Rechtsberatung

Betroffenenrechte

Als betroffene Person, beispielsweise als ein Mitarbeiter oder Kunde eines Unternehmens, bekommt man von der Datenverarbeitung meistens wenig mit. Häufig wird sich die Frage gestellt, welche personenbezogenen Daten verarbeitet werden und wie man als betroffene Person in die Datenverarbeitung eingreifen kann. Dies ist durch die in Art. 12 ff. DSGVO normierten Betroffenenrechte möglich.

Die Betroffenenrechte beschreiben die Rechte der von der Datenverarbeitung betroffenen Person. Sie dienen der Information und Transparenz und sind die Basis des Rechts auf informationelle Selbstbestimmung.

Das Informationsrecht, Art. 13, 14 DSGVO

Die Information ist die Basis für die Ausübung der Betroffenenrechte und trägt dem Grundsatz der Transparenz Rechnung. Betroffene Personen haben das Recht, über die Erhebung und Verarbeitung ihrer personenbezogenen Daten informiert zu werden.

Form

Die Information sollte in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache erteilt werden.

Zeitpunkt der Erteilung

Der erforderliche Zeitpunkt und Umfang der Information ist davon abhängig, ob die personenbezogenen Daten bei der betroffenen Person direkt erhoben werden (Art. 13 DSGVO) oder aus einer anderen Quelle stammen (Art. 14 DSGVO).

Bei einer Direkterhebung von personenbezogenen Daten besteht die Informationspflicht nach Art. 13 Abs. 1 DSGVO bereits zum Zeitpunkt der Erhebung der personenbezogenen Daten. Stammen die personenbezogenen Daten aus einer anderen Quelle, hat die Information gemäß Art. 14 Abs. 3 DSGVO innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten zu erfolgen, spätestens jedoch innerhalb eines Monats. Falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, muss die Information spätestens zum Zeitpunkt der ersten Mitteilung an sie erfolgen. Wenn die Offenlegung an einen anderen Empfänger beabsichtigt ist, ist eine Information spätestens zum Zeitpunkt der ersten Offenlegung erforderlich.

Inhalt der Erteilung

Welche Informationen genau erteilt werden müssen, ist in Art. 13 Abs. 1 und 2 bzw. Abs. 14 Abs. 1 und 2 DSGVO normiert. Beispielsweise sind Name und Kontaktdaten des Verantwortlichen und die Kategorien der personenbezogenen Daten, die verarbeitet werden, mitzuteilen.

Das Auskunftsrecht, Art. 15 DSGVO

Das Auskunftsrecht nach Art. 15 DSGVO ist eines der wichtigsten Betroffenenrechte der DSGVO. Es ist häufig Voraussetzung für die Geltendmachung weiterer Betroffenenrechte. Um beispielsweise eine Löschung von personenbezogenen Daten zu verlangen, muss die betroffene Person zunächst einmal wissen, welche personenbezogenen Daten in welchem Umfang von ihr verarbeitet wurden. Das Auskunftsrecht dient somit der effektiven Rechtsdurchsetzung.

Ein solches Auskunftsrecht der betroffenen Person darüber, ob und wenn ja welche personenbezogenen Daten von ihr verarbeitet werden, ist in Art. 15 DSGVO normiert. Sein Hauptziel ist die Transparenz- und Rechtmäßigkeitskontrolle der Verarbeitung. Die hohe Bedeutung einer solchen Kontrolle wird ebenfalls durch das in Art. 5 Abs. 1a DSGVO normierte Transparenzgebot deutlich, bei dem es sich um einen elementaren Grundsatz des Datenschutzes handelt.

Regelungsinhalt

Innerhalb des Art. 15 Abs. 1 DSGVO hat die betroffene Person einen zweistufigen Anspruch. Zunächst kann sie vom Verantwortlichen eine Mitteilung darüber verlangen, ob personenbezogene Daten von ihr verarbeitet werden. Ist das der Fall, muss die betroffen Person Auskunft über die personenbezogenen Daten erteilen, die Gegenstand der Verarbeitung sind. Zusätzlich hat sie ein Recht auf Auskunft über weitere Informationen, beispielsweise die Verarbeitungszwecke. Zudem hat die betroffene Person einen Anspruch auf Herausgabe einer Datenkopie, soweit Rechte und Freiheiten anderer nicht beeinträchtigt werden.

Auskunftsumfang Art. 15 Abs. 1 S. 1 und 2 DSGVO

Die Pflicht zur Auskunftserteilung bezieht sich zunächst auf alle dem Verantwortlichen vorhandenen personenbezogenen Daten der betroffenen Person sowie die in Abs. 1 S. 2 genannten Informationen. Diese sind der Verarbeitungszweck, die Kategorien personenbezogener Daten, die Empfänger oder Empfängerkategorien, die geplante Speicherdauer und Kriterien für die Löschung. Des Weiteren muss auf sonstige Betroffenenrechte hingewiesen werden und mitgeteilt werden, ob eine automatisierte Entscheidungsfindung (Profiling) stattfindet.

Grundsätzlich muss ein Höchstmaß an Transparenz gewährleistet und somit eine umfassende und konkrete Auskunft erteilt werden.

Auskunftsumfang Art. 15 Abs. 3

Außerdem kann die betroffene Person eine Kopie ihrer Daten von dem Verantwortlichen verlangen. Umfang und Reichweite des Rechts auf Kopie nach Art. 15 Abs. 3 DSGVO sind umstritten.

Ein Teil der Rechtsprechung ist der Auffassung, dass der Anspruch auf Erteilung einer Kopie nicht weiter als die in Art. 15 Abs. 1 DSGVO geregelten Pflichtangaben geht. Der Anspruch auf Herausgabe einer Kopie der Daten beinhalte lediglich die Übermittlung einer Liste der gespeicherten Daten. Ein Anspruch auf Überlassung gesamter Dokumente wird abgelehnt, da es sich insoweit nach Auffassung der Gerichte nicht um personenbezogene Daten handelt.

Andere Gerichtsentscheidungen deuten auf ein weites Verständnis des Rechts auf Kopie hin. So auch der BGH in seinem Urteil vom 15. Juni 2021, in dem er entschied, dass der betroffenen Person grundsätzlich alle erforderlichen Unterlagen, die Informationen zu ihrer Person enthalten, in Kopie zu erteilen sind. Der Anspruch auf Kopie bezieht sich nach Ansicht des BGH auch auf Dokumente, die dem Kläger bereits bekannt sind (BGH 15.06.2021, NJW 2021, 2726, 2728 Rn. 25.).

Recht auf Berichtigung, Art. 16 DSGVO

Gemäß Art. 16 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen unverzüglich die Berichtigung der sie betreffenden unrichtigen (Art. 16 S. 1 DSGVO) oder unvollständigen (Art. 16 S. 2 DSGVO) personenbezogenen Daten zu verlangen. Das Recht auf Berichtigung knüpft an den in Art. 5 Abs. 1 lit. d DSGVO normierten Grundsatz der Richtigkeit an, nach welchem personenbezogene Daten sachlich korrekt und auf dem neusten Stand sein müssen.

Als unrichtig gelten Daten, wenn die durch sie vermittelten Informationen über den Betroffenen nicht mit der Wirklichkeit übereinstimmen. Ein Beispiel dafür ist, wenn sich der Nachname einer Person geändert hat. Für die Frage der Unrichtigkeit ist es unerheblich, ob dem Verantwortlichen ein Verschulden vorzuwerfen ist. Auch kommt es auf den Umfang der Unrichtigkeit grundsätzlich nicht an. Wenn der Betroffene von seinem Recht auf Berichtigung Gebrauch macht, ist der Verantwortliche dazu verpflichtet, die Daten unverzüglich zu berichtigen. Was genau „unverzüglich“ bedeutet, ist nach den Umständen des Einzelfalles zu beurteilen. Ein Tätigwerden innerhalb von zwei Wochen gilt jedoch regelmäßig als angemessen.

Als „unvollständig“ sind gespeicherte personenbezogene Daten einzustufen, wenn sie solche Lücken aufweisen, dass der mit der Verarbeitung verfolgte Zweck nicht mehr erreicht werden kann. In diesem Fall liegt die Berichtigung in einer Vervollständigung der Daten der betroffenen Person.

Lehnt der Verantwortliche eine Berichtigung personenbezogener Daten ab, muss er dies gemäß Art. 12 Abs. 4 DSGVO unverzüglich, spätestens innerhalb eines Monats nach Antragseingang, gegenüber der betroffenen Person begründen. Zudem muss er über die Möglichkeit Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen unterrichten.

Recht auf Löschung und Vergessenwerden, Art. 17 DSGVO

Das Recht auf Löschung (Art. 17 Abs. 1 DSGVO) ist ein zentrales Werkzeug der Durchsetzung der datenschutzrechtlichen Selbstbestimmung.

Die betroffene Person hat einen Anspruch auf Löschung, wenn ihre Daten für den Erhebungszweck nicht mehr benötigt werden, beispielsweise bei Vertragsende. Außerdem besteht ein Anspruch auf Löschung bei einem Widerruf der Einwilligung beziehungsweise Widerspruch der Verarbeitung. Der Anspruch besteht ebenfalls, wenn die Verarbeitung gegen datenschutzrechtliche Vorschriften verstößt.

Der Löschungsanspruch ist vom Verantwortlichen unter Berücksichtigung der verfügbaren Technologien und der zur Verfügung stehenden Mittel zu erfüllen. Er kann allerdings gemäß Art. 17 Abs. 3 DSGVO eingeschränkt werden, beispielsweise wenn Daten zur Ausübung des Rechts auf freie Meinungsäußerung verwendet werden (lit. a). Ein weiteres Beispiel ist, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erforderlich ist (lit. b). Besonders hervorzuheben bei den rechtlichen Verpflichtungen sind gesetzliche Aufbewahrungspflichten von Daten. Sie finden sich in verschiedenen Gesetzen, beispielsweise im Handelsrecht in § 257 HGB. Die Norm verpflichtet jeden Kaufmann dazu, gewisse Unterlagen für einen gewissen Zeitraum aufzubewahren, was einer Löschung nach Art. 17 DSGVO entgegensteht.

Das in Art. 17 Abs. 2 normierte Recht auf Vergessenwerden ist eine Besonderheit der DSGVO. Verantwortliche, die Daten verarbeitet und veröffentlicht haben, müssen bei einem berechtigten Löschverlangen der betroffenen Person vertretbare Schritte unternehmen, um andere Stellen, die diese Daten verarbeiten, zu informieren, dass die Löschung verlangt wird. Die Vorschrift ist insbesondere an Suchmaschinenbetreiber gerichtet. Es gelten jedoch die gleichen Einschränkungen nach Art. 17 Abs. 3 DSGVO.

Ihre Ansprechpartner:
Netzwerk
Logo_GGI-member_landscape_rgb