Betroffenenrechte

Was ist die Datenschutzgrundverordnung (DSGVO)?

Die DSGVO ist eine Verordnung der Europäischen Union zum Schutz der Bürgerinnen und Bürger (natürliche Personen) bei der Verarbeitung personenbezogener Daten. Die DSGVO gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union und findet immer dann Anwendung, wenn personenbezogene Daten durch öffentliche Stellen (z.B. Behörden) oder nicht-öffentliche Stellen (z.B. Unternehmen, Privatpersonen) verarbeitet werden. 

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen. Der Begriff ist sehr weit zu verstehen und umfasst alle Informationen, die eine Zuordnung zu einer bestimmten Person ermöglichen, wie z.B. Name, Alter, Geschlecht, Augenfarbe, Adresse oder persönliche Kennungen.

Der Begriff der Verarbeitung ist ebenfalls sehr weit zu verstehen und umfasst jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang im Zusammenhang mit personenbezogenen Daten. Hierunter fallen z.B. das Erheben, die Speicherung, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung oder Verbreitung, die Einschränkung, das Löschen oder die Vernichtung von Daten.

Welche Rechte haben betroffene Personen nach der DSGVO?

Die Rechte der betroffenen Personen werden durch die DSGVO spürbar gestärkt. Neben umfangreichen Informationspflichten, die der Verantwortliche zu erfüllen hat, kennt die DSGVO eine Reihe von Rechten, die die betroffene Person gegenüber den öffentlichen oder nicht-öffentlichen Stellen, die personenbezogene Daten verarbeiten, geltend machen kann. 

Informationsrecht

Damit der Betroffene seine Rechte effektiv ausüben kann, muss er zunächst einmal wissen, dass und auf welche Art und Weise Daten zu seiner Person verarbeitet werden. Deshalb sehen die Art. 13 und 14 DSGVO vor, dass der Verantwortliche der betroffenen Person bestimmte Informationen bspw. über die Identität der verantwortlichen Stelle, den Zweck der Datenverarbeitung, etwaige Empfänger der Daten, die Speicherdauer usw. mitzuteilen hat. Werden die personenbezogenen Daten nicht beim Betroffenen selbst erhoben, muss der Verantwortliche zudem mitteilen, von wem er die Daten erhalten hat.

Auskunftsrecht

Gemäß Art. 15 DSGVO hat die betroffene Person gegenüber dem Verantwortlichen ein Recht auf Auskunft bspw. darüber, ob und ggf. welche personenbezogenen Daten über sie verarbeitet werden, zu welchen Zwecken diese Daten verarbeitet werden, welche Kategorien von Daten verarbeitet werden, welchen Empfängern diese Daten offengelegt werden und für welche Dauer die Daten gespeichert werden sollen. Das Auskunftsrecht wird mit einem Antrag beim Verantwortlichen geltend gemacht. Dabei kann die betroffene Person vom Verantwortlichen eine kostenfreie Kopie ihrer verarbeiteten personenbezogenen Daten verlangen.

Recht auf Berichtigung und Vervollständigung

Nach Art. 16 DSGVO kann die betroffene Person vom Verantwortlichen verlangen, dass dieser unrichtige personenbezogene Daten unverzüglich berichtigt und unvollständige personenbezogene Daten vervollständigt. 

Recht auf Löschung und „Recht auf Vergessenwerden“

Nach Art. 17 DSGVO kann die betroffene Person vom Verantwortlichen unter bestimmten Voraussetzungen die unverzügliche Löschung ihrer personenbezogenen Daten verlangen. Dies gilt bspw. wenn der ursprüngliche Zweck der Verarbeitung weggefallen bzw. erreicht ist, die Einwilligung in die Datenverarbeitung widerrufen wurde, Widerspruch gegen die Datenverarbeitung nach Art. 21 Abs. 1 DSGVO eingelegt wurde und keine vorrangigen berechtigen Gründe für die Verarbeitung vorliegen oder Widerspruch gegen eine Datenverarbeitung zu Zwecken der Direktwerbung gemäß Art. 21 Abs. 2 DSGVO eingelegt wurde. 

Allerdings gibt es auch Ausnahmen von dem Löschungsanspruch bspw. wenn die Verarbeitung zur Ausübung des Rechts auf Meinungsäußerung und Information, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, welche sich z.B. aus handels- oder steuerrechtlichen Aufbewahrungspflichten ergeben kann.

Hat der Verantwortliche die zu löschenden personenbezogenen Daten bereits öffentlich gemacht – z.B. durch Einstellen ins Internet – muss er außerdem angemessene Maßnahmen ergreifen, um den weiteren Verantwortlichen mitzuteilen, dass alle Links zu den betreffenden personenbezogenen Daten sowie Kopien oder Replikationen dieser personenbezogenen Daten zu löschen sind. Hierdurch soll sichergestellt werden, dass gelöschte personenbezogene Daten nicht über andere Quellen weiterhin zugänglich sind.

Recht auf Einschränkung der Verarbeitung

Nach Art. 18 DSGVO kann die betroffene Person vom Verantwortlichen in bestimmten Fallkonstellationen die Einschränkung der Verarbeitung verlangen, d.h. dass die Daten zwar nicht gelöscht werden, aber auch nicht mehr anderweitig verarbeitet werden dürfen. Dies kann beispielsweise dadurch erreicht werden, dass Daten für Nutzer gesperrt oder vorübergehend von einer Website entfernt werden. Eine solche Einschränkung der Verarbeitung kann einerseits dann geltend gemacht werden, wenn das Recht oder die Pflicht des Verantwortlichen zur Löschung bestimmter Daten besteht, der Löschung aber Interessen der betroffenen Person entgegenstehen und andererseits in Fällen, in denen die Überprüfung von Löschungsansprüchen eine gewisse Zeit erfordert.

Recht auf Datenübertragbarkeit

Art. 20 DSGVO normiert das Recht einer betroffenen Person, die personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem gängigen Format von diesem zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln. Dies soll immer dann gelten, wenn die Verarbeitung auf einer Einwilligung oder auf einem Vertrag beruht und die Verarbeitung mithilfe eines automatisierten Verfahrens erfolgt. Dies gibt dem Betroffenen die Möglichkeit, gespeicherte Daten (z.B. bei sozialen Medien) automatisch zu einem anderen Anbieter übertragen zu lassen.  

Widerspruchsrecht

Wenn die Verarbeitung auf die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe, auf die Ausübung öffentlicher Gewalt oder auf die Wahrung berechtigter Interessen des Verantwortlichen gestützt wird, steht der betroffenen Person aus Gründen, die sich aus ihrer besonderen Situation ergeben, gemäß Art. 21 Abs. 1 DSGVO ein Widerspruchsrecht zu. Die Verarbeitung der personenbezogenen Daten ist dann einzustellen, es sei denn, der Verantwortliche kann zwingende schutzwürdige Gründe nachweisen, welche die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. 

Daneben ist in Art. 21 Abs. 2 DSGVO ein Widerspruchsrecht gegen die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung normiert, das jederzeit ausgeübt werden kann und nicht an das Vorliegen weiterer Voraussetzungen geknüpft ist. Dies gilt ausdrücklich auch für das sog. „Profiling“ – also die Profilbildung – zu Werbezwecken. Einer solchen Verarbeitung kann jederzeit und ohne Begründung widersprochen werden, woraufhin die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet werden dürfen.