Betroffenenrechte

Eine Anfrage kommt selten angekündigt, oft per E-Mail an eine allgemeine Adresse, und die Uhr läuft ab dem Eingang. Betroffenenrechte sind deshalb weniger ein juristisches als ein organisatorisches Thema: Entscheidend ist, dass die Anfrage die richtige Stelle erreicht, bevor die Frist abläuft.

Erstgespräch vereinbaren

Die acht Betroffenenrechte im Überblick

Sie stehen in Art. 12 ff. DSGVO und geben Menschen Kontrolle darüber, was mit ihren Daten geschieht.

Die acht Betroffenenrechte im Überblick
Recht	Fundstelle	Worum es geht
Transparente Information	Art. 13, 14	Bei der Erhebung ist über Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und die eigenen Rechte zu informieren
Auskunft	Art. 15	Bestätigung, ob verarbeitet wird, Auskunft über die Einzelheiten und eine Kopie der Daten
Berichtigung	Art. 16	Falsche Daten korrigieren, unvollständige ergänzen
Löschung	Art. 17	Daten entfernen, wenn der Zweck entfallen ist oder die Verarbeitung unrechtmäßig war
Einschränkung	Art. 18	Daten dürfen gespeichert, aber nicht weiter verarbeitet werden
Datenübertragbarkeit	Art. 20	Herausgabe in einem gängigen, maschinenlesbaren Format
Widerspruch	Art. 21	Gegen Verarbeitungen, die auf berechtigtem Interesse oder öffentlicher Aufgabe beruhen
Automatisierte Entscheidung	Art. 22	Kein Unterwerfen unter eine Entscheidung, die ausschließlich automatisiert ergeht

Hinzu kommt eine Pflicht, die häufig übersehen wird: Nach Art. 19 DSGVO müssen Sie jeden Empfänger, dem Sie die Daten offengelegt haben, über eine Berichtigung, Löschung oder Einschränkung unterrichten. In der Praxis ist das der aufwendigere Teil – vorausgesetzt, Sie wissen überhaupt, wer die Daten erhalten hat. Genau dafür führen Sie das Verarbeitungsverzeichnis.

Die Frist ist der kritische Teil

Nach Art. 12 Abs. 3 DSGVO ist unverzüglich zu antworten, in jedem Fall binnen eines Monats nach Eingang. Ist die Anfrage komplex oder liegen mehrere vor, lässt sich die Frist um zwei weitere Monate verlängern – aber nur, wenn Sie die betroffene Person innerhalb des ersten Monats über die Verlängerung und ihre Gründe unterrichten. Wer diese Mitteilung versäumt, hat die Verlängerung nicht.

Gerissen werden Fristen fast nie aus Unwissenheit. Der übliche Ablauf: Die Anfrage geht an info@, jemand aus dem Vertrieb liest sie, hält sie für eine Kundenbeschwerde und legt sie zur Seite. Drei Wochen später fällt sie wieder auf.

Was dagegen hilft, ist nüchtern und wirksam:

Eine bekannte Adresse, die in der Datenschutzerklärung steht und tatsächlich gelesen wird
Eine Eingangsregel: Wer eine solche Anfrage erkennt, leitet sie sofort weiter – auch bei Zweifeln
Ein Vorgang mit Frist, nicht ein Vermerk in einem Postfach. Im Datenschutzmanagementsystem läuft die Frist automatisch mit
Eine Identitätsprüfung mit Augenmaß. Bei begründeten Zweifeln dürfen Sie zusätzliche Informationen anfordern – aber Sie dürfen dabei nicht mehr Daten erheben, als Sie ohnehin haben

Was bei einer Auskunft zu beantworten ist

Die Auskunft nach Art. 15 DSGVO ist die häufigste Anfrage. Zu beantworten sind:

Welche Daten dieser Person verarbeiten Sie, aus welchen Kategorien?
Woher stammen sie, wenn nicht von der Person selbst?
Zu welchem Zweck werden sie verarbeitet, auf welcher Rechtsgrundlage?
Wer hat sie erhalten oder wird sie erhalten – auch außerhalb der EU?
Wie lange werden sie gespeichert, nach welchen Kriterien?
Findet eine automatisierte Entscheidungsfindung statt?

Dazu gehören die Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten sowie der Hinweis auf die übrigen Rechte und auf das Beschwerderecht. Und: eine Kopie der verarbeiteten Daten.

Ein praktischer Hinweis zur Kopie. Sie umfasst nicht nur das CRM. Zu prüfen sind auch Postfächer, Ticketsysteme, Personalakten und Sicherungskopien – und dabei ist zu beachten, dass die Rechte anderer Personen nicht beeinträchtigt werden dürfen. Wer diese Suche zum ersten Mal führt, braucht dafür länger als einen Monat. Deshalb lohnt es sich, den Weg einmal zu üben, bevor die erste Anfrage kommt.

Widerspruch und Widerruf sind zweierlei

Diese beiden werden regelmäßig verwechselt – auch in Fachtexten.

Der Widerruf der Einwilligung steht in Art. 7 Abs. 3 DSGVO. Er ist jederzeit und ohne Begründung möglich und wirkt für die Zukunft. Er betrifft nur Verarbeitungen, die tatsächlich auf einer Einwilligung beruhen – also etwa den Newsletter, nicht die Vertragsabwicklung.

Der Widerspruch steht in Art. 21 DSGVO und betrifft Verarbeitungen auf Grundlage eines berechtigten Interesses oder einer öffentlichen Aufgabe. Hier gilt:

Nach Absatz 1 muss die betroffene Person Gründe aus ihrer besonderen Situation vorbringen. Die Verarbeitung endet, wenn Sie keine zwingenden schutzwürdigen Gründe nachweisen können, die überwiegen. Es ist also eine Abwägung, kein Automatismus.
Nach Absatz 2 gilt bei Direktwerbung etwas anderes: Dort ist der Widerspruch unbedingt. Keine Begründung, keine Abwägung – die Verarbeitung zu Werbezwecken endet.

Wer beides gleichsetzt, macht einen von zwei Fehlern: Entweder stellt er Werbung nicht ein, obwohl er müsste, oder er beendet eine zulässige Verarbeitung, die er hätte fortführen dürfen.

Löschung ist meist keine Frage des Antrags

Ein Missverständnis, das teuer wird: Die Pflicht zur Löschung entsteht überwiegend von selbst, nicht erst auf Verlangen. Zu löschen ist, wenn der Zweck erfüllt ist, die Aufbewahrungsfrist abgelaufen ist, die Erhebung unrechtmäßig war oder eine Rechtspflicht es verlangt. Nur einer der Löschgründe des Art. 17 DSGVO setzt einen Antrag voraus.

Praktisch bedeutet das: Ohne ein Löschkonzept mit Fristen je Datenart verletzen Sie diese Pflicht laufend, ohne dass es jemand bemerkt – bis eine Auskunftsanfrage zutage fördert, was alles noch gespeichert ist.

Gegenläufig wirken die gesetzlichen Aufbewahrungsfristen. Handels- und steuerrechtlich aufbewahrungspflichtige Unterlagen dürfen nicht gelöscht werden; hier greift stattdessen die Einschränkung der Verarbeitung nach Art. 18 DSGVO.

Wo die Rechte enden

Betroffenenrechte gelten nicht unbegrenzt. Die wichtigsten Grenzen:

Gesetzliche Aufbewahrungspflichten gehen dem Löschverlangen vor
Rechte Dritter begrenzen die Auskunft, etwa wenn ein Dokument auch Daten anderer Personen enthält
Geschäftsgeheimnisse können der Herausgabe entgegenstehen, rechtfertigen aber keine pauschale Verweigerung
Rechtsansprüche: Daten, die zur Geltendmachung oder Verteidigung benötigt werden, bleiben verarbeitbar
Offenkundig unbegründete oder exzessive Anträge dürfen abgelehnt werden – die Beweislast dafür liegt bei Ihnen, und die Hürde ist hoch

Wichtig ist, wie Sie eine Ablehnung aussprechen: begründet, mit Hinweis auf das Beschwerderecht und die Möglichkeit gerichtlichen Rechtsschutzes. Eine unbegründete Ablehnung ist schlechter als eine späte Antwort – die Aufsichtsbehörde muss tätig werden, wenn sich eine betroffene Person beschwert (Art. 57 Abs. 1 lit. f DSGVO).

Eine behördliche Übersicht zu allen Rechten bietet der Leitfaden des BfDI.

Was wir übernehmen

Den Ablauf einrichten. Eingangsweg, Zuständigkeit, Fristenüberwachung, Vorlagen für Bestätigung, Auskunft und begründete Ablehnung.

Die Einzelfallprüfung. Ob ein Anspruch besteht, wie weit er reicht und was einer Auskunft entgegensteht – die Fälle, bei denen intern niemand entscheiden will.

Die Bearbeitung selbst. Sind wir als externer Datenschutzbeauftragter benannt, laufen Anfragen bei uns auf. Das entlastet nicht nur – es nimmt auch die unangenehme Konstellation heraus, in der ein Beschäftigter über die Daten eines Kollegen entscheiden soll.

Alle Beratungsthemen im Überblick: Datenschutzberatung.

Kontakt

Ihnen liegt eine Anfrage vor und die Frist läuft? Dann ist der erste Schritt, den Eingang zu bestätigen – alles Weitere klären wir im Gespräch.