Datenschutz & digitale Rechte

Personenbezogene Daten sind Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen.

Dazu zählen weit mehr als Name und Adresse. Auch IP-Adresse, Standort, Kaufverhalten, Nutzerkennung, Bonitätsinformationen oder Onlineprofile können personenbezogene Daten sein.

Ja, unter Umständen.

Eine Einwilligung ist nur eine von mehreren möglichen Rechtsgrundlagen.

Daten können beispielsweise auch verarbeitet werden, wenn dies zur Vertragserfüllung erforderlich ist oder ein berechtigtes Interesse besteht. Das Unternehmen muss aber eine konkrete Rechtsgrundlage haben.

Nein.

Datenschutz bedeutet nicht Datenverbot.

Unternehmen dürfen erforderliche personenbezogene Daten verarbeiten, müssen dabei aber unter anderem Zweckbindung, Transparenz, Datenminimierung und Speicherbegrenzung beachten.

Es sollen grundsätzlich nur jene personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck tatsächlich erforderlich sind.

Ein Unternehmen darf nicht einfach „auf Vorrat“ möglichst viele Informationen sammeln, nur weil diese möglicherweise irgendwann nützlich sein könnten.

Dafür gibt es keine einheitliche Frist.

Die Speicherdauer hängt insbesondere vom Zweck der Verarbeitung, gesetzlichen Aufbewahrungspflichten und möglichen Rechtsansprüchen ab.

Ist der Zweck weggefallen und besteht keine andere Rechtsgrundlage mehr, kann ein Löschungsanspruch entstehen.

Eine Einwilligung ist eine freiwillige, informierte und eindeutige Erklärung, mit der eine Person einer bestimmten Datenverarbeitung zustimmt.

Eine pauschale Zustimmung zu völlig unbestimmten Verarbeitungen reicht grundsätzlich nicht.

Ja.

Eine datenschutzrechtliche Einwilligung kann grundsätzlich jederzeit für die Zukunft widerrufen werden.

Die bis zum Widerruf aufgrund der Einwilligung erfolgte Verarbeitung wird dadurch nicht rückwirkend rechtswidrig.

Der Widerruf darf jedenfalls nicht unnötig erschwert werden.

Eine Einwilligung, die online mit einem einfachen Klick erteilt wurde, sollte nicht nur durch einen komplizierten postalischen Prozess widerrufen werden können.

Ja.

Art 15 DSGVO gibt Betroffenen ein umfangreiches Auskunftsrecht.

Damit kann zunächst geklärt werden, welche Informationen ein Unternehmen überhaupt besitzt und was damit geschieht.

Unter anderem können Informationen verlangt werden über:

die verarbeiteten Daten,

Verarbeitungszwecke,

Datenkategorien,

Empfänger,

Speicherdauer,

Datenherkunft,

und automatisierte Entscheidungen.

Die konkrete Reichweite hängt vom Einzelfall ab.

Grundsätzlich ja.

Der EuGH hat klargestellt, dass die betroffene Person grundsätzlich Anspruch darauf hat, die tatsächlichen Empfänger ihrer personenbezogenen Daten zu erfahren.

Eine bloße Aussage wie „Daten wurden an Geschäftspartner weitergegeben“ kann deshalb zu wenig sein.

Ja.

Die Kopie muss so gestaltet sein, dass der Betroffene seine personenbezogenen Daten nachvollziehen und verstehen kann.

Unter Umständen kann dies auch die Wiedergabe von Dokumentauszügen oder Datenbankzusammenhängen erfordern.

Nicht zwingend.

Der Betroffene muss die Information grundsätzlich verstehen können.

Eine Datenmenge aus internen IDs und technischen Codes kann unzureichend sein, wenn daraus nicht nachvollziehbar wird, welche personenbezogenen Daten tatsächlich verarbeitet werden.

Grundsätzlich muss die Reaktion ohne unangemessene Verzögerung und regelmäßig innerhalb eines Monats erfolgen.

Bei komplexen Anfragen kann die Frist unter den gesetzlichen Voraussetzungen verlängert werden. Darüber muss der Betroffene informiert werden.

Die erste Auskunft ist grundsätzlich kostenlos.

Bei offenkundig unbegründeten oder exzessiven Anträgen beziehungsweise bei zusätzlichen Kopien können unter bestimmten Voraussetzungen Kosten verlangt werden.

Grundsätzlich nein.

Das Auskunftsrecht dient gerade dazu, dem Betroffenen Kontrolle über seine personenbezogenen Daten zu ermöglichen.

Das Unternehmen kann zunächst konkret auf die fehlenden Informationen hingewiesen und zur Ergänzung aufgefordert werden.

Je nach Situation kommen außerdem eine Beschwerde bei der Datenschutzbehörde oder eine gerichtliche Durchsetzung in Betracht.

Ja.

Nach Art 16 DSGVO besteht grundsätzlich ein Anspruch auf Berichtigung unrichtiger personenbezogener Daten.

Bei unvollständigen Daten kann auch eine Vervollständigung verlangt werden.

Zunächst sollte Auskunft verlangt und geklärt werden, woher der Eintrag stammt.

Danach ist insbesondere zu prüfen, ob die Forderung tatsächlich bestand, ob die Daten korrekt übermittelt wurden und ob sie noch gespeichert werden dürfen.

Unrichtige Daten können zu berichtigen oder zu löschen sein.

Nicht immer.

Es gibt kein allgemeines Recht, jede Information jederzeit löschen zu lassen.

Bestehen beispielsweise gesetzliche Aufbewahrungspflichten oder andere rechtmäßige Verarbeitungsgründe, kann eine Speicherung weiterhin zulässig sein.

Ein Löschungsanspruch kann insbesondere bestehen, wenn die Daten nicht mehr benötigt werden, unrechtmäßig verarbeitet wurden oder die Einwilligung widerrufen wurde und keine andere Rechtsgrundlage besteht.

Der konkrete Grund muss geprüft werden.

Damit wird häufig das Recht auf Löschung bezeichnet.

Bei öffentlich auffindbaren Informationen kann zusätzlich die Frage entstehen, ob Verlinkungen oder Suchergebnisse entfernt werden müssen.

Das Recht ist jedoch nicht absolut.

Unter bestimmten Voraussetzungen ja.

Dabei müssen insbesondere Datenschutzrechte gegen Informationsfreiheit und berechtigte Interessen der Öffentlichkeit abgewogen werden.

Nicht jede unangenehme Information muss deshalb aus Suchmaschinen verschwinden.

Dabei werden Daten nicht zwingend sofort gelöscht, ihre weitere Verwendung wird aber grundsätzlich beschränkt.

Das kann beispielsweise sinnvoll sein, wenn die Richtigkeit von Daten bestritten wird und zunächst geprüft werden muss, ob sie korrekt sind.

Unter bestimmten Voraussetzungen ja.

Das gilt insbesondere bei Verarbeitungen, die auf berechtigte Interessen gestützt werden.

Bei Direktwerbung besteht ein besonders weitgehendes Widerspruchsrecht.

Ja.

Werden personenbezogene Daten für Direktwerbung verarbeitet, kann der Betroffene dieser Verarbeitung grundsätzlich jederzeit widersprechen.

Danach dürfen die Daten für diesen Zweck grundsätzlich nicht weiterverwendet werden.

Profiling ist nicht generell verboten.

Es muss aber eine Rechtsgrundlage bestehen und die Anforderungen der DS- GVO müssen eingehalten werden.

Je stärker ein Profil konkrete Entscheidungen über einen Menschen beeinflusst, desto wichtiger werden Transparenz und besondere Schutzrechte.

Profiling ist eine automatisierte Verarbeitung personenbezogener Daten, mit der persönliche Aspekte bewertet oder vorhergesagt werden.

Das kann etwa wirtschaftliche Situation, Interessen, Verhalten, Aufenthaltsort oder Zuverlässigkeit betreffen.

Automatisierte Bonitätsprüfungen sind nicht generell verboten.

Bei ausschließlich automatisierten Entscheidungen mit erheblichen Auswirkungen gelten aber besondere Anforderungen nach Art 22 DSGVO.

Der Verbraucher kann insbesondere Rechte auf Information und gegebenenfalls menschliches Eingreifen haben.

In C-634/21 – SCHUFA hat der EuGH klargestellt, dass bereits die automatisierte Erstellung eines Scores eine automatisierte Entscheidung im Sinn von Art 22 DSGVO sein kann, wenn dieser Score für die Entscheidung des Vertragspartners eine maßgebliche Rolle spielt.

Damit erhalten die Schutzvorschriften gegen rein automatisierte Entscheidungen erhebliche praktische Bedeutung.

Betroffene haben Anspruch auf aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebten Auswirkungen einer automatisierten Verarbeitung.

Das bedeutet nicht zwingend, dass sämtliche Geschäftsgeheimnisse oder der vollständige Algorithmus offengelegt werden müssen.

Die Information muss aber so konkret sein, dass die Entscheidung grundsätzlich nachvollziehbar wird.

Zunächst sollte bei der Auskunftei und dem Unternehmen Auskunft verlangt werden.

Zu prüfen ist insbesondere, welche Daten verwendet wurden, ob diese richtig und aktuell sind und welche Rolle der Score tatsächlich gespielt hat.

Bei falschen Daten kommen Berichtigung oder Löschung in Betracht.

Nein.

Auch Bonitätsdaten unterliegen den Grundsätzen der Erforderlichkeit und Speicherbegrenzung.

Wie lange eine konkrete Information gespeichert werden darf, hängt von ihrer Art, Aktualität und dem berechtigten Zweck ab.

Nein.

Bestimmte technisch notwendige Cookies können ohne Einwilligung zulässig sein.

Bei Tracking-, Werbe- oder Profiling-Cookies kann dagegen eine vorherige Einwilligung erforderlich sein.

Nein.

Eine Einwilligung muss freiwillig sein.

Die Gestaltung eines Cookie-Banners darf den Nutzer nicht darüber täuschen, dass er eine echte Wahl hat.

Eine manipulative Gestaltung kann rechtlich problematisch sein.

Entscheidend ist, ob der Nutzer tatsächlich eine freie und informierte Wahl treffen kann oder durch Gestaltung, Farbe und Klickwege gezielt zur Zustimmung gedrängt wird.

Ja.

Eine Einwilligung kann grundsätzlich für die Zukunft widerrufen werden.

Der Widerruf muss praktisch möglich sein und darf nicht unnötig erschwert werden.

Tracking bezeichnet Technologien, mit denen Nutzeraktivitäten über Webseiten, Apps, Geräte oder längere Zeiträume hinweg nachvollzogen werden.

Daraus können umfangreiche Profile über Interessen und Verhalten entstehen.

Das ist technisch möglich, aber nicht jede Preisabweichung beruht auf Tracking.

Wenn ein Unternehmen Preise aufgrund automatisierter Verarbeitung für einen bestimmten Verbraucher personalisiert, muss dies transparent gemacht werden.

Bei Verdacht sollten Vergleichspreise und Zeitpunkt dokumentiert werden.

Nein, nicht unbegrenzt.

Auch bei personalisierter Werbung gelten insbesondere Zweckbindung und Datenminimierung.

Der EuGH hat in C-446/21 deutlich gemacht, dass Daten nicht allein wegen eines Werbezwecks zeitlich und mengenmäßig grenzenlos verarbeitet werden dürfen.

Eine Datenpanne liegt beispielsweise vor, wenn personenbezogene Daten verloren gehen, versehentlich veröffentlicht oder unbefugten Personen zugänglich werden.

Das kann durch Hackerangriffe ebenso passieren wie durch eine falsch adressierte E-Mail.

Ja, das kann eine Datenpanne sein.

Schon die unbeabsichtigte Offenlegung personenbezogener Informationen an eine unbefugte Person kann eine Verletzung des Schutzes personenbezogener Daten darstellen.

Wie gravierend der Vorfall ist, hängt insbesondere vom Inhalt der Daten ab.

Nicht jedes Datenleck muss jedem Betroffenen persönlich gemeldet werden.

Besteht jedoch voraussichtlich ein hohes Risiko für die Rechte und Freiheiten des Betroffenen, kann eine Informationspflicht bestehen.

Sichern Sie zunächst alle Informationen über den Vorfall.

Je nach betroffenen Daten können außerdem sinnvoll sein:

Passwörter ändern,

Zwei-Faktor-Authentifizierung aktivieren,

Konto- und Kreditkartenbewegungen kontrollieren,

verdächtige Nachrichten dokumentieren,

Auskunft über die betroffenen Daten verlangen.

Ja, wenn die Voraussetzungen des Art 82 DSGVO erfüllt sind.

Der Datenschutzverstoß allein reicht allerdings nicht.

Es müssen zusätzlich ein materieller oder immaterieller Schaden und ein Zusammenhang mit dem Verstoß vorliegen.

Nein.

Der EuGH hat eine allgemeine Bagatellgrenze für immaterielle DSGVO-Schäden abgelehnt.

Der Schaden muss aber tatsächlich bestehen und nachgewiesen beziehungsweise nachvollziehbar dargelegt werden.

Nicht automatisch.

Der bloße Rechtsverstoß genügt nicht.

Je konkreter aber negative Folgen wie Angst, Kontrollverlust, Rufbeeinträchtigung oder tatsächlicher zusätzlicher Aufwand dargelegt werden können, desto eher kann ein ersatzfähiger Schaden vorliegen.

Ja.

Der Verlust der Kontrolle über personenbezogene Informationen kann einen relevanten immateriellen Nachteil darstellen.

Entscheidend bleibt aber die konkrete Beeinträchtigung des Betroffenen.

Ja.

Der EuGH hat anerkannt, dass eine begründete Furcht vor künftigem Datenmissbrauch einen immateriellen Schaden darstellen kann.

Die Angst und ihre negativen Folgen müssen allerdings nachvollziehbar dargelegt werden.

Nein.

Ein tatsächlich erfolgter Identitätsmissbrauch ist nicht zwingende Voraussetzung.

Auch eine ernsthafte und nachgewiesene Sorge vor zukünftiger missbräuchlicher Verwendung kann relevant sein.

Nein.

Die Höhe des Schadenersatzes richtet sich nach dem tatsächlich entstandenen Schaden.

Art 82 DSGVO hat nach der EuGH-Rechtsprechung eine Ausgleichs- und keine Straffunktion.

Besondere Kategorien personenbezogener Daten umfassen unter anderem Informationen über

Gesundheit,

ethnische Herkunft,

politische Meinungen,

religiöse Überzeugungen,

oder sexuelle Orientierung.

Für ihre Verarbeitung gelten besonders strenge Anforderungen.

Ja.

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten.

Eine unbefugte Weitergabe oder Veröffentlichung kann daher besonders schwerwiegende Auswirkungen haben.

Solche Daten gehören grundsätzlich zu besonders geschützten Kategorien.

Ihre Verarbeitung ist nur unter besonderen gesetzlichen Voraussetzungen zulässig.

Das gilt auch für Informationen, die durch Profiling lediglich über eine Person abgeleitet wurden.

Ja.

Betroffene können bei der zuständigen Datenschutzaufsichtsbehörde Beschwerde erheben.

Daneben können je nach Anspruch auch gerichtliche Verfahren erforderlich oder sinnvoll sein.

Nein.

Eine Datenschutzbeschwerde und ein zivilrechtlicher Schadenersatzanspruch sind unterschiedliche Instrumente.

Schadenersatz muss gegebenenfalls gesondert gerichtlich geltend gemacht werden.

Ja.

Die unterschiedlichen DSGVO-Rechte schließen einander grundsätzlich nicht aus.

Je nach Situation können beispielsweise Auskunft, Berichtigung, Löschung und Schadenersatz nebeneinander relevant sein.

Nicht nur den Datenschutzverstoß.

Dokumentieren Sie insbesondere auch dessen konkrete Auswirkungen:

Angst oder Sorge,

Kontrollverlust,

zusätzliche Sicherheitsmaßnahmen,

verdächtige Nachrichten,

finanzielle Nachteile,

Zeitaufwand,

Rufbeeinträchtigungen.

Gerade beim immateriellen Schaden ist eine konkrete Darstellung häufig entscheidend.

Dann ist ein Auskunftsbegehren nach Art 15 DSGVO häufig der erste sinnvolle Schritt.

Erst wenn bekannt ist, welche Daten, aus welcher Quelle, für welchen Zweck und an welche Empfänger verarbeitet wurden, lässt sich beurteilen, ob weitere Ansprüche bestehen.

Hilfreich sind insbesondere:

Auskunftsbegehren

erhaltene DSGVO-Auskunft

Datenschutzerklärungen

E-Mails

Schreiben über Datenpannen

Screenshots

Bonitätsauskünfte

Ablehnungsschreiben von Banken oder Unternehmen

Konto- oder Kreditkartenbewegungen

Nachweise über Phishing oder Missbrauch

bisherige Kommunikation mit der Datenschutzbehörde

Bei einem Schadenersatzanspruch sollte zusätzlich genau dokumentiert werden, welche konkreten Folgen der Datenschutzverstoß für Sie hatte.