2.5 Betroffenenrechte, Datenpannen und Sanktionen

Die Rechte der betroffenen Person

Die DSGVO stellt die betroffene Person in den Mittelpunkt. Ihre Rechte richten sich immer gegen den Verantwortlichen – also meist gegen dein Unternehmen oder den Auftraggeber, nicht gegen dich persönlich. Der Verantwortliche muss grundsätzlich innerhalb eines Monats reagieren und die Auskünfte in der Regel unentgeltlich erteilen (Art. 12 DSGVO).

• Auskunft (Art. 15): Die Person kann erfahren, ob Daten über sie verarbeitet werden, zu welchen Zwecken, wie lange und an wen sie weitergegeben wurden. Sie hat Anspruch auf eine Kopie der Daten – die Rechte anderer Personen dürfen dabei aber nicht beeinträchtigt werden. Auf einem Video werden andere Personen daher zum Beispiel unkenntlich gemacht.
• Berichtigung (Art. 16): Unrichtige Daten sind zu korrigieren, unvollständige zu ergänzen.
• Löschung (Art. 17): Daten sind zu löschen, wenn sie nicht mehr nötig sind, eine Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war. Ausnahmen gibt es etwa, wenn die Daten zur Geltendmachung oder Abwehr von Rechtsansprüchen gebraucht werden.
• Einschränkung (Art. 18): Die Daten werden „eingefroren“, also gespeichert, aber nicht weiter genutzt – zum Beispiel solange geprüft wird, ob sie richtig sind.
• Mitteilungspflicht (Art. 19): Empfänger, denen Daten offengelegt wurden, sind über Berichtigungen, Löschungen oder Einschränkungen zu informieren.
• Datenübertragbarkeit (Art. 20): Daten, die jemand selbst bereitgestellt hat, kann er in einem gängigen maschinenlesbaren Format erhalten – wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.
• Widerspruch (Art. 21): Gegen Verarbeitungen auf Grundlage eines berechtigten Interesses kann die Person aus Gründen ihrer besonderen Situation widersprechen. Der Verantwortliche muss dann aufhören, es sei denn, er kann zwingende schutzwürdige Gründe nachweisen oder braucht die Daten für Rechtsansprüche.

Außerdem kann sich jeder bei einer Aufsichtsbehörde beschweren (Art. 77) und bei einem Schaden Schadensersatz verlangen (Art. 82). Für dich im Dienst gilt: Anfragen freundlich aufnehmen, Namen und Kontakt notieren und an die zuständige Stelle weiterleiten.

Datenpannen erkennen

Eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) liegt vor, wenn Daten durch eine Sicherheitslücke vernichtet, verloren, verändert oder Unbefugten offengelegt werden. Beispiele aus dem Wachdienst:

• ein verlorener USB-Stick mit Videoaufnahmen,
• ein gestohlenes Wachbuch oder eine verschwundene Besucherliste,
• eine E-Mail mit Vorfallsbericht an den falschen Empfänger,
• ein unverschlossener Monitorraum, in dem Fremde die Live-Bilder sehen konnten.

Meldung binnen 72 Stunden

Nach Art. 33 DSGVO muss der Verantwortliche eine Datenpanne unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde melden – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Eine spätere Meldung muss begründet werden. Jede Panne wird außerdem intern dokumentiert. Ein Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. Besteht voraussichtlich ein hohes Risiko für die Betroffenen, sind auch sie unverzüglich zu benachrichtigen (Art. 34 DSGVO).

Deine Aufgabe ist klar: Bemerkst du eine Panne, meldest du sie sofort deinem Vorgesetzten oder nach der internen Regel dem Datenschutzbeauftragten. Du meldest nicht selbst an die Behörde – aber jede Stunde, die du wartest, fehlt deinem Unternehmen bei der Frist.

Sanktionen

Die Aufsichtsbehörden können nach Art. 83 DSGVO Geldbußen verhängen, die wirksam, verhältnismäßig und abschreckend sein sollen. Je nach Verstoß reicht der Rahmen bis zu 10 Mio. Euro oder 2 % bzw. bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes – jeweils der höhere Betrag. Daneben drohen Schadensersatzforderungen, arbeitsrechtliche Folgen und in schweren Fällen Strafbarkeit, etwa nach § 42 BDSG.

Der Datenschutzbeauftragte

Private Unternehmen müssen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder bestimmte risikoreiche Verarbeitungen stattfinden (§ 38 BDSG, Art. 37 DSGVO). Er berät und unterrichtet Unternehmen und Beschäftigte, überwacht die Einhaltung des Datenschutzes und ist Ansprechpartner der Aufsichtsbehörde (Art. 39). Er ist dabei weisungsfrei. Die Verantwortung für den Datenschutz bleibt aber beim Verantwortlichen.

Typische Prüfungsfallen

• 72 Stunden gelten für die Meldung einer Panne an die Behörde – nicht für Auskunftsanträge (ein Monat).
• Wer meldet? Der Verantwortliche, nicht die einzelne Wachperson.
• Datenschutzbeauftragter ist kein „Haftungsersatz“ und verhängt keine Bußgelder – das tut die Aufsichtsbehörde.
• Kopie nach Art. 15 ja – aber ohne die Daten anderer Personen.