Die Wahrung der Rechte betroffener Personen sowie die Informationspflicht gehören zu den grundlegenden Aufgaben eines Verantwortlichen für die Datenverarbeitung. Die in den Artikeln 15 bis 22 der DSGVO aufgeführten Rechte umfassen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden (Profiling) sowie das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. Bevor eine Person ihre Rechte ausübt, muss der Verantwortliche jedoch ordnungsgemäß darüber informiert werden, beispielsweise durch eine Informationsklausel, sodass er die Einhaltung dieser Pflicht später nachweisen kann (Grundsatz der Rechenschaftspflicht).
Praktische Probleme können beispielsweise bei der Überprüfung der Identität einer Person auftreten, die Zugriff auf die vom Verantwortlichen gespeicherten Daten beantragt. Bei der Beantwortung eines solchen Antrags ist es erforderlich, die erhobenen Daten zu überprüfen und anschließend – zu Verifizierungszwecken – beispielsweise eine Wohnanschrift oder Telefonnummer anzufordern. Verantwortliche für die Datenverarbeitung verfügen in der Regel über Verfahren (z. B. einen Fragenkatalog, Überprüfung der E-Mail-Adresse, von der der Antrag stammt), die eine Risikominimierung und eine ordnungsgemäße Verifizierung ermöglichen.
Beispiel: Eine Person kontaktierte den Verantwortlichen für die Datenverarbeitung und bat um Auskunft über die Dauer ihres Fitnessstudio-Besuchs im Rahmen eines gebuchten Pakets, ihre Kontaktdaten sowie weitere vom Verantwortlichen gespeicherte Informationen. In der E-Mail gab die Person lediglich die bei der Registrierung erhaltene Kartennummer an. In diesem Fall ist eine angemessene Überprüfung der anfragenden Person erforderlich, um die Weitergabe personenbezogener Daten an Unbefugte zu verhindern.
Antworten auf eingereichte Anfragen erfolgen in der Regel im selben Format, in dem die Anfrage eingegangen ist. Hat die betroffene Person ihre Anfrage elektronisch gestellt, werden die Informationen – soweit möglich – ebenfalls elektronisch übermittelt, es sei denn, die betroffene Person wünscht ein anderes Format, beispielsweise schriftlich oder mündlich. Während elektronische und schriftliche Formulare in der Regel keine größeren Probleme bereiten, ist eine mündliche Antwort möglicherweise nicht immer die beste Lösung. Dies erfordert die Überprüfung der Identität der Person während des Gesprächs und die anschließende Dokumentation der Antwort (Grundsatz der Rechenschaftspflicht).
Die Antwortfrist beträgt einen Monat und kann um weitere zwei Monate verlängert werden, sofern die betroffene Person darüber und über den Grund der Verzögerung informiert wird. Die Erfüllung von Anfragen, wie beispielsweise des Rechts auf Löschung von Daten (Recht auf Vergessenwerden), kann Herausforderungen mit sich bringen, darunter organisatorische und technische, insbesondere wenn Daten an mehreren Orten erfasst werden (z. B. durch Auslagerung der Archivierung, Verarbeitung von Daten auf elektronischen und Papierdatenträgern oder durch mehrere verarbeitende Stellen).
In der Praxis kann der Verantwortliche mit vielen Unsicherheiten hinsichtlich der Umsetzung von Anfragen konfrontiert sein. Lässt sich die genaue Anfrage der betroffenen Person nicht ermitteln, sollte der Verantwortliche sie bei der präzisen Formulierung unterstützen. Darüber hinaus ist das Recht auf Löschung nicht immer gerechtfertigt, insbesondere wenn die weitere Verarbeitung durch ein bestehendes Vertragsverhältnis, die Interessen des Verantwortlichen oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen gerechtfertigt ist.
Bei der Beurteilung der oben genannten Aspekte sollte der Verantwortliche berücksichtigen, dass die betroffenen Personen das Recht haben, eine Beschwerde bei der Aufsichtsbehörde (dem Präsidenten des Amtes für den Schutz personenbezogener Daten) einzureichen, die ein Kontrollverfahren einleiten, den Verantwortlichen zur Übermittlung zusätzlicher Informationen und Erläuterungen verpflichten und folglich eine Geldbuße für die festgestellten Verstöße verhängen kann.
Rechtsstatus ab dem 27. Oktober 2021.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
