Betroffenenrechte nach DSGVO: was Ihr Unternehmen beantworten muss

Welche Rechte haben Betroffene gegenüber Ihrem Unternehmen?

Jede Person, deren Daten Sie verarbeiten, hat diese Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Dazu kommt das Recht, keiner allein automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden (Art. 22).

Das gilt für Beschäftigte, Bewerber und Kunden genauso wie für Ansprechpartner bei Lieferanten. Berichtigen, löschen oder schränken Sie ein, sagen Sie das allen Empfängern der Daten, außer das ist unmöglich oder unverhältnismäßig aufwendig (Art. 19).

Wie Sie eine Auskunft beantworten, beschreibt unser Artikel zur Auskunft nach Art. 15 DSGVO.

Art. 15 bis 22 DSGVO

Welche Frist und welche Form gelten für jeden Antrag?

Für alle Anträge nach Art. 15 bis 22 gilt Art. 12. Sie sagen der Person unverzüglich, spätestens einen Monat nach Eingang, was Sie unternommen haben. Bei komplexen oder vielen Anträgen dürfen Sie mit Gründen um zwei Monate verlängern (Art. 12 Abs. 3).

Lehnen Sie ab, nennen Sie binnen eines Monats die Gründe und den Weg zur Aufsicht oder zum Gericht (Art. 12 Abs. 4). Grundsätzlich antworten Sie unentgeltlich; bei offenkundig unbegründeten oder exzessiven Anträgen dürfen Sie ein angemessenes Entgelt verlangen oder ablehnen (Art. 12 Abs. 5).

Im Mittelstand heißt das praktisch: Anträge kommen an einer Adresse an, eine Person bearbeitet sie und führt eine Liste mit Eingang und Frist. Für Auskunftsanfragen empfiehlt der Europäische Datenschutzausschuss (EDSA), den Eingang schriftlich mit der Frist zu bestätigen.

Art. 12 DSGVO

Wann müssen Sie löschen, und wann nicht?

Löschen müssen Sie unverzüglich, wenn ein Grund aus Art. 17 Abs. 1 vorliegt. Beispiele: Die Daten sind für ihren Zweck nicht mehr nötig, die Person widerruft ihre Einwilligung, sie widerspricht mit Erfolg, oder die Verarbeitung war unrechtmäßig.

Die Pflicht entfällt, soweit Sie die Daten für eine rechtliche Verpflichtung oder für Rechtsansprüche brauchen (Art. 17 Abs. 3 Buchst. b und e). Ein Beispiel ist die Aufbewahrung von Geschäftsbriefen und Buchungsbelegen nach § 147 AO.

Unter den Bedingungen von Art. 23 darf nationales Recht solche Rechte beschränken; der EDSA nennt die §§ 32 bis 37 BDSG als Beispiel. Bei Papierakten oder anderer nicht automatisierter Verarbeitung kann Löschen wegen der Art der Speicherung unverhältnismäßig aufwendig sein. Ist dann auch das Interesse der Person gering, schränken Sie die Verarbeitung ein, statt zu löschen (§ 35 Abs. 1 BDSG). Das gilt nicht für unrechtmäßig verarbeitete Daten.

Einschränken statt löschen gilt auch, wenn Daten nicht mehr nötig sind, aber vertragliche oder satzungsmäßige Aufbewahrungsfristen entgegenstehen (§ 35 Abs. 3 BDSG). Wie Sie Löschfristen im Voraus festlegen, beschreibt unser Artikel zum Löschkonzept.

Art. 17 · Art. 23 DSGVO · § 35 BDSG · § 147 AO

Was gilt bei Widerspruch, Einschränkung und Datenübertragbarkeit?

Gegen Direktwerbung kann jede Person jederzeit widersprechen; dann verarbeiten Sie ihre Daten dafür nicht mehr (Art. 21 Abs. 2 und 3). Abzuwägen gibt es hier nichts.

Beruht eine Verarbeitung auf Ihrem berechtigten Interesse (Art. 6 Abs. 1 Buchst. f), kann die Person aus Gründen ihrer besonderen Situation widersprechen. Weiter verarbeiten dürfen Sie, wenn Sie überwiegende zwingende Gründe nachweisen oder die Daten für Rechtsansprüche brauchen (Art. 21 Abs. 1). Auf beide Widerspruchsrechte weisen Sie spätestens bei der ersten Kommunikation gesondert hin (Art. 21 Abs. 4).

Einschränken heißt: Die Daten bleiben gespeichert, Sie nutzen sie aber nur noch eng begrenzt, etwa mit Einwilligung oder für Rechtsansprüche (Art. 18 Abs. 2). Verlangen kann die Person das zum Beispiel, solange Sie prüfen, ob bestrittene Daten stimmen.

Die Datenübertragbarkeit gilt für Daten, die die Person Ihnen bereitgestellt hat und die Sie auf Grundlage von Einwilligung oder Vertrag automatisiert verarbeiten. Sie bekommt sie in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 Abs. 1).

Art. 18 · Art. 20 · Art. 21 DSGVO

Ein Beispiel: ein Kunde will gelöscht werden

Ein Kunde der ausgedachten Kraus Elektro GmbH (60 Beschäftigte) schreibt seinem Ansprechpartner im Vertrieb: „Löschen Sie alle meine Daten und schicken Sie mir keinen Newsletter mehr.“ Das sind zwei Anträge: ein Widerspruch gegen Direktwerbung und ein Antrag auf Löschung.

Der Vertrieb leitet die Mail sofort weiter. Für Auskunftsanfragen an einen festen Ansprechpartner erwartet der EDSA genau das, und wir lesen es für andere Anträge genauso. Die Adresse kommt sofort aus dem Verteiler. Kundenkonto und alte Angebote löscht die Firma und gibt dem Dienstleister Bescheid, der den Newsletter verschickt (Art. 19).

Die Rechnungen bleiben, weil § 147 AO ihre Aufbewahrung verlangt. Binnen eines Monats schreibt die Firma dem Kunden, was gelöscht ist, was bleibt und warum. Zwei Fehler lägen nahe: auch die Rechnungen zu löschen, oder die Mail im Vertrieb liegen zu lassen.

Mit einem KI Assistenten

Ein KI Assistent wie Claude, ChatGPT oder Copilot kann eingehende Anträge sortieren: welches Recht gemeint ist, welche Frist läuft, welche Programme betroffen sind. Antworten entwirft er in der klaren Sprache, die Art. 12 Abs. 1 verlangt.

Abwägen muss Ihr Unternehmen: ob zwingende Gründe einen Widerspruch überwiegen, ob eine Ausnahme von der Löschung greift, ob ein Antrag exzessiv ist.

Geben Sie einem Assistenten Anträge mit Namen und Daten, verarbeitet sein Anbieter diese mit; prüfen Sie vorher, ob ein Vertrag zur Auftragsverarbeitung besteht (Art. 28 DSGVO). Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.