Informationspflicht

Auch: Art. 14 DSGVO, Information Obligation, Datenschutzinformation bei Dritterhebung

Die Informationspflicht nach Art. 14 DSGVO betrifft jeden, der personenbezogene Daten nutzt, die er nicht von der Person selbst bekommen hat. Im Marketing ist das der Normalfall: die Mailadresse einer Redakteurin aus der Autorenzeile, der Name eines Blogbetreibers aus dem Impressum, der Ansprechpartner eines Verbands aus dessen Website.

Für Linkbuilding und Digital PR ist die Vorschrift deshalb so wichtig wie unbekannt. Sie macht keine Mail erlaubt, die nach Wettbewerbsrecht verboten ist, aber sie stellt Pflichten an jede erlaubte. Dieser Eintrag erklärt die Abgrenzung zu Art. 13, die Pflichtangaben, die Fristen, die Ausnahmen und die Umsetzung im Alltag.

Art. 13 oder Art. 14: Es kommt auf die Herkunft an

Die Datenschutz-Grundverordnung (DSGVO) kennt zwei Informationspflichten. Art. 13 gilt, wenn Daten bei der betroffenen Person erhoben werden, etwa wenn sie ein Kontaktformular ausfüllt. Art. 14 gilt, wenn die Daten aus einer anderen Quelle stammen. Betroffen sind nur natürliche Personen, also Menschen. Die allgemeine Adresse einer GmbH ohne Personenbezug fällt nicht darunter, die persönliche Adresse vorname.nachname@firma.de schon.

Merkmal	Art. 13 DSGVO	Art. 14 DSGVO
Herkunft der Daten	von der Person selbst	aus anderer Quelle: Impressum, Website, Liste, Kollege
Zeitpunkt	bei der Erhebung	angemessene Frist, höchstens ein Monat; früher bei erster Mitteilung oder Weitergabe
Zusätzliche Angaben	ob die Angabe Pflicht ist und was bei Verweigerung passiert	Kategorien der Daten und ihre Quelle
Typisch im Marketing	Newsletter-Anmeldung, Anfrageformular	Medienliste, Recherche für Digital PR, Adressen aus Impressen

Die Abgrenzung ist nicht immer offensichtlich. Gibt Ihnen eine Journalistin auf einer Messe ihre Karte, erheben Sie die Daten bei ihr selbst, Art. 13 greift. Übernehmen Sie dieselbe Adresse aus ihrem Profil auf der Website des Verlags, greift Art. 14.

Was die Information enthalten muss

Art. 14 zählt die Angaben in zwei Absätzen auf. Absatz 1 nennt die Grunddaten, Absatz 2 die Angaben, die für eine faire und transparente Verarbeitung nötig sind. Der Wortlaut steht in der DSGVO auf EUR-Lex, abgerufen am 7. November 2026.

• Wer: Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters, und die Kontaktdaten des Datenschutzbeauftragten, sofern einer benannt ist (Abs. 1 lit. a, b).
• Wozu: Zwecke und Rechtsgrundlage (Abs. 1 lit. c); stützt sich die Verarbeitung auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f, auch dieses Interesse (Abs. 2 lit. b).
• Was: die Kategorien der verarbeiteten Daten, etwa Name, Funktion, dienstliche Mailadresse (Abs. 1 lit. d).
• Woher: die Quelle der Daten und gegebenenfalls, ob sie öffentlich zugänglich war (Abs. 2 lit. f).
• An wen: Empfänger oder Kategorien von Empfängern sowie eine geplante Übermittlung in ein Drittland (Abs. 1 lit. e, f).
• Wie lange: die Speicherdauer oder die Kriterien dafür (Abs. 2 lit. a).
• Welche Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Beschwerde bei einer Aufsichtsbehörde, bei Einwilligung deren Widerruf (Abs. 2 lit. c, d, e).

Die Form regelt Art. 12 Abs. 1: präzise, transparent, verständlich, leicht zugänglich und in klarer, einfacher Sprache. In der Praxis genügt meist ein kurzer Absatz mit den wichtigsten Punkten und ein Link auf vollständige Datenschutzhinweise, die alle Angaben enthalten.

Werden Daten auf ein berechtigtes Interesse gestützt, kommt eine weitere Pflicht hinzu: Auf das Widerspruchsrecht ist nach Art. 21 Abs. 4 DSGVO spätestens bei der ersten Kommunikation ausdrücklich hinzuweisen, verständlich und von anderen Informationen getrennt.

Wann informiert werden muss

Art. 14 Abs. 3 nennt drei Zeitpunkte. Maßgeblich ist, was mit den Daten geschieht:

1. Grundsätzlich: innerhalb einer angemessenen Frist nach Erlangung der Daten, längstens innerhalb eines Monats (lit. a).
2. Bei Kontaktaufnahme: Sollen die Daten zur Kommunikation mit der Person verwendet werden, spätestens zum Zeitpunkt der ersten Mitteilung an sie (lit. b).
3. Bei Weitergabe: Ist die Offenlegung an einen anderen Empfänger beabsichtigt, spätestens bei der ersten Offenlegung (lit. c), etwa wenn eine Agentur ihre Medienliste an den Kunden gibt.

Für die Praxis heißt das: Wer eine Liste aufbaut und erst in einigen Wochen schreiben will, sollte die Monatsfrist im Blick behalten. Die sichere Linie ist, entweder innerhalb eines Monats zu informieren oder nur Daten zu sammeln, die zeitnah genutzt werden. Wie man eine solche Liste schlank hält, beschreibt der Eintrag Medienliste.

Will der Verantwortliche die Daten später für einen anderen Zweck nutzen, muss er nach Art. 14 Abs. 4 vor dieser Weiterverarbeitung erneut informieren. Aus der Medienliste für eine Studie wird also nicht ohne Weiteres ein Verteiler für Werbung.

Ausnahmen: wann die Pflicht entfällt

Art. 14 Abs. 5 nennt vier Ausnahmen. Sie werden in der Praxis gern weiter gelesen, als sie reichen.

• Die Person hat die Informationen bereits (lit. a), etwa weil Sie sie im selben Zusammenhang schon vollständig informiert haben.
• Unmöglich oder unverhältnismäßiger Aufwand (lit. b). Erwägungsgrund 62 nennt als Anhaltspunkte die Zahl der Betroffenen, das Alter der Daten und geeignete Garantien und denkt dabei vor allem an Archiv-, Forschungs- und Statistikzwecke. Wer ohnehin eine Mail an die Person schickt, kann sich darauf kaum berufen. Auch dann muss der Verantwortliche geeignete Schutzmaßnahmen treffen, einschließlich der öffentlichen Bereitstellung der Informationen.
• Gesetzlich geregelte Erlangung oder Offenlegung mit Schutzmaßnahmen (lit. c).
• Berufsgeheimnis oder eine satzungsmäßige Geheimhaltungspflicht (lit. d).

In Deutschland ergänzt § 33 BDSG weitere Ausnahmen, für nichtöffentliche Stellen etwa, wenn die Information die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche beeinträchtigen würde. Für Outreach und Pressearbeit spielen diese Ausnahmen praktisch keine Rolle.

Informationspflicht in Outreach und Digital PR

Die DSGVO-Information ist keine Erlaubnis für Werbung. Ob Sie eine Person überhaupt anschreiben dürfen, regelt für Werbemails § 7 Abs. 2 Nr. 2 UWG, und dafür braucht es eine vorherige ausdrückliche Einwilligung, auch gegenüber Unternehmen. Die Einzelheiten stehen unter E-Mail-Werbung. Nach Linkship-Einordnung ist eine kalte Linkbitte in aller Regel Werbung, Linkship empfiehlt keine unaufgeforderten Linkbitten.

Für erlaubte Nachrichten gilt die Informationspflicht dagegen voll. Das sind vor allem Antworten auf Themenaufrufe und Expertenanfragen, reine Hinweise ohne eigenes Anliegen wie auf einen defekten Link, Korrekturbitten und Pressemitteilungen an Redaktionen. Bewährt hat sich ein kurzer Absatz unter der Signatur:

Ihre Adresse stammt aus dem Impressum von [Domain].
Wie wir Daten verarbeiten und welche Rechte Sie haben: [Link zu den Datenschutzhinweisen].
Sie können der Nutzung jederzeit widersprechen, eine kurze Antwort genügt.

Die verlinkten Datenschutzhinweise müssen dann alle Angaben aus Art. 14 Abs. 1 und 2 enthalten, auch einen Abschnitt zu Daten, die aus öffentlichen Quellen stammen. Fünf Vorlagen für Mails, die ohne Einwilligung infrage kommen, jeweils mit dieser Fußzeile, finden Sie in Outreach-Mails für Linkanfragen: Vorlagen und deutsche Rechtslage.

Was ein Verstoß kosten kann

Verstöße gegen die Rechte der betroffenen Person nach Art. 12 bis 22 DSGVO können nach Art. 83 Abs. 5 lit. b mit Geldbußen bis 20 Millionen Euro oder bis 4 % des weltweiten Jahresumsatzes belegt werden, je nachdem, welcher Betrag höher ist. Zuständig sind die Datenschutzaufsichtsbehörden. Mitbewerber können Datenschutzverstöße zwar nach dem UWG abmahnen, bei Unternehmen mit in der Regel weniger als 250 Mitarbeitern aber keinen Kostenersatz verlangen (§ 13 Abs. 4 Nr. 2 UWG).

Beispiel: eine Medienliste für eine Datenstudie

Ein angenommener Fall: Eine Agentur bereitet für einen Kunden eine regionale Datenstudie vor. Sie recherchiert 45 Redakteurinnen und Redakteure aus Autorenzeilen und Impressen von Lokal- und Fachmedien und notiert Name, Ressort und dienstliche Adresse. Die Pressemitteilung soll in drei Wochen verschickt werden.

• Frist: Die erste Mail geht innerhalb der Monatsfrist raus, die Information kommt mit ihr (Art. 14 Abs. 3 lit. a und b). Verzögert sich die Studie, informiert die Agentur vorher oder löscht die Liste.
• Inhalt: Unter der Pressemitteilung stehen Quelle der Adresse, Link zu den Datenschutzhinweisen und der Hinweis auf das Widerspruchsrecht. In den Hinweisen sind Zweck (Pressearbeit), berechtigtes Interesse, Speicherdauer und Rechte genannt.
• Weitergabe: Der Kunde möchte die Liste für eigene Pressearbeit übernehmen. Das ist eine Offenlegung an einen anderen Empfänger und ein neuer Zweck, also eine eigene Prüfung und eine eigene Information.
• Widerspruch: Zwei Redaktionen antworten, sie wollten keine Pressemitteilungen dieser Art. Ihre Adressen kommen auf eine Sperrliste, die vor jedem Versand geprüft wird.

Wie eine Datenstudie aufgebaut wird, die Redaktionen tatsächlich aufgreifen, zeigt Datenstudie als Linkmagnet. Der Fall ist ausgedacht, die Zahlen dienen nur der Veranschaulichung.

Häufige Fragen

Alle 327 Begriffe im Glossar