Praxishandbuch DSGVO. Tobias Rothkegel

zur Datenlöschung373c) Löschungsgründe: Tatbestandsalternativen des Art. 17 Abs. 1 DSGVO4872. Rechtsfolge: Löschen i.S.d. Art. 17 Abs. 1 DSGVO4103. Informationspflichten im Fall der Öffentlichmachung der Daten (Art. 17 Abs. 2 DSGVO)414a) Voraussetzungen des Rechts auf Vergessenwerden418b) Vom Verantwortlichen zur Erfüllung des Rechts auf Vergessenwerden zu ergreifende Maßnahmen4204. Ausnahmen vom Recht auf Löschung gem. Art. 17 Abs. 1 DSGVO und von den Informationspflichten gem. Art. 17 Abs. 2 DSGVO (Art. 17 Abs. 3, Art. 12 DSGVO)425a) Ausnahmen nach Art. 17 Abs. 3 DSGVO425b) Weitere Ausnahmen in der DSGVO428c) Ausnahmen im nationalen Recht4305. Modalitäten des Löschungsanspruchs (Art. 12 DSGVO)434a) Frist bei Löschung aufgrund der in Art. 17 Abs. 1 DSGVO enthaltenen Löschungspflicht448b) Frist bei Löschung gem. Art. 17 Abs. 1 DSGVO infolge eines Antrags der betroffenen Person449c) Frist für die Information nach Art. 17 Abs. 2 DSGVO4536. Mitteilungspflicht nach Art. 19 DSGVO/Verhältnis zu Art. 17 Abs. 2 DSGVO4557. Recht auf Löschung im Hinblick auf Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden459VII. Recht auf Einschränkung der Datenverarbeitung (Art. 18 DSGVO)4601. Inhalte des Rechts auf Einschränkung der Datenverarbeitung462a) Voraussetzungen (Art. 18 Abs. 1 DSGVO)462b) Rechtsfolge: Einschränkung der Datenverarbeitung576c) Bedingungen für die Weiterverarbeitung der Daten (Art. 18 Abs. 2 DSGVO, Erwägungsgrund 67 DSGVO)580d) Informationspflichten für den Fall, dass die Daten wieder uneingeschränkt verarbeitet werden (Art. 18 Abs. 3 DSGVO)5812. Ausnahmen vom Recht auf Einschränkung der Datenverarbeitung4833. Modalitäten des Rechts auf Einschränkung der Datenverarbeitung (Art. 12 DSGVO)4864. Mitteilungspflicht nach Art. 19 DSGVO4905. Recht auf Einschränkung der Datenverarbeitung im Hinblick auf Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden491VIII. Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO)4921. Voraussetzungen der Mitteilungspflicht4942. Mitteilung der Berichtigung, Löschung oder Einschränkung der Verarbeitung4963. Unterrichtungspflicht gegenüber der betroffenen Person (Art. 19 S. 2 DSGVO)5004. Weitere Ausnahmen von der Mitteilungspflicht5085. Modalitäten der Mitteilungspflicht (Art. 12 DSGVO)5116. Mitteilungspflicht im Hinblick auf Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden515IX. Recht auf Datenübertragbarkeit (Art. 20 DSGVO)5161. Inhalte des Rechts auf Datenübertragbarkeit519a) Voraussetzungen des Rechts auf Datenübertragbarkeit (Art. 20 Abs. 1 DSGVO)519b) Rechtsfolgen: Bereitstellung (Abs. 1) bzw. Übermittlung (Abs. 2) von Daten durch den Verantwortlichen528c) Verhältnis zu Art. 17 DSGVO (Art. 20 Abs. 3 S. 1 DSGVO)5382. Ausnahmen vom Recht auf Datenübertragbarkeit (Art. 20 Abs. 4, Art. 12 DSGVO)541a) Beeinträchtigung von Rechten und Freiheiten anderer Personen (Art. 20 Abs. 4 DSGVO)542b) Weitere Ausnahmen5583. Modalitäten des Rechts auf Datenübertragbarkeit5624. Recht auf Datenübertragbarkeit im Hinblick auf Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden567X. Widerspruchsrecht (Art. 21 DSGVO)5681. Inhalte des Widerspruchsrechts569a) Allgemeines Widerspruchsrecht gem. Art. 21 Abs. 1 DSGVO570b) Widerspruchsrecht bei der Datenverarbeitung zu Zwecken der Direktwerbung gem. Art. 21 Abs. 2 und 3 DSGVO587c) Informationspflichten nach Art. 21 Abs. 4 DSGVO5962. Weitere Ausnahmen vom Widerspruchsrecht6043. Modalitäten des Widerspruchsrechts6074. Widerspruchsrecht im Hinblick auf Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden612XI. Automatisierte Entscheidungen im Einzelfall einschließlich Profiling (Art. 22 DSGVO)6131. Inhalte des Rechts, keinen automatisierten Einzelfallentscheidungen unterworfen zu werden617a) Voraussetzungen des Rechts, keinen automatisierten Einzelfallentscheidungen unterworfen zu werden617b) Rechtsfolgen aus Art. 22 Abs. 1 DSGVO637c) Ausnahmen vom Recht, keinen automatisierten Einzelfallentscheidungen unterworfen zu werden (Art. 22 Abs. 2 und 3 DSGVO)638d) Sonderfall: Verarbeitung besonderer Kategorien personenbezogener Daten6392. Modalitäten des Rechts, keinen automatisierten Einzelfallentscheidungen unterworfen zu werden6633. Das Recht, keinen automatisierten Einzelfallentscheidungen unterworfen zu werden, im Hinblick auf Daten, die vor der Anwendbarkeit der DSGVO erhoben wurden664XII. Sanktionierung665

       I. Einführung

1

      Ein Bereich, dessen Bedeutung in der Praxis infolge der DSGVO stark zugenommen hat, ist der Bereich der Betroffenenrechte, also den Rechten, die Personen, deren personenbezogene Daten Gegenstand einer Datenverarbeitung sind, gegenüber dem für diese Datenverarbeitung Verantwortlichen zustehen.

      2

      Dies scheint insbesondere eine Folge der gesteigerten Aufmerksamkeit und Sensibilität der Bevölkerung für den Datenschutz zu sein, welche nicht zuletzt auch durch die DSGVO und die damit verbundene Berichterstattung in den Medien gefördert wurden. Denn auch nach der alten Rechtslage, also bevor die DSGVO wirksam wurde, bestanden weitgehende Betroffenenrechte. Diese wurden durch die DSGVO allerdings ausgeweitet, formalisiert und präzisiert.

      3

      So wurden durch die DSGVO zwei neue Betroffenenrechte eingeführt, die nach der alten Rechtslage auf Basis der Datenschutzrichtlinie 95/46/EG nicht vorgesehen waren: das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO und das Recht auf Vergessenwerden nach Art. 17 Abs. 2 DSGVO.1

4

      Außerdem wurden einige bestehende Betroffenenrechte, wie z.B. das Recht auf Auskunft und die Informationspflichten des Verantwortlichen, durch die DSGVO erheblich erweitert und präzisiert.

      5

      Für Unternehmen, die personenbezogene Daten verarbeiten, haben die Betroffenenrechte in der Praxis eine sehr wichtige Bedeutung. Diese erschöpft sich nicht allein darin, dass die Unternehmen die jeweiligen Rechte der betroffenen Person im Einzelfall – ggf. auf deren Antrag hin – erfüllen müssen. Vielmehr ist es erforderlich, dass Unternehmen bereits im Vorfeld entsprechende Prozesse konzipiert und implementiert haben, um die einzelnen Betroffenenrechte – ggf. auf Antrag der betroffenen Person – überhaupt erfüllen zu können. Ebenso sind diese Prozesse grundsätzlich zu dokumentieren, um der Rechenschaftspflicht zu genügen. Somit hat auch im Bereich der Betroffenenrechte das Thema der Datenschutzorganisation und des Datenschutzmanagements erheblich an Bedeutung gewonnen.

      6

      Dies ist umso wichtiger, als dass betroffene Personen ihre Rechte seit der DSGVO viel häufiger wahrnehmen und ggf. auch gerichtlich durchzusetzen versuchen als zuvor, was sich alleine schon an der erheblich gestiegenen Anzahl an Gerichtsentscheidungen in diesem Bereich zeigt.

      7

      Auch für die Datenschutzaufsichtsbehörden scheinen die im Unternehmen vorgesehenen Prozesse zur Erfüllung der Betroffenenrechte eine immer wichtigere Rolle zu spielen, z.B. im Fall von Verstößen im Rahmen der Bußgeldbemessung. Gerade im Fall von Verstößen gegen die Betroffenenrechte ist zudem auch der Reputationsschaden durch eine negative Medienberichterstattung nicht zu unterschätzen. Vor diesem Hintergrund sollte die Bedeutung der