was im Verzeichnis steht, ist eine eigenständige Feststellung, zusätzlich zur ursprünglichen. Die nützliche Antwort sagt, was es gibt, was fehlt und zu welchem Datum es behoben wird. Der zweite Teil ist keine Schwäche: Art. 24 verlangt geeignete und aktuell gehaltene Maßnahmen, nicht erreichte Vollkommenheit.

Eine Anmerkung zum Kalender, denn er bestimmt, was jetzt sinnvoll ist. Die Zusammenführung der nationalen Ergebnisse ist für die zweite Hälfte des Jahres 2026 vorgesehen, der Übersichtsbericht folgt danach. Auf ihn zu warten, bevor man handelt, ist die unsinnigste aller Möglichkeiten: der Bericht wird sagen, welche Mängel die Behörden in schon veröffentlichten Informationen gefunden haben, also auch in Ihrer. Sie vorher erneut zu lesen kostet einen Nachmittag; sie nach einem Fragebogen erneut zu lesen kostet dasselbe, nur mit einer Frist darüber.