DSGVO: Welche Rechte Betroffene tatsächlich haben
Die Datenschutz-Grundverordnung gilt seit 2018. Ihre praktisch wichtigsten Regelungen sind die Rechte, die jede Person gegenüber Unternehmen und Behörden hat.
Microsoft Katja (Neural, deutsch)
Die DSGVO wird meist über Cookie-Banner wahrgenommen. Ihr Kern liegt woanders: in einem Katalog von Rechten, die formlos und in der Regel kostenfrei geltend gemacht werden können.
Auskunft
Jede Person kann verlangen zu erfahren, ob und welche Daten über sie verarbeitet werden — samt Zwecken, Empfängern, Speicherdauer und Herkunft. Die Antwort muss unverzüglich erfolgen, spätestens innerhalb eines Monats; bei komplexen Anfragen kann die Frist verlängert werden. Zusätzlich besteht ein Anspruch auf eine Kopie der Daten.
Berichtigung und Löschung
Falsche Daten sind zu berichtigen. Gelöscht werden muss unter anderem, wenn Daten für ihren Zweck nicht mehr erforderlich sind, eine Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war. Das Recht gilt nicht schrankenlos: Aufbewahrungspflichten, etwa im Steuerrecht, gehen vor. In diesem Fall werden die Daten für die weitere Nutzung gesperrt statt gelöscht.
Widerspruch und Direktwerbung
Gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind, kann widersprochen werden. Bei Direktwerbung gilt der Widerspruch absolut: Er muss ohne Abwägung befolgt werden.
Datenübertragbarkeit
Daten, die auf Einwilligung oder Vertrag beruhen und automatisiert verarbeitet werden, können in einem gängigen Format herausverlangt und zu einem anderen Anbieter mitgenommen werden.
Wenn nichts passiert
Reagiert ein Unternehmen nicht, kann eine Beschwerde bei der zuständigen Aufsichtsbehörde eingereicht werden — in Deutschland bei den Landesdatenschutzbeauftragten, für Telekommunikation und Post beim Bundesbeauftragten. Beschwerden sind kostenfrei. Daneben kommt ein Anspruch auf Schadenersatz in Betracht; die Rechtsprechung verlangt dafür einen konkreten Schaden, der auch immateriell sein kann.
Was Unternehmen leisten müssen
Verarbeitungen brauchen eine Rechtsgrundlage: Einwilligung, Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse. Erforderlich sind ein Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Schutzmaßnahmen sowie die Meldung von Datenpannen an die Aufsicht binnen 72 Stunden. Bei hohem Risiko für Betroffene müssen auch diese informiert werden.