Rechte der betroffenen Personen

In dieser Lerneinheit erfährst du, welche konkreten Rechte betroffene Personen nach der DSGVO haben, insbesondere das grundlegende Recht auf Information und Auskunft. Du lernst, wie diese Rechte in der Praxis umgesetzt werden müssen und welche Pflichten sich daraus für Unternehmen ergeben. Diese Kenntnisse sind essentiell für die rechtskonforme Gestaltung von IT-Systemen und den professionellen Umgang mit Auskunftsanfragen von Kunden oder Nutzern.

Einführung

Stell dir vor: Du willst einen alten Account bei einem Online-Dienst löschen, aber der Support reagiert nicht auf deine Anfrage. Oder du entdeckst, dass ein Unternehmen eine falsche Adresse von dir gespeichert hat und du bekommst deswegen unerwünschte Post. Oft fühlt es sich so an, als hättest du keine Kontrolle darüber, was mit deinen personenbezogenen Daten geschieht.

Ohne Betroffenenrechte bist du machtlos - die DSGVO gibt dir die Kontrolle über deine Daten zurück — Bildrechte: Ausbildung-in-der-IT.de (KI-unterstützt)

Dieses Gefühl der Machtlosigkeit muss nicht sein. Die Datenschutz-Grundverordnung (DSGVO) ist nicht nur ein Regelwerk für Unternehmen, sondern stattet dich als betroffene Person mit konkreten und durchsetzbaren Rechten aus.

In dieser Lerneinheit lernst du genau diese Rechte kennen, um zu verstehen, wie du sie gezielt einsetzt und die Kontrolle über deine Daten zurückgewinnst.

Lernziele

Nach dieser Lerneinheit kannst du:

1. Die zentralen Transparenzrechte unterscheiden und erklären, wie du durch das Auskunftsrecht (Art. 15 DSGVO) eine Kopie deiner verarbeiteten Daten anforderst.
2. Die Voraussetzungen für die Rechte auf Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO) benennen und dabei die wichtigsten Ausnahmen, wie gesetzliche Aufbewahrungsfristen, erläutern.
3. Die Anwendungsfälle für das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und das Recht auf Widerspruch (Art. 21 DSGVO) voneinander abgrenzen.
4. Die Bedingungen für das Recht auf Datenübertragbarkeit (Art. 20 DSGVO) prüfen und dessen praktischen Nutzen, wie den erleichterten Anbieterwechsel, beschreiben.

Überleitung

In dieser Lerneinheit befassen wir uns mit den grundlegenden Betroffenenrechten aus der Datenschutz-Grundverordnung (DSGVO). Du lernst, wie du Transparenz über die Verarbeitung deiner personenbezogenen Daten erlangst und welche Werkzeuge dir die DSGVO dafür an die Hand gibt.

Das Recht auf Information und Auskunft

Das Recht auf Information und Auskunft ist ein zentrales Recht, das dir ermöglicht nachzuvollziehen, ob und wie deine personenbezogenen Daten verarbeitet werden. Es dient dazu, Transparenz und Kontrolle über deine eigenen Daten sicherzustellen. Man unterscheidet hierbei zwischen den proaktiven Informationspflichten des Verantwortlichen und deinem reaktiven Recht auf Auskunft.

Informationspflichten des Verantwortlichen (Art. 13 und 14 DSGVO)

Die Informationspflichten verpflichten Organisationen, dich aktiv und von sich aus über die Datenverarbeitung zu informieren. Dies muss geschehen, ohne dass du eine Anfrage stellen musst.

• Art. 13 DSGVO (Datenerhebung bei dir): Wenn Daten direkt bei dir erhoben werden, zum Beispiel wenn du ein Online-Formular ausfüllst oder einen Vertrag abschließt, muss der Verantwortliche dich im Moment der Erhebung informieren.
• Art. 14 DSGVO (Datenerhebung aus anderen Quellen): Werden deine Daten nicht direkt bei dir, sondern bei Dritten erhoben (z. B. bei einer Auskunftei), muss dich der Verantwortliche ebenfalls informieren. Dies muss spätestens innerhalb eines Monats geschehen.

Zu den Pflichtinformationen, die bereitgestellt werden müssen, gehören unter anderem:

• Name und Kontaktdaten des Verantwortlichen und, falls vorhanden, des Datenschutzbeauftragten.
• Die konkreten Zwecke, für die deine Daten verarbeitet werden, sowie die Rechtsgrundlage dafür.
• Die geplante Speicherdauer der Daten oder die Kriterien, nach denen diese festgelegt wird.
• Ein Hinweis auf deine Rechte, wie Auskunft, Berichtigung, Löschung und Widerspruch.

Dein Recht auf Auskunft (Art. 15 DSGVO)

Im Gegensatz zu den Informationspflichten ist das Recht auf Auskunft ein reaktives Recht. Das bedeutet, du musst selbst aktiv werden und eine Anfrage stellen, um Informationen zu erhalten.

Auf deine Anfrage hin muss ein Verantwortlicher dir bestätigen, ob er personenbezogene Daten von dir verarbeitet. Ist dies der Fall, hast du Anspruch auf Auskunft über folgende Punkte:

• Die Kategorien der verarbeiteten Daten (z. B. Kontaktdaten, Vertragsdaten).
• Die Empfänger, an die deine Daten weitergegeben wurden oder werden.
• Die geplante Speicherdauer oder die Kriterien für deren Festlegung.
• Das Bestehen deiner weiteren Rechte (Berichtigung, Löschung, Einschränkung, Widerspruch).
• Die Herkunft der Daten, falls diese nicht direkt bei dir erhoben wurden.
• Informationen über das Bestehen einer automatisierten Entscheidungsfindung, einschließlich Profiling.

Zusätzlich hast du nach Art. 15 Abs. 3 DSGVO das Recht, eine Kopie deiner verarbeiteten personenbezogenen Daten zu erhalten. Stellst du deine Anfrage elektronisch, soll die Kopie in einem gängigen elektronischen Format (z. B. PDF oder CSV) bereitgestellt werden.

Fristen und Kosten für deine Anfrage (Art. 12 DSGVO)

Für die Bearbeitung deiner Auskunftsanfrage gelten klare Regeln, um eine zeitnahe und faire Behandlung zu gewährleisten.

• Frist: Die Antwort muss grundsätzlich innerhalb eines Monats nach Eingang deiner Anfrage erfolgen.
• Verlängerung: Diese Frist kann bei sehr komplexen oder zahlreichen Anfragen um bis zu zwei weitere Monate verlängert werden. Der Verantwortliche muss dich jedoch innerhalb des ersten Monats über diese Verlängerung und die Gründe dafür informieren.
• Kosten: Die Auskunft ist für dich grundsätzlich unentgeltlich. Nur bei offenkundig unbegründeten oder exzessiven Anfragen (z. B. bei ständigen Wiederholungen) darf der Verantwortliche eine angemessene Gebühr verlangen oder die Bearbeitung ablehnen.

Dein Recht auf Berichtigung (Art. 16 DSGVO)

Wenn du feststellst, dass die über dich gespeicherten Daten falsch oder unvollständig sind, hast du das Recht, deren unverzügliche Berichtigung zu verlangen. Dies schließt auch das Recht ein, unvollständige Daten durch eine ergänzende Erklärung zu vervollständigen.

• Beispiel: In deinem Kundenkonto bei einem Energieversorger ist eine veraltete Adresse gespeichert. Du kannst den Versorger auffordern, die Adresse umgehend zu korrigieren, um Fehlzustellungen von Rechnungen zu vermeiden.

Dein Recht auf Löschung (Art. 17 DSGVO – „Recht auf Vergessenwerden“)

Das Recht auf Löschung ermöglicht es dir, die Entfernung deiner personenbezogenen Daten zu verlangen. Dieses Recht gilt jedoch nicht uneingeschränkt, sondern nur unter bestimmten Voraussetzungen.

Ein Anspruch auf Löschung besteht, wenn einer der folgenden Gründe zutrifft:

1. Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig.
2. Du widerrufst deine Einwilligung, auf die sich die Verarbeitung stützte, und es gibt keine andere Rechtsgrundlage für die Verarbeitung.
3. Du legst Widerspruch gegen die Verarbeitung ein (gemäß Art. 21 DSGVO) und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor.
4. Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
5. Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung nach EU- oder nationalem Recht erforderlich.

Besonderheiten und Ausnahmen

• Informationspflicht bei Veröffentlichung: Hat der Verantwortliche deine Daten öffentlich gemacht (z. B. in einem Online-Forum), muss er angemessene Schritte unternehmen, um andere Verantwortliche, die diese Daten ebenfalls verarbeiten, über deinen Löschantrag zu informieren.
• Ausnahmen vom Recht auf Löschung: Das Recht auf Löschung besteht nicht, wenn die Verarbeitung aus bestimmten Gründen erforderlich ist. Dazu zählen unter anderem:
  • Zur Ausübung des Rechts auf freie Meinungsäußerung und Information.
  • Zur Erfüllung einer rechtlichen Verpflichtung (z. B. gesetzliche Aufbewahrungsfristen für Rechnungen).
  • Aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit.
  • Für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke.
  • Zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beispiel: Du möchtest dein Profil bei einem sozialen Netzwerk, das du nicht mehr nutzt, vollständig löschen lassen. Da die Daten für den ursprünglichen Zweck (Betrieb des Profils) nicht mehr notwendig sind, kannst du die Löschung verlangen.

Was tun, wenn der Verantwortliche nicht reagiert?

Wenn ein Unternehmen deine Anfrage ignoriert, unvollständig beantwortet oder die Bearbeitung verweigert, bist du nicht machtlos.

• Keine Antwort innerhalb der Frist: Reagiert der Verantwortliche nicht innerhalb eines Monats (bzw. innerhalb der verlängerten Frist von drei Monaten), kannst du dich an die zuständige Datenschutzaufsichtsbehörde wenden. In Deutschland ist das die Landesdatenschutzbehörde des jeweiligen Bundeslandes.
• Unvollständige oder verweigerte Auskunft: Auch wenn du eine unzureichende Antwort erhältst oder die Berichtigung bzw. Löschung zu Unrecht verweigert wird, hast du ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zusätzlich steht dir der Weg zu einem Gericht offen.

⏳ Lädt Dataview-Inhalt...

Das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Das Recht auf Einschränkung der Verarbeitung ermöglicht es dir, unter bestimmten Voraussetzungen zu verlangen, dass deine Daten zwar weiterhin gespeichert, aber nicht mehr aktiv verarbeitet werden. Die Daten werden sozusagen “eingefroren” oder gesperrt. Sie dürfen dann vom Verantwortlichen nicht mehr verändert oder für andere Zwecke genutzt werden, bis die Situation geklärt ist.

Du kannst die Einschränkung der Verarbeitung in den folgenden vier Fällen verlangen:

• Zweifel an der Richtigkeit: Du bestreitest, dass die gespeicherten Daten korrekt sind. Die Verarbeitung wird dann für die Dauer der Überprüfung durch den Verantwortlichen eingeschränkt.
• Unrechtmäßige Verarbeitung: Die Verarbeitung deiner Daten ist unrechtmäßig, du möchtest aber keine Löschung, sondern nur die Einschränkung der weiteren Nutzung.
• Geltendmachung von Rechtsansprüchen: Der Verantwortliche benötigt die Daten zwar nicht mehr für seine Zwecke, du brauchst sie aber noch, um Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen.
• Laufender Widerspruch: Du hast Widerspruch gegen die Verarbeitung nach Art. 21 DSGVO eingelegt. Solange noch nicht feststeht, wessen Interessen überwiegen – deine oder die des Verantwortlichen –, kannst du die Einschränkung verlangen.

Beispiel

Du entdeckst in deinem Kundenprofil bei einem Online-Shop eine falsche Lieferadresse. Du forderst die Berichtigung. Für die Dauer, die der Shop-Betreiber zur Prüfung und Korrektur benötigt, kannst du verlangen, dass die Verarbeitung deiner Adressdaten eingeschränkt wird, um Falschlieferungen zu verhindern.

Das Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Dieses Recht gibt dir die Kontrolle darüber, deine Daten von einem Dienstanbieter zu einem anderen “mitzunehmen”. Es soll den Wechsel zwischen Anbietern erleichtern und deine digitale Souveränität stärken. Der Anbieter muss dir deine Daten in einem gängigen, maschinenlesbaren Format zur Verfügung stellen.

Die Datenübertragbarkeit ist jedoch an drei klare Voraussetzungen geknüpft:

1. Es muss sich um Daten handeln, die du dem Verantwortlichen selbst bereitgestellt hast. Dazu zählen sowohl aktiv eingegebene Daten (z. B. Name, E-Mail-Adresse) als auch passiv generierte Daten (z. B. Standortdaten bei der Nutzung einer App).
2. Die Verarbeitung muss auf einer Einwilligung oder einem Vertrag als Rechtsgrundlage basieren.
3. Die Verarbeitung muss mithilfe automatisierter Verfahren (also computergestützt) erfolgen.

Der praktische Nutzen dieses Rechts zeigt sich vor allem beim Anbieterwechsel. Du kannst beispielsweise deine Playlists von einem Musikstreaming-Dienst exportieren, um sie bei einem neuen Anbieter zu importieren. Auf deinen Wunsch hin muss der alte Anbieter die Daten sogar direkt an den neuen Anbieter übertragen, sofern dies technisch machbar ist. Gängige Formate für die Bereitstellung sind zum Beispiel CSV oder JSON.

Das Recht auf Widerspruch (Art. 21 DSGVO)

Mit dem Widerspruchsrecht kannst du jederzeit gegen die Verarbeitung deiner personenbezogenen Daten vorgehen, wenn dafür bestimmte Rechtsgrundlagen genutzt werden. Die DSGVO unterscheidet hierbei zwei zentrale Anwendungsfälle.

• Widerspruch gegen Direktwerbung (Art. 21 Abs. 2): Dies ist ein absolutes Recht. Du kannst der Nutzung deiner Daten für Zwecke der Direktwerbung jederzeit und ohne Angabe von Gründen widersprechen. Nach deinem Widerspruch darf der Verantwortliche deine Daten nicht mehr für diese Zwecke verarbeiten. Dies gilt auch für Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.

• Widerspruch aus besonderen Gründen (Art. 21 Abs. 1): Erfolgt die Datenverarbeitung auf Grundlage eines berechtigten Interesses des Verantwortlichen oder zur Wahrnehmung einer Aufgabe im öffentlichen Interesse, kannst du ebenfalls widersprechen. Hier musst du jedoch Gründe darlegen, die sich aus deiner besonderen Situation ergeben. Der Verantwortliche muss die Verarbeitung dann einstellen, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen.

Ein Verantwortlicher ist verpflichtet, dich spätestens zum Zeitpunkt der ersten Kommunikation klar und verständlich auf dein Widerspruchsrecht hinzuweisen.

Praktische Hinweise zur Ausübung deiner Rechte

Für die Geltendmachung der hier besprochenen Rechte gelten die allgemeinen Regelungen aus Art. 12 DSGVO, die du bereits kennst.

• Frist: Der Verantwortliche muss dir innerhalb eines Monats antworten. Diese Frist kann bei komplexen Fällen um bis zu zwei weitere Monate verlängert werden, worüber du aber informiert werden musst.
• Kosten: Die Ausübung deiner Rechte ist für dich grundsätzlich kostenlos.
• Beschwerderecht: Sollte der Verantwortliche nicht oder nur unzureichend auf deine Anfrage reagieren, hast du das Recht, dich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO).
• Identitätsnachweis: Um Verzögerungen zu vermeiden, kann es sinnvoll sein, deiner Anfrage einen Identitätsnachweis beizufügen, damit der Verantwortliche sicherstellen kann, dass er die Daten der richtigen Person aushändigt.

⏳ Lädt Dataview-Inhalt...

Praktische Anwendung und Beispiele

Um dein Auskunftsrecht auszuüben, wendest du dich direkt an den Verantwortlichen. Die Kontaktdaten findest du üblicherweise in der Datenschutzerklärung auf der Webseite des Unternehmens.

Anwendungsbeispiele:

• Online-Shopping: Du kannst einen Online-Händler fragen, welche Daten er über deine Bestellhistorie gespeichert hat und ob diese für Werbezwecke genutzt werden.
• Soziale Netzwerke: Du kannst eine Kopie aller Daten anfordern, die eine Plattform über dich gespeichert hat, einschließlich deiner Posts, Kontakte und Profilinformationen.
• Arbeitsplatz: Du hast das Recht auf Auskunft über die Daten, die dein Arbeitgeber im Rahmen des Beschäftigungsverhältnisses verarbeitet. Hier können nationale Gesetze wie der § 26 BDSG zusätzliche Regelungen enthalten.

Zusammenfassung und Ausblick

Zusammenfassung:

In den vorangegangenen Lektionen hast du die zentralen Betroffenenrechte der Datenschutz-Grundverordnung (DSGVO) kennengelernt. Diese Rechte geben dir die Kontrolle und Transparenz über die Verarbeitung deiner personenbezogenen Daten.

Transparenz über die Datenverarbeitung: Du hast gelernt, zwischen den proaktiven Informationspflichten (Art. 13 und 14 DSGVO) und dem reaktiven Recht auf Auskunft (Art. 15 DSGVO) zu unterscheiden. Während Verantwortliche dich von sich aus über die Datenerhebung informieren müssen, kannst du mit dem Auskunftsrecht jederzeit aktiv eine Bestätigung und eine Kopie deiner verarbeiteten Daten anfordern. Für alle Anfragen gelten die Grundsätze aus Art. 12 DSGVO: eine Antwortfrist von einem Monat und grundsätzliche Kostenfreiheit.

Korrektur und Entfernung deiner Daten: Mit dem Recht auf Berichtigung (Art. 16 DSGVO) kannst du sicherstellen, dass falsche oder unvollständige Daten korrigiert werden. Das Recht auf Löschung (Art. 17 DSGVO), auch „Recht auf Vergessenwerden“ genannt, ermöglicht dir unter bestimmten Voraussetzungen die Entfernung deiner Daten. Du weißt jedoch auch, dass dieses Recht Ausnahmen unterliegt, insbesondere wenn gesetzliche Aufbewahrungspflichten oder die Verteidigung von Rechtsansprüchen entgegenstehen.

Kontrolle über die Verarbeitung: Das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) erlaubt dir, die Verarbeitung deiner Daten temporär zu „pausieren“, etwa während die Richtigkeit der Daten überprüft wird. Das Recht auf Widerspruch (Art. 21 DSGVO) ist ein mächtiges Werkzeug, mit dem du die Verarbeitung beenden kannst. Du kannst jederzeit und ohne Begründung der Nutzung deiner Daten für Direktwerbung widersprechen. Bei einer Verarbeitung auf Grundlage berechtigter Interessen musst du besondere Gründe darlegen, woraufhin eine Interessenabwägung stattfindet.

Datenmitnahme zu anderen Anbietern: Zuletzt hast du das Recht auf Datenübertragbarkeit (Art. 20 DSGVO) kennengelernt. Es ermöglicht dir, deine Daten in einem strukturierten, maschinenlesbaren Format von einem Anbieter zu erhalten, um sie zu einem anderen zu übertragen. Du weißt, dass dieses Recht an enge Voraussetzungen geknüpft ist: Es gilt nur für von dir bereitgestellte Daten, deren Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt.

Ausblick:

Nachdem du nun deine Rechte als betroffene Person kennst, wechseln wir in der nächsten Lektion die Perspektive. Wir beleuchten die Pflichten derjenigen, die deine Daten verarbeiten: die Verantwortlichen und die Auftragsverarbeiter. Du wirst lernen, welche technischen und organisatorischen Maßnahmen sie ergreifen müssen, um den Schutz deiner Daten sicherzustellen.

---