Rechte der betroffenen Person
Die Rechte Betroffener leiten sich direkt aus der Datenschutz Grundverordnung (vgl.: DSGVO) ab. Die Artikel zwölf bis einschliesslich 22 beschreiben die Aufgaben und Pflichten, die vor allem durch den/ die Verantwortlichen der Verarbeitung wahrgenommen werden müssen. Verstöße gegen die Artikel zwölf bis einschliesslich 22 fallen gemäß Artikel 83 Absatz 5 litera b DSGVO in den Bußgeldrahmen von bis zu € 20 Millionen oder 4% des gesamt weltweit erzielten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Eine betroffener Person kann jede natürliche Person sein, also nicht nur Kunden und Interessenten. Sondern auch Mitarbeiter und Dritte, deren personenbezogene Daten verarbeitet werden. Dies spiegelt sich in Prozessen und Verfahren wieder, die die Durchsetzung der Rechte der betroffenen Personen gewährleisten. Für die Umsetzung, Erfüllung der Rechte der betroffenen Person, sieht die Verordnung ein Monat gesamte Durchlaufzeit vor. Eine Firstverlängerung um bis zu zwei weiteren Monaten ist im Einzelfall möglich. Die betroffene Person ist davon in Kenntnis zu setzen.
Der Europäische Datenschutzausschuss, vormals Artikel 29 Gruppe, hat hierzu einige Leitlinien bereits veröffentlicht.
Artikel 12 – Recht auf transparente Information
Artikel zwölf schreibt fest, dass der Verantwortliche der Verarbeitung „alle Informationen … (vgl. Art. 13f) und Mitteilungen (vgl. Art. 15-22, Art. 34) … in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ übermittelt. Weiters ist der Verantwortliche verpflichtet über die Art und Weise, wie die betroffene Person Ihre Rechte ausüben kann, in verständlicher Form aufzuklären.
Mögliche Umsetzung
- Schriftlichkeit (Wer schreibt, der bleibt ….)
- Mitteilung über den weiteren Ablauf und auch Hinweis bei möglicher Verzögerung.
- Mitteilung auch, wenn nicht der Anfrage, dem Antrag, der betroffenen Person entsprochen wird. Mitteilung enthält Begründung und Hinweis auf Beschwerderecht bei der Datenschutzbehörde.
- Anfragen sind zu dokumentieren, da wiederholte, oder unbegründete, Anfragen eine verrechenbare Leistung darstellen.
Artikel 13f – Information über die Verarbeitung
Artikel 13 betrifft die Erhebung von personenbezogenen Daten direkt bei der betroffenen Person selbst. Artikel 14 betrifft die Erhebung von personenbezogenen Daten über Dritte und andere Quellen. Werden die Daten direkt bei der betroffenen Person erhoben, dann ist diese zum Zeitpunkt der Erhebung darüber zu informieren. Werden die Daten indirekt erhoben, dann ist die betroffene Person ebenfalls zu informieren. Die erhebende Stelle muss die betroffene Person informieren. Der Zeitpunkt der Information kann festgelegt werden mit,
- sofort nach der Erhebung, spätestens aber nach einem Monat nach der Erhebung
- bei der ersten Verwendung, wenn die personenbezogenen Daten für die Kommunikation verwendet werden
- spätestens, wenn die Daten Dritten offengelegt, übermittelt, werden.
Die Information der betroffenen Person ist unter Bedachtsame einer Nachweispflicht durch den Verantwortlichen durchzuführen. (vgl. Art 5)
Artikel 15 – Auskunftsrecht
Die betroffene Person hat das Recht auf Information, ob und welche personenbezogene Daten über sie verarbeitet werden. Es ist festgelegt über was Auskunft gegeben werden muss, wie Zweck, Kategorie der Daten, Empfänger, Dauer der Speicherung, etc. Die Artikel 29 Gruppe hat dazu bereits ein Stellungnahme abgegeben in welchem Umfang dies zu erfolgen hat und welchen Interpretationsspielraum sie sehen. Die Artikel 29 Gruppe ist jetzt der Europäische Datenschutzausschuss (vgl.: EDSA/ EDPB)
Artikel 16 – Recht auf Richtigstellung
Unrichtige, oder auch fehlende, personenbezogene Daten müssen umgehend richtiggestellt werden. Für die Umsetzung ist der Verantwortliche der Verarbeitung in der Pflicht. Anstossen des Verfahrens zur Richtigstellung kann über den Verantwortlichen selbst erfolgen, oder auch durch Anzeige durch die betroffene Person.
Artikel 17 – Recht auf Löschung (Vergessen)
Personenbezogene Daten sind unverzüglich durch den Verantwortlichen der Verarbeitung zu löschen, wenn der Zweck der Verarbeitung nicht mehr gegeben ist, oder die betroffene Person einen Widerspruch gegen die Verarbeitung einbringt. Der Zweck einer Verarbeitung hängt auch von der rechtlichen Grundlage ab – fällt diese weg, sind personenbezogene Daten zu löschen.
Eine Löschung auf Grund von Widerspruch ist der betroffenen Person mitzuteilen und vor allem aber auch, wenn bestimmte Daten nicht gelöscht werden. Dann ist der Grund für die entsprechende rechtliche Verpflichtung, wie Aufbewahrungsfrist, anzuführen, wie auch ist die betroffene Person über Ihr Beschwerderecht bei der Datenschutzbehörde aufzuklären.
Der Verantwortliche der Verarbeitung hat auch Sorge zu tragen, dass der Löschanspruch bei seinen Auftragsverarbeitern durchgesetzt wird.
Artikel 18 – Recht auf Einschränkung der Verarbeitung
Die betroffene Person kann neben einer Löschung eine Einschränkung der Verarbeitung durchsetzen. Eine Einschränkung ist immer unter Bedachtnahme auf Wahrung von allen Interessenlagen umsetzbar.
Artikel 19 – Recht auf Mitteilungspflicht
Inhalt ist die Mitteilungspflicht durch den Verantwortlichen der Verarbeitung im Zusammenhang mit der Berichtigung, Löschung, oder der Einschränkung der Verarbeitung.
Artikel 20 – Recht auf Datenübertragbarkeit
Die betroffene Person kann vom Verantwortlichen der Verarbeitung die Übermittlung von Ihr bereitgestellten Daten in maschinenlesbarer, gängigen, Form verlangen. Die Übermittlung der Daten kann an die betroffene Person selbst, wie auch an einen namhaft gemachten Dritten erfolgen. Dazu hat die Artikel 29 Gruppe ein Arbeitspapier verfasst. (vgl.: WP 242). Vor allem Daten, die dem Geschäftsgeheimnis unterliegen, oder die Interessen, wie Datenschutz, oder Urheberrecht Dritter verletzen würden, unterliegen nicht der Übertragbarkeit.
Artikel 21 – Recht auf Widerspruch
Die betroffene Person kann jederzeit die erteilte Einwilligung zur Verarbeitung von personenbezogenen Daten widerrufen. Eine Einschränkung ist durch Interessen aus Gewährleistung und möglichen anderen rechtlichen Ansprüchen gegeben.
Artikel 22 – Hinweis auf automatisierte Entscheidung (inkl. Profiling)
Die betroffene Person hat das Recht nicht ausschliesslich einer automatisierten Entscheidung unterworfen zu werden, wenn sich dadurch Auswirkungen für die betroffene Person ergeben. Ausnahmen dazu gibt es vor allem im Bereich Finanzwesen, wie Onlinepolizzierung, oder Kreditvergabe.