Betroffenenrechte nach der DSGVO: Auskunft, Berichtigung, Löschung
Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO) unmittelbar in allen Mitgliedstaaten der EU. Sie räumt betroffenen Personen eine Reihe von Rechten ein. Wer wissen möchte, welche Daten ein Unternehmen, eine Behörde oder eine andere Stelle über ihn gespeichert hat, kann Auskunft verlangen. Je nach Situation können Betroffene auch verlangen, dass Daten berichtigt oder in bestimmten Fällen gelöscht werden.
Muss die verantwortliche Stelle jeden solchen Antrag beantworten, und welche Frist gilt dafür? Dieser Beitrag erklärt, welche Rechte die Verordnung vorsieht, wie das Verfahren abläuft und wohin man sich wenden kann, wenn eine Antwort ausbleibt.
Welche Rechte gibt die DSGVO?
Die Verordnung nennt mehrere eigenständige Rechte, die jeweils in einem eigenen Artikel geregelt sind. Artikel 15 regelt das Auskunftsrecht, Artikel 16 das Recht auf Berichtigung, Artikel 17 das Recht auf Löschung und Artikel 18 das Recht auf Einschränkung der Verarbeitung. Hinzu kommen das Recht auf Datenübertragbarkeit in Artikel 20 und das Widerspruchsrecht in Artikel 21.
Das Auskunftsrecht wahrzunehmen, ist meist der erste Schritt. Dadurch lässt sich klären, ob und welche Daten die verantwortliche Stelle über eine Person verarbeitet. Auf dieser Grundlage können Betroffene beurteilen, ob sie die Berichtigung falscher Angaben, die Einschränkung der Verarbeitung oder die Löschung verlangen möchten. Jedes dieser Rechte dient einem anderen Zweck. Welches infrage kommt, hängt von der jeweiligen Situation ab.
Die Rechte gelten allerdings nicht uneingeschränkt. Artikel 17 Absatz 3 enthält Ausnahmen vom Recht auf Löschung. Die verantwortliche Stelle muss einem Löschverlangen daher nicht immer nachkommen. Eine Ablehnung bedeutet also nicht automatisch, dass sie gegen die Vorschriften verstößt.
Welche Frist gilt für die Antwort?
Nach Artikel 12 Absatz 3 muss die verantwortliche Stelle unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags mitteilen, welche Maßnahmen sie ergriffen hat. Diese Grundfrist kann um weitere zwei Monate verlängert werden, wenn dies wegen der Komplexität oder der Zahl der Anträge erforderlich ist. Über die Verlängerung und ihre Gründe muss die betroffene Person innerhalb eines Monats informiert werden.
Auskünfte und Maßnahmen auf Antrag sind grundsätzlich unentgeltlich. Wer seine Rechte nach der DSGVO wahrnimmt, muss dafür in der Regel nichts bezahlen. Bleibt eine Antwort nach Ablauf eines Monats aus, liegt nicht in jedem Fall ein Verstoß vor: Die Stelle kann in der Zwischenzeit eine Fristverlängerung mitgeteilt haben. Es lohnt sich daher zu prüfen, ob eine solche Mitteilung eingegangen ist.
Was tun bei Ablehnung oder ausbleibender Antwort?
Lehnt die verantwortliche Stelle den Antrag ab oder antwortet sie nicht fristgerecht, haben Betroffene weitere Möglichkeiten. Wer meint, dass die Verarbeitung seiner Daten gegen die Vorschriften verstößt, kann nach Artikel 77 DSGVO Beschwerde bei einer Aufsichtsbehörde einlegen. In Deutschland ergänzt § 19 des Bundesdatenschutzgesetzes (BDSG) diese Regelung. Nationale Vorschriften können den Umfang einzelner Rechte zusätzlich begrenzen: Für das Recht auf Auskunft und das Recht auf Löschung gelten in Deutschland ergänzende Einschränkungen nach den §§ 34 und 35 BDSG.
Die Betroffenenrechte bilden ein zusammenhängendes System. Es reicht von der Auskunft über die Berichtigung und Löschung bis zur Beschwerde bei der Aufsichtsbehörde. Wer die Artikel 15 bis 21 und die Fristen aus Artikel 12 kennt, kann besser einschätzen, ob eine Antwort den Vorgaben der DSGVO entspricht. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.