Betroffenenrechte DSGVO: Übersicht, Fristen und Umsetzung

Die Betroffenenrechte nach der DSGVO sind die Rechte, mit denen Personen die Kontrolle über ihre personenbezogenen Daten behalten: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Schutz vor automatisierten Entscheidungen (Art. 15 bis 22 DSGVO). Dazu kommen der Widerruf einer Einwilligung und die Beschwerde bei der Aufsichtsbehörde. Unternehmen müssen Anfragen in der Regel innerhalb eines Monats beantworten. Dieser Beitrag ersetzt keine Rechtsberatung.

Das Wichtigste in Kürze

• Die Betroffenenrechte stehen in Kapitel 3 der DSGVO, die Rechte im engeren Sinn in Art. 15 bis 22.
• Anträge sind formlos möglich und müssen meist nicht begründet werden. Eine Ausnahme ist der Widerspruch nach Art. 21 Abs. 1.
• Unternehmen müssen in der Regel innerhalb eines Monats antworten, in komplexen Fällen ist eine Verlängerung um zwei Monate möglich.
• Auskunft und Kopie sind grundsätzlich kostenlos. Bei offenkundig unbegründeten oder exzessiven Anträgen sind Gebühr oder Ablehnung möglich.
• Nicht jedes Recht gilt unbegrenzt. Aufbewahrungspflichten und Rechte Dritter können Grenzen setzen.

Welche Betroffenenrechte gibt es nach der DSGVO?

Die Rechte der betroffenen Personen sind in Kapitel 3 der DSGVO geregelt. Eine betroffene Person ist jeder Mensch, dessen personenbezogene Daten verarbeitet werden, also zum Beispiel Kundinnen, Beschäftigte, Bewerber oder Newsletter-Abonnenten. Die Rechte gelten gegenüber jedem Unternehmen, das solche Daten verarbeitet. Das gilt auch für Unternehmen außerhalb der EU, die Daten von Personen in der EU verarbeiten. Die Übersicht:

Art. 19 ergänzt eine Mitteilungspflicht: Hat ein Unternehmen Daten an Empfänger weitergegeben, muss es diese über Berichtigung, Löschung oder Einschränkung informieren, sofern das nicht unmöglich ist oder einen unverhältnismäßigen Aufwand bedeutet.

Wie funktioniert das Auskunftsrecht nach Art. 15 DSGVO?

Mit dem Auskunftsrecht kann eine Person erfragen, ob ein Unternehmen Daten über sie verarbeitet. Falls ja, hat sie Anspruch auf Auskunft über die Daten selbst, die Zwecke, die Kategorien, die Empfänger, die geplante Speicherdauer und die Herkunft der Daten. Außerdem muss das Unternehmen eine Kopie der Daten bereitstellen.

Der Antrag ist formlos und braucht keine Begründung. Die erste Kopie ist kostenlos. Für weitere Kopien darf ein angemessenes Entgelt verlangt werden. Das Unternehmen darf die Identität prüfen, um zu verhindern, dass Daten an Unbefugte gehen. Dabei dürfen nur Angaben verlangt werden, die dafür nötig sind. Bei der Auskunft sind die Rechte Dritter zu beachten, zum Beispiel müssen Daten anderer Personen in Unterlagen geschwärzt werden.

Was bedeuten Berichtigung, Löschung und Einschränkung?

Berichtigung (Art. 16)

Falsche oder unvollständige Daten müssen unverzüglich korrigiert werden. Typische Fälle sind ein falsch geschriebener Name oder eine veraltete Adresse.

Löschung (Art. 17)

Das Recht auf Löschung wird auch Recht auf Vergessenwerden genannt. Eine Person kann Löschung verlangen, wenn:

• die Daten für den ursprünglichen Zweck nicht mehr nötig sind,
• sie ihre Einwilligung widerruft und es keine andere Rechtsgrundlage gibt,
• sie erfolgreich Widerspruch einlegt, zum Beispiel gegen Werbung,
• die Verarbeitung unrechtmäßig war.

Das Unternehmen muss ohne schuldhaftes Zögern löschen, sobald ein Löschgrund vorliegt. Ausnahmen bestehen unter anderem bei gesetzlichen Aufbewahrungspflichten, etwa im Handels- oder Steuerrecht, oder wenn die Daten zur Verteidigung von Rechtsansprüchen nötig sind. Dann sperren Sie die Daten für andere Zwecke und löschen sie nach Ablauf der Frist. Dokumentieren Sie die Löschung, damit Sie sie nachweisen können.

Einschränkung der Verarbeitung (Art. 18)

Hier bleiben die Daten gespeichert, dürfen aber nur noch eingeschränkt genutzt werden, zum Beispiel mit Einwilligung oder zur Verfolgung von Rechtsansprüchen. Das Recht greift unter anderem, wenn die Richtigkeit der Daten bestritten wird und das Unternehmen sie prüft, wenn die Verarbeitung unrechtmäßig ist, die Person aber statt der Löschung nur die Einschränkung will, oder während der Prüfung eines Widerspruchs. Im Unterschied zur Löschung werden die Daten nicht entfernt.

Was gilt bei Datenübertragbarkeit, Widerspruch und automatisierten Entscheidungen?

Datenübertragbarkeit (Art. 20)

Betroffene können die Daten, die sie selbst bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Das Recht gilt, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt. Auf Wunsch kann die Übermittlung direkt an einen anderen Verantwortlichen erfolgen, soweit technisch machbar. Ein Beispiel ist der Wechsel des Anbieters eines Streamingdienstes mit Mitnahme der Playlisten.

Widerspruch (Art. 21)

Beruht die Verarbeitung auf berechtigtem Interesse oder auf öffentlichem Interesse, kann die Person widersprechen. Sie muss dafür Gründe nennen, die sich aus ihrer besonderen Situation ergeben. Danach darf das Unternehmen die Daten nur weiter verarbeiten, wenn es zwingende schutzwürdige Gründe nachweist oder die Daten zur Verteidigung von Rechtsansprüchen braucht. Anders ist es bei Direktwerbung: Dort genügt der Widerspruch ohne Begründung, und die Daten dürfen danach nicht mehr für Werbung genutzt werden, etwa für Werbe-E-Mails.

Automatisierte Entscheidungen (Art. 22)

Personen haben das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruht und ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Ausnahmen gibt es unter anderem, wenn die Entscheidung für einen Vertrag erforderlich ist, durch Rechtsvorschriften erlaubt ist oder auf ausdrücklicher Einwilligung beruht. Dann gelten zusätzliche Schutzmaßnahmen, etwa die Möglichkeit, eine menschliche Überprüfung zu verlangen.

Wie widerrufen Sie eine Einwilligung und wie beschweren Sie sich?

Wer eine Einwilligung erteilt hat, kann sie nach Art. 7 Abs. 3 DSGVO jederzeit widerrufen. Der Widerruf wirkt für die Zukunft. Frühere Verarbeitungen bleiben rechtmäßig. Der Widerruf muss so einfach möglich sein wie die Einwilligung, und die Person muss vorher darüber informiert werden. Ein Newsletter lässt sich deshalb mit einem Abmeldelink beenden.

Wer der Ansicht ist, dass seine Rechte verletzt wurden, kann nach Art. 77 DSGVO Beschwerde bei einer Aufsichtsbehörde einlegen. Für private Unternehmen sind in der Regel die Landesdatenschutzbehörden zuständig, für Bundesbehörden und bestimmte Dienstleister die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Daneben kann Schadensersatz nach Art. 82 DSGVO in Betracht kommen. Allgemeine Informationen auf europäischer Ebene bietet der Europäische Datenschutzausschuss. Muster und Hilfen zur Geltendmachung von Rechten bieten auch gemeinnützige Organisationen.

Wie bearbeiten Unternehmen Betroffenenanfragen richtig?

Betroffenenanfragen können formlos per E-Mail, Brief, Telefon oder über das Kontaktformular eingehen. Sie sollten deshalb jede Mitarbeiterin und jeden Mitarbeiter mit Kundenkontakt darauf vorbereiten. Ein einfacher Ablauf reicht für den Mittelstand:

1. Eingang festhalten. Notieren Sie Datum und Inhalt. Die Frist von einem Monat beginnt mit dem Eingang.
2. Identität prüfen. Fordern Sie nur die Angaben an, die Sie dafür brauchen. Bei Zweifeln dürfen Sie zusätzliche Informationen verlangen.
3. Daten zusammentragen. Prüfen Sie CRM, Buchhaltung, E-Mail-Postfächer, Newsletter-Tool, Website-Werkzeuge und Papierakten.
4. Prüfen, was gilt. Gibt es Aufbewahrungspflichten, Rechte Dritter oder Geheimhaltungspflichten, die Einschränkungen begründen?
5. Antworten. Formulieren Sie verständlich und senden Sie sensible Daten verschlüsselt. Lehnen Sie einen Antrag ab, begründen Sie das und weisen Sie auf die Beschwerdemöglichkeit hin.
6. Dokumentieren. Halten Sie fest, was Sie wann getan haben. So können Sie es bei einer Nachfrage der Aufsichtsbehörde belegen.

Die Frist beträgt nach Art. 12 Abs. 3 DSGVO einen Monat. Bei komplexen Anträgen oder vielen Anträgen kann sie um zwei weitere Monate verlängert werden. Die betroffene Person muss darüber aber innerhalb des ersten Monats mit Begründung informiert werden. Wenn Sie Anträge verspätet oder gar nicht beantworten, drohen Beschwerden und Bußgelder.

Wann dürfen Unternehmen Betroffenenrechte einschränken?

Betroffenenrechte gelten nicht grenzenlos. Die DSGVO selbst kennt Ausnahmen, etwa in Art. 17 Abs. 3 bei der Löschung. Offenkundig unbegründete oder exzessive Anträge, besonders bei häufiger Wiederholung, dürfen nach Art. 12 Abs. 5 DSGVO abgelehnt oder nur gegen ein angemessenes Entgelt bearbeitet werden. Das müssen Sie belegen können. Daneben dürfen die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden.

Auch nationales Recht kann Rechte beschränken. Für Deutschland enthält das Bundesdatenschutzgesetz einzelne Ausnahmen, zum Beispiel bei Auskunft und Löschung. Wie sich beide Gesetze zueinander verhalten, erklärt unser Beitrag zu BDSG und DSGVO. Prüfen Sie jede Ausnahme im Einzelfall und begründen Sie die Ablehnung schriftlich.

Unsere Einschätzung aus der Praxis

In kleinen und mittleren Unternehmen scheitern Betroffenenanfragen selten am Willen, sondern am Ablauf. Die Anfrage landet im allgemeinen Postfach und wird nicht erkannt, niemand ist zuständig, und niemand weiß, in welchen Systemen überhaupt Daten liegen. Dann läuft die Monatsfrist ab. Häufig wird auch zu viel oder zu wenig herausgegeben, weil Daten Dritter nicht geschwärzt werden oder pauschal die Aufbewahrungspflicht als Grund für jede Ablehnung dient. Beginnen Sie mit einer Zuständigkeit, einem kurzen Ablaufplan und einer Übersicht, wo personenbezogene Daten gespeichert sind. Mit einer einfachen Vorlage für Eingangsbestätigung und Antwort sparen Sie bei jedem Fall Zeit.

Häufige Fragen

Was sind Betroffenenrechte nach der DSGVO?

Betroffenenrechte sind die Rechte von Personen in Bezug auf ihre personenbezogenen Daten. Dazu zählen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Schutz vor automatisierten Entscheidungen. Sie stehen in Kapitel 3 der DSGVO.

Wie lange hat ein Unternehmen Zeit, eine Anfrage zu beantworten?

In der Regel einen Monat nach Eingang. Bei komplexen Anträgen kann die Frist um zwei Monate verlängert werden. Die betroffene Person muss darüber innerhalb des ersten Monats informiert werden.

Wie stelle ich eine Betroffenenanfrage am besten?

Am besten schriftlich oder per E-Mail, damit ein Nachweis vorliegt. Eine bestimmte Form ist nicht vorgeschrieben. Viele Unternehmen bieten Formulare an. Das Unternehmen darf einen Identitätsnachweis verlangen.

Kann ein Unternehmen eine Anfrage ablehnen?

Ja, in bestimmten Fällen. Beispiele sind gesetzliche Aufbewahrungspflichten bei der Löschung, Rechte Dritter oder offenkundig unbegründete beziehungsweise exzessive Anträge. Die Ablehnung muss begründet werden, und die Person ist auf die Beschwerdemöglichkeit hinzuweisen.

Muss ein Widerspruch begründet werden?

Das hängt vom Fall ab. Bei Direktwerbung ist keine Begründung nötig. Beim Widerspruch gegen eine Verarbeitung auf Grundlage eines berechtigten oder öffentlichen Interesses müssen Gründe aus der besonderen Situation der Person genannt werden.

Als nächsten Schritt empfehlen wir, einen Ablauf für Betroffenenanfragen festzulegen: wer sie entgegennimmt, wo Sie Daten suchen, wer antwortet und wie Sie die Fristen überwachen. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall. Fragen zur Umsetzung in Ihrem Unternehmen beantworten wir gern: Nehmen Sie Kontakt auf.