Betroffenenrechte sind die Rechte, die eine Person nach der Datenschutz-Grundverordnung gegenüber Stellen hat, die ihre personenbezogenen Daten verarbeiten, darunter das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.
Auch genannt: Rechte der betroffenen Person, Datenschutzrechte
Wer Daten über dich sammelt, darf sie nicht einfach für sich behalten wie einen Schatz. Betroffenenrechte geben dir die Möglichkeit nachzufragen, was gespeichert ist, Fehler korrigieren zu lassen und unter bestimmten Bedingungen zu verlangen, dass Daten gelöscht oder nicht mehr genutzt werden. Sie machen aus einer passiven Rolle eine aktive.
Die DSGVO regelt diese Rechte in den Artikeln 12 bis 22. Zu den wichtigsten zählen das Auskunftsrecht (Art. 15), das Recht auf Berichtigung unrichtiger Daten (Art. 16), das Recht auf Löschung (Art. 17), das Recht auf Einschränkung der Verarbeitung (Art. 18), das Recht auf Datenübertragbarkeit (Art. 20), das Widerspruchsrecht (Art. 21) und der Schutz vor ausschließlich automatisierten Entscheidungen mit erheblicher Wirkung (Art. 22). Hinzu kommen Informationspflichten der Verantwortlichen bereits bei der Datenerhebung. Betroffene stellen einen Antrag beim Verantwortlichen, der in der Regel unverzüglich, spätestens innerhalb eines Monats reagieren muss; unter bestimmten Voraussetzungen ist eine Verlängerung möglich. Wer sich nicht ernst genommen fühlt, kann sich bei einer Datenschutz-Aufsichtsbehörde beschweren.
Eine Kundin vermutet, dass ein Online-Händler mehr über sie gespeichert hat, als sie angegeben hat. Sie fordert per E-Mail Auskunft an, erhält eine Kopie der gespeicherten Daten samt Angaben zu Zwecken und Empfängern, entdeckt eine falsche Adresse und verlangt deren Berichtigung. Später widerspricht sie der Nutzung ihrer Daten für Werbung.
Betroffenenrechte schaffen Transparenz und Kontrolle über die eigenen Daten und verpflichten Organisationen, Datenverarbeitung nachvollziehbar zu organisieren. In der Praxis richten Unternehmen und Behörden dafür feste Abläufe ein: Anträge müssen erkannt, geprüft, die Identität sichergestellt und fristgerecht beantwortet werden. Die Rechte sind damit auch ein Prüfstein dafür, ob eine Organisation ihre Daten wirklich im Griff hat.
Nicht jedes Recht gilt uneingeschränkt und in jeder Situation. Das Recht auf Löschung greift etwa nicht, wenn gesetzliche Aufbewahrungspflichten bestehen oder die Daten zur Geltendmachung von Rechtsansprüchen erforderlich sind. Das Widerspruchsrecht hängt von der Rechtsgrundlage der Verarbeitung ab. Häufig wird angenommen, „Löschen“ bedeute sofortiges Verschwinden aus allen Systemen, obwohl Backups und Fristen in der Praxis Zeit erfordern. Und ein Auskunftsantrag ist kein Anspruch auf beliebige Unterlagen, sondern auf die zur eigenen Person gespeicherten Daten und ergänzende Informationen.
Nicht zu verwechseln mit der Einwilligung (Datenschutz), die eine Rechtsgrundlage für die Verarbeitung ist, während Betroffenenrechte unabhängig davon bestehen; die Einwilligung ist allerdings jederzeit widerrufbar. Ebenso zu unterscheiden von der Datenportabilität, die nur eines dieser Rechte beschreibt, und von den Pflichten der Verantwortlichen wie der Datenschutz-Folgenabschätzung, die auf der anderen Seite des Verhältnisses stehen.