Der Verantwortliche muss im Rahmen der Datenschutz-Grundverordnung (DSGVO) darüber informieren, welche personenbezogenen Daten verarbeitet werden. Die Information muss schon bei Beginn der Verarbeitung durchgeführt werden. Immer dann, wenn direkter Kontakt mit den Betroffenen stattfindet, bietet es sich an, die erforderlichen Informationen schriftlich abzugeben. Über den Inhalt soll an dieser Stelle nicht gesprochen werden. Es geht vielmehr um die Frage, ob der Verantwortliche dokumentieren muss, die Information abgegeben zu haben?
Die DSGVO verlangt von dem Verantwortlichen den Nachweis, dass die Information erteilt worden ist. Wie dies nachzuweisen ist, steht nicht beschrieben. Es liegt nah, dass sich der Verantwortliche den Erhalt der Informationen von dem Betroffenen quittieren lässt. Das ist der sicherste Weg. Nachteilig ist aber ein enormer Dokumentationsaufwand. Außerdem wird es von Betroffenen zunehmend misstrauisch oder einfach als lästig angesehen, wenn ein weiteres Dokument mit viel Text unterschrieben werden soll, ohne dass die Zeit zum Lesen vorhanden ist.
Nach Meinung vieler Datenschützer reicht es aus, wenn der Verantwortliche für sich dokumentiert, wie und wann die Information an den Betroffenen gelangt ist. Das kann in einer Kundenkartei oder ähnlichem gespeichert werden. Dieses Verfahren bietet sich an, wenn die Information dem Betroffenen direkt übergeben wird. Auch bei Postversand kann dies so umgesetzt werden, wenn in der Postausgangsliste die Beilage der Informationen dokumentiert ist.
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit sieht es noch pragmatischer. Für ihn reicht es aus, wenn der Verantwortliche ein Verfahren dokumentiert, wie die Informationen standardmäßig an die Betroffenen ausgegeben werden. Wer also immer den selben Weg wählt, um seine Kunden zu informieren, sollte diesen Weg einmal niederschreiben und sein Personal darauf verpflichten, den beschriebenen Weg einzuhalten. Dann ist der Information der Kunden und dem Nachweis darüber Genüge getan.