Bis wann muss man Personen informieren, deren Daten man von Dritten erhalten hat?
Werden Personendaten nicht bei der betroffenen Person beschafft, informiert der Verantwortliche spätestens einen Monat, nachdem er die Daten erhalten hat. Gibt er die Personendaten vor Ablauf dieser Frist bekannt, informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.
Das Bundesgesetz über den Datenschutz (DSG) verpflichtet den Verantwortlichen, die betroffene Person angemessen über die Beschaffung von Personendaten zu informieren; diese Pflicht gilt auch dann, wenn die Daten nicht bei der betroffenen Person beschafft werden. Werden die Daten von Dritten erhalten, muss die Information spätestens einen Monat, nachdem der Verantwortliche die Daten erhalten hat, mitgeteilt werden. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.[1]
Bei Daten, die nicht bei der betroffenen Person beschafft werden, umfasst die Mitteilung die Informationen, die erforderlich sind, damit die betroffene Person ihre Rechte nach dem DSG geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist. Mindestens mitzuteilen sind die Identität und die Kontaktdaten des Verantwortlichen, der Bearbeitungszweck und gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden. Zusätzlich sind die Kategorien der bearbeiteten Personendaten mitzuteilen. Werden Personendaten ins Ausland bekanntgegeben, sind auch der Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mitzuteilen.[1]
Diese Antwort fasst den zitierten Gesetzestext zusammen, wie er auf Fedlex veröffentlicht ist. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Fassung der Bestimmung und jede spätere Änderung, bevor Sie sich darauf verlassen.[1]