Die Rechte der betroffenen Personen

Personen, über die das Unternehmen Daten hat, haben Rechte nach Artikel 12–22 der Datenschutz-Grundverordnung. Oft hören Beschäftigte an vorderster Stelle als Erste davon: am Telefon, im Geschäft oder in einer E-Mail. Sie müssen die Rechte deshalb kennen und wissen, was zu tun ist, wenn jemand sie geltend macht.

Die Rechte

• Information (Artikel 13 und 14): Die Person muss wissen, wer die Daten verarbeitet, warum, wie lange und welche Rechte sie hat. Das geschieht normalerweise in einer Datenschutzinformation.
• Auskunft (Artikel 15): Die Person kann erfahren, ob das Unternehmen Daten über sie verarbeitet, und erhält eine Kopie davon sowie eine Reihe von Angaben zur Verarbeitung. Das Recht darf die Rechte anderer nicht verletzen; Sie dürfen zum Beispiel keine Daten über eine andere Person mit herausgeben.
• Berichtigung (Artikel 16): Falsche Daten müssen korrigiert werden.
• Löschung (Artikel 17), auch „Recht auf Vergessenwerden“ genannt: Daten müssen gelöscht werden, zum Beispiel wenn sie nicht mehr nötig sind oder die Einwilligung widerrufen wurde. Das Recht gilt nicht, wenn das Gesetz verlangt, dass das Unternehmen sie aufbewahrt.
• Einschränkung (Artikel 18): Die Daten dürfen nur gespeichert und nicht verwendet werden, zum Beispiel solange ein Streit über ihre Richtigkeit geklärt wird.
• Datenübertragbarkeit (Artikel 20): Die Person kann ihre eigenen Daten in einem gängigen, maschinenlesbaren Format herausverlangen und mitnehmen, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.
• Widerspruch (Artikel 21): Die Person kann der Verarbeitung widersprechen, die auf berechtigtem Interesse oder öffentlichem Interesse beruht. Gegen Direktwerbung ist das Recht unbedingt: Dann muss das Unternehmen aufhören.
• Automatisierte Entscheidungen (Artikel 22): Die Person hat grundsätzlich das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich automatisiert getroffen wird, zum Beispiel durch Profiling, wenn sie rechtliche oder ähnlich erhebliche Wirkung hat.

Die Frist

Das Unternehmen muss unverzüglich und spätestens innerhalb eines Monats nach Eingang des Antrags antworten. Die Frist kann um weitere zwei Monate verlängert werden, wenn der Antrag komplex ist oder es viele gibt. Die Person muss dann innerhalb des ersten Monats über die Verlängerung und den Grund informiert werden (Artikel 12 Abs. 3). Die Antwort ist grundsätzlich kostenlos.

Kann das Unternehmen dem Antrag nicht entsprechen, muss es der Person mitteilen, warum und dass sie sich bei der Datatilsynet beschweren und die Sache vor Gericht bringen kann.

Was tun Sie, wenn jemand etwas verlangt?

1. Halten Sie nicht inne, und lehnen Sie nicht ab. Ein Antrag kann in jeder Form kommen, auch mündlich oder in einer Kunden-E-Mail. Er muss die DSGVO nicht erwähnen.
2. Leiten Sie ihn sofort weiter an die Person oder Stelle, die bei Ihnen für Anträge zuständig ist. Die Frist läuft ab dem Eingang.
3. Geben Sie selbst keine Daten heraus, bevor die Identität geprüft ist. Sonst riskieren Sie, Daten an die falsche Person zu geben. Das Unternehmen kann um die notwendigen Angaben bitten, um die Identität zu bestätigen.
4. Löschen oder ändern Sie die Daten nicht, um sie nach einem Auskunftsersuchen zu verschönern. Sie zu ändern, um etwas zu verbergen, ist rechtswidrig.

Beschwerde und Schadensersatz

Die Person kann sich bei der Datatilsynet beschweren (Artikel 77). Wer einen Schaden erlitten hat, hat Anspruch auf Schadensersatz (Artikel 82). Darüber entscheiden die Gerichte.

Merken Sie sich: Die Frist von einem Monat läuft auch, solange der Antrag in Ihrem Posteingang liegt.