Source: https://www.ihk-muenchen.de/de/Service/Recht-und-Steuern/Datenschutz/Die-EU-Datenschutz-Grundverordnung/Betroffenenrechte/
Timestamp: 2018-03-21 05:09:06+00:00

Document:
Die Rechte der Betroffenen im Datenschutz
Welche Rechte hat eine Person, deren Daten erhoben wurden? Wie weit geht die Auskunftspflicht? Und was muss unter Umständen berichtigt werden?
Die EU-Datenschutz-Grundverordnung (DS-GVO) stärkt spürbar die Rechte der betroffenen Personen, also derjenigen, deren personenbezogene Daten verarbeitet werden. Die DS-GVO enthält umfangreiche Informationspflichten
Der Anspruch richtet sich in der Regel gegen den Verantwortlichen. Er ist verpflichtet, der betroffenen Personen die Ausübung ihrer Rechte (Art. 12 Abs. 2 DS-GVO) zu erleichtern. Das verantwortliche Unternehmen muss auf Anträge des Betroffenen nach den Art. 15 bis 22 innerhalb eines Monats antworten. Zwar gibt es Möglichkeiten der Fristverlängerung, allerdings müssen die Gründe dafür ebenfalls in der Monatsfrist mitgeteilt werden.
Es muss in jedem Fall schnell reagiert werden. Kommt das Unternehmen einem Antrag der betroffenen Person nicht nach, droht ein Bußgeld. Der Verantwortliche im Unternehmen muss also Prozesse implementieren, die eine fristgerechte und korrekte Bearbeitung der Anträge der betroffenen Personen gewährleisten.
Art. 12 DS-GVO - Transparenzvorgaben
Bereits zu Beginn der Verarbeitung besteht nach dem Grundsatz der Transparenz in der Datenschutz Grundverordnung eine Pflicht zur umfassenden Information gegenüber der betroffenen Person. Nach Art. 12 hat der Verantwortliche geeignete Maßnahmen zu treffen, um der betroffenen Person alle die Datenverarbeitung betreffenden Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Die Informationen werden schriftlich oder in anderer Form, insbesondere auch elektronisch, übermittelt; ausnahmsweise auch mündlich, sofern die betroffene Person dies verlangt und die Identität der betroffenen Person nachgewiesen wurde.
Geht ein Antrag (beispielsweise auf Auskunft) einer betroffenen Person bei dem Verantwortlichen ein, kann dieser entweder tätig werden und Maßnahmen ergreifen z. B. eine Auskunft erteilen (Art. 12 Abs. 3) oder keine Auskunft erteilen. Wird der Verantwortliche aber gar nicht tätig (Art. 12 Abs. 4), muss er der betroffenen Person die Gründe für seine Entscheidung mitteilen. Außerdem muss er sie über die Möglichkeit unterrichten, bei einer Aufsichtsbehörde Beschwerde oder bei Gericht einen entsprechenden Rechtsbehelf einzulegen.
Wird der Verantwortliche tätig, muss er auf den Antrag der betroffenen Person grundsätzlich unverzüglich reagieren (Art. 12 Abs. 3), in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Allerdings muss dann die betroffene Person innerhalb eines Monats über die Fristverlängerung unter Nennung der Gründe für die Verzögerung unterrichtet werden (Art. 12 Abs. 3).
Kann für die Auskunft Geld verlangt werden?
Die Auskunftserteilung erfolgt unentgeltlich. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann ein angemessenes Entgelt verlangt werden oder eine Weigerung erfolgen, aufgrund des Antrags tätig zu werden; der Verantwortliche hat hierfür aber die Nachweispflicht (Art. 12 Abs. 5).
Art. 13 DS-GVO – Informationspflicht bei der Datenerhebung beim Betroffenen
Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiter zu verarbeiten, als zu dem für den die personenbezogenen Daten erhoben wurden, so fordert die DS-GVO, Betroffene vorab erneut zu unterrichten
über diesen anderen Zweck
und alle anderen maßgeblichen Informationen nach Art. 13 Abs. 2 (Prüfung, ob eine solche Zweckänderung im Rahmen von Art. 6 Abs. 4 überhaupt zulässig ist).
Ausnahmen von der Informationspflicht zur Datenerhebung:
Nach Art. 13 Abs. 4 entfällt die Information bei Direkterhebung, wenn und soweit die betroffene Person bereits über die Information verfügt. Weitere geringfügige Ausnahmen hierzu enthält auch § 32 des neuen BDSG-neu. Dieses wird am 25. Mai 2018 in Kraft treten. Im BDSG-neu hat der Gesetzgeber von Öffnungsklauseln in der DS-GVO Gebrauch gemacht und hierin die Informationspflichten weiter eingeschränkt.
Art. 14 DS-GVO – Informationspflicht, wenn die Datenerhebung nicht beim Betroffenen erfolgt
Erfolgt die Datenerhebung nicht beim Betroffenen, sind die Informationspflichten weitgehend parallel zu Art. 13 Abs. 1 und 2 geregelt. Abweichungen sind folgende Regelungen:
Es müssen im Sinne des Datenschutzes die Kategorien personenbezogener Daten, die verarbeitet werden, genannt werden, zum Beispiel Kundendaten, Mitarbeiterdaten.
wenn personenbezogene Daten an Drittländer/internationale Organisation übermittelt werden, ist über geeignete Garantien (Art. 45 ff.) zu unterrichten.
In welcher Form muss Auskunft erteilt werden?
Die Auskunftserteilung erfolgt je nach Sachverhalt schriftlich, elektronisch oder mündlich, möglichst in Form einer Kopie der personenbezogenen Daten (Art. 15 Abs. 3). Der Verantwortliche hat sicherzustellen, dass die Auskunft nur der betroffenen Person oder einer von ihr bevollmächtigten Person erteilt wird und die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden. Als datenschutzfreundlichste Variante wird in Erwägungsgrund Nr. 63 Satz 4 ein Fernzugriff der betroffenen Person auf ihre eigenen Daten über ein sicheres System bezeichnet. Auch hier sieht das BDSG-neu Erleichterungen bzw. Modifizierungen vor (§§ 29, 30, 34).
Hier geht es um die Idee des „digitalen Radiergummis“, wobei dies nicht nur für den Online-Bereich gilt. Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er zur Löschung verpflichtet (Art. 17 Abs. 1), muss er nach Art. 17 Abs. 2 unter Berücksichtigung der verfügbaren Technologien und der Implementierungskosten angemessene Maßnahmen treffen. Dies umfasst auch Maßnahmen technischer Art. Ziel ist dabei, andere für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihm die Löschung aller Links zu diesen personenbezogene Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.
Ein Verantwortlicher muss also andere Verantwortliche darüber informieren, dass der Betroffenen die Löschung etwa aller Links oder Kopien verlangt.
Ausnahmen (Art. 17 Abs. 3):
Unter „Einschränkung der Verarbeitung“ sind nach den Erwägungsgründen Methoden zur Beschränkung der Verarbeitung personenbezogener Daten zu verstehen. Dazu gehören zum Beispiel:
dass ausgewählte personenbezogene Daten vorübergehend auf ein anderes Verarbeitungssystem übertragen werden,
dass sie für Nutzer gesperrt werden
oder dass veröffentlichte Daten vorübergehend von einer Webseite entfernt werden.
Die betroffene Person hat das Recht, von dem Verantwortlichen diese Einschränkung der Verarbeitung zu verlangen, wenn die folgende Voraussetzungen vorliegen:
§ 36 BDSG-neu schränkt das Widerspruchsrecht gegenüber öffentlichen Stellen ein bei einem zwingenden öffentlichen Interesse oder einer zur Verarbeitung verpflichtenden Rechtsvorschrift ein.
Die betroffene Person hat das Recht, nicht einer Entscheidung, die ausschließlich automatisiert – einschließlich Profiling – erfolgt, unterworfen zu werden, soweit diese ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Dabei hat die betroffene Person insbesondere das Recht, dass aufseiten des Verantwortlichen eine Person in den Entscheidungsprozess eingreift, auf Darlegung des eigenen Standpunkts und auch auf Anfechtung der Entscheidung. Das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, gilt nicht, wenn die Entscheidung

References: Art. 15

Art. 12
 Art. 12

Art. 13
 Art. 13
 Art. 6
 Art. 13
 § 32

Art. 14
 Art. 13
 Art. 17

§ 36