Die Rechte der betroffenen Personen werden durch die DSGVO spürbar gestärkt. Neben umfangreichen Informationspflichten, die der Verantwortliche zu erfüllen hat, kennt die DSGVO eine Reihe von Rechten, die die betroffene Person gegenüber den öffentlichen oder nicht-öffentlichen Stellen, die personenbezogene Daten verarbeiten, geltend machen kann.

Damit der Betroffene seine Rechte effektiv ausüben kann, muss er zunächst einmal wissen, dass und auf welche Art und Weise Daten zu seiner Person verarbeitet werden.

Deshalb sehen die Art. 13 und 14 DSGVO vor, dass der Verantwortliche der betroffenen Person bestimmte Informationen bspw. über die Identität der verantwortlichen Stelle, den Zweck der Datenverarbeitung, etwaige Empfänger der Daten, die Speicherdauer usw. mitzuteilen hat.
Werden die personenbezogenen Daten nicht beim Betroffenen selbst erhoben, muss der Verantwortliche zudem mitteilen, von wem er die Daten erhalten hat.

Gemäß Art. 15 DSGVO hat die betroffene Person gegenüber dem Verantwortlichen ein Recht auf Auskunft darüber, ob und ggf. welche personenbezogenen Daten über sie verarbeitet werden, zu welchen Zwecken diese Daten verarbeitet werden, welche Kategorien von Daten verarbeitet werden, welchen Empfängern diese Daten offengelegt werden und für welche Dauer die Daten gespeichert werden sollen.

Das Auskunftsrecht wird mit einem Antrag beim Verantwortlichen geltend gemacht. Dabei kann die betroffene Person vom Verantwortlichen eine kostenfreie Kopie ihrer verarbeiteten personenbezogenen Daten verlangen.

Nach Art. 16 DSGVO kann die betroffene Person vom Verantwortlichen verlangen, dass dieser unrichtige personenbezogene Daten unverzüglich berichtigt und unvollständige personenbezogene Daten vervollständigt.

Nach Art. 17 DSGVO kann die betroffene Person vom Verantwortlichen unter bestimmten Voraussetzungen die unverzügliche Löschung ihrer personenbezogenen Daten verlangen. Dies gilt bspw. wenn der ursprüngliche Zweck der Verarbeitung weggefallen bzw. erreicht ist, die Einwilligung in die Datenverarbeitung widerrufen oder einer Verarbeitung zu Zwecken der Direktwerbung widersprochen wurde. Auch in anderen Fällen begründet ein Widerspruch einen Löschungsanspruch, wenn keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen.

Allerdings gibt es auch Ausnahmen vom Recht auf Löschung, bspw. wenn die Verarbeitung zur Ausübung des Rechts auf Meinungsäußerung und Information, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, die sich z.B. aus handels-oder steuerrechtlichen Aufbewahrungspflichten ergeben kann.

Hat der Verantwortliche die zu löschenden personenbezogenen Daten bereits öffentlich gemacht – z.B. durch Einstellen ins Internet – muss er außerdem angemessene Maßnahmen ergreifen, um den weiteren Verantwortlichen mitzuteilen, dass alle Links zu den betreffenden personenbezogenen Daten sowie Kopien oder Replikationen zu löschen sind. Hierdurch soll sichergestellt werden, dass gelöschte personenbezogene Daten nicht über andere Quellen weiterhin zugänglich sind.

Nach Art. 18 DSGVO kann die betroffene Person vom Verantwortlichen in bestimmten Fallkonstellationen die Einschränkung der Verarbeitung verlangen, z.B. wenn Interessen der betroffenen Person einer Löschung entgegenstehen oder die Überprüfung von Löschungs-ansprüchen eine gewisse Zeit erfordert. Dann werden die Daten zwar (zunächst) nicht gelöscht, sie dürfen aber auch nicht mehr anderweitig verarbeitet werden. Dies kann bspw. dadurch erreicht werden, dass Daten für Nutzer gesperrt oder vorübergehend von einer Website entfernt werden.
Recht auf Datenübertragbarkeit

Art. 20 DSGVO normiert das Recht einer betroffenen Person, die personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem gängigen Format von diesem zu erhalten und einem anderen Verantwortlichen zu übermitteln.

Das soll immer dann gelten, wenn die Verarbeitung auf einer Einwilligung oder auf einem Vertrag beruht und die Verarbeitung mithilfe eines automatisierten Verfahrens erfolgt. Dies gibt dem Betroffenen die Möglichkeit, gespeicherte Daten (z.B. bei sozialen Medien) automatisch zu einem anderen Anbieter übertragen zu lassen.

Art. 20 DSGVO normiert das Recht einer betroffenen Person,die personenbezogenen Daten, die sie einem Verantortlichen bereitgestellt hat, in einem gängigen Format von diesem zu erhalten und einem anderen Verantwortlichen zu übermitteln.

Das soll immer dann gelten, wenn die Verarbeitung auf einer Einwilligung oder auf einem Vertrag beruht und die Verarbeitung mithilfe eines automatisierten Verfahrens erfolgt. Dies gibt dem Betroffenen die Möglichkeit, gespeicherte Daten (z.B. bei sozialen Medien) automatisch zu einem anderen Anbieter übertragen zu lassen.

Wenn die Verarbeitung auf die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe, auf die Ausübung öffentlicher Gewalt oder auf die Wahrung berechtigter Interessen des Verantwortlichen gestützt wird, steht der betroffenen Person aus Gründen, die sich aus ihrer besonderen Situation ergeben, gemäß Art. 21 Abs. 1 DSGVO ein Widerspruchsrecht zu.

Die Verarbeitung der personenbezogenen Daten ist dann einzustellen, es sei denn, der Verantwortliche kann zwingende schutzwürdige und vorrangige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Daneben ist in Art. 21 Abs. 2 DSGVO ein voraussetzungsloses Widerspruchsrecht gegen die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung normiert, das jederzeit ausgeübt werden kann. Dies gilt ausdrücklich auch für das sog. „Profiling“ – also die Profilbildung – zu Werbezwecken.