Betroffenenrechte
Entdecken Sie die verschiedenen durch die DSGVO eingeführten Rechte.
Die DSGVO bekräftigt die Rechte der Einzelpersonen, führt die Datenübertragbarkeit ein und stärkt die Pflichten des Verantwortlichen (VV). Die betroffenen Personen müssen die Kontrolle über ihre Daten behalten, und der Verantwortliche muss klar erläutern, wie diese Rechte ausgeübt werden können.
Antwortfrist: 1 Monat ab Eingang (verlängerbar um 2 Monate bei komplexen oder zahlreichen Anfragen — die Verlängerung innerhalb eines Monats mitteilen).
Kostenlos: keine Gebühren, außer bei offensichtlich unbegründeten oder exzessiven Anfragen (dann die Ablehnung begründen oder angemessene Gebühren erheben).
Rückverfolgbarkeit: Anfragen und Antworten dokumentieren (Compliance-Nachweis).
✅ Zwei wesentliche Pflichten des Verantwortlichen
Die betroffenen Personen informieren (Zwecke, Rechtsgrundlagen, Speicherdauern, Empfänger, Rechte, Datenübermittlungen, Kontakt des Datenschutzbeauftragten usw.).
Die Ausführung von Maßnahmen im Rahmen der Rechteausübung mitteilen (Berichtigung, Löschung, Einschränkung) oder eine Ablehnung begründen.
🧭 Gemeinsame operative Regeln (alle Rechte)
Frist: 1 Monat (bis +2 Monate falls erforderlich, mit Information innerhalb von 1 Monat).
Identitätsprüfung verhältnismäßig zum Risiko (nicht mehr verlangen als nötig).
Eingangskanäle: Dedizierte E-Mail, Formular, Online-Portal, Post.
Protokollierung: Eingangsdatum, verifizierte Identität, Umfang, Entscheidung, Abschlussdatum.
Ausnahmen / Grenzen: Rechte Dritter, Geschäftsgeheimnisse, gesetzliche Aufbewahrungspflichten, Sicherheit, Betrugsprävention… (dokumentieren).
📜 Informationspflicht (Art. 13 & 14)
Bereitzustellen zum Zeitpunkt der Datenerhebung (direkt) oder innerhalb von 1 Monat (indirekt): Identität des Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Datenübermittlungen, Speicherdauern, Rechte, Kontakt des Datenschutzbeauftragten, Quelle (bei indirekter Erhebung), automatisierte Entscheidungsfindung/Profiling gegebenenfalls.
Medien: Hinweise auf Formularen, Datenschutzinformation, Cookie-Banner, Aushang (Videoüberwachung), Call-Center-Skripte usw.
🔎 Recht auf Auskunft (Art. 15)
Die betroffene Person kann erhalten:
die Bestätigung, dass Daten verarbeitet werden,
Zugang zu den Daten und zugehörigen Informationen (Zwecke, Kategorien, Empfänger, Speicherdauern…),
eine Kopie der Daten (kostenlos für die erste Kopie).
Modalitäten:
Schriftlich (per Post oder E-Mail), vor Ort (falls angemessen) oder online (gesicherter Bereich).
Die Antworten müssen verständlich sein (Erklärung von Codes, Abkürzungen, Scores).
Einschränkungen / Ablehnung: Missbräuchliche Anfragen, Beeinträchtigung der Rechte Dritter, keine vorhandenen Daten → dennoch antworten, um dies mitzuteilen.
🧯 Recht auf Berichtigung (Art. 16)
Unrichtige Daten unverzüglich berichtigen und unvollständige Daten ergänzen (durch ergänzende Erklärung). Gegebenenfalls die Empfänger über die Berichtigungen informieren.
🗑️ Recht auf Löschung (Art. 17)
Daten löschen, wenn:
sie nicht mehr erforderlich sind,
die Einwilligung widerrufen wurde,
ein begründeter Widerspruch vorliegt und kein zwingender Grund entgegensteht,
die Verarbeitung unrechtmäßig ist,
eine gesetzliche Löschpflicht besteht,
Daten bei Kindern erhoben wurden (Dienste der Informationsgesellschaft).
Ausnahmen: Gesetzliche Aufbewahrungspflicht, Ausübung/Verteidigung von Rechtsansprüchen, öffentliches Interesse (Gesundheit, Forschung), Meinungs- und Informationsfreiheit. Empfänger informieren, wenn zutreffend.
🚦 Recht auf Einschränkung der Verarbeitung (Art. 18)
Die Verarbeitung vorübergehend aussetzen (außer Speicherung), wenn:
die Richtigkeit bestritten wird,
die Verarbeitung unrechtmäßig ist (die betroffene Person verlangt die Einschränkung statt der Löschung),
die Daten für die Ausübung/Verteidigung von Rechtsansprüchen erforderlich sind,
ein Widerspruch geprüft wird.
🔁 Widerspruchsrecht (Art. 21)
Die betroffene Person kann widersprechen:
jederzeit gegen Direktwerbung (einschließlich damit verbundenem Profiling) → Pflicht zur unverzüglichen Einstellung;
aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen eine auf berechtigten Interessen des Verantwortlichen beruhende Verarbeitung → akzeptieren, wenn kein zwingender berechtigter Gegengrund vorliegt.
Einfache Opt-out-Mechanismen vorsehen (Link am Ende einer E-Mail, Kontoeinstellungen, Checkbox…).
📦 Recht auf Datenübertragbarkeit (Art. 20)
Die bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten,
und sie an einen anderen Verantwortlichen übermitteln (soweit technisch möglich). Gilt, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.
🤖 Automatisierte Entscheidungsfindung & Profiling (Art. 22)
Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkungen oder ähnlich erhebliche Auswirkungen hat (Ausnahme: vertragliche Notwendigkeit, gesetzliche Ermächtigung, ausdrückliche Einwilligung — unter Garantien). Pflichten: Klare Information, menschliches Eingreifen, Möglichkeit zur Anfechtung und zur Darlegung des eigenen Standpunkts.
🧪 Einwilligung (Art. 6, 7)
Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein (aktive Handlung, keine Vorauswahl). Widerruf genauso einfach wie die Erteilung. Beispiele: Sensible Daten, elektronische Werbung, Cookies (je nach Zweck).
🧰 Operatives Playbook (Vorlage)
Eingangskanäle
Webformular (authentifiziert wenn möglich), dedizierte E-Mail (privacy@…), Kundenportal, Post.
Identitätsprüfung
Verhältnismäßig (Bestätigungs-E-Mail, Einmalcode, Ausweis bei nachgewiesenem Risiko).
Das Risiko nicht erhöhen (nicht mehr verlangen als nötig).
SLA & Workflow
Eingangsbestätigung (72h) mit Aktennummer und Zielfrist,
Qualifizierung des beantragten Rechts und Umfangs (Systeme, Tochtergesellschaften, Auftragsverarbeiter),
Interne Sammlung und Prüfung (Fachabteilung/IT/Recht/Datenschutzbeauftragter),
Antwort innerhalb eines Monats (+ Benachrichtigung bei Verlängerung),
Nachweis: Unterlagen und Entscheidung dokumentieren, betroffene Empfänger benachrichtigen (Berichtigung/Löschung/Einschränkung).
Aufzubewahrende Nachweise
Anfrage, verifizierte Identität, durchgeführte Recherchen, begründete Entscheidung, Versanddatum, Benachrichtigungsprotokolle, der Person übermittelte Unterlagen.
🧩 Rechte in Dastra verwalten
Erfassung & Nachverfolgung: Erstellen Sie ein Betroffenenanfragen-Dossier, weisen Sie zu, legen Sie die Frist fest, verfolgen Sie den Status (ausstehende Informationen, in Bearbeitung, abgeschlossen).
Prüfung & Nachweis: Protokollieren Sie Identitäten, Recherchen und Entscheidungen; speichern Sie Belege in der Dokumentenverwaltung.
Automatisierung: Antwortvorlagen, wiederkehrende Aufgaben, Erinnerungen, Benachrichtigungen, Integrationen (Helpdesk/CRM).
Reporting: Antwortzeiten, Volumen, Ablehnungsgründe, Trends nach Recht.
🧭 Antwortvorlagen (Kurzbeispiele)
Eingangsbestätigung: « Wir haben Ihre Anfrage am TT/MM/JJJJ erhalten. Sie betrifft das Recht auf ______. Wir werden Ihnen spätestens am TT/MM/JJJJ antworten. »
Verlängerung: « Aufgrund der Komplexität/Anzahl der Anfragen wird die Frist um zwei Monate verlängert. Sie erhalten spätestens am TT/MM/JJJJ eine Antwort. »
Begründete Ablehnung: « Ihrer Anfrage kann nicht entsprochen werden, da ______ (DSGVO-Grund). Sie können eine Beschwerde bei der zuständigen Aufsichtsbehörde einreichen. »
📌 Zusammenfassung
Frist 1 Monat (bis +2), kostenlos außer bei Missbrauch, Rückverfolgbarkeit obligatorisch.
Standardisierte Prozesse und Nachweise einführen.
Einfache Opt-out- und Portabilitätsmechanismen vorsehen.
Die Bearbeitung von Anfragen in Dastra zentralisieren, um zu sichern, nachzuweisen und zu steuern.
Zuletzt aktualisiert
War das hilfreich?