Betroffenenrechte sind die Rechte, die die Datenschutz-Grundverordnung (DSGVO) Personen gegenüber dem Verantwortlichen einräumt, der ihre personenbezogenen Daten verarbeitet oder verarbeitet hat, etwa das Recht auf Auskunft, Berichtigung oder Löschung.
Auf einen Blick
Die DSGVO verpflichtet den Verantwortlichen, die Ausübung dieser Rechte zu erleichtern.
Informationen über die auf Antrag ergriffenen Maßnahmen sind unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen; die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.
Informationen und Maßnahmen werden unentgeltlich zur Verfügung gestellt; bei offenkundig unbegründeten oder exzessiven Anträgen kann der Verantwortliche unter anderem ein angemessenes Entgelt verlangen.
Was sind Betroffenenrechte?
Betroffenenrechte regeln, was eine Person von dem Verantwortlichen verlangen kann, der ihre personenbezogenen Daten verarbeitet. Zu diesen Rechten zählen unter anderem das Auskunftsrecht nach Art. 15 DSGVO, das Recht auf Berichtigung, das Recht auf Löschung, das Recht auf Einschränkung der Verarbeitung und das Widerspruchsrecht. Nach Darstellung des BfDI ermöglichen diese Rechte, Informationen über die genaue Verarbeitung der Daten zu erhalten und die Verarbeitung gegebenenfalls zu beenden. Laut BfDI kann das Auskunftsrecht mit formlosem Antrag und ohne Begründung gegenüber dem Verantwortlichen geltend gemacht werden.
Werden personenbezogene Daten bei einem Versicherer durch eine Datenpanne kompromittiert, können betroffene Personen ihre Betroffenenrechte geltend machen, etwa das Auskunftsrecht oder das Recht auf Löschung. Die Löschung kann verlangt werden, wenn einer der in Art. 17 DSGVO genannten Gründe zutrifft; Ausnahmen regelt Art. 17 Abs. 3 DSGVO, etwa soweit die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information erforderlich ist. Die Benachrichtigung über die Datenpanne selbst ist dagegen eine Pflicht des Verantwortlichen nach Art. 34 DSGVO und besteht, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat; Art. 34 Abs. 3 DSGVO sieht Ausnahmen vor, etwa bei geeigneten Sicherheitsvorkehrungen wie Verschlüsselung, durch die die Daten für Unbefugte unzugänglich gemacht werden.
Wie werden Betroffenenrechte geltend gemacht?
Eine betroffene Person richtet ihren Antrag an den Verantwortlichen, der ihr die Informationen über die ergriffenen Maßnahmen unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellt; diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Über eine Fristverlängerung unterrichtet der Verantwortliche die betroffene Person innerhalb eines Monats nach Eingang des Antrags, zusammen mit den Gründen für die Verzögerung. Wird der Verantwortliche auf den Antrag hin nicht tätig, unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen. Beim Auskunftsrecht nach Art. 15 DSGVO stellt der Verantwortliche außerdem eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung; das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
Die Informationen und Maßnahmen werden unentgeltlich zur Verfügung gestellt; bei offenkundig unbegründeten oder exzessiven Anträgen darf der Verantwortliche unter anderem ein angemessenes Entgelt verlangen. Laut BfDI umfasst das Auskunftsrecht beispielsweise auch die geführte Kommunikation und interne Vermerke, soweit diese personenbezogene Daten der betroffenen Person enthalten.
Welche Betroffenenrechte habe ich?
| Recht | Was es umfasst |
|---|---|
| Auskunft (Art. 15 DSGVO) | Bestätigung, ob personenbezogene Daten verarbeitet werden, Auskunft über diese Daten und weitere Informationen sowie eine Kopie der Daten. |
| Berichtigung (Art. 16 DSGVO) | Unverzügliche Berichtigung unrichtiger personenbezogener Daten, die die betroffene Person betreffen. |
| Löschung (Art. 17 DSGVO) | Unverzügliche Löschung der Daten, sofern einer der in der Vorschrift genannten Gründe zutrifft; Ausnahmen gelten etwa zur Ausübung des Rechts auf freie Meinungsäußerung und Information. |
| Einschränkung (Art. 18 DSGVO) | Einschränkung der Verarbeitung, wenn eine der in der Vorschrift genannten Voraussetzungen vorliegt, etwa solange die betroffene Person die Richtigkeit der Daten bestreitet und der Verantwortliche sie überprüft. |
| Datenübertragbarkeit (Art. 20 DSGVO) | Erhalt der bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format, wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt; das Recht gilt nicht für eine Verarbeitung, die für die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. |
| Widerspruch (Art. 21 DSGVO) | Jederzeit möglich aus Gründen der besonderen Situation, wenn die Verarbeitung auf Art. 6 Abs. 1 Buchstabe e oder f DSGVO beruht; bei Direktwerbung besteht das Recht jederzeit. |
| Automatisierte Entscheidung (Art. 22 DSGVO) | Laut DSGVO besteht das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder in ähnlicher Weise erheblich beeinträchtigt; Ausnahmen regelt Art. 22 Abs. 2. |
Was muss der Verantwortliche bei Betroffenenrechten beachten?
Vorbeugen
- Die Ausübung der Rechte nach den Artikeln 15 bis 22 DSGVO erleichtern (Art. 12 Abs. 2 DSGVO).
- Informationen und Mitteilungen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache übermitteln (Art. 12 Abs. 1 DSGVO).
- Informationen über die auf Antrag ergriffenen Maßnahmen unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellen; die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist (Art. 12 Abs. 3 DSGVO).
Beispiele aus der Praxis
- Eine Person verlangt von einem Verantwortlichen eine Bestätigung darüber, ob er sie betreffende personenbezogene Daten verarbeitet, und im bejahenden Fall Auskunft über diese Daten nach Art. 15 DSGVO.
- Eine Person verlangt nach Art. 17 DSGVO die Löschung ihrer personenbezogenen Daten; der Verantwortliche ist zur unverzüglichen Löschung verpflichtet, sofern einer der in Art. 17 Abs. 1 DSGVO genannten Gründe zutrifft und keine Ausnahme nach Art. 17 Abs. 3 DSGVO greift.
- Sind Daten von Versicherten durch eine Datenpanne kompromittiert, kann eine betroffene Person von dem Versicherer Auskunft über die zu ihr gespeicherten Daten verlangen oder, wenn ein Löschungsgrund nach Art. 17 DSGVO zutrifft und keine Ausnahme greift, deren Löschung.
