Betroffenenrechte

• Nicht antragsgebundene Betroffenenrechte:
  Nicht antragsgebundene Betroffenenrechte haben betroffene Personen automatisch, ohne vorher einen Antrag an Sie stellen zu müssen. So etwa das Recht auf Information. Sie als Verantwortlicher müssen daher bestimmte Informationen von sich aus zur Verfügung stellen, ohne dass diese danach fragen müssen. 
• Antragsgebundene Betroffenenrechte:
  Bei antragsgebundenen Betroffenenrechten müssen betroffene Personen einen Antrag an Sie stellen um ihre Rechte (zB. Auskunft, Löschung, Berichtigung etc) geltend zu machen.

• Recht auf Information:
  Das Recht auf Information hat der Betroffene automatisch, ohne vorher einen Antrag stellen zu müssen: Sie als Verantwortlicher müssen den betroffenen Personen von sich aus bestimmte gesetzlich vorgegebene Informationen zur Verfügung stellen [SIEHE LINK $Informationsrecht] 
• Recht auf Auskunft:
  Hier stellt die betroffene Person an Sie einen Antrag auf Auskunft über konkret sie betreffende personenbezogene Daten.

Wenn die betroffene Person das Recht auf Auskunft, Recht auf Berichtigung, Recht auf Einschränkung der Verarbeitung, Recht auf Löschung, Recht auf Datenübertragbarkeit oder das Widerspruchsrecht geltend machen möchte, muss sie beim Verantwortlichen – und damit bei Ihnen – einen Antrag stellen. Sobald Ihnen der Antrag zu geht, ist dieser zu bearbeiten.

Beispiel
Sie haben auf Ihrer Homepage ein Kontaktformular für Datenschutzanliegen eingerichtet. Ein Kunde möchte Auskunft über seine Daten und verwendet nicht das Kontaktformular, sondern schickt sein Ansuchen per Post an Ihre Firmenadresse. Sobald Sie das Schreiben erhalten, ist „der Antrag auf Auskunft“ zugegangen und daher auch von Ihnen zu bearbeiten.

Hinweis
Sonderfall: Auftragsverarbeiter
Wenn Sie Auftragsverarbeiter sind und einen Antrag auf Auskunft, Berichtigung, Löschung, etc. eines Betroffenen erhalten, müssen Sie diesen nicht bearbeiten, da Sie nicht Verantwortlicher sind. 

Der Auftragsverarbeiter wird ihn in der Praxis meist an den Verantwortlichen verweisen oder die Anfrage an den Verantwortlichen weiterleiten. Der Auftragsverarbeiter entscheidet aber nicht selbst über die Betroffenenrechte.

Um das Recht auf Auskunft, das Recht auf Berichtigung, das Recht auf Einschränkung der Verarbeitung, das Recht auf Datenübertragbarkeit oder das Widerspruchsrecht durchzusetzen, müssen sich Betroffene zuerst an den Verantwortlichen – und damit an Sie – wenden. Wendet sie sich direkt an die Datenschutzbehörde, wäre dies nicht erfolgsversprechend.  Das ist auch der Regelfall beim Recht auf Löschung. Da Sie als Verantwortlicher in bestimmten Fällen aber auch ohne Antrag der betroffenen Person zur Löschung verpflichtet sind, kann sich die betroffene Person in diesem Fall auch direkt an die Datenschutzbehörde wenden. 

Es gibt keine ausdrückliche Pflicht, dass betroffene Personen ihre Anträge schriftlich stellen müssen. Die betroffene Person kann den Antrag formlos stellen. Das bedeutet, dass Anträge sowohl schriftlich (etwa per Mail oder Brief) als auch mündlich (telefonisch oder persönlich) gestellt werden können. 

Hinweis
Es ist daher nicht erforderlich, dass betroffenen Personen Ihnen ein Schreiben mit der Überschrift „Antrag“ zukommen lassen. Jedoch ist es für den Verantwortlichen häufig schwieriger, bei einem mündlichen Antrag die Identität ausreichend festzustellen (siehe Frage 9)

Hier ist zu unterscheiden: 
Informationspflichten müssen Sie als Verantwortliche von sich aus zu den gesetzlich vorgesehenen Zeitpunkten erfüllen. Auch bei einer nachträglichen Erfüllung bleiben die Informationsrechte des Betroffenen verletzt.

Bei den antragsgebundenen Rechten (Auskunft, Löschung, Berichtigung, Einschränkung, Widerspruch, Datenübertragbarkeit) haben Sie als Verantwortlicher die Möglichkeit, einen einmal erfolgten Verstoß (etwa indem Sie den Antrag nicht oder nicht innerhalb der Frist beantworten) zu sanieren, indem Sie dem Antrag nachkommen.

Beispiel
Der Verantwortliche übersieht die gesetzliche Frist für die Beantwortung des Auskunftsantrags. Er holt dies verspätet nach. Die Auskunft gilt als erteilt.

Hinweis
Das bedeutet aber nicht, dass ein Gesetzesverstoß ohne jegliche Konsequenzen bleiben muss. So hat der Betroffene z. B. die Möglichkeit, sich an die Datenschutzbehörde zu wenden (Informationen zu Verwaltungsstrafen bei Verletzung der DSGVO finden Sie auf DSGVO Strafen: Haftung und Sanktionen). Auch kann der Betroffene auf Schadenersatz klagen, wenn er einen Schaden nachweisen kann. 

• transparent,
• präzise und kompakt,
• in leicht zugänglicher Form,
• verständlich und
• die Information muss in klarer und einfacher Sprache erfolgen. Dies gilt insbesondere für Informationen, die sich speziell an Kinder richten.

Bei den antragsgebundenen Betroffenenrechten muss der Verantwortliche mit den Betroffenen kommunizieren. Gerade bei der Auskunft – hier gibt der Verantwortliche möglicherweise sogar „sensible“ Informationen über den Betroffenen bekannt - sollte der Verantwortliche auf eine sichere Datenübermittlung achten. Beim Umgang mit „sensiblen“ Informationen sollten Sie beispielsweise unverschlüsselte E-Mail-Nachrichten vermeiden.

Tipp
Auf der Webseite des deutschen Bundesamt für Sicherheit und Informationstechnik finden Sie Empfehlungen, wie man sichere Passwörter erstellt.

Beispiel
Sie versenden eine E-Mail mit der angefragten Information und fügen die Information als passwortgeschützten Anhang bei. Das Passwort teilen Sie der betroffenen Person auf einem anderen Weg mit (z. B. SMS, Telefon).

Falls eine betroffene Person eine mündliche Auskunft von Ihnen verlangt (z. B. per Telefon), sollten Sie folgende Punkte beachten:

• Prüfen Sie die Identität (siehe Frage 9) der betroffenen Person.  
• Lassen Sie sich schriftlich von der betroffenen Person bestätigen, dass diese die Informationen erhalten hat. 

Laut DSGVO muss die betroffene Person ihre Identität nur offenlegen, wenn der Verantwortliche begründete Zweifel hat (z. B. Anfragen per Telefon oder einer Fantasie-E-Mail-Adresse). In diesem Fall können Sie als Verantwortlicher zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind. 

Beispiele

• Sie erhalten eine Anfrage von sternenflagge1955@beispiel.at, die nicht elektronisch signiert ist. In diesem Fall können Sie eine Ausweiskopie verlangen. Sie dürfen allerdings nicht pauschal nach einer Ausweiskopie verlangen, wenn Sie die Identität der betroffenen Person auf eine andere Art und Weise bestimmen können. 
• Im Onlinekontext können z. B. bei Vorhandensein von Zugangsdaten für ein Online-Kundenkonto die Informationen über dieses zur Verfügung gestellt werden.
  

Hinweis
Der Betroffene muss den echten Namen (Klarnamen) nicht nennen, wenn dieser für die konkrete Datenverarbeitung nicht relevant ist. Ist der Betroffene z. B. mit einem „Nickname“ auf Ihrer Website registriert und können Sie ihn anhand dieses „Nicknames“ einwandfrei zuordnen, muss der Betroffene seinen Klarnamen nicht angeben.

Werden Daten direkt bei der betroffenen Person erhoben – sprich die Daten von der betroffenen Person selbst stammen (etwa durch Ausfüllen eines Kontaktformulars, während eines Kund:innengesprächs erwähnt werden, bei Vertragserstellung, Umfragen, etc), müssen Sie Ihre Informationspflichten zum Zeitpunkt der Erhebung erfüllen. 

Wenn Sie als Verantwortlicher die Daten nicht direkt beim Betroffenen erheben (Sie also die Daten zu einer Person aus anderer Quelle erhoben haben wie zB Abfragen oder Auszüge diverser Register, social media, etc.), müssen Sie Ihre Informationspflicht grundsätzlich längstens innerhalb eines Monats nachdem Sie die personenbezogenen Daten erhoben haben, erfüllen, jedoch

• spätestens zum Zeitpunkt der ersten Kommunikation mit der betroffenen Person bzw.
• der ersten Offenlegung an einen anderen Empfänger.
  

Hinweis
Die Einmonatsfrist ist der späteste Zeitpunkt für die Informationspflicht, auch wenn die Offenlegung oder die Kommunikation erst danach erfolgt.

Grundsätzlich gilt: Als Verantwortlicher müssen Sie Anfragen bzw. Anträge im Zusammenhang mit antragsgebundenen Betroffenenrechten unverzüglich beantworten, jedenfalls innerhalb eines Monats nach Eingang der Anfrage.

Diese Frist kann in konkreten Sonderfällen um weitere zwei Monate (insgesamt also 3 Monate) verlängert werden. Hierbei müssen Sie die betroffene Person allerdings innerhalb der Einmonatsfrist über die Fristverlängerung informieren und die Verzögerung begründen. 

Hinweis
Sie dürfen nur in extremen Einzelfällen (z. B. ungewöhnlich viele Anträge von vielen Betroffenen, sehr komplexe Datenverarbeitungen) die Verlängerungsoption wählen. Dabei müssen Sie die betroffene Person innerhalb der Einmonatsfrist über die Fristverlängerung informieren und die Verzögerung begründen. 

Wurde der Antrag elektronisch an Sie übermittelt, sollte auch Ihre Mitteilung an die betroffene Person elektronisch übersandt werden (sofern die betroffene Person dem nicht zuvor widersprochen hat).

Unter bestimmten Umständen können Sie Anträge von Betroffenen ablehnen. So etwa, wenn die antragsstellende Person einen Antrag auf Löschung stellt, Sie aber gewisse Daten aufgrund gesetzlicher Aufbewahrungspflichten (laut BAO, UGB etc.) aufbewahren müssen; wenn die antragsstellende Person einen Antrag für eine andere Person stellt; oder Auskunft über die Daten einer anderen Person verlangt, ohne dabei aber eine Vollmacht vorzulegen.

Sollten Sie als Verantwortlicher daher auf den Antrag der betroffenen Person hin nicht tätig werden, müssen Sie die betroffene Person wie folgt informieren:

• Welche Gründe Sie für das Nicht-Tätigwerden haben (z. B. gesetzliche Vorgaben zu Aufbewahrungspflichten, fehlender Identitätsnachweis (siehe Frage 9), Ablehnungsgrund $LINK Dürfen Verantwortliche die Erfüllung antragsgebundener Betroffenenanträge ablehnen)
• Dass die betroffene Person bei der Datenschutzbehörde Beschwerde einlegen kann
• Dass die betroffene Person bei einem Gericht Klage erheben kann
  

Die oben angeführten Informationen müssen Sie der betroffenen Person ohne Verzögerung übermitteln, spätestens aber innerhalb eines Monats nach Eingang der Anfrage.

 Außerdem sieht die DSGVO vor, dass in bestimmten Fällen die Anträge gar nicht bearbeitet werden müssen. Sollte eine betroffene Person exzessive Anträge stellen (z. B. häufig wiederholte Anfragen, Missbrauchsabsicht), können Sie

• ein angemessenes Entgelt verlangen, oder
• sich weigern, den Antrag abzuwickeln.

Wann ein Antrag exzessiv ist, hängt von den konkreten Umständen ab und bedarf darüber hinaus eine gewisse Missbrauchsabsicht, also die Absicht des Betroffenen, dem Verantwortlichen zu schaden.

Bei exzessiven Anträgen müssen Sie als Verantwortlicher begründen, warum Sie sich für das angemessene Entgelt oder die Verweigerung entschieden haben.

Erweist sich eine Beschwerde hingegen als offenkundig unbegründet (z. B. Antrag wird für eine dritte Person gestellt, ohne ein Vertretungsverhältnis nachzuweisen), ist die Vorschreibung einer Gebühr nicht geeignet, weil dem Betroffenen ansonsten Kosten entstehen, obwohl seinem Antrag von vornherein keine Erfolgschance zukommt. 

Grundsätzlich müssen Sie als Verantwortlicher betroffene Personen unentgeltlich informieren, ihnen Auskunft erteilen, ihre Daten löschen, einen erhobenen Widerspruch umsetzen etc. 

Können Sie als Verantwortlicher belegen, dass der Betroffenen einen exzessiven Antrag gestellt hat (siehe Frage 12) können Sie die Verwaltungskosten für das Verständigungsschreiben berücksichtigen.

Wenn eine betroffene Person meint, in ihren Rechten verletzt worden zu sein, kann sie innerhalb eines Jahres nach Kenntnis der Verletzung eine Beschwerde bei der Datenschutzbehörde einreichen oder sich an ein Gericht wenden.

Sind mehr als drei Jahre seit dem Ereignis vergangen, kann die betroffene Person Ihren Anspruch nicht mehr geltend machen (Verjährung), sofern kein Dauerdelikt (z.B. Speicherung) vorliegt.

Die Verletzung der Betroffenenrechte ist mit einer Geldbuße bis zu 20 Mio. EUR oder 4 Prozent des letztjährigen weltweiten Jahresumsatzes bedroht. Näheres zu den Strafen siehe DSGVO Strafen: Haftung und Sanktionen.