Die Rechte von "Betroffenen", das sind jene Personen, deren Daten verarbeitet werden, sind:
- Informationsrechte - Vorabonformatoin der Betroffenen, welche Daten werden für wen, warum erhoben, welche Rechte hat der Betroffene
- Auskunftsrechte - Welche Daten werden wie verarbeitet
- Kontrollrechte - Sind die verarbeiteten Daten richtig
- Widerspruchsrechte gegen Datenverarbeitungen
- Recht auf Vergessen
- Recht auf Datenübertragbarkeit - Datenportabilität
Anfragen von Betroffenen sind rasch und umfassend zu beantworten, da ansonsten ein Einschreiten der Behörde drohen kann oder vom Betroffenen Rechtsbehelfe herangezogen werden können. Die DSGVO setzt Fristen fest.
Die rechtzeitige, effiziente Beantwortung einer Anfrage auf Auskunft der verarbeiteten Daten setzt etwa voraus, dass eine datenschutzrechtliche Evidenz der Datenverarbeitungen vorliegt, um entsprechende Auszüge herstellen zu können.
Wenn erst nach Einlangen einer Anfrage ermittelt werden muss, welche datenschutzrechtlich relevanten Datenverarbeitungen vorliegen, ist eine fristgerechte Beantwortung mitunter schwierig. Längst nicht jedes mögliches vorhandene Datum ist im Einzelnen auch mitteilungspflichtig bzw. von Betroffenenrechten umfasst. Geschäftsgeheimnisse sind zu beachten. Sind sämtliche Empfänger von Daten inkl. Adresse kurzfristig ermittelbar?
Erhebt ein Betroffener Widerspruch gegen eine Datenverarbeitung ist eine Evidenz der geltenden vertraglichen Regelungen bzw. der bestehenden Zustimmungserklärungen gefragt. Kann ein Vertrag nach Einlangen eines Widerspruchs noch erfüllt werden? Welche Version der AGB gilt gegenüber dem Widersprechenden, welche datenschutzrechtlichen Regelungen waren/sind dort enthalten). Bei Profiling bestehen verschärfte Widerspruchsrechte.
Das "Recht auf Vergessen" folgt auf die bereits jetzt bestehende Regelung v.a. des § 27 Datenschutzgesetz 2000 (Löschung).
Dieser Löschungsanspruch wurde durch die DSGVO ausgebaut. Wurden die zu löschenden Daten des Betroffenen veröffentlicht, muss der Datenverarbeiter neben einer Löschung auch Dritte über die Löschungsanforderung informieren, wie zB Suchmaschinenbetreiber, die Links auf die zu löschenden Daten setzen.
Abgrenzungsfragen hierzu treten im Bereich zwischen Datenverarbeitung zur Vertragserfüllung und zustimmungspflichtiger Datenverarbeitung auf. Auch hier ist eine Evidenz gefragt, durch wen veröffentlichte Daten übernommen werden bzw. an wen diese zur Verarbeitung übermittelt werden.
Ausgenommen vom Recht auf Datenübertragbarkeit sind zB uU nicht automatisiert verarbeitete Daten (Papierablagen etwa). Das Recht auf Datenübertragbarkeit sollte nicht mit dem Auskunftsrecht verwechselt werden. Der Umfang kann ähnliche Ausmaße erreichen.
Diese Information ist eine grundsätzliche Information und ersetzt keine Beratung im Einzelfall.