Was sind Betroffenenrechte?
Betroffenenrechte geben jeder Person, deren Daten ein Unternehmen verarbeitet, einen durchsetzbaren Anspruch. Die Person kann erfahren, was mit ihren Daten geschieht, und auf diese Verarbeitung einwirken.
Die Rechte stehen in Kapitel III der Verordnung (EU) 2016/679 (DSGVO). Art. 12 regelt Form und Frist, Art. 15 bis 22 die einzelnen Rechte und Art. 23 die Beschränkungen. Wie die Rechte mit Rechtsgrundlagen, Verzeichnis und Meldepflichten zusammenhängen, ordnet der DSGVO-Leitfaden für Unternehmen ein.
Von den Betroffenenrechten zu trennen sind die Informationspflichten nach Art. 13 und 14 DSGVO. Sie entstehen bei der Erhebung der Daten, ohne Antrag. Ein Betroffenenrecht wird erst durch den Antrag der Person ausgelöst.
Sieben Rechte in Art. 15 bis 22 DSGVO
Die DSGVO kennt sieben Rechte, die eine Person per Antrag geltend macht. Art. 19 ist kein eigenes Recht, sondern eine Mitteilungspflicht, die an drei von ihnen anknüpft.
| Recht | Fundstelle | Inhalt |
|---|---|---|
| Auskunft | Art. 15 | Bestätigung, Auskunft über die Daten und Kopie |
| Berichtigung | Art. 16 | Korrektur unrichtiger und Vervollständigung unvollständiger Daten, auch mittels ergänzender Erklärung |
| Löschung | Art. 17 | Löschung, sobald einer der Gründe aus Abs. 1 vorliegt, etwa weil der Zweck entfallen ist |
| Einschränkung der Verarbeitung | Art. 18 | Die Daten bleiben gespeichert, dürfen aber nur noch in den Fällen des Abs. 2 verarbeitet werden |
| Datenübertragbarkeit | Art. 20 | Herausgabe der selbst bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format |
| Widerspruch | Art. 21 | Einwand gegen Verarbeitungen nach Art. 6 Abs. 1 Buchst. e oder f; gegen Direktwerbung ohne Abwägung |
| Keine rein automatisierte Entscheidung | Art. 22 | Schutz vor ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung |
Daneben stehen der Widerruf einer Einwilligung nach Art. 7 Abs. 3 und die Beschwerde bei einer Aufsichtsbehörde nach Art. 77. Alle sieben Rechte laufen über dieselbe Frist aus Art. 12, ein Eingangsprozess genügt deshalb, wenn er jedes davon erkennt.
Art. 15 DSGVO: Bestätigung, acht Angaben und eine Kopie
Art. 15 Abs. 1 DSGVO gibt der Person einen Anspruch auf Bestätigung, ob Daten über sie verarbeitet werden, und in diesem Fall auf Auskunft über die Daten und auf acht Angaben:
- Verarbeitungszwecke (Buchst. a)
- Kategorien der verarbeiteten Daten (Buchst. b)
- Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern (Buchst. c)
- geplante Speicherdauer oder die Kriterien dafür (Buchst. d)
- Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch (Buchst. e)
- Beschwerderecht bei einer Aufsichtsbehörde (Buchst. f)
- Herkunft der Daten, wenn sie nicht bei der Person erhoben wurden (Buchst. g)
- automatisierte Entscheidungsfindung einschließlich Profiling, mit aussagekräftigen Informationen über die involvierte Logik (Buchst. h)
Bei Übermittlungen in ein Drittland kommt nach Abs. 2 die Information über die geeigneten Garantien nach Art. 46 hinzu. Nach Abs. 3 stellt der Verantwortliche eine Kopie der Daten bereit, bei elektronischem Antrag in einem gängigen elektronischen Format.
Welche Fristen gelten für Betroffenenanfragen?
Art. 12 Abs. 3 DSGVO verpflichtet den Verantwortlichen, unverzüglich zu antworten, spätestens aber einen Monat nach Eingang des Antrags.
| Vorgang | Frist | Fundstelle |
|---|---|---|
| Antwort auf den Antrag | unverzüglich, spätestens 1 Monat nach Eingang | Art. 12 Abs. 3 Satz 1 |
| Verlängerung wegen Komplexität oder Anzahl der Anträge | um weitere 2 Monate | Art. 12 Abs. 3 Satz 2 |
| Mitteilung der Verlängerung samt Gründen | innerhalb 1 Monats nach Eingang | Art. 12 Abs. 3 Satz 3 |
| Mitteilung, dass nicht tätig geworden wird, samt Gründen | ohne Verzögerung, spätestens 1 Monat nach Eingang | Art. 12 Abs. 4 |
Die Verlängerung setzt voraus, dass die Person innerhalb des ersten Monats von ihr erfährt. Eine ganze oder teilweise Ablehnung nennt die Gründe. Sie weist zudem auf die Beschwerde bei einer Aufsichtsbehörde und auf den gerichtlichen Rechtsbehelf hin. Wer den Antrag elektronisch stellt, wird nach Möglichkeit elektronisch unterrichtet (Art. 12 Abs. 3 Satz 4).
Art. 19: Empfänger erfahren von Berichtigung und Löschung
Art. 19 DSGVO verpflichtet den Verantwortlichen, jede Berichtigung, Löschung und Einschränkung allen Empfängern mitzuteilen, denen er die Daten offengelegt hat. Ausgenommen ist nur, was sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordert. Verlangt die Person es, nennt der Verantwortliche ihr diese Empfänger.
Die Pflicht setzt voraus, dass die konkreten Empfänger bekannt sind. Das Verzeichnis nach Art. 30 Abs. 1 Buchst. d führt nur Kategorien von Empfängern und reicht dafür nicht aus. Wer sich auf den unverhältnismäßigen Aufwand beruft, hält die Gründe fest, denn Art. 5 Abs. 2 legt ihm die Rechenschaftspflicht auf.
Darf man vor einer Auskunft einen Ausweis verlangen?
Zusätzliche Angaben zur Identität darf der Verantwortliche nur bei begründeten Zweifeln anfordern, und nur so viele, wie zur Bestätigung erforderlich sind (Art. 12 Abs. 6 DSGVO). Eine Ausweisprüfung bei jedem Antrag deckt die Vorschrift nicht. Sie nennt zudem nur Anträge nach Art. 15 bis 21; Art. 22 fehlt im Wortlaut.
Der Europäische Datenschutzausschuss hält eine Ausweiskopie für unverhältnismäßig, wenn die Person bereits authentifiziert ist, etwa über ihr Kundenkonto (Leitlinien 01/2022 zum Auskunftsrecht, Rn. 73). Als Alternativen nennt er Bestätigungslinks per E-Mail oder SMS, Sicherheitsfragen und Bestätigungscodes (Rn. 75). Eine Ausweiskopie erhebt zudem zusätzliche Daten und steht damit in Spannung zur Datenminimierung.
Sechs Grenzen und was trotzdem gilt
Jedes Betroffenenrecht hat eine gesetzliche Grenze, und keine davon erlaubt es, einen Antrag unbeantwortet zu lassen.
| Grenze | Fundstelle | Pflicht des Verantwortlichen |
|---|---|---|
| Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Urheberrecht an Software | Art. 15 Abs. 4, ErwG 63 | Schutzwürdige Teile ausnehmen; jegliche Auskunft zu verweigern, ist ausgeschlossen |
| Große Menge an Informationen über die Person | ErwG 63 | Um Präzisierung bitten, auf welche Informationen sich der Antrag bezieht |
| Gesetzliche Aufbewahrungspflicht | Art. 17 Abs. 3 Buchst. b | Nicht löschen, soweit die Pflicht reicht; die aufbewahrten Daten bleiben Gegenstand der Auskunft (EDPB, Rn. 109) |
| Übertragbarkeit nur bei Einwilligung oder Vertrag und automatisierter Verarbeitung | Art. 20 Abs. 1 | Bei anderer Rechtsgrundlage entfällt nur die Übertragbarkeit; Art. 15 kennt diese Bedingung nicht |
| Offenkundig unbegründete oder exzessive Anträge | Art. 12 Abs. 5 | Angemessenes Entgelt verlangen oder ablehnen; den Nachweis trägt der Verantwortliche |
| Beschränkungen durch Unions- oder nationales Recht, in Deutschland im Bundesdatenschutzgesetz | Art. 23 | Im Einzelfall rechtlich prüfen, ob eine Beschränkung greift |
Eine Grenze rechtfertigt eine Teilantwort mit Begründung.
Wie findet man alle Daten einer Person?
Ein Auskunftsersuchen lässt sich nur vollständig beantworten, wenn feststeht, in welchen Systemen die Daten der Person liegen. Ausgangspunkt sind das Verzeichnis von Verarbeitungstätigkeiten, das Systeminventar und die Liste der Auftragsverarbeiter. Prüfen Sie neben dem führenden System diese Ablageorte:
- Exporte in Tabellen und Berichtsdatenbanken
- persönliche Postfächer und Ablagen von Beschäftigten
- Ticket- und Bewerbersysteme
- Protokolldaten
- Testumgebungen mit Produktivdaten
- Datensicherungen
Für die Auftragsverarbeitung verlangt Art. 28 Abs. 3 Buchst. e einen Vertrag, nach dem der Dienstleister den Verantwortlichen bei der Beantwortung von Betroffenenanträgen unterstützt. Legen Sie darin Ansprechstelle, Reaktionszeit und Lieferformat fest. Die Monatsfrist läuft auch, während Sie auf den Dienstleister warten.
Personenbezogene Daten im Asset-Register von Rizzqo
Rizzqo bildet im Asset-Register ab, in welchen Systemen personenbezogene Daten liegen, und damit den Suchraum für ein Auskunftsersuchen nach Art. 15 DSGVO. Primäre Assets wie Informationen, Services und Geschäftsprozesse tragen das Kennzeichen für personenbezogene Daten. Die sekundären Assets, die sie unterstützen, etwa Software, Server und Cloud-Dienste, erben dieses Kennzeichen und die Vertraulichkeitseinstufung. Die am Asset hinterlegte zuständige Person stellt die Daten aus diesem System für die Antwort zusammen.