Link zum vollständigen Lesen der Datenschutz-Grundverordnung

Betroffenenrechte

Kapitel III der Datenschutz-Grundverordnung regelt die Rechte der betroffenen Person. Auch sie wurden modernisiert.
Dabei normiert zunächst Art. 12 DSGVO Anforderungen an die Transparenz der Informationen, an die Kommunikation und die Modalitäten für die Ausübung der Rechte der betroffenen Person.

Art. 13f. DSGVO sehen einen umfangreichen Katalog proaktiver Benachrichtigungen vor, wobei danach differenziert wird, ob die Daten bei der betroffenen Person erhoben werden (Art. 13 DSGVO) oder nicht (Art. 14 DSGVO). Dies betrifft unter anderem Kontaktdaten des Verantwortlichen, die Verarbeitungszwecke sowie die Rechtsgrundlage, gegebenenfalls die Empfänger oder Kategorien von Empfängern sowie die Absicht der Übermittlung in ein Drittland, aber auch die Dauer der Speicherung, beziehungsweise die Kriterien für die Festlegung dieser Dauer. Der Betroffene ist zudem über seine Rechte zu informieren.

Art. 15 DSGVO regelt das Auskunftsrecht der Betroffenen. Die betroffene Person hat das Recht, eine Bestätigung zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist das der Fall, hat sie ein Recht auf Auskunft über diese Daten sowie über Informationen unter anderem über die Verarbeitungszwecke, deren Herkunft, Empfänger, über die Dauer der Speicherung sowie über ihre Rechte.
Die betroffene Person hat zudem das Recht, die Berichtigung sowie im Hinblick auf den Zweck die Vervollständigung sie betreffender unzutreffender personenbezogener Daten zu verlangen.

(Art. 16 DSGVO)Daneben haben die Betroffenen nach Art. 17 DSGVO (mit bestimmten Ausnahmen) das Recht, die Löschung ihrer Daten zu verlangen – zum Beispiel wenn diese zu dem Zweck, zu dem sie ursprünglich erhoben oder verarbeitet wurden, nicht mehr erforderlich sind oder die dazu erteilte Einwilligung widerrufen wurde. Eine Ausnahme besteht zum Beispiel, soweit die Verarbeitung zur Ausübung der freien Meinungsäußerung erforderlich14 BfDI – Info 6 ist. Als besondere Ausformung des Löschungsanspruches besteht nun auch ein „Recht
auf Vergessenwerden“

(Art. 17 Abs. 2 DSGVO), wenn die verantwortliche Stelle die zu löschenden Daten öffentlich gemacht hat. Dann muss sie vertretbare Schritte unternehmen, um die Stellen, die diese Daten verarbeiten, zu informieren, dass die betroffene Person von ihnen die Löschung aller Links zu diesen Daten oder von Kopien oder Replikationen verlangt. Diese Vorschrift ist von besonderer Bedeutung für den Betrieb von Internet-Suchmaschinen.
Die betroffene Person kann in bestimmten Fällen auch die Einschränkung der Verarbeitung verlangen

(Art. 18 DSGVO) – zum Beispiel, wenn der Verantwortliche die Daten nicht mehr länger, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt oder die betroffene Person Widerspruch gegen die Verarbeitung eingelegt hat und noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen. Die
Einschränkung der Verarbeitung entspricht damit begrifflich im Wesentlichen der Sperrung im Sinne von §§ 20 Abs. 3, 35 Abs. 3 BDSG.
Der Verantwortliche muss grundsätzlich allen Empfängern der Daten jede Berichtigung, Löschung oder Einschränkung der Verarbeitung mitteilen

(Art. 19 DSGVO). Anders als das Recht auf Vergessenwerden knüpft diese Verpflichtung an vorangegangenen Übermittlungen an konkrete Empfänger an. Neu ist auch das Recht auf Datenübertragbarkeit.

(Art. 20 DSGVO). Mit seiner Einführung wird die Datensouveränität der betroffenen Person gestärkt. Das Recht auf Datenübertragung
gibt betroffenen Personen daher unter bestimmten Voraussetzungen einen Anspruch, eine Kopie der sie betreffenden personenbezogenen Daten in einem üblichen und maschinenlesbaren Dateiformat zu erhalten. Der Nutzer hat damit das Recht, Daten von einem Anbieter zu einem anderen „mitzunehmen“. Die Regelung kann damit insbesondere bei Social Networks den Wechsel zu einem anderen Anbieter erleichtern. Es gilt aber letztlich bei jeder automatisierten Verarbeitung personenbezogener Daten auf der Basis einer Einwilligung oder einer Vertragsbeziehung mit dem
Betroffenen, also auch für Verträge mit Energieversorgern, Banken oder Versicherungen. Die betroffene Person kann sich dabei aussuchen, ob sie die Daten selbst erhalten (und an einen neuen Verarbeiter weitergeben) will oder der bisherige Verarbeiter die GRUNDPRINZIPIEN DES DATENSCHUTZRECHTS – BISHER BEKANNTE GRUNDSÄTZE BLEIBEN ERHALTEN 15.  Daten unmittelbar an den neuen Verarbeiter weitergeben muss. Das Recht auf Datenübertragbarkeit ist auf die Daten beschränkt, die die betroffene Person dem Verarbeiter zur Verfügung gestellt hat. Es gilt nicht für den öffentlichen Bereich.

Nach Art. 21 Abs. 1 DSGVO hat der Betroffene grundsätzlich ein allgemeines Widerspruchsrecht gegen eine an sich rechtmäßige Verarbeitung von personenbezogenen Daten, die im öffentlichen Interesse liegt, in Ausübung öffentlicher Gewalt oder aufgrund des berechtigten Interesses des Verantwortlichen oder eines Dritten erfolgte (Art. 6 Abs. 1 lit. e oder f DSGVO). Der Verantwortliche darf dann die Daten nur noch verarbeiten, wenn er zwingende berechtigte Gründe für die Verarbeitung nachweisen kann, die die Interessen, Rechte und Freiheiten des Betroffenen überwiegen. Ein voraussetzungsloses und uneingeschränktes Widerspruchsrecht besteht bei der Datenverarbeitung zum Zweck des Direktmarketings. Das gilt auch für das Profiling, soweit es mit der Direktwerbung zusammenhängt (Art. 21 Abs. 2 und 3 DSGVO). Der Betroffene ist ausdrücklich, in verständlicher Form und getrennt von jeglicher anderen Information auf das Widerspruchsrecht hinzuweisen (Art. 21 Abs. 4 DSGVO). Sämtliche Betroffenenrechte können gemäß Art. 23 DSGVO durch nationale Gesetze beschränkt werden, sofern dies zur Wahrung bestimmter öffentlicher Interessen erforderlich ist. Dabei sind der Verhältnismäßigkeitsgrundsatz und der Wesensgehalt der Grundrechte zu beachten. Einschränkungen sind beispielsweise aus Gründen des Schutzes der nationalen und der öffentlichen Sicherheit, der Landesverteidigung, aber auch der Interessen der Steuerverwaltung oder zum Schutz der Unabhängigkeit der Gerichte möglich. Der Bundesgesetzgeber hat hiervon Gebrauch gemacht und in den §§ 32 bis 37 des neuen Bundesdatenschutzgesetzes (BDSG-neu) Einschränkungen der Betroffenenrechte vorgesehen. Diese sind im Lichte der DSGVO grundsätzlich eng auszulegen und am Maßstab des Art. 23 DSGVO zu messen. Ob und in welchem Umfang diese Regelungen aufgrund des Anwendungsvorrangs der DSGVO angewendet werden können, bleibt einer Entscheidung im jeweiligen konkreten Einzelfall vorbehalten.