Art. 13 und Art. 14 DSGVO: Der Unterschied bei Informationspflichten Unterschiede, Inhalte, Fristen

Was regelt Art. 13 DSGVO und wann gilt er?

Für die Prüfungsvorbereitung ist das die erste Weichenstellung: Stammt die Information unmittelbar von der betroffenen Person, sind Sie im Anwendungsbereich des Art. 13 DSGVO. Der Wortlaut knüpft ausdrücklich an die Erhebung „bei der betroffenen Person“ an. Dann müssen zum Zeitpunkt der Erhebung insbesondere Name und Kontaktdaten des Verantwortlichen und gegebenenfalls seines Vertreters, gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten, die Zwecke der Verarbeitung und die Rechtsgrundlage, bei Art. 6 Abs. 1 lit. f die berechtigten Interessen (siehe dazu unseren Ratgeber zu den Rechtsgrundlagen der Verarbeitung nach Art. 6 DSGVO), gegebenenfalls Empfänger oder Kategorien von Empfängern sowie gegebenenfalls die Absicht einer Drittlandübermittlung mit den dazugehörigen Angaben mitgeteilt werden (Art. 13 Abs. 1 DSGVO).

Hinzu kommen weitere Pflichtangaben, die oft in Formularen vergessen werden: Speicherdauer oder Kriterien für ihre Festlegung, die Betroffenenrechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit, bei einer Einwilligung das Widerrufsrecht (Details dazu in unserem Beitrag zur Einwilligung nach Art. 7 DSGVO), das Beschwerderecht bei einer Aufsichtsbehörde, eine Information darüber, ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen die Nichtbereitstellung hat, sowie Angaben zu automatisierten Entscheidungen einschließlich Profiling nach Art. 22 Abs. 1 und 4 mit aussagekräftigen Informationen über Logik, Tragweite und angestrebte Auswirkungen (Art. 13 Abs. 2 DSGVO). Ändert sich später der Zweck, ist die betroffene Person vor dieser Weiterverarbeitung über den neuen Zweck und die Angaben nach Art. 13 Abs. 2 zu informieren (Art. 13 Abs. 3 DSGVO).

• Anwendbar bei Direkterhebung bei der betroffenen Person selbst (Art. 13 Abs. 1 DSGVO)
• Zeitpunkt: zum Zeitpunkt der Erhebung (Art. 13 Abs. 1 und 2 DSGVO)
• Pflichtangaben aus Abs. 1: Verantwortlicher, ggf. Vertreter, ggf. DSB, Zwecke, Rechtsgrundlage, ggf. berechtigte Interessen, Empfänger, ggf. Drittlandübermittlung
• Zusätzliche Pflichtangaben aus Abs. 2: Speicherdauer, Rechte, ggf. Widerruf, Beschwerderecht, Pflicht zur Bereitstellung, automatisierte Entscheidungen
• Bei Zweckänderung: Information vor der Weiterverarbeitung (Art. 13 Abs. 3 DSGVO)

Was regelt Art. 14 DSGVO und wann gilt er?

Gerade im Prüfungsfall wird Art. 14 häufig zu spät erkannt: Sobald die Daten nicht direkt von der betroffenen Person stammen, sondern von Dritten oder aus anderen Quellen erlangt werden, greift Art. 14 DSGVO. Inhaltlich überschneidet sich die Vorschrift mit Art. 13, verlangt aber zusätzlich Angaben, die bei Dritterhebung erst sinnvoll werden. Nach Art. 14 Abs. 1 sind Name und Kontaktdaten des Verantwortlichen und gegebenenfalls seines Vertreters, zusätzlich die Kontaktdaten des Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage, die Kategorien personenbezogener Daten, gegebenenfalls Empfänger oder Kategorien von Empfängern sowie gegebenenfalls die Absicht einer Drittlandübermittlung und die dazugehörigen Garantien mitzuteilen (Art. 14 Abs. 1 DSGVO).

Art. 14 Abs. 2 ergänzt diese Liste um Speicherdauer oder Kriterien, bei Art. 6 Abs. 1 lit. f die berechtigten Interessen, die Betroffenenrechte, das Widerrufsrecht bei Einwilligung, das Beschwerderecht, die Quelle der Daten einschließlich der Angabe, ob sie aus öffentlich zugänglichen Quellen stammen, sowie Informationen zu automatisierten Entscheidungen einschließlich Profiling (Art. 14 Abs. 2 DSGVO). Für die Frist ist Art. 14 Abs. 3 der zentrale Prüfungsanker: Die Information muss innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats, erfolgen; werden die Daten zur Kommunikation mit der Person verwendet, spätestens zum Zeitpunkt der ersten Mitteilung; ist eine Offenlegung an einen anderen Empfänger beabsichtigt, spätestens zum Zeitpunkt der ersten Offenlegung (Art. 14 Abs. 3 DSGVO). Auch hier gilt bei Zweckänderung die Vorabinformation über den neuen Zweck und die Angaben nach Abs. 2 (Art. 14 Abs. 4 DSGVO).

• Anwendbar bei Erhebung nicht bei der betroffenen Person (Art. 14 Abs. 1 DSGVO)
• Zusatzangabe: Kategorien der verarbeiteten Daten (Art. 14 Abs. 1 lit. d DSGVO)
• Zusatzangabe: Quelle der Daten und ggf. öffentlich zugängliche Quelle (Art. 14 Abs. 2 lit. f DSGVO)
• Frist: angemessene Frist, längstens ein Monat (Art. 14 Abs. 3 lit. a DSGVO)
• Früherer Zeitpunkt möglich: erste Mitteilung oder erste Offenlegung (Art. 14 Abs. 3 lit. b und c DSGVO)

Was sind die wichtigsten Unterschiede zwischen Art. 13 und Art. 14?

Der erste und wichtigste Unterschied ist der Anwendungsbereich: Art. 13 betrifft die Erhebung bei der betroffenen Person selbst, Art. 14 die Erhebung nicht bei der betroffenen Person (Art. 13 Abs. 1; Art. 14 Abs. 1 DSGVO). Der zweite Unterschied ist der Zeitpunkt: Art. 13 verlangt die Information „zum Zeitpunkt der Erhebung“ (Art. 13 Abs. 1 und 2 DSGVO), während Art. 14 eine gestaffelte Frist vorsieht, nämlich längstens einen Monat nach Erlangung oder früher bei erster Mitteilung beziehungsweise erster Offenlegung (Art. 14 Abs. 3 DSGVO). Genau diese Abweichung ist in Klausuren oft der erste Trennschärfetest.

Drittens und viertens enthält Art. 14 zwei zusätzliche Informationspunkte, die Art. 13 gerade nicht nennt: die Kategorien der verarbeiteten Daten nach Art. 14 Abs. 1 lit. d und die Quelle der Daten einschließlich der Angabe, ob sie aus öffentlich zugänglichen Quellen stammen, nach Art. 14 Abs. 2 lit. f DSGVO. Fünftens unterscheiden sich die Ausnahmen deutlich: Art. 13 Abs. 4 kennt nur den Fall, dass die betroffene Person bereits über die Informationen verfügt; Art. 14 Abs. 5 nennt dagegen vier Ausnahmen. Sechstens fällt im Wortlaut auf, dass Art. 13 Abs. 1 lit. b die Kontaktdaten des Datenschutzbeauftragten „gegebenenfalls“ erwähnt, während Art. 14 Abs. 1 lit. b sie „zusätzlich“ nennt. Die Quellenlage trägt damit nur eine Wortlautabweichung; in der Sache ist für beide Vorschriften der DSB-Kontakt mitzuteilen, wenn ein Datenschutzbeauftragter vorhanden ist.

• Anwendungsbereich: Art. 13 = Direkterhebung; Art. 14 = Dritterhebung bzw. Erhebung nicht bei der Person selbst
• Zeitpunkt: Art. 13 = sofort bei Erhebung; Art. 14 = längstens ein Monat oder früher bei erster Mitteilung/Offenlegung
• Datenkategorien: nur Art. 14 Abs. 1 lit. d
• Datenquelle: nur Art. 14 Abs. 2 lit. f
• Ausnahmen: Art. 13 Abs. 4 nur eine; Art. 14 Abs. 5 vier
• DSB-Kontakt: abweichende Formulierung in Art. 13 Abs. 1 lit. b und Art. 14 Abs. 1 lit. b

Welche Ausnahmen gibt es von der Informationspflicht?

Hier liegt der häufigste Prüfungs-Fallstrick: Viele setzen stillschweigend voraus, beide Informationspflichten hätten denselben Ausnahmerahmen. Der Wortlaut trägt das gerade nicht. Bei Art. 13 gilt nach Abs. 4 lediglich, dass die Absätze 1 bis 3 nicht anwendbar sind, wenn und soweit die betroffene Person bereits über die Informationen verfügt (Art. 13 Abs. 4 DSGVO). Mehr nennt Art. 13 nicht. Wer bei einer Direkterhebung mit den zusätzlichen Ausnahmen des Art. 14 argumentiert, vermischt zwei unterschiedliche Normen.

Art. 14 Abs. 5 nennt demgegenüber vier Ausnahmen: erstens, wenn die betroffene Person bereits über die Informationen verfügt; zweitens, wenn sich die Erteilung der Informationen als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde, insbesondere bei Verarbeitungen für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke nach Art. 89 Abs. 1, oder soweit die Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, wobei dann geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie berechtigten Interessen der betroffenen Person zu treffen sind, einschließlich der Bereitstellung der Informationen für die Öffentlichkeit; drittens, wenn die Erlangung oder Offenlegung durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, ausdrücklich geregelt ist und angemessene Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsieht; viertens, wenn die personenbezogenen Daten gemäß Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis einschließlich einer satzungsmäßigen Geheimhaltungspflicht unterliegen und daher vertraulich behandelt werden müssen (Art. 14 Abs. 5 DSGVO).

• Art. 13 Abs. 4: einzige Ausnahme = betroffene Person hat die Informationen bereits
• Art. 14 Abs. 5 Nr. 1: betroffene Person hat die Informationen bereits
• Art. 14 Abs. 5 Nr. 2: Unmöglichkeit oder unverhältnismäßiger Aufwand, besonders bei Archiv-, Forschungs- oder Statistikzwecken nach Art. 89 Abs. 1; dann Schutzmaßnahmen einschließlich Information für die Öffentlichkeit
• Art. 14 Abs. 5 Nr. 3: Erlangung oder Offenlegung gesetzlich ausdrücklich geregelt mit Schutzmaßnahmen
• Art. 14 Abs. 5 Nr. 4: Berufsgeheimnis oder satzungsmäßige Geheimhaltungspflicht

Was bedeutet das praktisch für die DSB-Prüfungsvorbereitung und den Arbeitsalltag?

Für Prüfungskandidaten ist die sicherste Denkfolge: erst Herkunft der Daten prüfen, dann den passenden Artikel wählen, anschließend die Pflichtangaben und den richtigen Zeitpunkt ableiten. Kommen die Daten von der Person selbst, führt der Weg zu Art. 13 mit Information zum Zeitpunkt der Erhebung und ohne zusätzlichen Vierer-Ausnahmekatalog (Art. 13 Abs. 1, 2 und 4 DSGVO). Kommen die Daten nicht von der Person selbst, führt der Weg zu Art. 14 mit den Zusatzangaben zu Kategorien und Quelle sowie der gestaffelten Frist nach Abs. 3 und den vier Ausnahmen nach Abs. 5 (Art. 14 Abs. 1 bis 5 DSGVO).

Im Arbeitsalltag hilft diese Trennung vor allem bei Datenschutzhinweisen und Prozessbeschreibungen. Ein Datenschutzhinweis-Formular für Direkterhebungen muss die Angaben aus Art. 13 Abs. 1 und 2 abdecken; für Dritterhebungen müssen zusätzlich jedenfalls Kategorien der Daten und die Quelle der Daten mitgedacht werden, und die Frist darf nicht reflexhaft mit „bei Erhebung“ beschrieben werden, weil Art. 14 Abs. 3 gerade eine andere Logik vorgibt. Ebenfalls wichtig: Bei einer Zweckänderung verlangen beide Vorschriften eine Information vor der Weiterverarbeitung über den neuen Zweck und die jeweils genannten Zusatzangaben (Art. 13 Abs. 3; Art. 14 Abs. 4 DSGVO). Wenn Sie diese Struktur beherrschen, vermeiden Sie den klassischen Fehler, Art. 14-Ausnahmen auf Art. 13 zu übertragen oder Art. 13-Inhalte unvollständig in einen Art.-14-Fall zu übernehmen. Wie die Informationspflichten hängt auch das Verzeichnis von Verarbeitungstätigkeiten eng mit der Frage zusammen, welche Verarbeitungen Sie überhaupt dokumentieren und offenlegen müssen.

1. Schritt 1: Datenherkunft klären
2. Schritt 2: Art. 13 oder Art. 14 auswählen
3. Schritt 3: Pflichtangaben der richtigen Norm vollständig prüfen
4. Schritt 4: richtigen Informationszeitpunkt bestimmen
5. Schritt 5: Ausnahmen nur normbezogen prüfen

Art. 13 vs. Art. 14 DSGVO im Vergleich

Praxisbeispiel: Drei Erhebungssituationen — welcher Artikel gilt?

Die folgenden Betriebsbeispiele sind konstruiert. Sie wenden nur den Wortlaut von Art. 13 und Art. 14 DSGVO auf typische Abläufe an und sind keine echten Fälle.

Rechenbeispiel: Die Monatsfrist des Art. 14 Abs. 3

Art. 14 Abs. 3 lit. a DSGVO verlangt die Information innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats. Lit. b und c können den Zeitpunkt nach vorn ziehen, nicht nach hinten.

Weiterführend

• Betroffenenrechte nach der DSGVO im Überblick
• Rechtsgrundlagen der Verarbeitung nach Art. 6 DSGVO
• Verzeichnis von Verarbeitungstätigkeiten
• Recht auf Löschung nach Art. 17 DSGVO

Häufige Fragen

Muss ich Art. 13 oder Art. 14 anwenden, wenn ich Adressdaten von einem Adresshändler kaufe?

Wenn die personenbezogenen Daten nicht bei der betroffenen Person selbst erhoben werden, gilt Art. 14 DSGVO. Dann sind insbesondere auch die Kategorien personenbezogener Daten nach Art. 14 Abs. 1 lit. d sowie die Quelle der Daten nach Art. 14 Abs. 2 lit. f mitzuteilen; die Information muss nach Art. 14 Abs. 3 DSGVO innerhalb einer angemessenen Frist, längstens innerhalb eines Monats, oder früher bei erster Mitteilung beziehungsweise erster Offenlegung erfolgen.

Wie lange habe ich Zeit, die Informationspflicht nach Art. 14 zu erfüllen?

Nach Art. 14 Abs. 3 DSGVO müssen die Informationen innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats, erteilt werden. Werden die Daten zur Kommunikation mit der betroffenen Person verwendet, muss die Information spätestens zum Zeitpunkt der ersten Mitteilung erfolgen; ist eine Offenlegung an einen anderen Empfänger beabsichtigt, spätestens zum Zeitpunkt der ersten Offenlegung.

Muss ich bei einer Bewerbung auch Art. 13 beachten?

Art. 13 DSGVO ist einschlägig, wenn personenbezogene Daten bei der betroffenen Person selbst erhoben werden. In diesem Fall sind die Informationen nach Art. 13 Abs. 1 und 2 DSGVO zum Zeitpunkt der Erhebung mitzuteilen; dazu gehören unter anderem Zwecke und Rechtsgrundlage, Speicherdauer oder Kriterien, Betroffenenrechte, das Beschwerderecht und gegebenenfalls Angaben zur Pflicht zur Bereitstellung sowie zu automatisierten Entscheidungen.

Gibt es eine Ausnahme von der Informationspflicht, wenn die Erhebung für wissenschaftliche Forschung erfolgt?

Bei Art. 14 DSGVO kann nach Abs. 5 eine Ausnahme bestehen, wenn sich die Erteilung der Informationen als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde, insbesondere bei Verarbeitungen für wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke nach Art. 89 Abs. 1, oder soweit die Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. Dann sind nach Art. 14 Abs. 5 geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person zu treffen, einschließlich der Bereitstellung der Informationen für die Öffentlichkeit.

Stand: 08/2026 · Angaben nach der Datenschutz-Grundverordnung (DSGVO). Keine Rechtsberatung.