14. Januar 2020

Welche Rechte haben betroffene Personen unter der DSGVO?

Wir erläutern die rechtliche Definition aus der Praxis und der Rechtsprechung.

Über die DSGVO

Die DSGVO ist die Datenschutzgrundverordnung der EU und wurde am 25. Mai 2018 in Kraft gesetzt. In dieser Verordnung ist eine Reihe von Gesetzen niedergeschrieben, welche sich mit dem Thema beschäftigen, wie Unternehmen die privaten Daten von Einzelpersonen erfassen und handhaben sollen.

Die neue Verordnung soll einen besseren Schutz der Persönlichkeitsrechte des Einzelnen garantieren. Alle Informationen dürfen nur noch mit der Zustimmung der betroffenen Person gesammelt und verarbeitet werden, wobei diese jederzeit widerrufen werden können.

Unternehmen, die die gesetzlichen Anforderungen nicht erfüllen, müssen mit harten Strafen rechnen.

Definition Betroffenenrechte

Unter den Betroffenenrechten versteht man die Rechte der von der Datenverarbeitung betroffenen Personen nach Art. 12 ff. DSGVO.

Diese Rechte dienen der Information und Transparenz und sind die Basis der informationellen Selbstbestimmung. Diese klaren und eindeutigen Regelungen gehören zu den Grundlagen des Datenschutzes.

Begriffserklärung betroffene Person

Unter den Begriff „betroffene Person“ fallen im Sinne der DSGVO alle natürlichen Personen, deren personenbezogenen Daten verarbeitet werden und diese darüber bestimmen können.

Definition Verantwortlicher

Wenn es um Verantwortung im Datenschutz geht, denken die meisten Menschen, dass der Verantwortliche der Datenschutzbeauftragte ist. Dies ist jedoch nicht der Fall.

Die DSGVO definiert den Verantwortlichen gemäß Artikel 4 als „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.“

Daraus kann man also den Schluss ziehen, dass die Entscheidungsträger bzw. die Geschäftsleitung der Behörden, Einrichtungen, Unternehmen und anderer Stellen die wahren Verantwortlichen sind.

Die wichtigsten Betroffenenrechte

Betroffene Personen haben eine Reihe von Rechten, welche in der DSGVO niedergeschrieben sind. Diese Rechte können sie gegenüber dem Verantwortlichen geltend machen.

Welche die wichtigsten Betroffenenrechte sind, wird im Folgenden beschrieben.

Auskunftsrecht (Art. 15 DSGVO)

Betroffene Personen haben das Recht auf Auskunft. Macht der Betroffene dieses Recht geltend, so muss der Verantwortliche dem Betroffenen Auskunft darüber geben, welche personenbezogenen Daten in welcher Form beim Verantwortlichen verarbeitet werden.

Zudem muss der Verantwortliche dem Betroffenen eine Kopie der entsprechenden Daten zur Verfügung stellen (Art. 15 Abs. 3 DSGVO).

Weitere Themen, über die der Betroffene informiert werden muss:

Verarbeitungszweck
Kategorien der verarbeiteten Daten
(beabsichtigte) Empfänger der Daten
Geplante Speicherdauer oder die Kriterien, wie diese festgelegt wird
Bestehen eines Rechts auf Berichtigung/Löschung der Daten sowie auf Einschränkung/Widerspruch der Verarbeitung
Das Recht auf Beschwerde bei der Aufsichtsbehörde
Herkunft der Daten, wenn sie nicht bei dem Betroffenen erhoben wurden
Bestehen eines automatisierten Entscheidungsverfahrens (inkl. Profiling) sowie dessen Logik und Zweck
Geeignete Garantie (z. B. Zertifizierung), wenn Daten an Drittland oder internationale Organisation übermittelt werden

Recht auf Berichtigung (Art. 16 DSGVO)

Der Verantwortliche hat die allgemeine Pflicht, dafür zu sorgen, dass die verarbeiteten personenbezogenen Daten sachlich richtig sind. Sollte das jedoch nicht der Fall sein, hat der Betroffene das Recht, die Berichtigung unrichtiger personenbezogener Daten zu verlangen.

Sind die Daten unvollständig, so kann der Betroffene auch eine Ergänzung fordern. Die Berichtigung muss dabei unverzüglich erfolgen, d. h. ohne schuldhaftes Zögern.

Recht auf Löschung (Art. 17 DSGVO)

Gemäß Art. 17 Abs.1 DSGVO hat der Betroffene das Recht, unter bestimmten Umständen die Löschung auf ihn bezogener Daten vom Verantwortlichen zu verlangen.

Löschen bedeutet also, dass die Daten tatsächlich vollkommen zerstört werden müssen. Dazu muss einer der hier aufgeführten Gründe vorliegen:

Daten sind für den Verarbeitungszweck nicht mehr notwendig;
Widerruf einer erteilten Einwilligung des Betroffenen in die Datenverarbeitung (wenn eine anderweitige Rechtsgrundlage für die Verarbeitung fehlt);
Widerspruch des Betroffenen gegen die Verarbeitung (s.u.) und Fehlen eines vorrangigen berechtigten Grundes dafür;
unrechtmäßige Datenverarbeitung;
sonstige Löschungspflicht nach nationalem oder Unionsrecht;
Die Daten wurden in Bezug auf Dienste der Informationsgesellschaft erhoben (gem. Art. 8 Abs. 1).

Nach Art. 17 Abs. 2 DSGVO ist der Verantwortliche außerdem dazu verpflichtet, im Fall der bereits erfolgten Veröffentlichung der Daten angemessene Maßnahmen vorzunehmen, um die allgemeine Löschung der Daten herbeizuführen.

Einschränkungsrecht (Art. 18 DSGVO)

Betroffene Personen haben das Recht, die Verarbeitung der Daten einzuschränken (Art. 18 DSGVO). Dieses Recht ist auch dann von Interesse, wenn eine Löschung unmöglich oder unverhältnismäßig ist.

Wenn eine betroffene Person die Einschränkung beantragt, dürfen diese Daten (mit Ausnahme der Speicherung selbst) nur mit einer Zustimmung des Betroffenen zur Durchsetzung von Rechtsansprüchen oder zum Rechtsschutz gespeichert werden oder wenn ein wichtiges öffentliches Interesse der EU oder eines Mitgliedstaats besteht.

Die Einschränkung kann allerdings nur unter einer der im Art. 18 Abs. 1 DSGVO genannten Voraussetzungen verlangt werden:

wenn der Betroffene die Richtigkeit seiner Daten für eine Dauer bestreitet, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen;
bei einer unrechtmäßigen Datenverarbeitung, wenn der Betroffene die Einschränkung statt der Löschung verlangt;
der Verantwortliche die Daten für seine Zwecke nicht mehr benötigt, aber der Betroffene sie für die Durchsetzung eines Anspruches benötigt, oder
bei Widerspruch des Betroffenen gegen die Verarbeitung durch den Verantwortlichen nach Art. 21 Abs. 1 DSGVO, solange noch nicht feststeht, wessen Interessen im konkreten Fall schutzwürdiger

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Das Recht auf Datenübertragbarkeit soll dem Betroffenen das Wechseln eines Anbieters ermöglichen und erleichtern sowie auch die Kontrolle über die eigenen Daten stärken.

Die betroffene Person kann also verlangen, dass der aktuelle Verantwortliche die Daten an eine andere Stelle bzw. einen anderen Anbieter übermittelt. Oder aber der Betroffene fordert, dass ihm seine Daten in einem gängigen Format, welches strukturiert und maschinenlesbar formatiert ist, ausgehändigt werden. Also etwa auf einem USB-Stick oder in einer Cloud.

Dieses Recht besteht allerdings nur in den Grenzen des tatsächlich Möglichen und nur dann, wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag (Art. 6 Abs. 1 lit. a) oder b)) beruht.