Kurzdefinition: Betroffenenrechte sind die Rechte, die die DSGVO der betroffenen Person gegenüber dem Verantwortlichen einräumt — geregelt in Kapitel III. Art. 12 DSGVO bildet die Klammer: Er bestimmt, in welcher Form, wie schnell und zu welchen Kosten der Verantwortliche reagieren muss. [N-DSGVO-12]
Der Normwortlaut
Art. 12 Abs. 2 Satz 1 DSGVO lautet in der konsolidierten Fassung: „Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22.“ Nach Art. 12 Abs. 1 Satz 1 DSGVO trifft der Verantwortliche geeignete Maßnahmen, um der betroffenen Person alle Informationen und Mitteilungen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln“. [N-DSGVO-12]
Welche Rechte gehören dazu?
Die Einzelrechte des Kapitels III. Dazu zählen das Auskunftsrecht (Art. 15), das Recht auf Berichtigung (Art. 16), das Recht auf Löschung (Art. 17), das Recht auf Einschränkung der Verarbeitung (Art. 18), das Recht auf Datenübertragbarkeit (Art. 20), das Widerspruchsrecht (Art. 21) und das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22). [N-DSGVO-12]
Was regelt Art. 12 DSGVO?
Die Modalitäten. Er verpflichtet den Verantwortlichen, die Ausübung der Rechte nach den Artikeln 15 bis 22 zu erleichtern, und verlangt für Informationen und Mitteilungen eine präzise, transparente, verständliche und leicht zugängliche Form in klarer und einfacher Sprache. Die Übermittlung erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. [N-DSGVO-12]
Darf der Verantwortliche die Reaktion verweigern?
Nur eng begrenzt. Nach Art. 12 Abs. 2 Satz 2 DSGVO darf er sich in den Fällen des Art. 11 Abs. 2 DSGVO nur dann weigern, tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. Ein pauschales Berufen auf Aufwand genügt nicht. [N-DSGVO-12]
Warum sind Betroffenenrechte im Cyber-Kontext relevant?
Weil sie nach einem Vorfall in Wellen kommen. Nach einer Datenpanne stellen Betroffene typischerweise Auskunfts- und Löschungsverlangen; parallel läuft die Benachrichtigungspflicht nach Art. 34 DSGVO. Wer keine Prozesse hat, verliert Fristen — und produziert einen zweiten Verstoß neben dem eigentlichen Vorfall. [N-DSGVO-12]
Wie hängen sie mit dem Schadenersatz zusammen?
Über Art. 82 DSGVO. Wer wegen eines Verstoßes gegen die Verordnung einen materiellen oder immateriellen Schaden erleidet, kann Ersatz verlangen. Verzögerte oder verweigerte Auskunft ist deshalb nicht nur ein Aufsichtsthema, sondern ein Haftungsrisiko. [N-DSGVO-12]
Häufige Fehlannahmen
- „Betroffenenrechte sind ein einziges Recht.“ Nein. Es handelt sich um ein Bündel von Einzelrechten in Kapitel III der DSGVO, das Art. 12 DSGVO nur einrahmt. [N-DSGVO-12]
- „Der Verantwortliche muss die Ausübung nur dulden.“ Nein. Art. 12 Abs. 2 DSGVO verlangt ausdrücklich, die Ausübung zu erleichtern. [N-DSGVO-12]
- „Bei hohem Aufwand darf man ablehnen.“ Nein. Die Weigerung ist nur in den Fällen des Art. 11 Abs. 2 DSGVO und nur bei fehlender Identifizierbarkeit möglich. [N-DSGVO-12]
- „Eine mündliche Auskunft ist ausgeschlossen.“ Nicht ganz. Nach Art. 12 Abs. 1 DSGVO kann die Information mündlich erteilt werden, wenn die betroffene Person es verlangt und ihre Identität in anderer Form nachgewiesen wurde. [N-DSGVO-12]
Was die Geschäftsleitung tun sollte
- Prozess aufsetzen. Ein definiertes Verfahren für eingehende Betroffenenanfragen mit Fristenkontrolle.
- Identifizierung regeln. Klare Vorgaben, wie die Identität geprüft wird — ohne unnötige Datensammlung.
- Vorfall mitdenken. Den Prozess so dimensionieren, dass er eine Anfragewelle nach einer Datenpanne trägt.
Für die Geschäftsleitung
Betroffenenrechte sind der Punkt, an dem Datenschutz für den Einzelnen sichtbar wird — und an dem Versäumnisse am schnellsten teuer werden. Nach einem Vorfall entscheidet die Prozessreife darüber, ob aus einem Sicherheitsproblem zusätzlich ein Aufsichts- und Haftungsproblem wird.
Quellen
- [N-DSGVO-12] Art. 12 DSGVO (Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person), Abs. 1 und Abs. 2. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
