Kurz gesagt: Die DSGVO gibt jeder betroffenen Person Rechte auf Information, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO), dazu ein Beschwerderecht bei der Aufsichtsbehörde. Der Verantwortliche muss in der Regel innerhalb eines Monats reagieren.
Datenschutz ist kein Selbstzweck. Er soll Menschen die Kontrolle über ihre Daten geben. Dafür stattet die DSGVO jede betroffene Person mit Rechten aus. Betroffen ist jeder, dessen Daten verarbeitet werden: der Besucher im Besucherbuch, der Lieferant auf dem Kamerabild, der Gast mit Hausverbot, aber auch du selbst als Beschäftigter. In der Prüfung werden die Rechte gern abgefragt, mit Artikelnummer oder als kleiner Fall.
Wo die Rechte stehen
Die Betroffenenrechte stehen in Kapitel III der DSGVO, in den Artikeln 12 bis 22. Art. 12 regelt das Verfahren: Fristen, Form und Kosten. Die einzelnen Rechte folgen in den Artikeln 13 bis 22. Dazu kommen außerhalb dieses Kapitels der Widerruf einer Einwilligung (Art. 7 Abs. 3), das Beschwerderecht bei der Aufsichtsbehörde (Art. 77) und der Anspruch auf Schadensersatz (Art. 82).
Die Rechte im Überblick
| Recht | Artikel | Kern |
|---|---|---|
| Information | Art. 13, 14 | Der Verantwortliche muss von sich aus informieren, wer was wozu verarbeitet. |
| Auskunft | Art. 15 | Die Person kann fragen, ob und welche Daten über sie gespeichert sind, und eine Kopie verlangen. |
| Berichtigung | Art. 16 | Falsche Daten müssen korrigiert, unvollständige ergänzt werden. |
| Löschung | Art. 17 | Daten müssen gelöscht werden, wenn kein Grund für die Speicherung mehr besteht. |
| Einschränkung | Art. 18 | Daten werden gesperrt statt gelöscht, etwa solange ihre Richtigkeit bestritten ist. |
| Mitteilungspflicht | Art. 19 | Empfänger der Daten werden über Berichtigung, Löschung oder Einschränkung informiert. |
| Datenübertragbarkeit | Art. 20 | Selbst bereitgestellte Daten in einem gängigen Format mitnehmen, wenn sie auf Einwilligung oder Vertrag beruhen und automatisiert verarbeitet werden. |
| Widerspruch | Art. 21 | Gegen eine Verarbeitung auf Grundlage berechtigter Interessen aus Gründen der besonderen Situation widersprechen. |
| Keine automatisierte Einzelentscheidung | Art. 22 | Niemand muss sich einer rein maschinellen Entscheidung mit rechtlicher Wirkung unterwerfen. |
Zwei davon brauchst du im Wachdienst besonders oft: das Auskunftsrecht und das Recht auf Löschung. Beide haben eigene Seiten.
Die Spielregeln aus Art. 12 DSGVO
- Frist: Der Verantwortliche muss unverzüglich reagieren, spätestens innerhalb eines Monats nach Eingang des Antrags. Bei komplizierten Fällen oder vielen Anträgen kann die Frist um zwei weitere Monate verlängert werden. Darüber muss er die Person innerhalb des ersten Monats mit Begründung informieren.
- Kosten: Die Bearbeitung ist grundsätzlich kostenlos. Nur bei offenkundig unbegründeten oder exzessiven Anträgen darf er ein angemessenes Entgelt verlangen oder ablehnen. Das muss er beweisen.
- Form: Eine bestimmte Form ist nicht vorgeschrieben. Ein Antrag kann schriftlich, per E-Mail oder mündlich gestellt werden. Eine Begründung braucht er nicht.
- Identität: Bei begründeten Zweifeln darf der Verantwortliche zusätzliche Angaben verlangen, um sicherzugehen, dass er nicht einem Fremden die Daten gibt.
- Ablehnung: Wird er nicht tätig, muss er die Gründe nennen und auf das Beschwerderecht hinweisen.
Wer zuständig ist
Die Rechte richten sich gegen den Verantwortlichen. Arbeitet dein Arbeitgeber für einen Kunden als Auftragsverarbeiter, etwa weil er dessen Videoanlage betreut, ist der Kunde der richtige Ansprechpartner. Dein Arbeitgeber muss ihn dann bei der Beantwortung unterstützen. Für dich als Wachperson heißt das in beiden Fällen: Du nimmst den Antrag an und gibst ihn sofort auf dem festgelegten Weg weiter. Ist dein Arbeitgeber selbst Verantwortlicher, läuft die Frist in aller Regel schon ab dem Moment, in dem der Antrag bei dir an der Pforte landet. Ein Antrag darf deshalb nie liegen bleiben.
Ein Fall aus dem Dienst
Am Empfang eines Bürogebäudes wird eine Besucherin laut. Sie will sofort ins Besucherbuch schauen, um zu sehen, was über sie notiert ist. Außerdem verlangt sie, dass alle Daten über sie gelöscht werden, auch die Kameraaufnahmen von heute.
Du bleibst ruhig und nimmst beides ernst. Ins Besucherbuch schauen lässt du sie nicht, denn dort stehen auch Daten anderer Besucher. Du notierst stattdessen ihr Anliegen: Name, Erreichbarkeit, Datum, Uhrzeit und dass sie Auskunft und Löschung verlangt. Du erklärst ihr, dass der Verantwortliche ihr antworten wird, in der Regel innerhalb eines Monats, und gibst ihr die Kontaktdaten aus der Datenschutzinformation. Dann meldest du den Vorgang an die zuständige Stelle. Eine Zusage, dass alles gelöscht wird, machst du nicht. Ob gelöscht werden muss, prüft der Verantwortliche.
Typische Prüfungsfallen
- Die Grundfrist beträgt einen Monat, verlängerbar um zwei weitere Monate. Nicht zwei Wochen und nicht drei Monate von Anfang an.
- Die Rechte sind grundsätzlich kostenlos und brauchen keine Begründung.
- Adressat ist der Verantwortliche, nicht die einzelne Wachperson und nicht der Datenschutzbeauftragte.
- Das Widerspruchsrecht nach Art. 21 betrifft Verarbeitungen auf Grundlage berechtigter Interessen, also zum Beispiel die Videoüberwachung.
- Daneben gibt es immer das Recht auf Beschwerde bei der Aufsichtsbehörde.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Innerhalb welcher Frist muss der Verantwortliche grundsätzlich auf einen Antrag einer betroffenen Person reagieren?
Welche Rechte gehören zu den Betroffenenrechten der DSGVO?
Was kostet ein Antrag auf Auskunft oder Löschung die betroffene Person in der Regel?
Gegen wen richten sich die Rechte der betroffenen Person?
Eine Besucherin verlangt an der Pforte, ins Besucherbuch zu schauen, um ihre Einträge zu prüfen. Wie reagierst du?
Welche Aussagen zum Verfahren nach Art. 12 DSGVO sind richtig?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 12 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.