Das Amt für den Schutz personenbezogener Daten hat eine Position zur Information von Unternehmen über die Verarbeitung personenbezogener Daten bezogen. Demnach müssen Unternehmen die Geschäftsführer von Vertragspartnern darüber informieren, dass deren personenbezogene Daten verarbeitet werden. Daher sind die Artikel 13 und 14 der DSGVO in Fällen anzuwenden, in denen Daten von Personen, die zur Vertretung von Unternehmen befugt sind, in Dokumenten erscheinen. Diese Änderungen könnten erhebliche Kosten verursachen. Dies stellt eine wesentliche Änderung der bisherigen Position des Amtes dar.
Artikel 13 der DSGVO verpflichtet den Verantwortlichen, die betroffene Person unter anderem über Zweck und Dauer der Datenverarbeitung zu informieren. Artikel 14 hingegen betrifft die Informationspflichten bei der Verarbeitung von Daten, die nicht direkt von der betroffenen Person erhoben wurden. Es ist jedoch zu beachten, dass die Bestimmungen zur Verarbeitung personenbezogener Daten nur für natürliche Personen gelten. Sie gelten nicht für juristische Personen, d. h. Unternehmen. Daher hat das Amt für den Schutz personenbezogener Daten (UODO) entschieden, dass Mitarbeiter, Vertreter und Personen, die Unternehmen vertreten, nicht als juristische Personen, sondern als natürliche Personen gelten. Ihre Daten stellen somit personenbezogene Daten dar, nicht Daten, die sich auf juristische Personen beziehen. Die Position der Europäischen Kommission zu E-Mail-Adressen hat die Position des UODO beeinflusst. Die Verordnung erfasst daher Daten aus E-Mail-Adressen, wenn es sich um die Adresse eines Mitarbeiters handelt, z. B. jankowalskistudioKP@gamil, und nicht um die Adresse einer juristischen Person, z. B. studioKP@gmail. Das Amt berücksichtigte ferner das Urteil des Gerichtshofs der Europäischen Union vom 9. März 2017 in der Rechtssache C-398/15, in dem der Gerichtshof feststellte, dass auch im Rahmen einer Geschäftstätigkeit erfasste Informationen personenbezogene Daten darstellen können. Dieser Begriff ist daher mit natürlichen Personen zu verknüpfen, unabhängig davon, ob es sich um Verbraucher oder Unternehmen handelt. Unternehmen, die einen Vertrag abgeschlossen haben, sind daher verpflichtet, die anderen Unternehmen des Vertragspartners über die Verarbeitung der personenbezogenen Daten der im Vertrag genannten Personen zu informieren. Die Form der Informationsübermittlung ist unerheblich; sie kann per Brief oder E-Mail erfolgen.
Unternehmen und Juristen widersprechen der Position der UODO. Sie befürchten, dass die Änderungen den Arbeitsaufwand und die Formalitäten für Unternehmen erhöhen und die Kosten erheblich steigern werden. Sie argumentieren, dass Mitarbeiter und Vorstandsmitglieder nicht gleichgesetzt werden sollten. Ihrer Ansicht nach ist es fehlerhaft, sich auf Stellungnahmen der Europäischen Kommission und des Gerichtshofs zu stützen, da die Stellungnahmen der Abgeordneten unterschiedliche Themen betrafen.
Ob sich die eingeführten Änderungen als wirksam beim Schutz der persönlichen Daten von Unternehmern erweisen oder ob sie lediglich unnötige und übertriebene Formalität darstellen, wird sich in naher Zukunft zeigen.
