Betroffenenrechte DSGVO: Anfragen richtig einordnen und bearbeiten

Einordnung

Betroffenenrechte nach DSGVO: Worum geht es?

Betroffenenrechte sollen Personen ermöglichen, die Verarbeitung ihrer personenbezogenen Daten zu verstehen und Einfluss darauf zu nehmen.

In der Praxis beginnen viele Fälle mit einer einfachen E-Mail: „Welche Daten haben Sie über mich gespeichert?“, „Bitte löschen Sie meine Daten“, „Ich widerspreche der Verarbeitung“ oder „Bitte korrigieren Sie meine Adresse“.

Solche Anfragen dürfen nicht liegen bleiben. Unternehmen, Vereine und Kommunen müssen prüfen, welches Recht geltend gemacht wird, ob die Person identifiziert werden kann, welche Daten betroffen sind und ob Einschränkungen bestehen.

Wichtig ist außerdem: Nicht jede Anfrage ist automatisch ein Auskunftsanspruch. Manchmal geht es um Akteneinsicht, Vertragsfragen, Beschwerden, Sachstandsanfragen oder Daten anderer Personen. Die richtige Einordnung ist der erste Schritt.

Überblick

Welche Betroffenenrechte gibt es?

Die DSGVO enthält mehrere Rechte, die je nach Situation einzeln oder kombiniert geltend gemacht werden können.

Ablauf

Art. 12 DSGVO: Wie müssen Anfragen bearbeitet werden?

Art. 12 DSGVO regelt die Modalitäten für die Ausübung der Betroffenenrechte. Informationen und Antworten müssen präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache erfolgen.

Die Antwort muss grundsätzlich unverzüglich und spätestens innerhalb eines Monats nach Eingang des Antrags erfolgen. Bei komplexen oder zahlreichen Anträgen kann die Frist um zwei weitere Monate verlängert werden.

Eine Verlängerung muss innerhalb des ersten Monats mitgeteilt und begründet werden.

Vor der Herausgabe von Daten muss die Identität der anfragenden Person ausreichend geklärt sein. Zusätzliche Nachweise dürfen aber nicht pauschal verlangt werden, sondern nur, wenn dafür ein sachlicher Anlass besteht.

Art. 15 DSGVO

Recht auf Auskunft

Das Auskunftsrecht ist häufig der Ausgangspunkt für weitere Betroffenenrechte. Die betroffene Person kann wissen wollen, ob personenbezogene Daten verarbeitet werden und welche Informationen dazu vorliegen.

Zur Auskunft gehören insbesondere Angaben zu Zwecken, Kategorien personenbezogener Daten, Empfängern oder Kategorien von Empfängern, Speicherdauer, Herkunft der Daten, Betroffenenrechten und gegebenenfalls automatisierten Entscheidungen.

Außerdem ist eine Kopie der personenbezogenen Daten bereitzustellen, die Gegenstand der Verarbeitung sind. Das bedeutet aber nicht automatisch, dass ganze Akten, komplette E-Mail-Postfächer oder vollständige Vorgänge ungeprüft herauszugeben sind.

Daten Dritter, Geschäftsgeheimnisse, öffentliche Interessen, Fachrecht und besondere Vertraulichkeitspflichten können den Umfang begrenzen.

Art. 16 DSGVO

Recht auf Berichtigung

Wenn personenbezogene Daten unrichtig sind, kann die betroffene Person Berichtigung verlangen.

Das betrifft etwa falsche Adressen, falsche Kontaktdaten, fehlerhafte Stammdaten, unzutreffende Zuordnungen oder unvollständige Angaben.

Der Verantwortliche sollte prüfen, ob die behauptete Unrichtigkeit nachvollziehbar ist und welche Systeme, Akten, Fachverfahren oder Dienstleister betroffen sind.

Bei streitigen Bewertungen ist sorgfältig zu unterscheiden: Nicht jede aus Sicht der betroffenen Person unliebsame Einschätzung ist automatisch ein unrichtiges Datum.

Art. 17 DSGVO

Recht auf Löschung

Ein Löschungsanspruch kann bestehen, wenn personenbezogene Daten für die Zwecke nicht mehr notwendig sind, eine Einwilligung widerrufen wurde und keine andere Rechtsgrundlage besteht, ein wirksamer Widerspruch vorliegt oder Daten unrechtmäßig verarbeitet wurden.

Löschung bedeutet nicht immer sofortiges Entfernen aus jedem System ohne Prüfung. Aufbewahrungspflichten, Nachweispflichten, Rechtsansprüche, Archivrecht oder fachgesetzliche Vorgaben können entgegenstehen.

In solchen Fällen kann statt einer sofortigen Löschung eine Sperrung oder Einschränkung der Verarbeitung in Betracht kommen.

Wichtig ist eine nachvollziehbare Löschentscheidung: Was wurde gelöscht, was bleibt bestehen, warum bleibt es bestehen und wann wird endgültig gelöscht?

Art. 18 DSGVO

Recht auf Einschränkung der Verarbeitung

Die Einschränkung der Verarbeitung kann verlangt werden, wenn die Richtigkeit der Daten bestritten wird, die Verarbeitung unrechtmäßig ist, die Daten für den ursprünglichen Zweck nicht mehr benötigt werden oder ein Widerspruch noch geprüft wird.

Praktisch bedeutet Einschränkung: Die Daten bleiben vorhanden, dürfen aber nur noch eingeschränkt verarbeitet werden.

Das kann etwa durch Sperrvermerke, Berechtigungseinschränkungen, technische Markierungen oder organisatorische Vorgaben umgesetzt werden.

Die Einschränkung muss in den betroffenen Systemen so umgesetzt werden, dass sie nicht nur auf dem Papier besteht.

Art. 20 DSGVO

Recht auf Datenübertragbarkeit

Das Recht auf Datenübertragbarkeit betrifft bestimmte personenbezogene Daten, die eine betroffene Person einem Verantwortlichen bereitgestellt hat.

Es greift insbesondere bei automatisierter Verarbeitung auf Grundlage einer Einwilligung oder eines Vertrags.

Die Daten sind dann in einem strukturierten, gängigen und maschinenlesbaren Format bereitzustellen.

Für Kommunen spielt dieses Recht in vielen klassischen Verwaltungsvorgängen eine geringere Rolle, weil dort häufig öffentliche Aufgaben oder Fachgesetze die Rechtsgrundlage bilden. Bei Unternehmen, Plattformen, Kundenkonten oder digitalen Diensten kann es dagegen praktisch relevant sein.

Art. 21 DSGVO

Recht auf Widerspruch

Das Widerspruchsrecht ist besonders relevant bei Verarbeitungen auf Grundlage öffentlicher Aufgaben oder berechtigter Interessen.

Die betroffene Person kann aus Gründen, die sich aus ihrer besonderen Situation ergeben, widersprechen. Dann muss geprüft werden, ob zwingende schutzwürdige Gründe für die Verarbeitung vorliegen.

Bei Direktwerbung ist die Lage strenger: Widerspricht die betroffene Person der Verarbeitung für Direktwerbung, dürfen die personenbezogenen Daten dafür nicht mehr verarbeitet werden.

Widersprüche sollten klar dokumentiert und technisch umgesetzt werden, damit die betroffene Person nicht später erneut auf demselben Weg kontaktiert wird.

Art. 22 DSGVO

Automatisierte Entscheidungen und Profiling

Art. 22 DSGVO schützt betroffene Personen vor bestimmten Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen.

Das kann etwa bei Scoring, automatisierten Ablehnungen, automatisierten Auswahlentscheidungen oder bestimmten digitalen Bewertungsverfahren relevant werden.

Nicht jede Softwareunterstützung ist automatisch ein Fall des Art. 22 DSGVO. Entscheidend ist, ob eine ausschließlich automatisierte Entscheidung mit erheblicher Wirkung vorliegt.

Wenn solche Verfahren eingesetzt werden, müssen Transparenz, Rechtsgrundlage, menschliche Überprüfung und technische Schutzmaßnahmen besonders sorgfältig geprüft werden.

Öffentliche Stellen

Besonderheiten für Kommunen

Kommunen bearbeiten Betroffenenrechte in sehr unterschiedlichen Bereichen: Melderecht, Standesamt, Gewerbeamt, Bauamt, Ordnungsamt, Kämmerei, Steueramt, Personalamt, Kindertageseinrichtungen, Ratsarbeit und kommunale Fachverfahren.

Deshalb muss zuerst geklärt werden, welches Fachamt betroffen ist und ob besondere gesetzliche Vorgaben gelten.

Nicht jede Bürgeranfrage ist ein Betroffenenrecht nach DSGVO. Fragen nach Akteneinsicht, nichtöffentlichen Unterlagen, Ratsinformationen, Bauakten, Daten Dritter oder allgemeinen Verwaltungsvorgängen können anderen Regeln folgen.

Für bayerische Kommunen sind neben der DSGVO auch das BayDSG und jeweiliges Fachrecht wichtig. Das kann Umfang, Einschränkungen und Verfahren beeinflussen.

Der Datenschutzbeauftragte sollte eingebunden werden, wenn die Einordnung schwierig ist, Rechte Dritter betroffen sind oder eine Einschränkung beziehungsweise Ablehnung im Raum steht.

Nichtöffentliche Stellen

Besonderheiten für Unternehmen und Vereine

Unternehmen und Vereine müssen Betroffenenrechte ebenso organisatorisch beherrschen. Typische Fälle betreffen Kundenkonten, Bewerbungen, Beschäftigtendaten, Newsletter, Webshops, Vereinsmitglieder, Videoüberwachung, Supportanfragen oder Beschwerden.

Gerade kleine Unternehmen unterschätzen häufig die Frist. Auch eine unklare Anfrage kann ein Betroffenenrecht enthalten und muss dann rechtzeitig eingeordnet werden.

Für Unternehmen in Bayern ist der BayLDA die zuständige Datenschutzaufsichtsbehörde. Seine Hinweise sind daher besonders relevant, wenn es um Auskunft, Löschung, Datenschutzverletzungen oder Beschwerden im Unternehmensbereich geht.

Praktisch wichtig sind klare Zuständigkeiten: Wer nimmt Anfragen entgegen? Wer prüft die Identität? Wer sucht die Daten? Wer entscheidet über Löschung oder Ablehnung? Wer dokumentiert die Antwort?

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD hebt das Auskunftsrecht als besonders wichtiges Betroffenenrecht hervor. Es ermöglicht betroffenen Personen, die Verarbeitung ihrer Daten zu verstehen und weitere Rechte wie Berichtigung oder Löschung gezielt auszuüben.

Für bayerische öffentliche Stellen stellt der BayLfD eine eigene Orientierungshilfe zum Recht auf Auskunft bereit. Diese hilft bei der Bearbeitung von Auskunftsverlangen nach Art. 15 DSGVO.

Der BayLfD betont außerdem, dass Betroffenenrechte rechtlich sauber von anderen Ansprüchen abzugrenzen sind. Akteneinsicht, Informationszugang, Presserecht oder gerichtliche Offenlegung sind nicht dasselbe wie Art. 15 DSGVO.

Bei Beschwerden gegen bayerische öffentliche Stellen ist der BayLfD die zuständige Datenschutzaufsicht. Kommunen sollten daher besonders darauf achten, Bearbeitung, Fristen, Identitätsprüfung, Schwärzungen und Ablehnungsgründe nachvollziehbar zu dokumentieren.

Unternehmen in Bayern

Was sagt der BayLDA?

Der BayLDA ist für nichtöffentliche Stellen in Bayern zuständig, also insbesondere für Unternehmen, Vereine, Freiberufler und viele private Einrichtungen.

Zum Auskunftsrecht stellt der BayLDA klar, dass es zunächst um die Frage geht, ob personenbezogene Daten zu einer Person verarbeitet werden. Falls ja, sind grundsätzlich die konkreten personenbezogenen Daten mitzuteilen, nicht nur abstrakte Kategorien.

Zur Löschung weist der BayLDA darauf hin, dass personenbezogene Daten nach Art. 17 DSGVO auf Verlangen grundsätzlich zu löschen sind. Eine Löschung kann aber auch ohne ausdrücklichen Antrag erforderlich werden, wenn keine Rechtsgrundlage für die weitere Speicherung mehr besteht.

Bei Beschwerden über fehlerhafte Auskünfte empfiehlt der BayLDA, vorhandene Belege und den bisherigen Schriftverkehr bereitzustellen. Das zeigt auch für Unternehmen: Die Bearbeitung von Betroffenenrechten sollte nachvollziehbar dokumentiert werden.

Praxisfehler

Typische Fehler bei Betroffenenrechten

Orientierung

Orientierungsfragen für die Bearbeitung

Die folgenden Fragen helfen, das geltend gemachte Betroffenenrecht und den zuständigen Bearbeitungsweg früh festzulegen. Besondere Einschränkungen bleiben im Einzelfall zu prüfen.

Häufige Fragen

FAQ zu Betroffenenrechten nach DSGVO

Ergebnis

Fazit

Betroffenenrechte sind ein wichtiger Praxistest für Datenschutzorganisation. Wer seine Datenbestände, Zuständigkeiten und Löschfristen nicht kennt, kann Anfragen kaum sauber beantworten.

Für Kommunen kommt es besonders auf die Abgrenzung zu Akteneinsicht, Fachrecht und öffentlichen Aufgaben an. Für Unternehmen ist wichtig, die Hinweise des BayLDA und die eigene Nachweisdokumentation ernst zu nehmen.

Ein einfacher interner Ablauf hilft: Anfrage erkennen, Recht einordnen, Identität prüfen, Daten recherchieren, Grenzen bewerten, Antwort fristgerecht versenden und alles dokumentieren.

Weiterlesen

Passende Themen auf der Website

Nachweise

Quellen