Tobias Rothkegel - Praxishandbuch DSGVO

1

Ein Bereich, dessen Bedeutungin der Praxis infolge der DSGVO stark zugenommenhat, ist der Bereich der Betroffenenrechte, also den Rechten, die Personen, deren personenbezogene Daten Gegenstand einer Datenverarbeitung sind, gegenüber dem für diese Datenverarbeitung Verantwortlichen zustehen.

2

Dies scheint insbesondere eine Folge der gesteigerten Aufmerksamkeit und Sensibilitätder Bevölkerung für den Datenschutz zu sein, welche nicht zuletzt auch durch die DSGVO und die damit verbundene Berichterstattung in den Medien gefördert wurden. Denn auch nach der alten Rechtslage, also bevor die DSGVO wirksam wurde, bestanden weitgehende Betroffenenrechte. Diese wurden durch die DSGVO allerdings ausgeweitet, formalisiert und präzisiert.

3

So wurden durch die DSGVO zwei neueBetroffenenrechte eingeführt, die nach der alten Rechtslage auf Basis der Datenschutzrichtlinie 95/46/EG nicht vorgesehen waren: das Recht auf Datenübertragbarkeitnach Art. 20 DSGVO und das Recht auf Vergessenwerdennach Art. 17 Abs. 2 DSGVO.1

4

Außerdem wurden einige bestehende Betroffenenrechte, wie z.B. das Recht auf Auskunft und die Informationspflichten des Verantwortlichen, durch die DSGVO erheblich erweitert und präzisiert.

5

Für Unternehmen, die personenbezogene Daten verarbeiten, haben die Betroffenenrechte in der Praxis eine sehr wichtige Bedeutung. Diese erschöpft sich nicht allein darin, dass die Unternehmen die jeweiligen Rechte der betroffenen Person im Einzelfall – ggf. auf deren Antrag hin – erfüllen müssen. Vielmehr ist es erforderlich, dass Unternehmen bereits im Vorfeld entsprechende Prozesse konzipiert und implementiert haben, um die einzelnen Betroffenenrechte – ggf. auf Antrag der betroffenen Person – überhaupt erfüllen zu können. Ebenso sind diese Prozesse grundsätzlich zu dokumentieren, um der Rechenschaftspflicht zu genügen. Somit hat auch im Bereich der Betroffenenrechte das Thema der Datenschutzorganisation und des Datenschutzmanagementserheblich an Bedeutung gewonnen.

6

Dies ist umso wichtiger, als dass betroffene Personen ihre Rechte seit der DSGVO viel häufiger wahrnehmen und ggf. auch gerichtlich durchzusetzenversuchen als zuvor, was sich alleine schon an der erheblich gestiegenen Anzahl an Gerichtsentscheidungen in diesem Bereich zeigt.

7

Auch für die Datenschutzaufsichtsbehörden scheinen die im Unternehmen vorgesehenen Prozesse zur Erfüllung der Betroffenenrechte eine immer wichtigere Rolle zu spielen, z.B. im Fall von Verstößen im Rahmen der Bußgeldbemessung. Gerade im Fall von Verstößen gegen die Betroffenenrechte ist zudem auch der Reputationsschadendurch eine negative Medienberichterstattung nicht zu unterschätzen. Vor diesem Hintergrund sollte die Bedeutung der Betroffenenrechte auf keinen Fall unterschätzt werden. Vielmehr empfiehlt es sich, (i) regelmäßige Auditierungen im Unternehmen und Übungen durchzuführen, um zu überprüfen, inwiefern das Unternehmen den Anforderungen in diesem Bereich genügt, und (ii) bei der Gestaltung neuer Datenverarbeitungsprozesse die entsprechenden (organisatorischen und technischen) Prozesse zur Einhaltung der Betroffenenrechte frühzeitig zu berücksichtigen.

1Ein Recht dieses Namens bestand zuvor „nur“ in der vom EuGH im Rahmen der Entscheidung „Google/Mario Costeja Gonzales“ beschriebenen Form, die sich von Art. 17 Abs. 2 DSGVO unterscheidet, siehe EuGH, Urt. v. 13.5.2014 – Rs. C-131/12, CR 2014, 460. Siehe hierzu Arning/Moos/Schefzig, CR 2014, 447.

8

Vor diesem Hintergrund soll im Folgenden zum besseren Verständnis ein kurzer Überblick über die Systematikgegeben werden, wie die Betroffenenrechte in der DSGVO geregelt sind, bevor sie dann unter Rn. 17ff. im Einzelnen erläutert werden.

9

Die Betroffenenrechte sind vor allem im dritten Kapitel der DSGVO in Art. 12–23 DSGVOgeregelt. Art. 12 DSGVOenthält generelle Anforderungen an die transparente Information von betroffenen Personen, an die Kommunikation mit betroffenen Personen sowie an die Modalitäten für die Ausübung ihrer Rechte. Mithin regelt Art. 12 DSGVO vor allem die Art und Weisebzw. die Verfahren, wie die einzelnen Betroffenenrechte zu erfüllen sind, so z.B., wie betroffene Personen über die Verarbeitung ihrer Daten zu informieren sind.

10

In den Art. 13–22 DSGVOsind sodann die (Inhalte der) einzelnen Betroffenenrechte geregelt. Art. 13 und 14 DSGVOenthalten die Informationspflichten, nach denen der Verantwortliche verpflichtet ist, die betroffenen Personen proaktiv bei der Erhebung ihrer personenbezogenen Daten über die Datenverarbeitung zu informieren. Art. 13 DSGVOist anwendbar, wenn der Verantwortliche die Daten direkt bei der betroffenen Person erhebt, wohingegen Art. 14 DSGVOeinschlägig ist, wenn die Daten aus einer anderen Quelle erhoben werden. Art. 15 DSGVOenthält die Bestimmungen zum Auskunftsrecht der betroffenen Person, also dem Recht, von dem Verantwortlichen (auf Verlangen nach Beginn der Datenverarbeitung) Auskunft über die Verarbeitung ihrer Daten zu erhalten.

11

Art. 16 DSGVOgibt der betroffenen Person das Recht, vom Verantwortlichen die Berichtigungvon unrichtigen Daten bzw. die Vervollständigung unvollständiger Daten, die sie betreffen, zu verlangen. Art. 17 DSGVOenthält sodann die Voraussetzungen, unter denen eine betroffene Person die Löschungder sie betreffenden Daten verlangen bzw. ihr Recht auf Vergessenwerden geltend machen kann sowie – nach hier vertretener Ansicht – die Pflicht des Verantwortlichen, personenbezogene Daten unter bestimmten Voraussetzungen automatisch zu löschen. Nach Art. 18 DSGVOkann die betroffene Person die Einschränkung der Verarbeitungvon sie betreffenden personenbezogenen Daten verlangen. Sollte der Verantwortliche personenbezogene Daten, die er nach Art. 16 DSGVO berichtigen oder nach Art. 17 Abs. 1 DSGVO löschen muss oder bezüglich derer ein Recht der betroffenen Person auf Einschränkung der Verarbeitung nach Art. 18 Abs. 1 DSGVO besteht, an andere Stellen übermittelt haben, verpflichtet ihn Art. 19 DSGVOsodann, grundsätzlich auch die Empfängerder Daten über diesen Fakt zu informieren, damit die(selben) Daten ggf. auch beim Empfänger berichtigt, gelöscht oder nur noch eingeschränkt verarbeitet werden.

12

Art. 20 DSGVOenthält das durch die DSGVO neu eingeführte Recht der betroffenen Person auf Datenübertragbarkeit, also das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, von diesem zu erhalten, um sie einem anderen Verantwortlichen zur Verfügung stellen zu können. Hierdurch soll z.B. der Wechsel von einem sozialen Netzwerkin ein anderes vereinfacht werden.2

13

Art. 21 DSGVOstatuiert die Bedingungen, unter denen eine betroffene Person der Verarbeitung ihrer Daten widersprechenkann.

14

Art. 22 DSGVOregelt – obwohl als Betroffenenrecht ausgestaltet – faktisch die Zulässigkeit von automatisierten Entscheidungen im Einzelfalleinschließlich Profiling.

15

Schließlich enthält Art. 23 DSGVOnoch Voraussetzungen, unter denen die EU oder die EU-Mitgliedstaaten die Betroffenenrechte einschränkenkönnen, z.B. zu Zwecken der nationalen Sicherheit oder der Verhütung, Aufdeckung, Ermittlung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe.