Source: http://beteiligen.jetzt/aktuelles/news/die-datenschutzgrundverordnung-welche-rechte-habe-ich-dadurch
Timestamp: 2018-07-19 07:41:27
Document Index: 271227049

Matched Legal Cases: ['Art. 12', 'Art 15', 'Art. 15', 'Art. 34', 'Art. 16', 'Art 21', 'Art. 21', 'Art. 17', 'Art. 21', 'Art. 22']

Die Datenschutzgrundverordnung – Welche Rechte habe ich dadurch? | jugend.beteiligen.jetzt
Die Datenschutzgrundverordnung – Welche Rechte habe ich dadurch?
Die von jugend.beteiligen.jetzt verfasste Artikelserie gibt einen Überblick über die aktuelle Datenschutzsituation durch die DSGVO und die damit verbundenen neuen Regelungen. Teil 3 gibt Auskünfte zu den Rechten der/des Einzelnen, zu der Berichtigung und zu der Löschung von personenbezogenen Daten.
Teil 1 unserer Artikelreihe stellte die DSGVO und weitere datenschutzrelevante Regelungen vor. In Teil 2 wird beschrieben, welche Maßnahmen gerade für die Jugendarbeit und für Jugendorganisationen mit Schwerpunkt im Digitalen zu ergreifen sind. In Teil 3 möchten wir nun auf einen sehr wichtigen und spannenden Bereich der DSGVO eingehen: Die Rechte der/des Einzelnen zu Auskunft, Berichtigung und Löschung von personenbezogenen Daten. Wir geben konkrete Tipps, wie man diese Rechte selbst wahrnehmen und entsprechende Informationen einfordern kann.
Grafik: geralt CC0 @pixabay.com
Rechtzeitig vor der vollen Geltung der DSGVO haben zahlreiche Anbieter von IT-Diensten nicht nur ihre Datenschutzerklärungen an die neuen Regelungen angepasst, sondern sich auch neue Einwilligungen von Nutzer*innen zur Verarbeitung ihrer personenbezogenen Daten eingeholt. Facebook hat dabei beispielsweise die Gelegenheit genutzt, von Nutzer*innen auch noch die Zustimmung zur automatischen Gesichtserkennung einzuholen. Ob alle Betroffenen auch bemerkt haben, welche Einwilligungen sie da abgegeben haben, ist nicht ganz sicher. Der neu konstituierte EU-Datenschutzausschuss möchte sich diesen Problemen widmen: Als erstes befasst man sich mit den veränderten Nutzungsbedingungen bei dem Messenger Whatsapp, der künftig mit seinem Mutterkonzern Facebook Nutzerdaten und Adressbucheinträge austauschen möchte.
Trotz des Transparenzgedankens der DSGVO wird es auch weiterhin genügend Situationen geben, zu denen man Einwilligungen zur Datenverarbeitungen gibt, deren ganze Dimension in diesem Moment noch nicht ganz klar ist: Kaufvorgänge mit Kartenzahlung, Ratenzahlungen, Mobilfunkverträge oder damit verbundene Hintergrundabfragen (und Eintragungen) bei Auskünften wie der Schufa sind hierfür gute Beispiele. Um den Überblick zu behalten oder erst nachträglich Einblick zu bekommen, wer welche Daten von mir verarbeitet, beinhaltet die DSGVO nützliche Regelungen:
Das Kapitel 3 der DSGVO ist überschrieben mit „Rechte der betroffenen Person“. Es finden sich immerhin 12 Artikel in diesem Kapitel. Aber auch andere Abschnitte der DSGVO beinhalten Rechte für Betroffene – und zwar immer dann, wenn die Datenverarbeitenden mit den Betroffenen in Kontakt treten müssen. So beginnt auch das Kapitel 3 damit, erst einmal die Verantwortlichen zu ermahnen ihre Kommunikation in einer leicht zugänglichen Form, in leicht verständlicher Sprache – und präzise – zu formulieren (Art. 12). Für die Datenverarbeitenden besteht die Pflicht die Informationen niederzuschreiben – es sei denn, die Person, von der die Daten verarbeitet werden, bevorzugt eine mündliche Auskunft.
Als betroffene Person habe ich Auskunftsrechte, ob und welche Daten von/zu mir bei einer Stelle verarbeitet werden (Art 15 (1)). Diese Informationen wären isoliert aber nicht ausreichend, um einzuschätzen, wie vertrauenswürdig die jeweilige Datenverarbeitung ist. Daher sind die Auskunftspflichten deutlich weiter gefasst: Was sind die Verarbeitungszwecke meiner Daten? Wer bekommt meine Daten? Woher stammen die Daten, wenn sie nicht direkt bei mir erhoben wurden (also durch Weiterleitungen von anderer Stelle)? Diese Auskunftsrechte bestanden auch schon nach dem alten Bundesdatenschutzgesetz. Neu hingegen ist, dass man auch über die geplante Speicherdauer informiert werden muss oder falls dies nicht möglich ist, dann zumindest über die Kriterien für die weitere Speicherung Auskunft bekommt. Sehr aufschlussreich könnte die neue Regelung sein, dass man über das Bestehen von automatisierter Entscheidungsfindung oder Profiling aufgeklärt werden muss. Dabei hilft, dass man sich die konkret genutzten Kategorien personenbezogener Daten mitteilen lässt (ebenfalls eine neue Möglichkeit durch die DSGVO).
Im Zuge einer Datenverarbeitungsauskunft müssen Betroffene auch darauf hingewiesen werden, dass sie ein Beschwerderecht bei der zuständigen Aufsichtsbehörde haben (Art. 15 (1) f). Nicht erst auf Nachfrage, sondern proaktiv sind Datenverarbeitende verpflichtet, die Betroffenen zu informieren, wenn durch eine Datenpanne die Verletzung des Schutzes personenbezogener Daten mit hohem Risiko (Art. 34) eingetreten ist. Dies soll zumindest die Möglichkeit eröffnen, sich als betroffene Person auf die Konsequenzen einzustellen bzw. Vorkehrungen zu treffen.
Daten, die nicht mehr benötigt werden, sollten generell gelöscht werden. Diese auf den ersten Blick sinnvolle Herangehensweise erweist sich beim genaueren Hinsehen als schwierige Frage – nicht immer ist eindeutig klar, ob Daten nicht mehr entsprechend ihres Verwendungszwecks benötigt werden. Es kann gegenläufige Interessen geben, z. B. wenn eine Veranstaltung durchgeführt und abgerechnet ist, aber der Fördergeber oder das Finanzamt das Aufheben/Speichern von Unterlagen noch über Jahre hinweg erfordert. Hier tritt die Grenze des Löschrechts ein, denn rechtliche Verpflichtungen überwiegen den Wunsch nach Datenreduzierung. Was jedoch immer gehen sollte: Die Berichtigung falsch verarbeiteter Daten – die nach Art. 16 auch unverzüglich umgesetzt werden muss. Unter das Recht zur Berichtigung fällt übrigens auch die Vervollständigung von fehlenden Daten, sofern man das erreichen möchte.
Die DSGVO unterscheidet recht aufgegliedert in Anlässe, weswegen eine Datenverarbeitung und -speicherung endet: Angefangen von Berichtigungen über Widerruf, Widerspruch, Einschränkungen, Löschungen bis hin zum Recht auf Vergessenwerden. Wenn Daten offensichtlich ungerechtfertigt oder falsch verarbeitet wurden und die verarbeitende Stelle Zeit hätte dies durch Überprüfung festzustellen, greift der Widerspruch. Aber auch eine Einschränkung zu bestimmten Aspekten der Datenverarbeitung kann je nach Fall gefordert werden.
Auf das Recht auf Widerspruch müssen die Betroffenen bereits zum Zeitpunkt der „ersten Kommunikation“ hingewiesen werden (Art 21 (4)).
Anfragen stellen: So geht es
Egal ob man eine Auskunft oder eine Löschung erwirken möchte – oder beides –, die Anfrage sollte auf jeden Fall schriftlich erfolgen. Mündliche Anfragen geraten sehr leicht in absichtliche oder unabsichtliche Vergessenheit. Eine Anfrage auf Papier bleibt sichtbar und daher in Erinnerung.
Am Anfang der Anfrage sollte als Betreff oder Überschrift klar der Name, die Nutzerkennung oder die Kundennummer benannt sein, mit der man bei der angefragten Stelle bekannt ist. „Michael Müller“ gibt es vermutlich häufig, daher ist eine Adresse oder damit verbundene Telefonnummer im Anschreiben sicherlich nützlich. Das gilt natürlich nur für Daten, die die angefragte Stelle schon zuvor kennt – Neues sollte man dabei nicht preisgeben! Die ersten Zeilen des Anschreibens könnten ungefähr so aussehen:
Sicherlich ist der spannendste Teil einer Anfrage herauszufinden, welche persönlichen Daten gespeichert werden. Das können selbst von mir eingetragene Daten sein oder auch solche, die über andere Wege gesammelt wurden. Letzteres geschieht öfters als man vielleicht vermuten könnte. Freund*innen könnten z. B. beim Installieren ihres Messengers das Smartphone-Adressbuch mit einem Anbieter abgeglichen haben, so dass ihre Bekannten schneller gefunden werden. Im Ergebnis kennt ein solcher Anbieter dann mitunter auch Namen und Kontaktdaten von Personen, die den Dienst selbst nicht nutzt. (Nicht alle Messenger gleichen das Adressbuch im Klartext ab, manche lösen das geschützter über datenschutzfreundliche Hashes, einer Art anonymerer Quersumme.)
Bild: TeroVesalainen CC0 @pixabay.com
Einige Stellen versuchen über „Profiling“ mehr über die betroffenen Personen herauszufinden. Dazu tragen sie z. B. auch Daten über die durchschnittlichen Einkommensverhältnisse in der Nachbarschaft zusammen, versuchen anhand des Namens herauszufinden, woher man stammt oder sammeln Orte, an denen man oft „eingecheckt“ hat: Sei es in einer Bar, einem Kino, Fitnessstudio oder Museum. Damit versuchen Anbieter die Personen künftig besser mit „treffender“ Werbung zu erreichen oder überlegen auf dieser Basis, welche Services (z. B. auch Kaufangebote oder Kredite) sie anbieten möchten. Nicht erlaubt ist Profiling übrigens für unter Sechzehnjährigen. Eine Auskunft über die zu mir gespeicherten Daten kann z. B. so erfragt werden:
a) Welche Daten sind über meine Person konkret bei Ihnen gespeichert oder wurden von Ihnen verarbeitet (z. B. Name, Vorname, Anschrift, Geburtsdatum, Beruf, medizinische Befunde)?
f) Welche Wege bestehen, meine Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung meiner Daten ebenso wie über mein Widerspruchsrecht gegen diese Verarbeitung nach Art. 21 DSGVO und mein Beschwerderecht bei der zuständigen Aufsichtsbehörde, wahrzunehmen?
Es gibt sehr unterschiedliche Daten, die zu einer Person gespeichert werden können. Sehr häufig handelt es sich um Daten, die man auch auf jeden Fall dort hinterlegt haben will – ein Nutzerkonto kann ohne ein paar grundsätzliche Informationen nicht funktionieren; ein Paketversender braucht auf jeden Fall die Anschrift der Empfänger*innen. Allerdings gibt es auch Fälle, in denen man nicht (mehr) möchte, dass diese Daten weiter von der entsprechenden Internet-Plattform oder anderen Stelle vorgehalten oder weiter benutzt werden. Zuerst sollte man natürlich die zur Verfügung stehenden Werkzeuge verwenden, um z. B. ein Nutzerkonto ganz regulär zu löschen. Wenn man aber nicht sicher ist, ob das schon geholfen hat, oder wenn die angefragte Stelle die Daten eigentlich gar nicht haben sollte, dann kann eine Löschung verlangt werden. Hier ein Formulierungsvorschlag:
Die Voraussetzungen des Art. 17 DSGVO liegen nach meiner Ansicht vor. Sofern ich eine Einwilligung zur Verarbeitung meiner Daten erteilt habe, widerrufe ich diese hiermit bzw. lege gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung ein. Dies gilt ebenso für das Profiling gemäß Art. 22 DSGVO. Lehnen Sie die Löschung ab, so haben Sie dies mir gegenüber zu begründen.
Im Anschreiben kann man auf die rechtlichen Regelungen aber auch schon hinweisen. Möglicherweise erzeugt das bei der angefragten Stelle ein gewisses Bewusstsein für die Bedeutung der Anfrage. Hier ein Formulierungsvorschlag:
Am Ende sollte man nicht vergessen, die Anfrage höflich zu beenden, also z. B. mit einem „Mit freundlichen Grüßen“.
Wir drücken die Daumen für die Auskunftsersuchen. Natürlich freuen wir uns über Rückmeldungen zu dieser Zusammenstellung und den Erfahrungen, die in diesem Kontext gemacht wurden. Eine multimedial aufbereitete Website mit dem Namen „Deine Daten. Deine Rechte“ können wir zum Schluss auch noch empfehlen.
Download Datenverarbeitungsauskunft nach DSGVO
Meine Daten gehören mir! Deine Auskunfts- und Löschrechte aufgrund der Datenschutzgrundverordnung PDF | 149.4 KB