Die Datenschutz-Grundverordnung (DSGVO) gibt betroffenen Personen umfassende Rechte, damit sie nachvollziehen und kontrollieren können, wie ihre personenbezogenen Daten verarbeitet werden. Unternehmen müssen diese Rechte kennen und Anfragen rechtzeitig sowie entsprechend den gesetzlichen Vorgaben bearbeiten.
Eine fehlerhafte oder verspätete Bearbeitung kann zu Beschwerden bei den Datenschutzaufsichtsbehörden, Bußgeldern und Vertrauensverlust führen. Deshalb sollten Unternehmen klare Prozesse für den Umgang mit Betroffenenanfragen etablieren. Im Folgenden finden Sie einen Überblick über die wichtigsten Betroffenenrechte nach der DSGVO und was bei deren Umsetzung zu beachten ist.
Die nachfolgenden Betroffenenrechte (DSGVO) von Personen, sollten Sie als Unternehmer unbedingt beachten:
RECHT AUF AUSKUNFT:
Jede betroffene Person hat nach Art. 15 DSGVO das Recht zu erfahren, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck. Auf Anfrage muss das Unternehmen außerdem eine Kopie der verarbeiteten personenbezogenen Daten bereitstellen.
Unternehmen müssen Auskunftsersuchen grundsätzlich innerhalb eines Monats beantworten. Bei besonders komplexen Anfragen kann die Frist um bis zu zwei weitere Monate verlängert werden.
RECHT AUF BERECHTIGUNG:
Sind personenbezogene Daten unrichtig oder unvollständig, hat die betroffene Person nach Art. 16 DSGVO das Recht, deren Berichtigung oder Vervollständigung zu verlangen.
Unternehmen sollten solche Anfragen unverzüglich und in der Regel innerhalb eines Monats bearbeiten, damit die gespeicherten Daten korrekt und aktuell bleiben.
RECHT AUF LÖSCHUNG:
Betroffene Personen haben nach Art. 17 DSGVO das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, sofern keine gesetzliche Aufbewahrungspflicht oder andere rechtliche Gründe einer Löschung entgegenstehen.
Unternehmen sollten Löschanfragen unverzüglich und in der Regel innerhalb eines Monats bearbeiten. Bestehen gesetzliche Aufbewahrungspflichten – beispielsweise für Lohnabrechnungen – dürfen die Daten erst nach Ablauf dieser Fristen gelöscht werden.
RECHT AUF EINSCHRÄNKUNG DER VERARBEITUNG:
Betroffene Personen haben nach Art. 18 DSGVO das Recht, die Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu verlangen. Dies ist unter anderem in folgenden Fällen möglich:
- wenn die Richtigkeit der Daten bestritten wird, bis diese überprüft wurde,
- wenn die Daten für den ursprünglichen Zweck nicht mehr benötigt werden, jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind,
- wenn die betroffene Person Widerspruch gegen die Verarbeitung eingelegt hat und noch nicht feststeht, ob die berechtigten Interessen des Unternehmens überwiegen.
Unternehmen sollten entsprechende Anfragen unverzüglich prüfen und die Verarbeitung einschränken, solange die gesetzlichen Voraussetzungen erfüllt sind.
RECHT AUF DATENÜBERTRAGBARKEIT:
Betroffene Personen haben nach Art. 20 DSGVO das Recht, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übertragen zu lassen.
Unternehmen sollten entsprechende Anfragen grundsätzlich innerhalb eines Monats bearbeiten und die Daten in einem geeigneten Format bereitstellen.
WIDERSPRUCHSRECHT:
Betroffene Personen haben nach Art. 21 DSGVO das Recht, Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten einzulegen, wenn diese auf einem berechtigten Interesse, der Wahrnehmung öffentlicher Aufgaben oder Profiling beruht.
Unternehmen sollten den Widerspruch unverzüglich prüfen und die Verarbeitung einstellen, sofern keine zwingenden schutzwürdigen Gründe für die weitere Verarbeitung vorliegen.
RECHT AUF INFORMATION:
Wesentlicher Bestandteil des Datenschutzes ist, dass jede Person zum Zeitpunkt in der Daten erhoben werden, ausreichend über die Tragweite der Datenverarbeitung informiert wird. Dies geschieht in aller Regel durch den Einsatz von Datenschutzerklärungen.
In dieser sind alle Informationen über die Datenverarbeitung in einer einfachen Sprache und leicht zugänglicher Weise zu geben. Der Mindestinhalt einer Datenschutzerklärung ist in Art. 13 DSGVO vorgegeben.
RECHT, NICHT AUSSCHLIESSLICH EINER AUTOMATISIERTEN ENTSCHEIDUNG UNTERWORFEN ZU WERDEN
Nach Art. 22 DSGVO haben betroffene Personen das Recht, nicht ausschließlich einer automatisierten Entscheidung – einschließlich Profiling – unterworfen zu werden, wenn diese rechtliche oder ähnlich erhebliche Auswirkungen auf sie hat. Unternehmen dürfen solche Entscheidungen nur unter den gesetzlich geregelten Voraussetzungen treffen und müssen geeignete Schutzmaßnahmen gewährleisten.
Betroffene können verlangen, dass eine natürliche Person die Entscheidung überprüft, ihren eigenen Standpunkt darlegen und die Entscheidung anfechten kann. Unternehmen sollten deshalb prüfen, ob automatisierte Entscheidungsprozesse eingesetzt werden und sicherstellen, dass die Anforderungen der DSGVO eingehalten werden.
MERKE:
Mindestangaben einer Datenschutzerklärung nach Art. 13 DSGVO
- Name und Kontaktdaten der verantwortlichen Stelle
- ggf. Kontaktdaten des Datenschutzbeauftragten
- Zweck der Verarbeitung
- Rechtsgrundlage der Verarbeitung
- Dauer und Speicherung für die Verarbeitung
- Ob und wohin die Daten weitergegeben werden
- Auflistung der Betroffenenrechte
- Bestehen eines Beschwerderechts gegenüber der Aufsichtsbehörde
