DSGVO Art. 13/14 (VO 2016/679) – Informationspflichten und Datenschutzerklärung: Inhalte, Fristen, EDPB-Schwerpunktprüfung 2026

Kurzantwort

Art. 13 und Art. 14 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichten jeden Verantwortlichen, betroffene Personen aktiv und unaufgefordert darüber zu informieren, welche personenbezogenen Daten er zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet. Art. 13 greift, wenn die Daten direkt bei der betroffenen Person erhoben werden (Kontaktformular, Bestellung, Bewerbung, Vertragsschluss) — die Information muss zum Zeitpunkt der Erhebung vorliegen. Art. 14 greift, wenn die Daten aus anderer Quelle stammen (Adresshändler, öffentliche Register, Auskunfteien, Empfehlungen Dritter, aber auch vom Verantwortlichen selbst erzeugte Daten) — hier gilt eine Höchstfrist von einem Monat. Die praktische Umsetzung erfolgt in der Regel über eine Datenschutzerklärung auf der Website plus separate Hinweise an den jeweiligen Erhebungspunkten. Art. 12 verlangt zusätzlich, dass die Information präzise, transparent, verständlich, leicht zugänglich und in klarer, einfacher Sprache erfolgt.

Verstöße fallen in die höchste Bußgeldkategorie nach Art. 83 Abs. 5 lit. b DSGVO: bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Der Europäische Datenschutzausschuss (EDPB) hat die Einhaltung der Transparenz- und Informationspflichten nach Art. 12, 13 und 14 DSGVO zum Schwerpunkt seiner koordinierten EU-weiten Prüfaktion 2026 (Coordinated Enforcement Framework, CEF 2026) gemacht — das Risiko einer aufsichtsbehördlichen Prüfung ist 2026 deutlich erhöht.

Kernfakten

Geltungsbereich

Die Informationspflichten treffen jeden Verantwortlichen im Sinne des Art. 4 Nr. 7 DSGVO — unabhängig von der Unternehmensgröße. Es gibt keine Bagatellgrenze und keine Mitarbeiterschwelle (anders als bei der Pflicht zum Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 5 DSGVO oder beim Datenschutzbeauftragten). Auch Vereine, Einzelunternehmer, Freiberufler, Vermieter, Arztpraxen und Handwerksbetriebe sind erfasst, sobald sie personenbezogene Daten verarbeiten.

Da die DSGVO eine EU-Verordnung ist, gilt sie in Deutschland unmittelbar — ein nationales Umsetzungsgesetz ist nicht erforderlich. Das BDSG enthält in § 32 BDSG (Informationspflicht bei Erhebung bei der betroffenen Person) und § 33 BDSG (Informationspflicht bei Erhebung bei Dritten) lediglich ergänzende Beschränkungen auf Grundlage der Öffnungsklausel des Art. 23 DSGVO — etwa für Zwecke der öffentlichen Sicherheit oder wenn die Information den Zweck der Verarbeitung erheblich gefährden würde.

Räumlich gilt über Art. 3 DSGVO auch das Marktortprinzip: Auch Anbieter ohne EU-Niederlassung müssen informieren, wenn sie Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten.

Was in eine Art.-13-Information gehört

Art. 13 Abs. 1 und Abs. 2 DSGVO listen die Pflichtangaben abschließend auf:

Immer anzugeben (Abs. 1):

• Name und Kontaktdaten des Verantwortlichen (und ggf. seines Vertreters)
• Kontaktdaten des Datenschutzbeauftragten, sofern vorhanden
• Zwecke der Verarbeitung und die jeweilige Rechtsgrundlage (Art. 6 Abs. 1 DSGVO)
• Bei Stützung auf berechtigte Interessen (Art. 6 Abs. 1 lit. f): die konkreten berechtigten Interessen
• Empfänger oder Kategorien von Empfängern
• Absicht einer Übermittlung in ein Drittland samt Angabe der Garantie (Angemessenheitsbeschluss, Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914) und wo eine Kopie erhältlich ist

Zusätzlich für faire und transparente Verarbeitung (Abs. 2):

• Speicherdauer oder die Kriterien für ihre Festlegung
• Bestehen der Betroffenenrechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21)
• Bei Einwilligung: Recht auf jederzeitigen Widerruf mit Wirkung für die Zukunft
• Beschwerderecht bei einer Aufsichtsbehörde
• Ob die Bereitstellung gesetzlich/vertraglich vorgeschrieben oder für einen Vertragsschluss erforderlich ist — und welche Folgen die Nichtbereitstellung hat
• Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling (Art. 22) samt aussagekräftiger Informationen über die involvierte Logik sowie Tragweite und angestrebte Auswirkungen

Art. 14 verlangt die gleichen Angaben, zusätzlich die Kategorien der verarbeiteten personenbezogenen Daten (Art. 14 Abs. 1 lit. d) und die Quelle, aus der die Daten stammen, einschließlich der Angabe, ob es sich um öffentlich zugängliche Quellen handelt (Art. 14 Abs. 2 lit. f).

Fristen im Überblick

Wichtig: Wenn mehrere Varianten des Art. 14 Abs. 3 gleichzeitig einschlägig sind, gilt der früheste Zeitpunkt.

EuGH-Rechtsprechung

EuGH, Urteil vom 28.11.2024 – C-169/23 (Másdi) — ECLI:EU:C:2024:988: Der Gerichtshof stellt klar, dass auch personenbezogene Daten, die der Verantwortliche selbst erzeugt (im Ausgangsfall: das Erstellen eines Covid-Zertifikats auf Grundlage nationaler Rechtsvorschriften), unter Art. 14 DSGVO fallen — nicht unter Art. 13. Zugleich greift die Ausnahme des Art. 14 Abs. 5 lit. c DSGVO (gesetzlich ausdrücklich geregelte Erlangung der Daten) auch für solche selbst erzeugten Daten, wenn das nationale Recht die Erlangung vorschreibt und angemessene Schutzmaßnahmen vorsieht. Praxisfolge: Wer Daten durch eigene Berechnung, Scoring oder Recherche generiert, informiert nach Art. 14, nicht nach Art. 13 — Permalink: dejure.org – EuGH C-169/23

EuGH, Urteil vom 07.12.2023 – C-634/21 (SCHUFA Holding, Scoring): Bestätigt, dass bei automatisierter Entscheidungsfindung nach Art. 22 DSGVO die nach Art. 13 Abs. 2 lit. f / Art. 14 Abs. 2 lit. g geschuldeten „aussagekräftigen Informationen über die involvierte Logik" tatsächliche Erklärungskraft haben müssen — Permalink: dejure.org – EuGH C-634/21

EDPB-Schwerpunktprüfung 2026 (CEF 2026)

Der Europäische Datenschutzausschuss (EDPB) hat am 19.03.2026 seine fünfte koordinierte Prüfaktion im Rahmen des Coordinated Enforcement Framework gestartet. Thema: „Compliance with the obligations of transparency and information (Articles 12, 13 and 14 GDPR)". 25 Aufsichtsbehörden im Europäischen Wirtschaftsraum beteiligen sich. Über das Jahr 2026 hinweg prüfen die Behörden mit einer abgestimmten Methodik, ob Verantwortliche betroffene Personen klar, vollständig und leicht zugänglich informieren. Die Ergebnisse werden koordiniert ausgewertet; anschließend entscheidet der EDPB über weitere aufsichtsbehördliche oder Durchsetzungsmaßnahmen.

Für Unternehmen in Deutschland bedeutet das konkret: Datenschutzerklärungen, Bewerber-Informationen, Beschäftigten-Informationen und Hinweise bei Datenerhebung aus Drittquellen sollten 2026 aktiv überprüft werden — die Wahrscheinlichkeit einer Behördenanfrage ist in diesem Jahr erhöht.

Geplante Änderung: Digital Omnibus (Stand 2026 – noch nicht in Kraft)

Die EU-Kommission hat im Rahmen des „Digital Omnibus"-Pakets vorgeschlagen, Art. 13 DSGVO um einen neuen Absatz 4 zu ergänzen: Auf die Information soll verzichtet werden können, wenn die Beziehung zwischen betroffener Person und Verantwortlichem klar und überschaubar ist, die Verarbeitung nicht datenintensiv und nicht komplex ist und vernünftigerweise anzunehmen ist, dass die betroffene Person die Informationen bereits kennt. Die Erleichterung soll nicht gelten bei Datenübermittlungen, bei hohem Risiko und bei automatisierter Entscheidungsfindung einschließlich Profiling.

> Wichtig: Der Digital Omnibus ist zum Stand dieser Seite ein Gesetzgebungsvorschlag im ordentlichen Gesetzgebungsverfahren. Bis zur Verabschiedung durch Rat und Europäisches Parlament und zum Inkrafttreten gilt die DSGVO unverändert. Der aktuelle Verfahrensstand ist über EUR-Lex und das Legislative Observatory des Europäischen Parlaments zu prüfen.

Häufige Fehler

• „Eine Datenschutzerklärung auf der Website reicht." Falsch. Die Information muss am Erhebungspunkt verfügbar sein — also auch im Bewerbungsverfahren, beim Telefonat, im Ladengeschäft, auf dem Papierformular. Ein Link im Footer erfüllt Art. 12 Abs. 1 nur, wenn er am Erhebungspunkt tatsächlich leicht zugänglich ist.
• „Wir nennen die Rechtsgrundlage pauschal." Falsch. Art. 13 Abs. 1 lit. c verlangt die Rechtsgrundlage je Verarbeitungszweck. Eine Sammelangabe „Art. 6 DSGVO" genügt nicht.
• „Bei berechtigtem Interesse reicht der Verweis auf Art. 6 Abs. 1 lit. f." Falsch. Art. 13 Abs. 1 lit. d verlangt die Angabe der konkreten berechtigten Interessen.
• „Speicherdauer können wir offenlassen." Falsch. Art. 13 Abs. 2 lit. a verlangt die Dauer oder nachvollziehbare Kriterien für ihre Festlegung („bis zum Ablauf der handelsrechtlichen Aufbewahrungsfrist von 6 bzw. 10 Jahren" ist zulässig, „solange erforderlich" allein nicht).
• „Adressdaten aus Drittquellen brauchen keine Information." Falsch — das ist der klassische Art.-14-Fall. Wer Adressen kauft, aus öffentlichen Registern zieht oder aus Empfehlungen erhält, muss spätestens innerhalb eines Monats oder bei der ersten Kontaktaufnahme informieren.
• „Selbst berechnete Daten fallen unter Art. 13." Falsch — nach EuGH C-169/23 fallen vom Verantwortlichen selbst erzeugte Daten unter Art. 14.
• „Cookie-Banner erledigt die Informationspflicht." Falsch. Der Zugriff auf Endeinrichtungen ist eigenständig in § 25 TDDDG geregelt; die Informationspflicht nach Art. 13 DSGVO für die anschließende Datenverarbeitung besteht zusätzlich.
• „Wir müssen nur auf Anfrage informieren." Falsch. Art. 13/14 sind Bringschulden — sie gelten unaufgefordert. Nur das Auskunftsrecht nach Art. 15 DSGVO ist antragsabhängig.

Ausnahmen

Art. 13 Abs. 4 DSGVO: Die Informationspflicht entfällt vollständig, soweit die betroffene Person bereits über die Informationen verfügt. Die Beweislast dafür trägt der Verantwortliche (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Art. 14 Abs. 5 DSGVO: Die Informationspflicht entfällt, wenn

• lit. a die betroffene Person bereits über die Informationen verfügt;
• lit. b die Erteilung unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde — insbesondere bei Verarbeitung zu Archivzwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken nach Art. 89 Abs. 1; in diesem Fall muss der Verantwortliche geeignete Maßnahmen treffen, etwa die öffentliche Bereitstellung der Informationen;
• lit. c die Erlangung oder Offenlegung durch Unions- oder Mitgliedstaatsrecht ausdrücklich geregelt ist und dieses Recht angemessene Schutzmaßnahmen vorsieht (bestätigt und ausgelegt durch EuGH C-169/23);
• lit. d die Daten einem Berufsgeheimnis oder einer satzungsmäßigen Geheimhaltungspflicht unterliegen.

Ergänzend beschränken § 32 BDSG (für Art. 13) und § 33 BDSG (für Art. 14) die Informationspflicht in engen Fällen, etwa wenn die Information die Geltendmachung von Rechtsansprüchen beeinträchtigen oder die öffentliche Sicherheit gefährden würde.

Beispiel

Ein Handwerksbetrieb kauft bei einem Adressdienstleister 2.000 Datensätze von Hauseigentümern in seinem Landkreis, um Angebote für Heizungsmodernisierungen zu versenden.

• Die Daten stammen nicht von den betroffenen Personen → Art. 14 DSGVO ist einschlägig, nicht Art. 13.
• Da die Daten zur Kommunikation mit den betroffenen Personen genutzt werden sollen, gilt Art. 14 Abs. 3 lit. b: Die vollständige Datenschutzinformation muss spätestens mit dem ersten Werbeanschreiben übermittelt werden — nicht später und nicht erst auf Nachfrage.
• Die Information muss zusätzlich zu den Art.-13-Standardangaben die Kategorien der Daten (Name, Anschrift, Objektdaten) und die Quelle (Name des Adressdienstleisters, Angabe ob öffentlich zugängliche Quelle) enthalten — Art. 14 Abs. 1 lit. d und Abs. 2 lit. f.
• Auf das Widerspruchsrecht gegen Direktwerbung nach Art. 21 Abs. 2 DSGVO ist ausdrücklich, in verständlicher Form und getrennt von anderen Informationen hinzuweisen (Art. 21 Abs. 4).
• Wird nur die Website-Datenschutzerklärung verlinkt, ohne dass Quelle und Datenkategorien genannt sind, liegt ein Verstoß gegen Art. 14 vor — Bußgeldrahmen nach Art. 83 Abs. 5 lit. b DSGVO.

Quellen

• Verordnung (EU) 2016/679 (DSGVO) – konsolidierter Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504 A
• Art. 13 DSGVO – Informationspflicht bei Erhebung bei der betroffenen Person (dejure.org): https://dejure.org/gesetze/DSGVO/13.html D
• Art. 14 DSGVO – Informationspflicht bei Erhebung bei Dritten (dejure.org): https://dejure.org/gesetze/DSGVO/14.html D
• Art. 12 DSGVO – Transparente Information und Kommunikation (dejure.org): https://dejure.org/gesetze/DSGVO/12.html D
• Art. 83 DSGVO – Bedingungen für die Verhängung von Geldbußen (dejure.org): https://dejure.org/gesetze/DSGVO/83.html D
• EDPB – CEF 2026: koordinierte Prüfaktion zu Transparenz- und Informationspflichten (19.03.2026): https://www.edpb.europa.eu/news/news/2026/cef-2026-edpb-launches-coordinated-enforcement-action-transparency-and-information_en B
• EDPB – Coordinated Enforcement Framework (Übersicht): https://www.edpb.europa.eu/coordinated-enforcement-framework_en B
• EDPB – Auswahl des CEF-Themas 2026: https://www.edpb.europa.eu/news/news/2025/coordinated-enforcement-framework-edpb-selects-topic-2026_en B
• EuGH, Urteil vom 28.11.2024 – C-169/23 (Másdi), ECLI:EU:C:2024:988: https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=31.12.2222&Aktenzeichen=C-169/23 D
• EuGH, Urteil vom 07.12.2023 – C-634/21 (SCHUFA Holding, Scoring): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=07.12.2023&Aktenzeichen=C-634/21 D
• § 32 BDSG – Informationspflicht bei Erhebung bei der betroffenen Person: https://www.gesetze-im-internet.de/bdsg_2018/__32.html A
• § 33 BDSG – Informationspflicht, wenn die Daten nicht bei der betroffenen Person erhoben wurden: https://www.gesetze-im-internet.de/bdsg_2018/__33.html A
• § 25 TDDDG – Schutz der Endeinrichtungen (Cookies, Einwilligung): https://www.gesetze-im-internet.de/ttdsg/__25.html A
• EU-Kommission – Datenschutz in der EU (Übersicht): https://commission.europa.eu/law/law-topic/data-protection_de D

Änderungsverlauf

• 2026-08-26: Tote Quellen-URL autonom ersetzt. § 25 TDDDG war unter dem Pfad /tdddg/__25.html verlinkt und lieferte HTTP 404; gesetze-im-internet.de fuehrt die Norm unveraendert unter dem alten TTDSG-Pfad /ttdsg/__25.html (heute HTTP 200 geprueft, gleiche Norm, gleicher amtlicher Anbieter). Nur die URL wurde getauscht, der Belegtext blieb unveraendert. | change_type=source_fix field="sources" old="https://www.gesetze-im-internet.de/tdddg/__25.html" new="https://www.gesetze-im-internet.de/ttdsg/__25.html" reviewed_by="Nexvyra-Faktenchecker (automatisiert)"
• 2026-08-25: Erstveröffentlichung durch EU-Recht-Bot. Art. 13/14 DSGVO mit Pflichtinhalten, Fristenmatrix (1-Monats-Frist Art. 14 Abs. 3 lit. a), Ausnahmekatalog Art. 14 Abs. 5, EuGH C-169/23 (Másdi) zu selbst erzeugten Daten, Bußgeldrahmen Art. 83 Abs. 5 lit. b und EDPB-Schwerpunktprüfung CEF 2026 dokumentiert. Digital-Omnibus-Vorschlag als noch nicht geltendes Recht gekennzeichnet. factcheck_status=review_needed, weil der Verfahrensstand des Digital Omnibus fluide ist und der EUR-Lex-Volltext nicht direkt gegengelesen werden konnte. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

Siehe auch

• DSGVO Art. 6 – Rechtsgrundlagen der Verarbeitung
• DSGVO Art. 15 – Auskunftsrecht der betroffenen Person
• DSGVO Art. 21 – Widerspruchsrecht
• DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten
• DSGVO Art. 22 – Automatisierte Entscheidungen und Scoring (SCHUFA)
• DSGVO-Bußgelder – Bemessungsrahmen nach Art. 83

Stand

• Stand: 2026-08-25
• Gültig ab: 2018-05-25 (Geltungsbeginn DSGVO)
• Status: aktuell
• Offen: Verfahrensstand Digital Omnibus (geplanter Art. 13 Abs. 4 DSGVO) — bei nächstem Review prüfen
• Quellenautorität: A (VO 2016/679, EDPB, EuGH, BDSG, TDDDG)
• Lizenz: CC BY 4.0