Betroffenenrechte

Definition: Betroffenenrechte sind die in Kapitel III der Datenschutz-Grundverordnung (DSGVO), insbesondere in den Artikeln 15 bis 22, geregelten individuellen Rechte, die jeder natürlichen Person – der betroffenen Person – gegenüber dem Verantwortlichen zustehen, der ihre personenbezogenen Daten verarbeitet. Sie bilden das Kernstück des Datenschutzrechts und sollen sicherstellen, dass natürliche Personen die Kontrolle über ihre eigenen Daten behalten und Transparenz über die stattfindende Verarbeitung erhalten. Zu den zentralen Betroffenenrechten zählen: das Recht auf Auskunft (Art. 15), das Recht auf Berichtigung (Art. 16), das Recht auf Löschung – auch als Recht auf Vergessenwerden bekannt (Art. 17), das Recht auf Einschränkung der Verarbeitung (Art. 18), das Recht auf Datenportabilität (Art. 20), das Widerspruchsrecht (Art. 21) sowie das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden (Art. 22). Unternehmen sind verpflichtet, diese Rechte zu respektieren, entsprechende technische und organisatorische Voraussetzungen zu schaffen und Anfragen grundsätzlich innerhalb eines Monats zu beantworten. Die Nichtbeachtung kann zu Beschwerden bei Aufsichtsbehörden, Bußgeldern und zivilrechtlichen Ansprüchen führen.

Erläuterung

Die Betroffenenrechte sind kein abstraktes Konstrukt, sondern haben im Online Marketing ganz konkrete Auswirkungen auf die tägliche Praxis. Jeder Newsletter-Abonnent hat das Recht zu erfahren, welche Daten ein Unternehmen über ihn gespeichert hat. Jeder Online-Shop-Kunde kann verlangen, dass fehlerhafte Adressdaten korrigiert werden. Jeder Website-Besucher kann der Nutzung seiner Daten für personalisierte Werbung widersprechen. Und jede Person, die nicht mehr von einem Unternehmen kontaktiert werden möchte, hat das Recht auf Löschung ihrer Daten.

Für die Bearbeitung von Betroffenenanfragen hat der Verantwortliche grundsätzlich einen Monat Zeit ab Eingang der Anfrage. Bei komplexen oder zahlreichen Anfragen kann diese Frist um zwei weitere Monate verlängert werden – die betroffene Person muss jedoch innerhalb des ersten Monats darüber informiert werden. Alle Betroffenenrechte sind grundsätzlich kostenlos auszuüben; nur bei offensichtlich unbegründeten oder exzessiven Anfragen kann ein Entgelt verlangt oder die Anfrage abgelehnt werden.

Ein wichtiger Aspekt ist die Identifikation des Anfragenden: Der Verantwortliche muss sicherstellen, dass er die Identität der anfragenden Person verifiziert, darf dabei aber keine unverhältnismäßig aufwendigen Nachweise fordern. In der Praxis reicht bei digitalen Diensten oft die Verifizierung über den angemeldeten Account oder eine bekannte E-Mail-Adresse.

Technische Voraussetzung für die Erfüllung von Betroffenenrechten ist, dass alle Systeme, in denen personenbezogene Daten gespeichert sind, schnell auffindbar und exportierbar sind. Wer CRM, E-Mail-Tool, Analytics-Plattform und Shop-System als separate Inseln betreibt, wird bei einer Auskunftsanfrage alle Systeme abfragen müssen. Dies macht die Wahl von Systemen mit guten Datenexport-Funktionen zu einem datenschutzrechtlich relevanten Kriterium.

Die wichtigsten Betroffenenrechte im Überblick

• Recht auf Auskunft (Art. 15): Betroffene können erfahren, welche Daten verarbeitet werden, zu welchem Zweck, an wen sie weitergegeben wurden und wie lange sie gespeichert werden. Sie haben Anspruch auf eine kostenlose Kopie der verarbeiteten Daten. Frist: 1 Monat.
• Recht auf Berichtigung (Art. 16): Unrichtige personenbezogene Daten müssen unverzüglich berichtigt werden. Unvollständige Daten sind zu ergänzen. Im CRM sind z. B. veraltete Adressdaten auf Anfrage zu korrigieren.
• Recht auf Löschung / Recht auf Vergessenwerden (Art. 17): Betroffene können die Löschung ihrer Daten verlangen, wenn der Zweck entfallen ist, die Einwilligung widerrufen wurde oder Widerspruch eingelegt wurde. Ausnahmen bestehen u. a. bei gesetzlichen Aufbewahrungspflichten.
• Recht auf Einschränkung der Verarbeitung (Art. 18): Während der Prüfung einer Berichtigung oder eines Widerspruchs können Betroffene verlangen, dass die Verarbeitung vorübergehend eingeschränkt wird – die Daten bleiben gespeichert, dürfen aber nicht aktiv genutzt werden.
• Recht auf Datenportabilität (Art. 20): Betroffene können ihre Daten in einem maschinenlesbaren Format erhalten und an einen anderen Anbieter übertragen lassen. Gilt nur für Daten, die auf Einwilligung oder Vertrag basieren und automatisiert verarbeitet werden.
• Widerspruchsrecht (Art. 21): Gegen Verarbeitungen auf Basis berechtigten Interesses oder für Direktmarketingzwecke kann jederzeit Widerspruch eingelegt werden. Bei Werbewiderspruch muss die Verarbeitung sofort eingestellt werden – ohne Abwägung.
• Recht gegen automatisierte Entscheidungen (Art. 22): Betroffene dürfen nicht ausschließlich einer automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen werden – z. B. automatisierter Kreditablehnung oder Profiling ohne menschliche Überprüfung.

Pflichten des Verantwortlichen zur Umsetzung

• Kommunikationskanal einrichten: Eine klar kommunizierte Kontaktmöglichkeit für Datenschutzanfragen (z. B. dedizierte E-Mail-Adresse oder Kontaktformular) muss bereitstehen.
• Fristenkontrolle: Eingehende Anfragen müssen zeitnah erfasst und mit Fristüberwachung bearbeitet werden – ein Monat ist kurz, wenn viele Systeme abgefragt werden müssen.
• Interne Zuständigkeiten: Es muss klar definiert sein, wer für die Bearbeitung von Betroffenenanfragen zuständig ist und wer die technische Auskunft aus den verschiedenen Systemen liefert.
• Dokumentation: Alle eingegangenen Anfragen und deren Bearbeitung sind zu dokumentieren – als Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
• Transparenz im Vorfeld: Die Datenschutzerklärung muss vollständig über alle Betroffenenrechte und deren Ausübung informieren.