Trotz der strengen Auflagen der Datenschutzgesetze kann es dennoch vorkommen, dass personenbezogene Daten unzulässig verarbeitet werden. Durch die technische Entwicklung steht außer Frage, dass die Möglichkeiten des Missbrauchs von personenbezogenen Daten enorm gestiegen sind. Im Datenschutz gilt das Verbot mit Erlaubnisvorbehalt, wodurch die Verarbeitung personenbezogener Daten nur erlaubt ist, wenn dies eine Vorschrift des Datenschutzgesetzes oder eine sonstige Rechtsvorschrift erlaubt oder der Betroffene eingewilligt hat. Betroffene, welche ein komisches Gefühl oder gar eine Vermutung für eine unzulässige Verarbeitung haben, wissen meist nicht, wie sie weiter vorgehen sollen oder welche Möglichkeiten ihnen zur Verfügung stehen. Aufgrund häufiger Anfragen von Ratsuchenden soll die Problematik anhand eines Beispiels genauer dargestellt werden:
„Herr Ratsuchender“ hat, aufgrund von persönlichen Problemen, Unternehmen A verlassen müssen. Nun stellte er leider fest, dass bei seiner weiteren Jobsuche unzählige Bewerbungen ins Leere geführt haben. In diesem Zusammenhang kam ihm der Gedanke, dass persönliche Informationen, evtl. auch an etwaige Mitbewerber, weitergeleitet worden sein könnten. Was soll bzw. kann Herr Ratsuchender jetzt tun?
Durch das Datenschutzrecht soll insbesondere der Schutz personenbezogener Daten gewährleistet werden. Hierfür sieht der Gesetzgeber auch entsprechende Betroffenenrechte vor, von welchen Betroffene jederzeit – natürlich auch bei der Vermutung einer unzulässigen Verarbeitung – Gebrauch machen können.
Unzulässige Datenweitergabe von personenbezogenen Daten
Unabhängig davon, ob eine unzulässige Verarbeitung von personenbezogenen Daten vermutetet wird oder man lediglich Informationen über die Verarbeitung seiner personenbezogenen Daten erhalten möchte, steht es Betroffenen frei von Ihren Rechten nach der Datenschutz-Grundverordnung (DS-GVO) Gebrauch zu machen. Sofern jedoch ein Unternehmen personenbezogene Daten an andere Unternehmen weitergibt, muss zum einen geprüft werden, ob die Weitergabe zulässig ist und zum anderen muss der Betroffene über die Weiterleitung informiert werden. Nach Art. 13 und 14 DS-GVO müssen Verantwortliche sogenannten Informationspflichten nachkommen. Hierbei müssen Betroffene unaufgefordert und transparent über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Daneben stehen Betroffenen weitere Rechte zu, die sie wahrnehmen können.
Rechte eines Betroffenen
Betroffene haben gemäß Art. 15 ff DS-GVO insbesondere folgende Rechte:
- Recht auf Auskunft,
- Recht auf Berichtigung,
- Recht auf Löschung bzw. Vergessenwerden,
- Recht auf Einschränkung der Verarbeitung,
- Recht auf Datenübertragbarkeit,
- Recht auf Widerspruch,
- Recht nicht Gegenstand einer automatisierten Entscheidungsfindung im Einzelfall einschließlich Profiling zu sein
- sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde.
Was kann „Herr Ratsuchender“ jetzt tun?
Betroffene können jederzeit von ihren Rechten Gebrauch machen. In dem oben aufgeführten Fallbeispiel wäre es zunächst zu empfehlen, dass Herr Ratsuchender von seinem Recht auf Auskunft bei Unternehmen A Gebrauch macht. Bei dem Recht auf Auskunft muss der Verantwortliche, auf Verlangen des Betroffenen, offenlegen,
- zu welchem Zweck seine personenbezogenen Daten verarbeitet werden,
- welche Kategorien von Daten bei der Verarbeitung betroffen sind,
- welche Empfänger seine personenbezogenen Daten erhalten bzw. offengelegt werden,
- wie lange die Speicherdauer ist,
- den Betroffenen über sein Recht auf Berichtigung, Sperrung, Löschung, automatischer Entscheidungsfindung einschließlich Profiling sowie Beschwerde bei der zuständigen Aufsichtsbehörde informieren,
- woher die Daten stammen (Herkunft der Daten)
- sowie das ausreichende Garantien bei einer Drittlandsübertragung vorliegen.
Weiterhin muss dem Betroffenen eine Kopie der personenbezogenen Daten zur Verfügung gestellt werden. Eine Beantwortung der Anfrage sollte unverzüglich, jedoch spätestens innerhalb eines Monats, nach Eingang der Anfrage, erfolgen. Ansprechpartner für ein solches Ersuchen ist der, vom Verantwortlichen, bestellte Datenschutzbeauftragte.
Daneben hat Herr Ratsuchender zudem nach Art. 77 DS-GVO die Möglichkeit, sich bei einer Aufsichtsbehörde bzw. einer zuständigen Stelle zu beschweren, sofern er einen Grund zur Beanstandung haben sollte, insbesondere wenn er der Ansicht ist, dass die Verarbeitung seiner personenbezogenen Daten nicht in Einklang mit den gesetzlichen Vorgaben erfolgt.
Sollte es sich tatsächlich um eine unzulässige Verarbeitung handeln, würde dies einen datenschutzrechtlichen Verstoß darstellen, welcher mit einem Bußgeld von bis zu 20 Mio. Euro bzw. 4 % des erzielten Jahresumsatzes des vorangegangenen Jahres geahndet werden kann.
