Die Rechte der Betroffenen nach DSGVO & BDSG

Das Grundgesetz für die Bundesrepublik Deutschland enthält zum Beispiel mit dem Grundrecht auf Wahrung des Brief-, Post- und Fernmeldegeheimnisses wichtige datenschutzrechtliche Regelungen. Diese Grundrechte gelten immer, unabhängig von anderen Datenschutzgesetzen.

Seit dem 25. Mai 2018 gilt eine für alle EU-Mitgliedsstaaten geltende einheitliche EU-Datenschutzgrundverordnung (EU-DSGVO). Da die DSGVO sog. Öffnungsklauseln beinhaltet, gibt es zusätzlich noch ein ergänzendes - nur national gültiges - Bundesdatenschutzgesetz (BDSG).

Informationspflichten bei eine Datenerhebung

Findet die Erhebung der Daten direkt beim Betroffenem statt - z.B. bei der Bestellung eines Newsletters - muss das Unternehmen den Betroffenen gem. Art. 13 DSGVO sofort informieren. Ausnahmen von dieser Regelung spezifiziert § 32 BDSG. Wenn der Betroffene bereits über die Information verfügt, besteht keine Informationspflicht.

Die Informationspflicht umfasst dabei folgende Angaben

Name und Kontaktdaten der Verantwortlichen Stelle (ggf. auch des Vertreters)
Kontaktdaten des Datenschutzbeauftragten (wenn vorhanden)
Zwecke, für die die Daten verarbeitet werden sowie die dazugehörige Rechtsgrundlage
Berechtigte Interessen (bei Verarbeitung nach Art. 6 DSGVO)
Empfänger bzw. Kategorien von Empfängern
Übermittlung in Drittland oder an internationale Organisation
Dauer der Datenspeicherung
Bestehen eines Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und auf Datenübertragbarkeit
Bestehen eines Rechts auf Widerspruch der Einwilligung
Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
Information, ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist und mögliche Folgen der Nichtbereitstellung
Bestehen einer automatisierten Entscheidungsfindung, einschließlich Profiling
Information über eine mögliche Zweckänderung der Datenverarbeitung

Werden die Daten nicht beim Betroffenem erhoben, sondern bei Dritten - z.B. bei Abfrage zur Kreditwürdigkeit bei einer Auskunftei - dann kommt Art. 14 DSGVO zur Anwendung. In diesem Fall muss innerhalb einer angemessenen Frist (max. 1 Monat) informiert werden. Auch für diesen Fall sieht das BDSG in § 33 Ausnahmen vor.

Zusätzlich zu den oben bei Art. 13 DSGVO genannten Informationen muss bei der Datenerhebung bei Dritten die Quelle der Daten genannt werden. Die Information, ob die Bereitstellung der Daten gesetzlich oder vertraglich erforderlich ist und die Folgen der Nichtbereitstellung muss hingegen nicht mitgeteilt werden.

Die Informationspflicht nach Art. 14 DSGVO entfällt, wenn

der Betroffene bereits über die Informationen verfügt
die Mitteilung sich als unmöglich erweist bzw. unverhältnismäßigen Aufwand erfordert
die Verarbeitung aufgrund einer EU- oder nationalen Rechtsgrundlage ausdrücklich geregelt ist
es sich um geheimhaltungspflichtigen Daten (z. B. bei Berufsgeheimnissen) handelt

Nach Art. 14 DSGVO muss der Betroffene nicht sofort, aber innerhalb einer angemessenen Frist benachrichtigt werden - maximal 1 Monat.

Recht auf Auskunft

Nach Art. 15 DSGVO hat der Betroffene ein Recht darauf, Auskunft darüber zu erhalten, welche personenbezogenen Daten über ihn gespeichert sind. Zum Umfang der Auskunft gehören folgende Informationen.

Zwecke der Datenverarbeitung
Kategorien der Daten
Empfänger oder Kategorien von Empfängern
Dauer der Speicherung
Recht auf Berichtigung, Löschung und Widerspruch
Beschwerderecht bei einer Aufsichtsbehörde
Herkunft der Daten (wenn nicht bei Betroffenen erhoben)
Bestehen einer automatisierten Entscheidungsfindung, einschließlich Profiling
Übermittlung in Drittland oder an internationale Organisation

Die Erklärung muss nachvollziehbar gestaltet sein, sodass die Betroffenen ihre Rechte sachgerecht wahrnehmen und mögliche Fehler in der Berechnungsgrundlage aufdecken können.

Eine Auskunft bei einer öffentlichen oder nicht-öffentlichen Stelle ist grundsätzlich kostenfrei. Eine Ausnahme besteht jedoch dann, wenn der Anfragende die Auskunft zu wirtschaftlichen Zwecken nutzen kann. Dies gilt insbesondere für Anfragen bei Auskunfteien (Schufa, Bürgel etc.).

Hinweis

Unter bestimmten Voraussetzungen kann das Auskunftsrecht eingeschränkt sein, z.B. bei der Datenverarbeitung der Sicherheitsbehörden. Außerdem kann in Einzelfällen zur Legitimation die Kopie eines Personaldokuments (Personalausweis, Reisepass) verlangt werden, um eine eindeutige Zuordnung der gespeicherten Daten zu der anfragenden Person vorzunehmen. Diese Maßnahme dient dem Schutz vor missbräuchlichen Auskunftsbegehren. Betroffene sollten auf der Ausweiskopie nur Name, Anschrift, Geburtsdatum und Gültigkeitsdauer sichtbar lassen und alle anderen Daten (Ausweisnummer, Lichtbild, persönliche Merkmale, Staatsangehörigkeit) schwärzen.

Betroffene können nur in angemessenen Abständen (z.B. einmal pro Kalenderjahr) eine unentgeltliche Auskunft über die zu ihrer Person gespeicherten Score-Werte verlangen. Für jede weitere Auskunft darf ein angemessenes Entgelt verlangt werden, wenn die Betroffenen die Auskunft gegenüber Dritten zu wirtschaftlichen Zwecken nutzen können, da man mit einer solchen Bonitätsauskunft gegenüber einem Vertragspartner seine Zahlungsfähigkeit und Zahlungswilligkeit unter Beweis stellen kann.

Recht auf Berichtigung, Einschränkung oder Löschung („Recht auf Vergessenwerden“)

Wenn die über den Betroffenen gespeicherten Daten fehlerhaft sind, dann besteht ein Anspruch auf Berichtigung. Zudem hat der Betroffene das Recht seine Daten Löschen zu lassen, wenn diese nicht mehr gespeichert werden dürfen. Dies ist immer dann der Fall, wenn die Notwendigkeit nicht mehr gegeben ist oder der Betroffene seine Einwilligung zur Datenverarbeitung widerrufen hat.

Wenn Daten nicht gelöscht werden können, dann besteht das Recht auf Einschränkung der Verarbeitung. Eine Löschung der Daten ist immer dann nicht möglich, wenn sie nach bestimmten Rechtsvorschriften (z.B. bei Rechnungen für den steuerlichen Nachweis) noch länger gespeichert werden müssen.

Im BDSG wird das Recht auf Löschung in § 35 BDSG konkretisiert. Wenn eine Löschung der Daten wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist, dann müssen die Daten nicht gelöscht werden.

Die Datenschutzgrundverordnung regelt das Recht auf Berichtigung in Art. 16 DSGVO und das Recht auf Löschung ("Recht auf Vergessenwerden") in Art. 17 DSGVO. Gemäß Art. 17 müssen die Daten von Betroffenen gelöscht werden, wenn:

die Speicherung nicht mehr notwendig ist
der Betroffene seine Einwilligung widerrufen hat
die Daten unrechtmäßig verarbeitet wurden
eine Rechtspflicht zum Löschen nach EU- oder nationalem Recht besteht

Das Recht auf Vergessenwerden findet hingegen keine Anwendung wenn:

das Recht auf freie Meinungsäußerung und Information überwiegt
eine rechtliche Verpflichtung die Verarbeitung der Daten erfordert
das öffentliche Interesse im Bereich der öffentlichen Gesundheit überwiegt
Archivzwecke, wissenschaftliche oder historische Forschungszwecke überwiegen
die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist

Recht auf Einschränkung der Verarbeitung

Betroffenen räumt die Datenschutzgrundverordnung in Art. 18 DSGVO das Recht auf Einschränkung der Verarbeitung ein. Betroffene haben das Recht die Verarbeitung einzuschränken, wenn:

die Richtigkeit der Daten bestritten wird, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht die Daten zu prüfen
die Verarbeitung unrechtmäßig ist, aber die betroffene Person die Löschung ablehnt und stattdessen die Einschränkung verlangt
die Daten nicht länger benötigt werden, aber die betroffene Person sie noch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt
ein Widerspruch des Betroffenen gemäß Art. 21 DSGVO vorliegt

Recht auf Datenübertragbarkeit

Mit der Datenschutzgrundverordnung erhalten die Betroffenen erstmalig das Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Dieses neue Recht ermöglicht es den Betroffenen die von ihnen zur Verfügung gestellten Daten von einer automatisierten Anwendung (z.B. einem sozialen Netzwerk) auf eine andere automatisierte Anwendung zu übertragen. Dies soll Betroffenen mehr Freiheiten geben mit ihren Daten von einem Anbieter zu einem anderen zu wechseln.

Anspruch auf Schadensersatz & Schmerzensgeld

Fügt eine verantwortliche Stelle dem Betroffenen durch eine unzulässige oder unrichtige Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten einen Schaden zu, ist sie oder ihr Träger dem Betroffenen zum Schadensersatz verpflichtet. (Art. 82 DSGVO)

Das Verschulden wird dabei bei der verantwortlichen Stelle vermutet. Das bedeutet, dass diese Beweise dafür erbringen muss, dass Sie den Schaden nicht verschuldet hat.

Sind dabei mehrere Stellen speicherungsberechtigt und ist der Geschädigte nicht in der Lage die speichernde Stelle festzustellen, so haftet jede dieser Stellen.

In Art. 82 DSGVO sieht die Datenschutzgrundverordnung nun auch erstmals Schadensersatz für immaterielle Schäden vor. Somit sind in Zukunft auch Forderungen wie z.B. Schmerzensgeld möglich.