Source: https://www.protectedshops.de/infothek/whitepaper/ds-gvo-die-ausweitung-der-betroffenenrechte-stand-maerz-2018
Timestamp: 2018-10-17 06:26:48
Document Index: 292921729

Matched Legal Cases: ['Art. 15', 'Art. 16', 'Art. 17', 'Art. 18', 'Art. 21', 'Art. 20', 'Art. 77', '§ 19', 'Art. 21', 'Art. 4']

DS-GVO: Die Ausweitung der Betroffenenrechte (Stand: März 2018) - Protected Shops
Am 25. Mai 2018 wird die Datenschutz-Grundverordnung (DS-GVO) verbindlich. Einige datenschutzrechtliche Regelungen bleiben im Kern bestehen, zum Teil gibt es jedoch wesentliche Veränderungen im Vergleich zur bisherigen Rechtslage. Eine wesentliche Änderung ist die Stärkung der Betroffenenrechte.
In diesem Beitrag erfahren Sie, was Betroffenenrechte sind, welche Rechte dem Einzelnen zustehen und wie diese im Online-Shop umzusetzen sind.
Unter der Bezeichnung „Betroffenenrechte“ oder „Rechte der betroffenen Personen“ versteht die DS-GVO wie es der Name schon verrät, die Rechte der von der Datenverarbeitung betroffenen Personen. Die Rechte stehen den Betroffenen im Vorfeld, während und nach der Datenverarbeitung zu. Bei den Betroffenenrechten handelt es sich um Auskunfts- und Schutzrechte gegenüber dem für die Verarbeitung der Daten Verantwortlichen.
In der DS-GVO gilt als der „Verantwortliche“, derjenige, der personenbezogene Daten mithilfe automatisierter Verfahren verarbeitet. Dies sind alle Unternehmen mit Sitz in der Europäischen Union oder solche mit Sitz außerhalb der EU, sofern sie eine Niederlassung in der EU besitzen oder Daten von Unionsbürgern verarbeiten.
Im Onlinehandel, der ohne automatisierte Datenverarbeitung nicht möglich ist, ist der Shop-Betreiber der Verantwortliche, wenn er Einzelunternehmer ist. Wenn der Online-Shop in Form einer juristischen Person organisiert ist (z.B. GmbH), ist das Unternehmen selbst „Verantwortlicher“. In diesem Fall ist der oder die Geschäftsführer als Vertreter des Unternehmens für den Datenschutz verantwortlich.
Im Folgenden wird der Einfachheit halber der Verantwortliche als Onlinehändler bezeichnet.
Wer ist „Betroffener“?
Betroffener ist jeder, dessen Daten erhoben, gespeichert, verarbeitet oder genutzt werden. Schon beim Besuch einer Webseite werden Daten der Besucher erhoben, gespeichert und weiterverarbeitet. Inhaber der Betroffenenrechte sind daher auch Besucher der Webseite eines Online-Shops, genau wie Kunden und Mitarbeiter.
Recht auf Löschung/Recht auf Vergessenwerden,
Recht auf Widerspruch sowie ein
Über das Bestehen dieser Rechte muss die betroffene Person informiert werden.
Wie ist allgemein über die Betroffenenrechte zu informieren?
Am besten ist in der Datenschutzerklärung über das Bestehen der Betroffenenrechte zu informieren. Ein entsprechender Abschnitt der Datenschutzerklärung könnte beispielsweise wie folgt aussehen:
„Welche Datenschutzrechte habe ich?
Jede betroffene Person hat das Recht auf Auskunft (Art. 15 DS-GVO), das Recht auf Berichtigung (Art. 16 DS-GVO), das Recht auf Löschung (Art. 17 DS-GVO), das Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO), das Recht auf Widerspruch (Art. 21 DS-GVO) auf Datenübertragbarkeit (Art. 20 DS-GVO). Darüber hinaus besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde (Art. 77 DS-GVO i.V.m. § 19 BDSG).“
Was gilt hinsichtlich der Form?
Die Informationen können elektronisch oder schriftlich übermittelt werden, im Ausnahmefall auch mündlich, wenn der Betroffene dies verlangt und seine Identität nachweisen kann. Zudem ist zu beachten, dass die Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form“ in einer klaren und einfachen Sprache übermittelt werden. Leicht zugänglich bedeutet, dass die Informationen nicht in anderen Texten (z.B. AGB) „versteckt“ sein dürfen. Da die Informationen von den betroffenen Personen verstanden werden sollen, sollte sich die Sprache nach dessen Sprachkenntnissen (z.B. auch Kinder als Webseitenbesucher) richten und es sind möglichst keine technischen Begriffe zu verwenden.
Welche Frist gibt es zu beachten?
Auf Antrag eines Betroffenen müssen Händler innerhalb eines Monats antworten. Länger als einen Monat darf die Auskunftserteilung nur in besonderen Fällen (z.B. der Antrag ist komplex) dauern. In diesen Fällen kann die Frist um weitere zwei Monate verlängert werden. Krankheit oder Urlaub werden in der Regel nicht als Ausnahmefall akzeptiert. Wenn eine Fristverlängerung geltend gemacht wird, müssen die Gründe für die Fristverlängerung innerhalb der Monatsfrist mitgeteilt werden, so dass in jedem Fall schnell reagiert werden muss. Die Frist läuft ab dem Zugang des Antrags des Betroffenen.
Onlinehändler sollten Vorkehrungen treffen, damit die Auskünfte rechtzeitig erteilt werden können (z.B. durch einen Ablaufplan oder eine Prozessbeschreibung).
Kommt ein Onlinehändler dem Antrag eines Betroffenen nicht nach oder verstößt er gegen eine Pflicht hinsichtlich der Umsetzung der Betroffenenrechte (z.B. Informationen stehen bei Erhebung der Daten nicht bereit oder nicht erfolgte Auskunft auf Antrag), droht ein Bußgeld der Datenschutzaufsichtsbehörde. Die Bußgelder können bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes betragen. Onlinehändler müssen daher geeignete Maßnahmen treffen, damit eine fristgerechte und korrekte Bearbeitung des Antrags eines Betroffenen gewährleistet werden kann und dafür sorgen, dass die Umsetzung der Pflichten rechtzeitig bis zum 25.05.2018 erfolgt.
Die DS-GVO unterscheidet zwischen den Informationspflichten, wenn die Daten bei den betroffenen Personen erhoben werden und zwischen den Informationspflichten, wenn die Daten nicht bei den betroffenen Personen erhoben werden.
Bei Daten, die bei den betroffenen Personen erhoben werden, sind Onlinehändler verpflichtet, dem Betroffenen bereits zu Beginn der Datenerhebung (beispielsweise bei Bestellung eines Newsletters oder beim Abschluss der Bestellung, ggf. aber auch schon vor Abschluss des Kaufvertrages, z.B. bei der Registrierung) auf ihrer Webseite folgendes mitzuteilen:
Namen und die Kontaktdaten des Online-Händlers,
der Zweck der Datenverarbeitung (für jeden Vorgang gesondert),
das Bestehen eines Auskunfts- und Widerspruchsrechts
sowie die Rechtsgrundlage der Datenverarbeitung
Die Informationspflicht besteht nicht, wenn der Betroffene im Falle einer Datenverarbeitung bereits über die erforderlichen Informationen verfügt.
Werden die personenbezogenen Daten nicht beim Betroffenen erhoben, kommen zu den oben gennannten Informationen noch weitere Informationspflichten dazu. Den betroffenen Personen müssen die Kategorien der personenbezogenen Daten genannt werden, unabhängig davon, ob die betroffenen Personen nach den Umständen des Einzelfalls mit einer Übermittlung rechnen mussten. Neu ist die Darlegungspflicht des berechtigten Interesses, sollten die Daten aufgrund berechtigter Interessen des für die Verarbeitung Verantwortlichen oder Dritter erhoben werden. Darüber hinaus muss den betroffenen Personen ab Geltung der Grundverordnung kenntlich gemacht werden, aus welchen Quellen die personenbezogenen Daten stammen und ob sie aus öffentlich zugänglichen Quellen kommen. Kann der betroffenen Person nicht mitgeteilt werden, woher die Daten stammen, weil verschiedene Quellen benutzt wurden, sollte die Unterrichtung jedoch allgemein gehalten werden. Falls die Daten an einen Dritten weitergeleitet werden, muss darüber informiert werden an wen sie weitergleitet werden.
Den Besuchern der Webseite muss bekannt gegeben werden, ob und welche Cookies verwendet werden und ob Tracking-Tools zum Einsatz kommen. Werden für das Tracking Dienstleister beauftragt, muss dazu eine Vereinbarung über die Auftragsverarbeitung geschlossen werden. Hat der Dienstleister seinen Sitz in einem Drittland (z.B. USA) und die personenbezogenen Daten an ihn weitergeleitet werden, ist der Betroffene darüber ebenfalls ausdrücklich zu informieren. Der Empfänger der Daten in den USA muss entsprechend dem Privacy Shield Abkommen mit der EU auf der sog. Privacy Shield Liste des US Department of Commerce registriert sein. Der Betroffene muss in diesem Fall darüber informiert werden, dass der Empfänger seiner Daten auf der Privacy Shield Liste registriert ist.
Beabsichtigt der Onlinehändler die Daten für einen anderen Zweck zu verarbeiten als für den sie erhoben wurden, muss der Betroffen vorab erneut darüber informiert werden.
Werden personenbezogene Daten nicht beim Betroffenen erhoben (z.B. wenn der Onlinehändler Daten eines Betroffenen aus öffentlichen Quellen nutzt), muss die Quelle dem Betroffenen mitgeteilt werden.
Es bietet sich an, sämtliche Informationen in der Datenschutzerklärung zusammenzufassen. Die Rechtstexte von Protected Shops werden an die neue Rechtslage angepasst. Die Datenschutzerklärung kann rechtzeitig bis zum Stichtag DS-GVO konform im Rechtstextkonfigurator erstellt werden.
Was beinhalten die Rechte der Betroffenen im Einzelnen?
Eines der wichtigsten neuen Rechte stellt das Auskunftsrecht dar. Betroffene haben künftig das Recht, auf Antrag vom Onlinehändler jederzeit darüber Auskunft zu verlangen, ob personenbezogene Daten erhoben und gespeichert werden. Das Recht auf Auskunft dient dazu, dass der Betroffene nach Erhalt der Auskunft bei Bedarf weitere Rechte geltend machen kann (z.B. Recht auf Löschung oder Recht auf Berichtigung).
Werden personenbezogenen erhoben und gespeichert, hat der Betroffene bezüglich seiner Daten das Recht auf Auskunft, dessen Inhalt und Umfang mit dem Recht auf Information korrespondiert.
Zudem kann der Betroffene Auskunft darüber verlangen, wo die personenbezogenen Daten gespeichert werden und wer, wann Zugriff darauf hatte. Für den Fall, dass personenbezogene Daten an ein Drittland (z.B. USA) oder eine internationale Organisation übermittelt wurden, kann die betroffene Person das Recht darüber zu unterrichtet werden, auf welcher Basis die Übermittlung erfolgt (z.B. auf der Basis des aktuellen Abkommens mit den USA „Privacy Shield“).
Die Auskunft müssen Händler dem Betroffenen durch Übersendung einer Kopie aller personenbezogenen Daten auf gängigem elektronischem Weg erteilen. Dies kann Online-Händler vor neue Herausforderungen stellen. Da die personenbezogenen Daten des Antragstellers bei der Nutzung von Software zur Verarbeitung der Daten meistens in einer Datenbank gespeichert sind, muss dieser Kopie auch ein Auszug der Datensätze in Dateiform beiliegen, in denen personenbezogene Daten des Antragstellers enthalten sind.
Hier ist wieder der Rückschluss zum Verzeichnis von Verarbeitungstätigkeiten notwendig. Ohne dieses ist es für den Händler kaum möglich, in einem überschaubaren Zeitraum nachzuvollziehen, welche Daten eines Antragstellers an welchen Stellen in welcher Form vorliegen.
Das Recht auf Auskunft besteht nicht, wenn im Zuge der Auskunftserteilung Informationen offenbart würden, durch die Rechte und Freiheiten anderer Personen verletzt würden, soweit nicht das Interesse des Betroffenen an der Informationserteilung überwiegt.
Die Auskunft muss auch nicht erteilt werden, wenn die Daten nur gespeichert sind, weil sie aufgrund von Aufbewahrungsvorschriften nicht gelöscht werden dürfen und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde. In diesem Fall muss aber sichergestellt werden, dass eine Verarbeitung dieser Daten zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist oder dass die Daten ausschließlich Zwecken der Datensicherung bzw. Datenschutzkontrolle dienen.
Wenn keine Auskunftspflicht besteht, sind die Gründe für die Auskunftsverweigerung zu dokumentieren und die Ablehnung der Auskunftserteilung muss gegenüber der betroffenen Person begründet werden, sofern damit nicht der mit der Auskunftsverweigerung verfolgte Zweck gefährdet wird.
Falls Daten des Betroffenen verarbeitet werden, die unrichtig (z.B. falsches Geburtsdatum) oder unvollständig sind, hat dieser ein Recht auf Korrektur oder Vervollständigung seiner Daten. Letztere kann durch eine ergänzende Erklärung erfolgen.
3.) Recht auf Löschung/Recht auf Vergessenwerden
Die DS-GVO sieht für die Löschung von personenbezogenen recht strenge Regelungen vor. Betroffene haben das Recht, die Löschung ihrer Daten zu verlangen, wenn:
die Speicherung der Daten nicht mehr erforderlich ist (z.B. die Bestellhistorie ist älter als zwei Jahre),
der Betroffene seine Einwilligung zur Datenverarbeitung widerrufen hat ,
Dies stellt keine Veränderung zur bisherigen Rechtslage dar. Neu ist jedoch, dass die Stelle, die die personenbezogenen Daten veröffentlicht hat (z.B. im Internet), auch zur Löschung oder auch dem Rückruf der Daten bei anderen Stellen verplichtet sein kann. Zumindest sind Onlinehändler verpflichtet, „angemessene Maßnahmen“ ergreifen, um andere Stellen über den Löschungsanspruch des Betroffenen zu informieren.
Ausnahmen von der Pflicht zur Löschung bestehen beispielsweise, wenn der Löschung Gründe des öffentlichen Interesses (z.B. statistische Zwecke) entgegenstehen oder die Löschung der Geltendmachung eines Rechtsanspruchs dient. Das Recht auf freie Meinungsäußerung kann ebenfalls entgegenstehen.
Wie die personenbezogenen Daten gelöscht werden müssen, wird in der DS-GVO nicht näher definiert. Maßgeblich ist, dass im Ergebnis keine Möglichkeit mehr besteht, die Daten ohne unverhältnismäßigen Aufwand wahrzunehmen. Online-Händler sind verpflichtet, die Löschung ohne unangemessene Verzögerung in ihrem System vorzunehmen. Daher ist zu empfehlen, dass Händler ein Löschkonzept erstellen, um immer einen Überblick darüber zu haben:
was wann zu löschen ist
an wen sie weitergegebenwurden.
Auch mit dem Recht auf Vergessenwerden, welches eine Spezialform des Rechts auf Löschung darstellt, können sich Onlinehändler künftig konfrontiert sehen. Zur Ausübung des Rechts auf Vergessenwerden muss die betroffene Person dazu den Händler darüber informieren, dass sie die Löschung aller Daten, Kopien von Daten und Links zu seinen Daten verlangt. Dies bedeutet für Händler dahingehend viel Aufwand, dass er ggf. andere Verantwortliche ermitteln
und die andere Stelle bei öffentlich gemachten Daten auffordern muss, Links oder Kopien von Daten zu löschen. Unklar bleibt, ob der Händler den Löschungsanspruch gegen die anderen Stellen im Namen der betroffenen Personen dann auch durchsetzen soll oder ob es bei der Aufforderung zur Löschung bleibt. Wir informieren Sie diesbezüglich über aktuelle Veränderungen.
Unter „Einschränkung der Verarbeitung“ sind Methoden zur Beschränkung der Verarbeitung personenbezogener Daten zu verstehen (z.B. Daten werden vorübergehend von einer Webseite entfernt oder auf ein anderes Verarbeitungssystem übertragen).
Betroffene können auf eine Einschränkung der Verarbeitung, also auf ein „Stopp!“ der Verarbeitung bestehen, wenn:
der Betroffene Widerspruch eingelegt hat.
Wurde die Verarbeitung eingeschränkt, muss der Betroffene vorher darüber unterrichtet werden, falls es zu einer Aufhebung der Einschränkung kommt.
Onlinehändler müssen den Betroffenen über sein Recht zum Widerspruch informieren, wenn die Daten des Betroffenen zur Wahrung seiner berechtigten ( z.B. wirtschaftlichen) Interessen verarbeitet werden oder an Dritte zur Verarbeitung von Werbezwecken weitergeleitet werden. Der Widerspruch führt zu einem sofortigen Verarbeitungsstopp. Das Widerspruchsrecht besteht nicht, wenn zwingende schutzwürdige Gründe der Verarbeitung entgegenstehen (z.B. wenn die Verarbeitung der Geltendmachung von Rechtsansprüchen dient).
Auf das Recht zum Widerspruch muss der Händler spätestens zu Beginn der ersten Kommunikation und gesondert, d.h. nicht im Zusammenhang mit den Informationen zu den Betroffenenrechten, hinweisen. Die Information über das Widerspruchsrecht kann in der Datenschutzerklärung aufgenommen werden und kann beispielsweise wie folgt aussehen:
„ Information über Ihr Widerspruchsrecht nach Art. 21 DS-GVO:
Sie haben das Recht aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen. Legen Sie Widerspruch ein, werden wir Ihre personenbezogene Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Dies gilt auch für Profiling i.S.d Art. 4 Nr.4 DS-GVO.
Für den Fall, dass wir Ihre personenbezogenen Daten verarbeiten, um Direktwerbung zu betreiben, steht Ihnen ebenfalls ein Widerspruchsrecht zu, das Sie jederzeit einlegen können. Widersprechen Sie der Verarbeitung Sie betreffender personenbezogener Daten zum Zweck der Direktwerbung, werden wir Ihre personenbezogene Daten nicht mehr für diesen Zweck verarbeiten. Dies gilt auch für Profiling, soweit es mit der Direktwerbung in Verbindung steht.“
Völlig neu ist das Recht auf Datenübertragbarkeit (auch: Datenportabilität). Künftig können Betroffene an den Onlinehändler herantreten und verlangen, dass die über sie gespeicherten Daten an sie selbst herausgegeben werden oder an einen Wettbewerber übermittelt werden.
Sinn und Zweck soll sein, dass ein Verbraucher schnell zwischen verschiedenen Anbietern wechseln kann. So kann ein Kunde an einen Shop-Betreiber herantreten und verlangen, dass dieser ihm sämtliche Kundendaten aushändigt (z.B. die gesamte Bestellhistorie oder den Umsatz) damit er die Daten einem anderen Online-Shop zur Verfügung stellen kann.
a) Wie kann das Recht geltend gemacht werden?
In der Theorie soll der Betroffene seine Profildaten bei einem Dienst exportieren und bei einem vergleichbaren Dienst importieren können, was mit wenigen Klicks möglich sein sollte. In der Praxis dürfte sich dieses Vorgehen schwieriger gestalten, denn es werden standardisierte Datensätze und Schnittstellen (APIs) vorausgesetzt. Diese greifen in die Programmierung des jeweiligen Anbieters und folglich in dessen Geschäftsbetrieb ein. Onlinehändler sind angehalten, geeignete Programmierschnittstellen und Werkzeuge zu entwickeln, um zeitnah kompatible Systeme zu etablieren und das obwohl sie die Nutzer (samt den für sie wertvollen Daten) an einen Wettbewerber verlieren.
b) Welche Daten sind umfasst?
Um das Recht auf Datenübertragbarkeit geltend zu machen, bezieht sich die DS-GVO auf die den Einzelnen „betreffenden personenbezogenen Daten“. Das Datenpaket lässt sich daher nicht auf wesentliche Profildaten (z.B. Name, Alter, Wohnort, E-Mail-Adresse,..) beschränken, sondern dürfte angesichts des weiten Verständnisses dieser Begrifflichkeiten nahezu alle Informationen enthalten, die dem Betroffenen zuzuschreiben sind.
c) In welchem Format müssen die Daten übertragen werden?
Der Betroffene hat die Daten „in einem strukturierten, gängigen und maschinenlesbaren Format“ (z.B. Übermittlung auf einem USB-Stick) zu erhalten, sofern dies technisch machbar ist. Was genau unter einem solchen Format zu verstehen ist, lässt der Gesetzgeber jedoch offen. Im Zweifelsfall wird auf den aktuellen Stand der Technik abzustellen sein.
d) Dürfen Kosten für die Übertragung geltend gemacht werden?
Es liegt in Anbetracht des weiten Anwendungsfeldes zwar nahe, dass Händler sich vor der Inanspruchnahme durch den Betroffenen zu schützen versuchen, in dem sie die Kosten für die Ausgabe und Übertragung der Daten verlangen. Dies ist jedoch nur in wenigen Ausnahmefällen möglich, z.B. wenn der Betroffenen exzessiv Anträge stellt. Allerdings trägt der Online-Händler die Beweislast, ob ein solches Auskunftsverlangen unbegründet und exzessiv ist.
e) Welche weiteren Voraussetzungen gibt es?
Der Betroffene kann sich auf das Recht auf Datenübertragbarkeit nur berufen, wenn er dem Onlinehändler seine personenbezogenen Daten auf Grundlage einer Einwilligung zur Verfügung gestellt hat (z.B. beim Newsletterversand) oder die Verarbeitung zur Erfüllung eines Vertrages erforderlich ist, was im Online-Handel der gängigste Fall sein dürfte, da nahezu immer eine Vertragsbeziehung zu dem Kunden besteht.
8.) Recht auf Beschwerde
Betroffene müssen darauf hingewiesen werden, dass sie ihr Recht auf Beschwerde bei der zuständigen Datenaufsichtsbehörde geltend machen können, wenn der Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstoßen wird.
Die Betroffenenrechte werden durch die DS-GVO erheblich ausgeweitet und dadurch die Position der Betroffenen gegenüber der datenverarbeitenden Stelle (Verantwortlicher) gestärkt. Zu den bereits bestehenden Ansprüchen der Betroffenen treten das neue gesetzliche Recht auf Vergessenwerden sowie das Recht auf Datenübertragbarkeit. Für Onlinehändler bedeutet das, dass Handlungsbedarf besteht. Bis zum Stichtag müssen die Pflichtinformationen über die Betroffenenrechte auf der Shopwebseite zur Verfügung stehen und es muss sichergestellt sein, dass Anträgen eines Betroffenen auf Information oder Auskunft fristgerecht nachgekommen werden kann. Dabei ist zu beachten, dass einem Antrag des Betroffenen innerhalb eines Monats nachgekommen werden muss. Verstöße gegen die Rechte der Betroffenen können mit einem Bußgeld in Höhe von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes geahndet werden.