Betroffenenrechte

Schon zu Beginn der Verarbeitung besteht nach dem Grundsatz der Transparenz eine Pflicht zur umfassenden Information gegenüber der betroffenen Person. Nach Art. 12 DSGVO hat der Verantwortliche geeignete Maßnahmen zu treffen, um der betroffenen Person alle die Datenverarbeitung betreffenden Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Die Informationen werden schriftlich oder in anderer Form, insbesondere auch elektronisch, übermittelt; ausnahmsweise auch mündlich, sofern die betroffene Person dies verlangt und die Identität der betroffenen Person nachgewiesen wurde.

Geht ein Antrag (beispielsweise auf Auskunft) einer betroffenen Person bei dem Verantwortlichen ein, kann dieser entweder tätig werden und Maßnahmen ergreifen, z. B. eine Auskunft erteilen (Art. 12 Abs. 3 DSGVO) oder davon absehen. Wird der Verantwortliche aber nicht tätig (Art. 12 Abs. 4 DSGVO), hat er neben den Gründen hierfür die betroffene Person auch über die Möglichkeit zu unterrichten, bei einer Aufsichtsbehörde Beschwerde oder bei Gericht einen entsprechenden Rechtsbehelf einzulegen. Wird der Verantwortliche tätig, muss er auf den Antrag der betroffenen Person grundsätzlich unverzüglich reagieren (Art. 12 Abs. 3 DSGVO), in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Allerdings muss dann die betroffene Person innerhalb eines Monats über die Fristverlängerung unter Nennung der Gründe für die Verzögerung unterrichtet werden (Art. 12 Abs. 3 DSGVO). Die Auskunftserteilung erfolgt unentgeltlich. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann ein angemessenes Entgelt verlangt werden oder eine Weigerung erfolgen, aufgrund des Antrags tätig zu werden; der Verantwortliche hat hierfür aber die Nachweispflicht (Art. 12 Abs. 5 DSGVO).

Grundsätzlich können personenbezogene Daten entweder direkt bei der betroffenen Person (Art. 13 DSGVO) oder bei einer Dritten (Art. 14 DSGVO) erhoben werden. „Direkterhebung“ meint jede Erhebung personenbezogener Daten mit Kenntnis oder unter Mitwirkung der betroffenen Person.

Werden die Daten bei der betroffenen Person erhoben, so muss der Verantwortliche zum Zeitpunkt der Datenerhebung (Art. 13 Abs. 1 DSGVO) die betroffene Person umfassend über die Verarbeitung informieren und Folgendes mitteilen:

• Name und Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters,
• Kontaktdaten des Datenschutzbeauftragten,
• Zwecke der Verarbeitung und Rechtsgrundlage,
• wenn die Verarbeitung auf Art. 6 Abs. 1 f DSGVO beruht: berechtigtes Interesse des Verantwortlichen,
• ggf. Empfänger oder Kategorien von Empfängern,
• Absicht der Übermittlung in ein Drittland/internationale Organisation sowie das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses der Kommission,
• Dauer der Datenspeicherung,
• Bestehen eines Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht und Recht auf Datenübertragbarkeit,
• Recht auf Widerruf einer Einwilligung (bei Verarbeitung mit Art. 6 Abs. 1 a oder Art. 9 Abs. 2 a DSGVO),
• Bestehen eines Beschwerderechts gegenüber einer Aufsichtsbehörde,
• Information, ob die Bereitstellung der personenbezogenen Daten gesetzlich vorgeschrieben oder für einen Vertragsschluss erforderlich ist und welche möglichen Folgen die Nichtbereitstellung hätte,
• das Bestehen einer automatisierten Entscheidungsfindung, einschließlich Profiling (Art. 22 DSGVO).

Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten, als zu dem, für den die personenbezogenen Daten erhoben wurden, so erfordert dies vorab eine erneute Information des Betroffenen. Über diesen anderen Zweck und alle anderen maßgeblichen Informationen nach Art. 13 Abs. 2 DSGVO (Prüfung, ob eine solche Zweckänderung im Rahmen von Art. 6 Abs. 4 DSGVO überhaupt zulässig ist).

Ausnahmen: Nach Art. 13 Abs. 4 DSGVO entfällt die Information bei Direkterhebung, wenn die betroffene Person bereits über die Information verfügt. Weitere geringfügige Ausnahmen hierzu enthält auch § 32 des neuen Bundesdatenschutzgesetzes (BDSG-neu), welches am 25. Mai 2018 in Kraft trat. Hier hat der Gesetzgeber von den Öffnungsklauseln Gebrauch gemacht und weitere Eingrenzungen aufgenommen.

Erfolgt die Datenerhebung nicht beim Betroffenen, sind die Informationspflichten weitgehend parallel zu Art. 13 Abs. 1 und 2 DSGVO geregelt. Abweichungen sind folgende:

• Es müssen die Kategorien personenbezogener Daten, die verarbeitet werden, genannt werden, zum Beispiel Kundendaten, Mitarbeiterdaten.
• Es muss genannt werden, aus welcher Quelle die personenbezogenen Daten stammen und ob sie eventuell aus öffentlich zugänglichen Quellen stammen.
• Außerdem muss nicht über die Pflicht zur Bereitstellung der Daten informiert werden, also ob es sich um freiwillige Angaben handelt oder nicht.

Des Weiteren gibt es im Unterschied zu Art. 13 DSGVO detailliertere Regelungen zum Zeitpunkt der Informationserteilung (Art. 14 Abs. 3 DSGVO) und zu den Ausschlusstatbeständen nach Art. 14 Abs. 5 DSGVO, wenn die Informationspflicht entfällt.

Auch hier sind weitere Ausnahmen in den §§ 29, 33 des BDSG-neu zu finden. Zur Videoüberwachung gibt es in § 4 Abs. 2 des BDSG-neu ebenfalls Ausnahmen.

Grundsätzlich sollte das verantwortliche Unternehmen sicherstellen können, dass diese Datenschutzinformationen den oben genannten Anforderungen entsprechen und insbesondere ein Nachweis über die Mitteilung der Informationen geführt werden kann.

Das Auskunftsrecht der betroffenen Person über beim Verantwortlichen gespeicherte personenbezogene Daten ist das zentrale Recht, um bei Bedarf gezielt weitere Rechte, zum Beispiel Recht auf Berichtigung, Löschung etc. geltend zu machen. Die betroffene Person kann von dem Verantwortlichen eine Bestätigung darüber verlangen, ob dort sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat die betroffene Person bezüglich dieser personenbezogenen Daten ein Recht auf Auskunft über:

• Verarbeitungszwecke,
• Kategorien personenbezogener Daten, die verarbeitet werden,
• Empfänger oder Kategorien von Empfängern, denen die personenbezogenen Daten offengelegt werden, insbesondere Drittländer,
• soweit möglich über die geplante Speicherdauer, ansonsten Kriterien für die Festlegung der Dauer,
• Informationen über die Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung sowie über ein Widerspruchsrecht gegen die Verarbeitung,
• über Beschwerderecht bei der Aufsichtsbehörde,
• über die Herkunft der Daten, soweit diese nicht von der betroffenen Person selbst erhoben wurden,
•  falls zutreffend über eine automatisierte Entscheidungsfindung, einschließlich Profiling,
• wenn Übermittlung an Drittländer/internationale Organisationen, dann Unterrichtung über die geeigneten Garantien gemäß Art. 46 DSGVO.

Form der Auskunftserteilung ist je nach Sachverhalt schriftlich, elektronisch oder mündlich. Möglichst in Form einer Kopie der personenbezogenen Daten (Art. 15 Abs. 3 DSGVO). Verantwortliche haben sicherzustellen, dass die Auskunft nur der betroffenen Person oder einer von ihr bevollmächtigten Person erteilt wird – und dass die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden. Als datenschutzfreundlichste Variante wird in Erwägungsgrund Nr. 63 Satz 4 ein Fernzugriff der betroffenen Person auf ihre eigenen Daten über ein sicheres System genannt. Auch hier sieht das BDSG-neu Erleichterungen bzw. Modifizierungen vor (§§ 29, 30, 34 BDSG neu).

Eine betroffene Person hat das Recht, vom Verantwortlichen unverzüglich die Berichtigung der sie betreffenden personenbezogenen Daten zu verlangen – wenn sie unrichtig sind. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten zu verlangen. Und dies auch mittels einer ergänzenden Erklärung.

Eine betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende Daten unverzüglich gelöscht werden, wenn folgende Gründe vorliegen (Art. 17 Abs. 1 DSGVO):

• Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig,
• die betroffene Person widerruft ihre Einwilligung (Art. 6 Abs. 1 a oder Art. 9 Abs. 2 a DSGVO), und es fehlt an einer anderen Rechtsgrundlage für die Verarbeitung,
• die betroffene Person legt Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen, berechtigten Gründe für eine weitere Verarbeitung vor,
• die personenbezogenen Daten wurden unrechtmäßig verarbeitet,
• die Löschung der personenbezogenen Daten ist aufgrund eines spezielleren Gesetzes erforderlich, also zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten, dem der Verantwortliche unterliegt,
• die personenbezogenen Daten wurden in Bezug auf direkt gegenüber einem Kind angebotene Dienste der Informationsgesellschaft erhoben.

Hier geht es um die Idee des „digitalen Radiergummis“, wobei dies nicht nur für den Online-Bereich gilt. Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er zur Löschung verpflichtet (Art. 17 Abs. 1 DSGVO), muss er nach Art. 17 Abs. 2 DSGVO unter Berücksichtigung der verfügbaren Technologien und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, treffen, um andere für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihm die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat. Ein Verantwortlicher muss also andere Verantwortliche darüber informieren, dass der Betroffenen die Löschung etwa aller Links oder Kopien verlangt.

Ausnahmen (Art. 17 Abs. 3 DSGVO): Es besteht für den Verantwortlichen keine Pflicht zur Löschung, wenn die weitere Speicherung der personenbezogenen Daten aus einem der folgenden Gründe erforderlich ist:

• Ausübung des Rechts auf freie Meinungsäußerung und Information,
• Erfüllung einer rechtlichen Verpflichtung (z. B. gesetzliche Aufbewahrungspflichten), die die Verarbeitung nach dem Recht der Union oder der Mitgliedsstaaten erfordert oder zur Wahrung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde,
• Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit,
• im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke,
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Weitere Ausnahmen etwa für in Papierform gespeicherte Daten sieht § 35 BDSG-neu vor.

Unter „Einschränkung der Verarbeitung“ sind Methoden zur Beschränkung der Verarbeitung personenbezogener Daten zu verstehen – so zum Beispiel, dass ausgewählte personenbezogene Daten vorübergehend auf ein anderes Verarbeitungssystem übertragen werden, dass sie für Nutzer gesperrt oder dass veröffentlichte Daten vorübergehend von einer Webseite entfernt werden. Die betroffene Person hat das Recht, vom Verantwortlichen diese Einschränkung der Verarbeitung zu verlangen, wenn folgende Voraussetzungen vorliegen:

• Die Richtigkeit der personenbezogenen Daten wird von der betroffenen Person bestritten, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der Daten zu überprüfen,
• die Verarbeitung ist unrechtmäßig und die betroffene Person lehnt die Löschung der Daten ab und verlangt stattdessen eine Einschränkung der Verarbeitung,
• der Verantwortliche benötigt die personenbezogenen Daten nicht länger für die Zwecke der Verarbeitung, die betroffene Person benötigt diese jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
• die betroffene Person hat Widerspruch gegen eine auf berechtigte Interessen des Verantwortlichen gestützte Verarbeitung eingelegt, und es steht noch nicht fest, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.

Wurde die Verarbeitung auf Antrag des Betroffenen eingeschränkt, so dürfen diese personenbezogenen Daten – mit Ausnahme ihrer Speicherung – nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaates verarbeitet werden. Außerdem muss der Verantwortliche die betroffene Person vor Aufhebung der Einschränkung unterrichten (Art. 18 Abs. 3 DSGVO).

Ausnahmen finden sich im § 35 BDSG-neu.

Betroffene Personen, die einem Verantwortlichen sie betreffende personenbezogene Daten bereitgestellt haben, erhalten das Recht, diese Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu bekommen. Darüber hinaus sind betroffene Personen berechtigt, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten ursprünglich bereitgestellt wurden, zu übermitteln. Dies allerdings nur, wenn die Verarbeitung:

• auf einer Einwilligung oder einem Vertrag beruht und
• mithilfe automatisierter Verfahren erfolgt.

Betroffene können also erwirken, dass ihre personenbezogenen Daten direkt von einem Verantwortlichen übermittelt werden, soweit dies technisch möglich ist.

Ausnahmen gelten, wenn die Verarbeitung zur Wahrnehmung einer Aufgabe erfolgt, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Ferner dürfen Rechte und Freiheiten anderer Personen durch die Ausübung nicht beeinträchtigt werden.

Jede betroffene Person kann einer Verarbeitung durch den Verantwortlichen jederzeit widersprechen, wenn die Verarbeitung auf Art. 6 Abs. 1 e oder f DSGVO (Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt, oder zur Wahrung berechtigter Interessen des Verantwortlichen) erfolgt ist. Dies gilt auch für ein darauf gestütztes Profiling. Eine fortdauernde Verarbeitung durch den Verantwortlichen ist nicht zulässig, außer er kann:

• zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen
• beweisen, dass die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient

Im Fall der Direktwerbung findet keine Interessenabwägung statt. Ein Widerspruch führt hier zu einem sofortigen Verarbeitungsstopp. Bei einer Verarbeitung zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken führt der Widerspruch ebenfalls zu einem Verarbeitungsstopp – es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich (Art. 21 Abs. 6 DSGVO).

Auf sein Widerspruchsrecht muss der Betroffene spätestens zum Zeitpunkt der ersten Kommunikation ausdrücklich und in einer verständlichen, von anderen Informationen getrennter Form hingewiesen werden.

§ 36 BDSG-neu schränkt das Widerspruchsrecht gegenüber öffentlichen Stellen, bei einem zwingenden öffentlichen Interesse oder einer zur Verarbeitung verpflichtenden Rechtsvorschrift ein.

Eine betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die eine rechtliche Wirkung gegen sie entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Dazu zählt auch ein Profiling. Dabei hat die betroffene Person insbesondere das Recht auf Eingreifen einer Person aufseiten des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, gilt nicht, wenn die Entscheidung:

• für den Abschluss oder die Erfüllung eines Vertrages zwischen der betroffenen Person und dem Verantwortlichen notwendig ist,
• aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten oder
• mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.

Geringfügige Ausnahmen finden sich in § 37 BDSG-neu.