Recht auf Einschränkung der Verarbeitung

Definition: Das Recht auf Einschränkung der Verarbeitung ist in Art. 18 der Datenschutz-Grundverordnung (DSGVO) geregelt und gewährt betroffenen Personen unter bestimmten, abschließend geregelten Voraussetzungen das Recht zu verlangen, dass der Verantwortliche die Verarbeitung ihrer personenbezogenen Daten einschränkt. Einschränkung der Verarbeitung bedeutet gemäß Art. 4 Nr. 3 DSGVO die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Im Unterschied zum Recht auf Löschung (Art. 17 DSGVO) führt die Einschränkung nicht zur Vernichtung der Daten, sondern zu ihrer Sperrung: Die Daten dürfen weiterhin aufbewahrt, aber grundsätzlich nicht mehr aktiv genutzt werden. Lediglich mit Einwilligung der betroffenen Person, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaates ist eine weitere Verarbeitung eingeschränkter Daten zulässig. Das Recht auf Einschränkung der Verarbeitung ist vor allem als Zwischenrecht konzipiert: Es sichert die Interessen der betroffenen Person in Situationen, in denen die endgültige Rechtslage noch nicht geklärt ist, etwa während einer strittigen Berichtigungsanfrage oder während der Prüfung eines Widerspruchs gegen die Datenverarbeitung.

Erläuterung

Das Recht auf Einschränkung der Verarbeitung ist eines der weniger bekannten Betroffenenrechte der DSGVO, in der betrieblichen Praxis aber von erheblicher Relevanz. Es entfaltet seine Wirkung vor allem in Übergangssituationen, in denen die betroffene Person einerseits nicht möchte, dass ihre Daten gelöscht werden (weil sie sie noch für eigene Zwecke benötigt, z. B. zur Beweissicherung in einem Rechtsstreit), andererseits aber verhindern möchte, dass der Verantwortliche diese Daten weiter aktiv nutzt.

Das Recht kann in vier klar definierten Situationen geltend gemacht werden: erstens, wenn die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, für eine Dauer, die dem Verantwortlichen die Überprüfung der Richtigkeit ermöglicht; zweitens, wenn die Verarbeitung unrechtmäßig ist und die betroffene Person die Einschränkung der Nutzung statt der Löschung der Daten verlangt; drittens, wenn der Verantwortliche die Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt; und viertens, wenn die betroffene Person Widerspruch gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO eingelegt hat und noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.

Im Online-Marketing und im CRM-Betrieb hat das Recht auf Einschränkung unmittelbare operative Konsequenzen. Eine Person, deren Verarbeitung eingeschränkt ist, muss umgehend aus allen aktiven Marketingkampagnen, E-Mail-Verteiler, Retargeting-Listen und Automatisierungsprogrammen entfernt werden. Gleichzeitig darf ihr Datensatz nicht gelöscht werden, solange die Einschränkung besteht. Dies erfordert eine technische Markierung im CRM (ein sogenanntes Sperr-Flag), das systemübergreifend von allen angebundenen Marketing-Tools respektiert wird.

Der Verantwortliche ist außerdem verpflichtet, die betroffene Person zu unterrichten, bevor die Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO). Auch die Weitergabepflicht des Art. 19 DSGVO gilt: Empfänger, denen die betroffenen Daten übermittelt wurden, müssen über die Einschränkung informiert werden, damit auch auf deren Seite keine unzulässige weitere Verarbeitung stattfindet.

Die vier Voraussetzungen für die Einschränkung

Streitige Richtigkeit der Daten: Die betroffene Person bestreitet die Richtigkeit ihrer Daten. Für die Dauer der Überprüfung durch den Verantwortlichen sind die Daten einzuschränken. Diese Situation entsteht z. B., wenn ein Kunde behauptet, seine Adresse sei falsch gespeichert, und der Verantwortliche die Behauptung zunächst prüfen muss.
Unrechtmäßige Verarbeitung, kein Löschungswunsch: Stellt die betroffene Person fest, dass ihre Daten ohne ausreichende Rechtsgrundlage verarbeitet werden, kann sie statt Löschung die Einschränkung verlangen — etwa weil sie die Daten noch für eigene rechtliche Zwecke benötigt.
Daten nicht mehr benötigt, aber für Rechtsansprüche erforderlich: Der Verantwortliche benötigt die Daten für seine eigenen Verarbeitungszwecke nicht mehr, die betroffene Person hingegen braucht sie zur Durchsetzung oder Verteidigung rechtlicher Ansprüche.
Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt: Solange die Abwägung zwischen den Interessen der betroffenen Person und den berechtigten Interessen des Verantwortlichen noch aussteht, sind die Daten einzuschränken.

Technische und organisatorische Umsetzung

Sperr-Flag im CRM: Im CRM-System muss ein eindeutiges Statusfeld für „Verarbeitung eingeschränkt" eingeführt werden, das alle nachgelagerten Systeme, Marketing-Automation-Tools und Export-Schnittstellen berücksichtigen.
Automatischer Ausschluss aus Kampagnen: Alle Marketing-Automatisierungs-Workflows, E-Mail-Trigger und Ad-Zielgruppen müssen den Einschränkungsstatus automatisch auslesen und die betroffene Person ausschließen.
Benachrichtigung vor Aufhebung: Bevor die Einschränkung aufgehoben wird, muss die betroffene Person informiert werden. Dies sollte über einen dokumentierten, automatisierten Prozess erfolgen.
Information der Empfänger: Alle Auftragsverarbeiter und sonstigen Empfänger, die die betroffenen Daten erhalten haben, müssen über die Einschränkung informiert werden (Art. 19 DSGVO).

Praxistipp: Implementieren Sie in Ihrem CRM ein eindeutiges Status-Feld für „Verarbeitung eingeschränkt", das technisch mit allen Marketingautomatisierungs- und E-Mail-Systemen verknüpft ist. Testen Sie regelmäßig, ob dieses Flag tatsächlich dazu führt, dass betroffene Personen automatisch aus allen aktiven Kampagnen und Zielgruppen entfernt werden. Halten Sie außerdem einen dokumentierten Prozess bereit, der die Schritte von der Eingangsregistrierung einer Einschränkungsanfrage bis zur Aufhebung der Einschränkung und der Benachrichtigung der betroffenen Person beschreibt.