Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Kurzdefinition: Das Recht auf Einschränkung ist die vorübergehende Sperre der Verarbeitung. Nach Art. 18 DSGVO kann die betroffene Person unter bestimmten Voraussetzungen verlangen, dass ihre Daten zwar gespeichert bleiben, aber nur noch eingeschränkt verarbeitet werden. [N-DSGVO-18]

Der Normwortlaut

Art. 18 Abs. 1 DSGVO gibt der betroffenen Person das Recht, „von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen“, wenn eine der genannten Voraussetzungen gegeben ist — etwa während die bestrittene Richtigkeit der Daten geprüft wird oder bei unrechtmäßiger Verarbeitung anstelle der Löschung. [N-DSGVO-18]

Wann kann die Einschränkung verlangt werden?

In vier Fällen. Art. 18 Abs. 1 DSGVO nennt sie: wenn die Richtigkeit der Daten bestritten wird, für die Dauer der Prüfung; wenn die Verarbeitung unrechtmäßig ist und die Person statt Löschung die Einschränkung wünscht; wenn der Verantwortliche die Daten nicht mehr braucht, die Person sie aber für Rechtsansprüche benötigt; und solange die Abwägung eines Widerspruchs nach Art. 21 DSGVO noch aussteht. [N-DSGVO-18] [N-DSGVO-21]

Was bedeutet Einschränkung praktisch?

Die Daten werden markiert und ruhen. Eingeschränkte Daten dürfen grundsätzlich nur noch gespeichert werden; weitere Verarbeitung ist nur in den in Art. 18 Abs. 2 DSGVO genannten Ausnahmefällen zulässig, etwa mit Einwilligung, für Rechtsansprüche, zum Schutz der Rechte einer anderen Person oder aus wichtigem öffentlichen Interesse. [N-DSGVO-18]

Wie verhält es sich zu Berichtigung und Löschung?

Es flankiert beide. Wer die Richtigkeit bestreitet und Berichtigung nach Art. 16 DSGVO verlangt, kann für die Prüfzeit die Einschränkung fordern. Wer eine unrechtmäßige Verarbeitung geltend macht, kann statt der Löschung nach Art. 17 DSGVO die Einschränkung wählen. [N-DSGVO-18] [N-DSGVO-16]

In welchen Fällen kann die Einschränkung verlangt werden?

Bei bestimmten Voraussetzungen. Art. 18 Abs. 1 DSGVO nennt unter anderem den Zeitraum, in dem die bestrittene Richtigkeit der Daten geprüft wird, und die unrechtmäßige Verarbeitung, bei der die betroffene Person statt der Löschung die Einschränkung verlangt. [N-DSGVO-18]

Was bewirkt die Einschränkung praktisch?

Ein Verarbeitungsstopp mit Ausnahmen. Eingeschränkte Daten werden markiert und dürfen — von der Speicherung abgesehen — nur noch in engen Grenzen verarbeitet werden. Die Verarbeitung wird also weitgehend eingefroren. [N-DSGVO-18]

Ist die Einschränkung eine Alternative zur Löschung?

Ja. In bestimmten Konstellationen kann die betroffene Person anstelle der Löschung die Einschränkung der Verarbeitung verlangen. Die Einschränkung ist damit ein milderes, aber eigenständiges Betroffenenrecht. [N-DSGVO-18]

Häufige Fehlannahmen

• „Einschränkung bedeutet sofortige Löschung.“ Nein. Die Daten bleiben gespeichert, werden aber nur eingeschränkt verarbeitet. [N-DSGVO-18]
• „Die Einschränkung kann grundlos verlangt werden.“ Nein. Es muss eine der Voraussetzungen des Art. 18 Abs. 1 DSGVO vorliegen. [N-DSGVO-18]
• „Eingeschränkte Daten dürfen frei weiterverarbeitet werden.“ Nein. Zulässig sind grundsätzlich nur Speicherung und die eng begrenzten Ausnahmen des Art. 18 Abs. 2 DSGVO. [N-DSGVO-18]
• „Es gibt nur einen Fall, in dem man die Einschränkung verlangen kann.“ Nein. Art. 18 Abs. 1 DSGVO nennt mehrere Fälle, etwa bei bestrittener Richtigkeit, unrechtmäßiger Verarbeitung ohne Löschungswunsch, fortbestehendem Bedarf für Rechtsansprüche oder eingelegtem Widerspruch. [N-DSGVO-18]
• „Einschränkung ist dasselbe wie Widerspruch.“ Nein. Der Widerspruch nach Art. 21 DSGVO ist ein eigenes Recht; er kann die Einschränkung nach Art. 18 auslösen, ist aber nicht mit ihr identisch. [N-DSGVO-18] [N-DSGVO-21]

Was die Geschäftsleitung tun sollte

1. Markieren können. Technisch sicherstellen, dass Daten eingeschränkt werden können.
2. Voraussetzungen prüfen. Anträge an den vier Fällen des Art. 18 DSGVO messen.
3. Verarbeitung stoppen. Eingeschränkte Daten nur noch im zulässigen Rahmen nutzen.
4. Aufheben dokumentieren. Das Ende der Einschränkung der Person mitteilen.

Für die Geschäftsleitung

Das Recht auf Einschränkung ist die Pausetaste des Datenschutzes: Statt zu löschen oder voll zu verarbeiten, ruhen die Daten vorübergehend. Für das Unternehmen ist entscheidend, dass die Systeme eine solche Markierung überhaupt abbilden können — sonst lässt sich das Recht technisch nicht erfüllen.

Quellen

1. [N-DSGVO-18] Art. 18 DSGVO (Recht auf Einschränkung der Verarbeitung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504

1. [N-DSGVO-21] Art. 21 DSGVO (Widerspruchsrecht). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
2. [N-DSGVO-16] Art. 16 DSGVO (Recht auf Berichtigung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504