Betroffenenrechte sind die Rechte, die die Datenschutz-Grundverordnung (DSGVO) natürlichen Personen gegenüber Stellen einräumt, die ihre personenbezogenen Daten verarbeiten. Dazu gehören unter anderem Auskunft, Löschung und Datenübertragbarkeit (Datenportabilität). Sie gelten für alle Unternehmen, die Daten von Personen in der EU verarbeiten, auch wenn das Unternehmen keinen Sitz in der EU hat. Für ukrainische Unternehmen mit Angeboten auf dem EU-Markt ist deshalb wichtig, wie solche Anfragen eingehen, geprüft und beantwortet werden. Diese Seite gibt einen Überblick über die Rechte auf Auskunft, Löschung und Datenübertragbarkeit und zeigt, wo fachliche Begleitung die Umsetzung erleichtert.
Recht auf Datenübertragbarkeit (Datenportabilität), Art. 20 DSGVO: Voraussetzungen und Grenzen
Das Recht auf Datenübertragbarkeit (Datenportabilität) nach Art. 20 DSGVO erfordert technische und organisatorische Vorkehrungen. Betroffene Personen sollen ihre Daten in einem geeigneten Format erhalten oder an einen anderen Anbieter übertragen lassen können. Auskunfts- und Löschungsrechte müssen dabei ebenfalls berücksichtigt werden, und die Datenschutzprozesse sind entsprechend auszurichten. Im Rahmen der Beratung legen wir gemeinsam mit Ihnen fest, wie Anfragen von Betroffenen intern eingehen, wer sie bearbeitet und wie die Antworten dokumentiert werden.
Datenschutz-Grundverordnung: Rechtsgrundlagen im Überblick
Die Datenschutz-Grundverordnung (DSGVO) stärkt seit 2018 die Rechte der Betroffenen innerhalb der EU. Eines dieser Rechte ist die Datenübertragbarkeit (Datenportabilität). Sie ermöglicht es Nutzern, die personenbezogenen Daten, die sie einem Unternehmen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Anbieter zu übermitteln. Das Recht gilt insbesondere dann, wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt. Es bezieht sich auf personenbezogene Daten, die die betroffene Person bereitgestellt hat. Nach den Leitlinien des Europäischen Datenschutzausschusses (WP 242 rev.01) gehören dazu auch Daten, die bei der Nutzung eines Dienstes beobachtet wurden. Abgeleitete oder geschätzte Daten sowie anonymisierte Daten sind davon nicht umfasst.
Die wichtigsten Regelungen auf einen Blick:
- Betroffene Unternehmen: Betrifft alle Unternehmen, die personenbezogene Daten von Personen in der EU verarbeiten – auch ohne EU-Standort.
- Datenumfang: Unter das Recht auf Datenübertragbarkeit fallen Daten, die die betroffene Person bereitgestellt hat, einschließlich beobachteter Nutzungsdaten. Abgeleitete oder geschätzte Daten sind ausgenommen.
- Übertragung: Verantwortliche müssen eine sichere und technisch machbare Datenübertragung ermöglichen.
- Einschränkungen: Die Rechte Dritter dürfen nicht beeinträchtigt werden.
Verstöße gegen die DSGVO können mit Bußgeldern geahndet werden. Die Datenübertragbarkeit soll den Wettbewerb in der EU fördern und gibt Nutzern mehr Kontrolle über ihre personenbezogenen Daten.
Auskunftsrecht (Art. 15 DSGVO): Was Betroffene verlangen können
Das Auskunftsrecht ergibt sich aus Art. 15 DSGVO. Betroffene Personen können vom Verantwortlichen erfahren, ob er personenbezogene Daten über sie verarbeitet. Ist das der Fall, haben sie Anspruch auf Auskunft über diese Daten und auf weitere Informationen zur Verarbeitung, etwa zu den Zwecken. Für die Antwort braucht das Unternehmen einen aktuellen Überblick darüber, wo welche Daten liegen. Dieser Überblick entsteht bei uns im Rahmen der Beratung gemeinsam mit Ihnen.
Recht auf Löschung (Art. 17 DSGVO): Wann Daten zu löschen sind
Das Recht auf Löschung ist in Art. 17 DSGVO geregelt. Betroffene Personen können die Löschung ihrer personenbezogenen Daten verlangen, wenn einer der dort genannten Gründe vorliegt, zum Beispiel wenn die Daten für den Zweck der Verarbeitung nicht mehr notwendig sind oder eine Einwilligung widerrufen wurde. Der Anspruch besteht nicht uneingeschränkt: Art. 17 Abs. 3 DSGVO nennt Ausnahmen, etwa gesetzliche Aufbewahrungspflichten. Ob im Einzelfall gelöscht werden muss, prüfen wir bei Bedarf gemeinsam mit Ihnen.
Übersicht: Rechte betroffener Personen nach Art. 12–22 DSGVO
Die Rechte betroffener Personen sind in Kapitel III der DSGVO (Art. 12–22) geregelt. Eine Übersicht:
- Art. 12: Transparente Information und Kommunikation, einschließlich der Modalitäten für die Ausübung der Rechte
- Art. 13 und 14: Informationspflichten bei der Erhebung von Daten
- Art. 15: Auskunftsrecht
- Art. 16: Recht auf Berichtigung
- Art. 17: Recht auf Löschung
- Art. 18: Recht auf Einschränkung der Verarbeitung
- Art. 19: Mitteilungspflicht im Zusammenhang mit Berichtigung, Löschung oder Einschränkung
- Art. 20: Recht auf Datenübertragbarkeit
- Art. 21: Widerspruchsrecht
- Art. 22: Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
Betroffenenanfragen bearbeiten: Schritte für ukrainische Unternehmen
Die DSGVO-konforme Bearbeitung von Betroffenenanfragen setzt feste Abläufe voraus. Im Rahmen der Beratung gehen wir mit Ihnen die folgenden Schritte durch:
- Dateninventur und Systemanalyse: Wir erfassen gemeinsam mit Ihnen, wo und in welchem Umfang personenbezogene Daten gespeichert werden. Grundlage ist das Verzeichnis von Verarbeitungstätigkeiten, damit Anfragen vollständig bearbeitet werden können.
- Klare Prozessabläufe: Wir legen interne Verantwortlichkeiten und Abläufe für Eingang und Bearbeitung von Anfragen fest. Nach Art. 12 Abs. 3 DSGVO ist innerhalb eines Monats nach Eingang des Antrags zu antworten; bei komplexen Anfragen oder hoher Zahl von Anträgen kann diese Frist um weitere zwei Monate verlängert werden.
- Technische Umsetzung der Datenübertragbarkeit: Auf Anfrage müssen Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden können, beispielsweise als CSV- oder XML-Datei. Die Übertragung an einen anderen Anbieter sollte sicher und technisch interoperabel sein. Die Technischen und organisatorischen Maßnahmen gemäß DSGVO bilden dafür den Rahmen.
- Schutz von Rechten Dritter: Bei der Datenübertragung dürfen die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden. Das erfordert oft eine sorgfältige Prüfung der Anfrage und gegebenenfalls eine teilweise Anonymisierung.
- Kommunikation mit Betroffenen: Wir erarbeiten mit Ihnen verständliche Informationen zu den Betroffenenrechten und Datenschutzprozessen, zum Beispiel für Ihre Datenschutzerklärung.
- Zusammenarbeit mit einem EU-Vertreter: Unternehmen ohne Niederlassung in der EU, die unter Art. 3 Abs. 2 DSGVO fallen, müssen einen EU-Vertreter nach Art. 27 DSGVO benennen. Der Vertreter ist Ansprechpartner für Aufsichtsbehörden und betroffene Personen. Die Umsetzung der Betroffenenrechte bleibt beim Verantwortlichen. Näheres finden Sie unter EU-Vertreter Pflichten nach Art. 27 DSGVO.
- Schulungen und regelmäßige Audits: Mitarbeitende werden regelmäßig zu Datenschutzthemen geschult, und die Einhaltung der Vorgaben wird überprüft. Wie Sie solche Prozesse und Audits dauerhaft organisieren, beschreibt das DSGVO-Compliance-System für ukrainische Unternehmen.
Fiktives Praxisbeispiel (zur Veranschaulichung, kein Kundenfall)
Ein ukrainisches IT-Unternehmen bietet Software für Gesundheitsdienstleister in Deutschland an. Eine Nutzerin fordert die Übertragung ihrer persönlichen Gesundheitsdaten an einen anderen Dienstleister. Das Unternehmen stellt ihr die Daten innerhalb von einem Monat in einem Standarddatenformat zur Verfügung und dokumentiert den Vorgang sorgfältig. Die Unterstützung eines professionellen EU-Vertreters sichert die Einhaltung der DSGVO und stärkt das Vertrauen im Zielmarkt.
Fazit
Die technische Umsetzung der Datenübertragbarkeit und ein geordneter Umgang mit Betroffenenanfragen sind Voraussetzungen für ein DSGVO-konformes Vorgehen. Wer die Abläufe frühzeitig festlegt, kann Anfragen aus der EU geordnet und fristgerecht beantworten.
Zusammenfassung
Die Betroffenenrechte der DSGVO – Auskunft, Löschung und Datenübertragbarkeit – stellen für Unternehmen ohne EU-Standort eine besondere Herausforderung dar. Ein strukturiertes Vorgehen und die Zusammenarbeit mit einem EU-Vertreter helfen, die Anforderungen der Datenschutz-Grundverordnung einzuhalten. Ukrainische Unternehmen profitieren von klaren Prozessen, transparenter Kommunikation und technischen Lösungen, um personenbezogene Daten DSGVO-konform bereitzustellen, zu übertragen oder zu löschen. Wir begleiten Sie bei der Einführung geeigneter Datenschutzmaßnahmen, etwa im Rahmen unserer Beratungspakete.
DSGVO-Betroffenenrechte – Häufig gestellte Fragen (FAQ)
Was ist das Recht auf Datenübertragbarkeit (Datenportabilität)?
Das Recht auf Datenübertragbarkeit (Datenportabilität) ist ein zentrales Betroffenenrecht der Datenschutzgrundverordnung (DSGVO). Es ermöglicht betroffenen Personen, ihre personenbezogenen Daten, die sie einem Unternehmen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Außerdem können sie verlangen, dass die Daten direkt an einen anderen Verantwortlichen übertragen werden. Das Ziel ist, die Kontrolle der Nutzer über ihre Daten zu stärken und einen einfachen Wechsel zwischen Dienstleistern zu ermöglichen.
Welche Rechtsgrundlagen regeln die Datenübertragbarkeit?
Die Datenübertragbarkeit ist in der Datenschutzgrundverordnung, konkret in Artikel 20 DSGVO, geregelt. Dieses Recht ergänzt und präzisiert die Betroffenenrechte im europäischen Datenschutzrecht. Der Anspruch besteht grundsätzlich dann, wenn die Verarbeitung personenbezogener Daten, die die betroffene Person bereitgestellt hat, automatisiert erfolgt und entweder auf einer Einwilligung oder einem Vertrag beruht, sofern keine gesetzlichen Ausschlussgründe (wie die Rechte Dritter oder Aufgaben im öffentlichen Interesse) entgegenstehen. Dazu kommen die allgemeinen Grundsätze der DSGVO, wie Rechtmäßigkeit, Transparenz und Sicherheit bei der Datenübertragung.
Welche Voraussetzungen müssen für die Datenübertragbarkeit erfüllt sein?
Voraussetzungen sind, dass die Datenverarbeitung automatisiert erfolgt und auf einer Einwilligung der betroffenen Person oder einem Vertrag basiert. Das Recht betrifft personenbezogene Daten, die die betroffene Person dem Verantwortlichen bereitgestellt hat. Die Rechte und Freiheiten Dritter dürfen durch die Übertragung nicht beeinträchtigt werden. Sind diese Voraussetzungen erfüllt, kann das Recht geltend gemacht werden.
Welche personenbezogenen Daten sind von der Datenübertragbarkeit umfasst?
Erfasst sind personenbezogene Daten, die die betroffene Person dem Verantwortlichen „bereitgestellt“ hat. Dazu zählen Angaben wie Name, Adresse und Nutzernamen. Nach den EDPB-Leitlinien (WP 242 rev.01) gehören auch Daten dazu, die bei der Nutzung eines Dienstes beobachtet wurden, etwa Transaktions- oder Nutzungsdaten. Nicht erfasst sind daraus abgeleitete, durch Analyse generierte oder anonymisierte Daten.
Welche Daten sind vom Recht auf Datenübertragbarkeit ausgenommen?
Ausgenommen sind personenbezogene Daten, die der Verantwortliche durch eigene Auswertungen oder Analysen abgeleitet oder geschätzt hat (z. B. Nutzerprofile, Bewertungen). Ebenfalls nicht erfasst sind anonymisierte Daten, die keinen Personenbezug mehr aufweisen. Zudem darf die Übertragung die Rechte und Freiheiten Dritter nicht beeinträchtigen.
Welche technischen Anforderungen gelten für die Datenübertragung?
Die Daten müssen in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden, beispielsweise als CSV- oder XML-Datei. Soweit technisch machbar, soll die Übertragung direkt von einem Verantwortlichen zum anderen erfolgen. Bei der Datenübertragung müssen zudem geeignete technische und organisatorische Maßnahmen für Datenschutz und Datensicherheit getroffen werden.
Wie unterscheidet sich das Recht auf Datenübertragbarkeit von Auskunfts- und Löschrechten?
Das Recht auf Datenübertragbarkeit gibt den betroffenen Personen die Möglichkeit, ihre personenbezogenen Daten in einem übertragbaren Format zu erhalten oder übertragen zu lassen. Das Auskunftsrecht (Art. 15 DSGVO) dient der Einsicht in die gespeicherten Daten und in Informationen zur Verarbeitung. Das Recht auf Löschung (Art. 17 DSGVO) richtet sich auf die Entfernung der Daten. Die Datenübertragbarkeit setzt also einen Übertragungsmechanismus voraus und dient dem Wettbewerb sowie der Selbstbestimmung der Nutzer.
Wie läuft die Geltendmachung des Rechts auf Datenübertragbarkeit ab?
Betroffene Personen können ihr Recht direkt beim Verantwortlichen geltend machen, beispielsweise per E-Mail oder über ein bereitgestelltes Kontaktformular, unter Angabe, welche personenbezogenen Daten übertragen werden sollen und wohin. Das Unternehmen muss nach Art. 12 Abs. 3 DSGVO innerhalb eines Monats nach Eingang des Antrags reagieren. Diese Frist kann bei komplexen Anfragen oder hoher Zahl von Anträgen um zwei weitere Monate verlängert werden; die betroffene Person ist dann innerhalb eines Monats über die Verlängerung und ihre Gründe zu informieren.
Welche rechtlichen Grenzen bestehen bei der Datenübertragung an Dritte?
Die Datenübertragung darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Zu beachten sind dabei unter anderem Geschäftsgeheimnisse sowie Datenschutz und Vertraulichkeit Dritter. Das Recht auf Datenübertragbarkeit soll nicht dazu führen, dass schutzwürdige Interessen von Unternehmen oder Dritten verletzt werden. Die DSGVO sieht diese Grenzen ausdrücklich vor.
Welche Folgen können Verstöße gegen das Recht auf Datenübertragbarkeit haben?
Ein Verstoß gegen das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO kann mit Geldbußen von bis zu 20 Millionen Euro oder – im Fall eines Unternehmens – von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher der Beträge höher ist. Die Höhe richtet sich nach den Umständen des Einzelfalls, die in Art. 83 DSGVO aufgeführt sind. Ein geordneter Umgang mit Anfragen betroffener Personen ist daher Teil der laufenden Datenschutzorganisation.
Was umfasst das Auskunftsrecht nach Art. 15 DSGVO?
Betroffene Personen können vom Verantwortlichen Auskunft darüber verlangen, ob er personenbezogene Daten über sie verarbeitet. Ist das der Fall, besteht Anspruch auf Auskunft über diese Daten und auf die weiteren in Art. 15 DSGVO genannten Informationen zur Verarbeitung.
Wie schnell muss auf ein Auskunftsersuchen geantwortet werden?
Nach Art. 12 Abs. 3 DSGVO ist innerhalb eines Monats nach Eingang des Antrags zu antworten. Bei komplexen Anfragen oder hoher Zahl von Anträgen kann die Frist um zwei weitere Monate verlängert werden. Die betroffene Person ist darüber innerhalb eines Monats unter Angabe der Gründe zu informieren.
Wann müssen personenbezogene Daten gelöscht werden?
Nach Art. 17 DSGVO können betroffene Personen die Löschung verlangen, wenn einer der dort genannten Gründe vorliegt, zum Beispiel wenn die Daten für den Zweck der Verarbeitung nicht mehr notwendig sind oder eine erteilte Einwilligung widerrufen wurde.
Gibt es Ausnahmen vom Recht auf Löschung?
Ja. Art. 17 Abs. 3 DSGVO nennt Ausnahmen, etwa wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Ob eine Ausnahme greift, ist im Einzelfall zu prüfen.
Noch Fragen?
Im kostenlosen Erstgespräch klären wir, welche Pflichten für Ihr Unternehmen gelten – unverbindlich, auf Deutsch, Englisch oder Ukrainisch.