Einwilligungen und Informationspflichten nach DS-GVO

Frage des GDD-Erfa-Kreises Coburg zu Einwilligungen und Informationspflichten:

Das Unternehmen [A] hat seine Kunden bzw. die Ansprechpartner bei Kunden informiert, dass die vorhandenen Daten wie E-Mailadresse (mit Einwilligung) auch für Newslettermarketing benutzt werden. Die Newsletter wurden bisher immer vom Unternehmen A selbst verschickt. Nun beschließt das Unternehmen A, einen (Internet-)Dienstleister [B] zum Versand der Newsletter einzusetzen und gibt die E-Mailadressen der Betroffenen an B weiter (AV-Vertrag liegt vor).
Müssen die Betroffenen nun von dieser Änderung (zukünftige Weitergabe der Daten an Dritte bzw. andere Empfänger) informiert und erneut in Kenntnis gesetzt werden oder reicht die ursprüngliche erste Information bei Erhebung der Einwilligung, als noch kein Dienstleister eingeschaltet wurde?

Antwort des BayLDA:

Um Missverständnissen vorzubeugen: Einwilligungen und Informationspflichten sind zwei unterschiedliche voneinander zu trennende Anforderungen der DS-GVO.
Für die Einschaltung des Dienstleisters, der offenbar eine Auftragsverarbeitung vornimmt, ist keine Einwilligung nötig. Die Verarbeitung hat sich aber seit der Information der betroffenen Personen geändert. Solche nicht nur unwesentlichen Änderungen sind diesen auch transparent zu machen.
Vgl. dazu auch Rn. 29 – 32 des WP 260.

Frage des GDD-Erfa-Kreises Coburg:

Ist es, um den Informationspflichten nach Art. 13 DS-GVO zu genügen, ausreichend, wenn man einen Link in die Signatur jeder versendeten E-Mail aufnimmt? Dieser Link führt zu einer Unterseite auf der Homepage des Versenders, auf der sich die Datenschutzinformationen nach Art. 13 DS-GVO aufgegliedert nach „Bewerber“, „Mitarbeiter“, „Kunden“, „Lieferanten“ und „Interessenten“ befinden. Ein weiterer Kommentar oder Erläuterung hierzu erfolgt in der E-Mail nicht.
Oder muss zukünftig jeder Betroffene nach Erhebung seiner Daten direkt per E-Mail mit den Informationen des Art. 13 DS-GVO angeschrieben werden?
Muss / sollte dies in irgendeiner Form dokumentiert werden?

Antwort des BayLDA:

Siehe dazu auch diese beiden vorherigen Fragen:
Im Rahmen der gestuften Information müsste bei dem Hinweis auf den Link in der ersten Schicht, der Verantwortliche, Zwecke der Verarbeitung und das Bestehen von Rechten erwähnt werden. Der Verantwortliche und die Zweck werden sich meist schon aus dem Schriftverkehr ergeben, sodass hier die Ausnahme in Art. 13 Abs. 4 bzw. Art. 14 Abs. 5 lit. a) DS-GVO greift. Das Bestehen von Rechten müsste in dem Hinweis auf den Link aufgenommen werden.
Dass Informationen nach Art. 13 und 14 zur Verfügung gestellt werden, muss im Rahmen der Rechenschaftspflichten nach Art. 5 Abs. 2 und Art. 24 Abs. 1 DS-GVO nachweisbar sein. Es gibt derzeit noch keine gefestigte Meinung, wie der Nachweis konkret erfolgen muss.

Bild von Arek Socha auf Pixabay