Neuseeländischer Privacy Act 2020: Compliance mit ConsentX

Die 13 Information Privacy Principles

Der Privacy Act enthält 13 Information Privacy Principles, die regeln, wie Stellen mit personenbezogenen Informationen umgehen:

• IPP 1, Zweck der Erhebung: Personenbezogene Informationen müssen zu einem rechtmäßigen Zweck erhoben werden, der mit den Aufgaben oder Tätigkeiten der Stelle zusammenhängt, und die Erhebung muss für diesen Zweck erforderlich sein.
• IPP 2, Quelle der personenbezogenen Informationen: Informationen sollten grundsätzlich unmittelbar bei der betroffenen Person erhoben werden, vorbehaltlich der festgelegten Ausnahmen.
• IPP 3, Information bei unmittelbarer Erhebung: Werden Informationen unmittelbar bei einer Person erhoben, sind grundsätzlich angemessene Schritte zu unternehmen, um zu erläutern, warum sie erhoben werden, wer sie erhält, ob ihre Bereitstellung verpflichtend oder freiwillig ist und was geschieht, wenn sie nicht bereitgestellt werden.
• IPP 3A, Information bei indirekter Erhebung: Ab dem 1. Mai 2026 müssen Organisationen, die personenbezogene Informationen aus einer anderen Quelle erheben, grundsätzlich angemessene Schritte unternehmen, damit die betroffene Person Kenntnis erhält von der Erhebung, dem Erhebungszweck, den vorgesehenen Empfängern, den relevanten Angaben zur Stelle, der einschlägigen Rechtsgrundlage sowie ihren Auskunfts- und Berichtigungsrechten, vorbehaltlich der Ausnahmen.
• IPP 4, Faire und angemessene Erhebung: Personenbezogene Informationen müssen mit rechtmäßigen Mitteln und auf eine den Umständen nach faire und angemessene Weise erhoben werden.
• IPP 5, Speicherung und Sicherheit: Stellen müssen angemessene Schutzmaßnahmen treffen, um personenbezogene Informationen vor Verlust, unbefugtem Zugriff, unbefugter Nutzung, Veränderung, Offenlegung oder sonstigem Missbrauch zu schützen.
• IPP 6, Auskunft: Personen haben grundsätzlich das Recht, Auskunft über ihre personenbezogenen Informationen zu verlangen.
• IPP 7, Berichtigung: Personen können die Berichtigung personenbezogener Informationen verlangen, die unrichtig, unvollständig, irreführend oder anderweitig fehlerhaft sind.
• IPP 8, Richtigkeit: Vor der Nutzung oder Offenlegung personenbezogener Informationen müssen Stellen angemessene Schritte unternehmen, um sicherzustellen, dass diese richtig, vollständig, relevant und nicht irreführend sind.
• IPP 9, Aufbewahrung: Personenbezogene Informationen sollten nicht länger aufbewahrt werden, als dies für die Zwecke erforderlich ist, für die sie rechtmäßig genutzt werden dürfen.
• IPP 10, Nutzung: Personenbezogene Informationen sollten grundsätzlich nur für den Zweck genutzt werden, für den sie erhoben wurden, vorbehaltlich der festgelegten Ausnahmen.
• IPP 11, Offenlegung: Stellen müssen die Offenlegung personenbezogener Informationen steuern und diese grundsätzlich nur unter den nach dem Privacy Act zulässigen Umständen offenlegen.
• IPP 12, Offenlegung ins Ausland: Für die Offenlegung personenbezogener Informationen an Organisationen oder Personen außerhalb Neuseelands gelten besondere Anforderungen.
• IPP 13, Eindeutige Kennungen: Für die Verwendung und Zuweisung eindeutiger Kennungen gelten zusätzliche Anforderungen.

Ist in Neuseeland eine Einwilligung erforderlich?

Nein. Der Privacy Act 2020 begründet keine pauschale Einwilligungspflicht für jede Verarbeitung personenbezogener Informationen.

Das Gesetz beruht in erster Linie auf den Information Privacy Principles. Eine Organisation kann personenbezogene Informationen unter Umständen ohne Einwilligung erheben, nutzen oder offenlegen, sofern das einschlägige IPP die Tätigkeit zulässt.

Transparenz und faire Erhebung sind jedoch zentrale Anforderungen. Organisationen sollten klar darlegen, welche Informationen sie erheben, warum sie sie erheben, wer sie erhalten kann und wie sie genutzt werden.

Eine Einwilligung kann in bestimmten Konstellationen weiterhin relevant sein, etwa bei bestimmten Offenlegungen, Übermittlungen ins Ausland, Marketingaktivitäten oder wenn ein anderes anwendbares Gesetz eine Einwilligung verlangt.

Cookie-Einwilligung und Tracking

Neuseeland kennt keine eigenständige pauschale Cookie-Einwilligungspflicht, wie sie in manchen anderen Rechtsordnungen besteht.

Cookies und Online-Tracking können jedoch die Erhebung, Nutzung oder Offenlegung personenbezogener Informationen umfassen. Organisationen sollten daher prüfen, ob ihre Erhebungspraktiken den Information Privacy Principles entsprechen, insbesondere den Anforderungen zu:

• Zweck der Erhebung
• Transparenz
• Fairness
• Sicherheit
• Nutzung und Offenlegung
• Aufbewahrung

Für Websites, die Analysedienste, Werbetechnologien, Pixel, Session-Recording oder andere Tracking-Technologien einsetzen, kann ein klarer Datenschutz- und Tracking-Hinweis helfen zu erläutern, welche Informationen erhoben werden und warum.

Soweit eine Einwilligung nach einem anderen anwendbaren Gesetz, einer vertraglichen Anforderung, einer Plattformregel oder dem von der Organisation gewählten Compliance-Rahmen erforderlich ist, kann ConsentX auch die Einholung und den Nachweis der Einwilligung unterstützen.

Datenschutzhinweise und Transparenz

Transparenz ist eine zentrale Anforderung des Privacy Act.

Bei der unmittelbaren Erhebung personenbezogener Informationen sollten Organisationen grundsätzlich erläutern:

• Welche Informationen erhoben werden
• Warum die Informationen erhoben werden
• Wer die Informationen erhält
• Ob die Bereitstellung der Informationen verpflichtend oder freiwillig ist
• Was geschehen kann, wenn die Person sie nicht bereitstellt

Die Einführung von IPP3A ab dem 1. Mai 2026 ergänzt vergleichbare Transparenzanforderungen für die indirekte Erhebung, vorbehaltlich der festgelegten Ausnahmen.

ConsentX kann Organisationen dabei unterstützen, knappe Erhebungs- und Tracking-Hinweise genau dort auszuspielen, wo Informationen erhoben werden.

Indirekte Erhebung personenbezogener Informationen: IPP3A

Eine der wichtigsten jüngeren Entwicklungen im neuseeländischen Datenschutz ist das Information Privacy Principle 3A.

IPP3A greift, wenn eine Organisation personenbezogene Informationen über eine Person von jemandem oder etwas anderem als der Person selbst erhebt.

Soweit anwendbar, muss die Organisation angemessene Schritte unternehmen, damit die Person Kenntnis erhält von:

• Der Tatsache, dass ihre Informationen erhoben wurden
• Dem Zweck der Erhebung
• Den vorgesehenen Empfängern
• Name und Anschrift der erhebenden Stelle
• Der Stelle, die die Informationen vorhält
• Der einschlägigen Rechtsvorschrift, sofern die Erhebung gesetzlich gestattet oder vorgeschrieben ist
• Ihren Rechten auf Auskunft und Berichtigung

IPP3A enthält Ausnahmen. Organisationen sollten daher prüfen, ob eine konkrete Erhebung unter eine Ausnahme fällt, statt die Informationspflicht als ausnahmslos zu behandeln.

Sensible personenbezogene Informationen

Der Privacy Act verwendet keine einheitliche, umfassende Kategorie „sensible personenbezogene Informationen“, wie dies manche anderen Datenschutzgesetze tun.

Stattdessen können Fairness und Angemessenheit der Erhebung von Faktoren abhängen, darunter:

• Die Art der Informationen
• Der Zweck der Erhebung
• Die betroffene Person
• Die Umstände, unter denen Informationen erhoben werden
• Das Ausmaß des Eingriffs in die Privatsphäre

Organisationen sollten besondere Sorgfalt walten lassen, wenn sie Informationen erheben, die erhebliche Datenschutzrisiken begründen können, darunter Gesundheits-, Finanz-, biometrische und Identitätsdaten, Daten von Kindern oder andere höchstpersönliche Informationen.

Neuseeland verfügt zudem über branchenspezifische Privacy Codes, unter anderem mit Regelungen zu Gesundheitsinformationen, Telekommunikationsinformationen, Kreditauskünften und biometrischer Verarbeitung.

Rechte betroffener Personen

Der Privacy Act gewährt Personen wichtige Rechte in Bezug auf ihre personenbezogenen Informationen.

Recht auf Auskunft. Personen können Auskunft über die zu ihnen gespeicherten personenbezogenen Informationen verlangen. Stellen müssen auf Auskunftsersuchen grundsätzlich innerhalb von 20 Arbeitstagen reagieren, vorbehaltlich der gesetzlichen Regelungen zu Fristverlängerungen und sonstigen Umständen.

Recht auf Berichtigung. Personen können die Berichtigung personenbezogener Informationen verlangen, die unrichtig, unvollständig, irreführend oder anderweitig fehlerhaft sind.

Recht auf Beschwerde. Personen können sich beim Office of the Privacy Commissioner beschweren, wenn sie der Auffassung sind, dass in ihre Datenschutzrechte eingegriffen wurde.

ConsentX kann eine strukturierte Annahme und Ablaufsteuerung für Auskunfts- und Berichtigungsersuchen unterstützen.

Datenschutz und Sicherheit

Stellen müssen angemessene Schutzmaßnahmen treffen, um personenbezogene Informationen zu schützen vor:

• Verlust
• Unbefugtem Zugriff
• Unbefugter Offenlegung
• Unbefugter Nutzung
• Veränderung
• Sonstigem Missbrauch

Sicherheitsmaßnahmen sollten in einem angemessenen Verhältnis zu Art und Sensibilität der Informationen sowie zu den damit verbundenen Risiken stehen.

Organisationen sollten zudem Verfahren zur Erkennung, Eindämmung, Untersuchung, Dokumentation und Bearbeitung von Datenschutzvorfällen unterhalten.

Meldepflichtige Datenschutzverletzungen

Eine Datenschutzverletzung wird meldepflichtig, wenn unbefugt auf personenbezogene Informationen zugegriffen wurde oder diese offengelegt, verändert, verloren oder vernichtet wurden und vernünftigerweise anzunehmen ist, dass die betroffene Person einen schwerwiegenden Schaden erlitten hat oder voraussichtlich erleiden wird.

Eine meldepflichtige Datenschutzverletzung ist dem Office of the Privacy Commissioner so bald wie praktikabel zu melden, nachdem die Stelle Kenntnis davon erlangt hat, dass die Kriterien erfüllt sind.

Das OPC erwartet derzeit eine Meldung grundsätzlich innerhalb von 72 Stunden, sofern keine Umstände eine andere Frist rechtfertigen. Der Gesetzeswortlaut selbst spricht von „so bald wie praktikabel“ und begründet keine allgemeine gesetzliche 72-Stunden-Frist.

Unter Umständen müssen auch die betroffenen Personen benachrichtigt werden.

ConsentX kann helfen, Nachweise und Aufzeichnungen vorzuhalten, die die Untersuchung von Datenschutzvorfällen und Compliance-Abläufe unterstützen.

Datenübermittlungen ins Ausland

Das Information Privacy Principle 12 regelt bestimmte Offenlegungen personenbezogener Informationen außerhalb Neuseelands.

Vor einer erfassten Offenlegung ins Ausland muss eine Organisation grundsätzlich feststellen, dass der Empfänger:

• Dem neuseeländischen Privacy Act unterliegt
• Datenschutzgesetzen mit vergleichbaren Garantien unterliegt
• Zugesagt hat, angemessene Datenschutzgarantien zu bieten
• Von einem anwendbaren verbindlichen Regelwerk oder einem vorgeschriebenen Land erfasst wird
• Oder dass die Person der Offenlegung zugestimmt hat, nachdem sie ausdrücklich darüber informiert wurde, dass die Informationen möglicherweise keinen vergleichbaren Schutz genießen

Wichtig ist, dass IPP12 nicht automatisch für jede Cloud-Speicherung oder -Verarbeitung im Ausland gilt. Handelt ein ausländischer Anbieter ausschließlich als Beauftragter für Speicherung oder Verarbeitung, können die Informationen weiterhin als bei der neuseeländischen Stelle nach Section 11 vorgehalten gelten.

Organisationen sollten daher zwischen einer Offenlegung an einen ausländischen Empfänger und der Nutzung eines ausländischen Dienstleisters als Beauftragtem unterscheiden.

Aufbewahrung und Löschung von Daten

IPP9 begrenzt, wie lange Stellen personenbezogene Informationen aufbewahren dürfen.

Personenbezogene Informationen sollten nicht länger aufbewahrt werden, als dies für die Zwecke erforderlich ist, für die sie rechtmäßig genutzt werden dürfen.

Organisationen sollten angemessene Aufbewahrungs- und Entsorgungsprozesse festlegen, die sich orientieren an:

• Dem Zweck der Verarbeitung
• Gesetzlichen und regulatorischen Anforderungen
• Vertraglichen Verpflichtungen
• Geschäftlichen Anforderungen
• Sicherheitsaspekten

Der Privacy Act begründet kein pauschales Recht auf Löschung nach dem Vorbild der DSGVO. Eine Löschung oder Entsorgung kann jedoch in bestimmten Fällen erforderlich oder angezeigt sein.

Privacy Officer

Jede vom Privacy Act erfasste Stelle muss einen Privacy Officer benennen.

Der Privacy Officer ist dafür verantwortlich, die Organisation bei der Einhaltung des Gesetzes zu unterstützen, Auskunfts- und Berichtigungsersuchen zu bearbeiten und bei Untersuchungen mit dem Privacy Commissioner zusammenzuarbeiten.

Die Rolle setzt keine bestimmte formale Qualifikation voraus, doch sollte der Privacy Officer die Datenschutzpflichten der Organisation und ihre Praktiken im Umgang mit Informationen kennen.

Privacy Codes of Practice

Der Privacy Act ermächtigt den Privacy Commissioner, Codes of Practice zu erlassen, die die Anwendung der Datenschutzgrundsätze für bestimmte Branchen, Organisationen oder Informationsarten anpassen.

Beispiele sind:

• Health Information Privacy Code
• Credit Reporting Privacy Code
• Telecommunications Information Privacy Code
• Biometric Processing Privacy Code

Organisationen in regulierten Branchen sollten daher sowohl den Privacy Act als auch einen etwaig einschlägigen Privacy Code prüfen.

Biometrie und neue Technologien

Neuseeland hat besondere regulatorische Anforderungen an die biometrische Verarbeitung eingeführt.

Der Biometric Processing Privacy Code 2025 ist am 1. Mai 2026 in Kraft getreten, mit Änderungen, die die Einführung von IPP3A berücksichtigen.

Organisationen, die Gesichtserkennung, Fingerabdrücke, Spracherkennung, verhaltensbasierte Biometrie oder andere biometrische Technologien einsetzen, sollten prüfen, ob der Biometric Processing Privacy Code zusätzlich zu den allgemeinen Anforderungen des Privacy Act gilt.