Betroffenenrechte nach Art. 15–22 DSGVO im Überblick

Die Rechte betroffener Personen auf einen Blick

Kapitel III der Datenschutz-Grundverordnung (DSGVO) regelt in den Art. 12 bis 22 die Rechte der betroffenen Person — also der Person, deren personenbezogene Daten verarbeitet werden. Für die Praxis und für die Zertifizierungsprüfung zum Datenschutzbeauftragten sind vor allem die Art. 15 bis 22 zentral. Sie stehen jeder betroffenen Person zu und müssen vom Verantwortlichen erfüllt werden.

Art. 15 — Auskunftsrecht

Nach Art. 15 DSGVO kann eine Person zunächst eine Bestätigung verlangen, ob sie betreffende Daten verarbeitet werden. Ist das der Fall, hat sie ein Recht auf Auskunft über diese Daten und eine Reihe von Pflichtinformationen: unter anderem die Verarbeitungszwecke, die Kategorien der verarbeiteten Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer, das Bestehen von Rechten auf Berichtigung oder Löschung, das Beschwerderecht bei einer Aufsichtsbehörde, die Herkunft der Daten sowie das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling. Nach Art. 15 Abs. 3 DSGVO ist außerdem eine Kopie der verarbeiteten personenbezogenen Daten zur Verfügung zu stellen.

Art. 16 — Recht auf Berichtigung

Nach Art. 16 DSGVO hat die betroffene Person das Recht, „unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen". Unter Berücksichtigung der Zwecke der Verarbeitung kann sie außerdem die Vervollständigung unvollständiger Daten verlangen — auch mittels einer ergänzenden Erklärung.

Art. 17 — Recht auf Löschung („Recht auf Vergessenwerden")

Art. 17 Abs. 1 DSGVO verpflichtet den Verantwortlichen, Daten unverzüglich zu löschen, wenn einer der genannten Gründe zutrifft, unter anderem:

• die Daten sind für die Zwecke nicht mehr notwendig,
• die betroffene Person widerruft ihre Einwilligung und es fehlt eine andere Rechtsgrundlage,
• die Person legt Widerspruch nach Art. 21 ein und es liegen keine vorrangigen berechtigten Gründe vor,
• die Daten wurden unrechtmäßig verarbeitet,
• die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.

Art. 18 — Recht auf Einschränkung der Verarbeitung

Statt einer Löschung kann die Person nach Art. 18 DSGVO eine Einschränkung („Sperrung") verlangen. Das gilt in vier Fällen: wenn die Richtigkeit der Daten bestritten wird (für die Dauer der Prüfung); wenn die Verarbeitung unrechtmäßig ist, die Person aber statt der Löschung die Einschränkung wünscht; wenn der Verantwortliche die Daten nicht mehr benötigt, die Person sie aber zur Geltendmachung von Rechtsansprüchen braucht; und wenn ein Widerspruch nach Art. 21 Abs. 1 eingelegt wurde, solange die Abwägung noch nicht abgeschlossen ist. Eingeschränkte Daten dürfen — von der Speicherung abgesehen — nur noch eingeschränkt verarbeitet werden.

Art. 19 — Mitteilungspflicht des Verantwortlichen

Nach Art. 19 DSGVO muss der Verantwortliche allen Empfängern, denen Daten offengelegt wurden, jede Berichtigung, Löschung oder Einschränkung mitteilen — es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismäßigem Aufwand verbunden. Auf Verlangen unterrichtet er die betroffene Person über diese Empfänger. Setzt der Verantwortliche Auftragsverarbeiter ein, muss der Auftragsverarbeitungsvertrag deren Unterstützung bei der Erfüllung der Betroffenenrechte regeln (Art. 28 Abs. 3 lit. e DSGVO).

Art. 20 — Recht auf Datenübertragbarkeit

Art. 20 DSGVO gibt der Person das Recht, die von ihr bereitgestellten Daten in einem „strukturierten, gängigen und maschinenlesbaren Format" zu erhalten und sie einem anderen Verantwortlichen zu übermitteln. Voraussetzung ist, dass die Verarbeitung auf einer Einwilligung (Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a) oder einem Vertrag (Art. 6 Abs. 1 lit. b) beruht und mit automatisierten Verfahren erfolgt. Soweit technisch machbar, kann eine direkte Übermittlung von einem Verantwortlichen zu einem anderen verlangt werden.

Art. 21 — Widerspruchsrecht

Nach Art. 21 Abs. 1 DSGVO kann die Person aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen eine Verarbeitung Widerspruch einlegen, die auf Art. 6 Abs. 1 lit. e oder f gestützt ist (einschließlich Profiling). Der Verantwortliche muss die Verarbeitung dann einstellen, es sei denn, er weist zwingende schutzwürdige Gründe nach, die die Interessen der Person überwiegen, oder die Verarbeitung dient der Geltendmachung von Rechtsansprüchen.

Art. 22 — Automatisierte Entscheidungen im Einzelfall

Nach Art. 22 Abs. 1 DSGVO hat die Person das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden", die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Ausnahmen bestehen nach Art. 22 Abs. 2, wenn die Entscheidung für einen Vertrag erforderlich ist, durch Rechtsvorschriften zugelassen wird oder auf ausdrücklicher Einwilligung beruht. In diesen Fällen sind nach Art. 22 Abs. 3 Schutzmaßnahmen vorzusehen — insbesondere das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

Fristen und Kosten (Art. 12 DSGVO)

Für alle genannten Rechte gilt der Rahmen des Art. 12 DSGVO:

Der Verantwortliche stellt die Informationen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Bei welcher Stelle betroffene Personen ihre Rechte geltend machen, erklärt auch unser Artikel zur Rolle des Datenschutzbeauftragten; die Grundprinzipien der Verarbeitung findest du unter DSGVO-Grundlagen.

Praxisbeispiel: Der Auskunftsantrag einer ehemaligen Mitarbeiterin

Ein typischer betrieblicher Streitfall: Eine ehemalige Mitarbeiterin verlangt nach ihrem Ausscheiden schriftlich Auskunft nach Art. 15 DSGVO über sämtliche zu ihrer Person gespeicherten Daten — inklusive interner E-Mail-Korrespondenz über sie und einer Kopie ihrer Personalakte. Die Personalabteilung antwortet erst nach sechs Wochen und nennt als Empfänger der Daten nur pauschal „externe Dienstleister", ohne diese konkret zu benennen.

Ebenfalls problematisch: Der Verantwortliche verweigert die Auskunft pauschal unter Verweis auf „Betriebsgeheimnisse" oder Persönlichkeitsrechte Dritter (etwa Namen von Kollegen in internen E-Mails). Das ist unzulässig — Art. 15 Abs. 4 DSGVO schützt Rechte und Freiheiten anderer Personen nur im Einzelfall und in dem Umfang, in dem sie tatsächlich beeinträchtigt würden, nicht als pauschaler Ablehnungsgrund für den gesamten Antrag. Der Verantwortliche muss die Daten schwärzen oder anonymisieren, soweit nötig — nicht die Auskunft insgesamt verweigern.

Warum Verstöße gegen Betroffenenrechte besonders teuer werden

Anders als etwa eine verspätete Meldung einer Datenpanne (Art. 33/34 DSGVO, formeller Verstoß mit Rahmen bis 10 Mio. € bzw. 2 %) zählen Verstöße gegen die Betroffenenrechte nach Art. 83 Abs. 5 lit. b DSGVO zu den materiellen Verstößen mit dem höheren Bußgeldrahmen von bis zu 20 000 000 EUR oder 4 % des weltweiten Jahresumsatzes. Nach dem DSK-Bußgeldkonzept vom 14.10.2019 — dem veröffentlichten Berechnungsverfahren der deutschen Aufsichtsbehörden — fallen für materielle Verstöße zudem deutlich höhere Multiplikationsfaktoren an als für formelle: „mittel" bedeutet hier 4 bis 8 statt 2 bis 4, „schwer" 8 bis 12 statt 4 bis 6.