Daten­schutz-Grund­ver­ordnung Regeln für persönliche Daten

Was hat sich für Verbraucher geändert?

Seit 2018 gilt die Europäische Daten­schutz-Grund­ver­ordnung und damit ein europaweit einheitliches Daten­schutz­recht. Die Rege­lungen stärken unter anderem das Recht des Einzelnen gegen­über Unternehmen auf Auskunft, Berichtigung und Löschung hinterlegter personenbezogener Daten. Zudem ist die Beweislast umge­kehrt: Wer Daten erhebt und verarbeitet, muss im Streitfall beweisen, dass er gesetzes­konform mit den Daten umgeht.

Zunächst mal gilt: „Verboten!“

Grund­sätzlich formuliert die Daten­schutz-Grund­ver­ordnung ein Verbot. Danach ist jede Verarbeitung von personenbezogenen Daten erst einmal untersagt. Personenbezogene Daten – das sind alle Angaben, die sich auf eine „identifizierte oder identifizier­bare natürliche Person beziehen“, etwa Name, Adresse, Geburts­datum, Schuhgröße, Beruf, medizi­nische Befunde, Bank­daten aber auch Daten, die Verbraucher im Netz hinterlassen. Das heißt, auch pseudonymisierte Daten sind personenbezogen. Nur anonymisierte Daten, die gar nicht mehr mit einer bestimmten Person in Verbindung gebracht werden können, unterliegen nicht daten­schutz­recht­lichen Vorgaben.

Einwilligung. Um nicht mit dem Verbot der neuen Verordnung in Konflikt zu geraten, müssen Unternehmen und Dienst­leister die Einwilligung von Verbrauchern einholen, bevor sie deren Daten erfassen und verarbeiten. Diese Einwilligung muss widerruf­bar sein. Und: Der Widerruf der Einwilligung muss für den Verbraucher genau so leicht sein, wie die Zustimmung zur Daten­ver­arbeitung.

Vertrags­erfüllung. Aber nicht immer braucht das Unternehmen eine ausdrück­liche Einwilligung zur Daten­erfassung und - speicherung. Beim Einkauf in einem Onlineshop darf der Händler etwa Adress- und Konto­daten verarbeiten. Diese Daten benötigt er, um die Bestellung zu bearbeiten, die Ware zu liefern und die Bezahlung abzu­wickeln. Die Daten werden demnach benötigt, um den Kauf­vertrag zu erfüllen. Die Daten müssen aber gelöscht werden, wenn gesetzliche Aufbewahrungs­fristen, etwa aus dem Steuer- oder Handels­recht, enden.

Berechtigtes Interesse. Die DSGVO sieht eine weitere recht­lich zulässige Grund­lage für die Verarbeitung personenbezogener Daten: das sogenannte berechtigte Interesse. Ist die Daten­ver­arbeitung erforderlich, um wichtige Interessen des Unter­nehmens oder eines Dritten zu wahren und über­wiegen nicht die Interessen der Verbraucher, ist sie recht­mäßig. Berechtigte Interessen von Unternehmen können etwa Betrugs­bekämpfung, aber auch Direktmarketing sein. Ein Beispiel: Nach dem Onlinekauf von Turn­schuhen schickt der Verkäufer regel­mäßig personalisierte und gezielte Angebote für weitere Sport­bekleidung per E-Mail.

So weit reicht das Recht auf Auskunft

Jeder Verbraucher kann von einem Unternehmen formlos – etwa per E-Mail – Auskunft darüber verlangen, welche Daten es über ihn besitzt und verarbeitet und zu welchem Zweck das geschieht. Verbraucher können dann fordern, diese Daten zu berichtigen oder zu löschen. Unternehmen müssen Verbrauchern beispiels­weise folgende Zusammenhänge offenlegen und erläutern:

Speicherung. Wie lange werden die Daten gespeichert? Nach welchen Kriterien wird die Speicherdauer fest­gelegt?

Herkunft. Woher stammen die Daten, wenn das Unternehmen sie nicht selbst erhoben hat?

Scoring. Nach welchen grund­legenden Algorithmen verknüpft das Unternehmen Daten zur Profilbildung – etwa bei der Entscheidung über eine Kredit­vergabe und den Zins­satz von Darlehen?

Nutzung. Wer hat die personenbezogenen Daten des Verbrauchers bisher erhalten oder soll sie noch bekommen?

Sämtliche Informationen müssen Unternehmen dem Verbraucher kostenfrei zur Verfügung stellen. Allerdings: Hat ein Unternehmen eine große Menge von gespeicherten Informationen über eine Person, beispiels­weise eine Versicherung oder eine Bank, bei der viele unterschiedliche Verträge abge­schlossen wurden, kann es vom Verbraucher eine Präzisierung verlangen. Er muss dann genauer ausführen, über welche Informationen oder Verarbeitungs­vorgänge er informiert werden möchte.

Tipp: Was Unternehmen alles über Verbraucher an Daten sammeln, zeigt unser Special Was weiß Google über mich?

Anspruch auf „Daten-Umzug“

Nach der DSGVO können Verbraucher verlangen, dass Dienste ihre gespeicherten personenbezogenen Daten in maschinenles­barer Form heraus­geben und auf Wunsch sogar direkt an einen anderen Anbieter über­tragen. Das erleichtert den Wechsel zum Beispiel bei intelligenten Stromzäh­lern, Fitness-Trackern oder Musik-Streaming­diensten. Gespeicherte Sport-Aktivitäten oder Musik-Playlisten können dann leicht von einem Dienst zum anderen wandern. Auch bei einem Bank­wechsel können Informationen über einge­richtete Dauer­aufträge dann direkt an das neue Bank­institut über­tragen werden. Mehr erfahren Sie in unserem Test Girokonto wechseln.

Das Recht auf Löschung und „Vergessenwerden“

Mit der Daten­schutz-Grund­ver­ordnung wurde das „Recht auf Vergessenwerden“ erst­mals ausdrück­lich gesetzlich geregelt. Hier geht es um das Löschen der Spuren von personenbezogenen Daten, die durch Veröffent­lichungen – vor allem im Internet – einer breiten Öffent­lich­keit zugäng­lich sind. Das verantwort­liche Unternehmen, das die personenbezogenen Daten öffent­lich gemacht hat und zur Löschung verpflichtet ist, muss zukünftig dafür sorgen, dass alle Stellen, die die Daten ebenfalls benutzt oder verbreitet haben, diese ebenfalls unver­züglich löschen. Dazu gehört auch das Löschen aller Links zu diesen Daten und aller Kopien. Das verantwort­liche Unternehmen darf keine tech­nischen Mühen scheuen, um das Löschen umzu­setzen.

Sehr hohe Bußgelder drohen

Wer fest­stellt, dass Unternehmen in unzu­lässiger Weise, etwa ohne recht­mäßig einge­holte Einwilligung, Daten erfassen oder ihrer Informations­pflicht nicht nach­kommen, kann die Daten­schutz­behörden einschalten, zum Beispiel den Daten­schutz­beauftragten des jeweiligen Bundes­landes. Diese Behörden können die Verarbeitung oder Weiterleitung von Daten verbieten und Verstöße gegen die Daten­schutz-Grund­ver­ordnung mit Geldbußen ahnden. Fällig werden können dann bis zu 10 000 000 Euro oder 2 Prozent des gesamten welt­weiten Jahres­umsatzes, den ein Unternehmen im Vorjahr erwirt­schaftet hat – je nachdem, welche Strafe höher ist. Bei besonders schwerwiegenden Verstößen können die Strafen sogar doppelt so hoch ausfallen.

Recht auf Schaden­ersatz

Besonders wichtig für Verbraucher: Ist jemandem durch unrecht­mäßige Daten­ver­arbeitung ein Schaden entstanden, steht ihm Schaden­ersatz zu. Es gibt bereits erste Verurtei­lungen. So muss ein Anwalt einer Ex-Mandantin 500 Euro zahlen, weil er erst nach neun Monaten Auskunft über die Verarbeitung der auf ihre Person bezogenen Daten erteilte (Ober­landes­gericht Köln, Aktenzeichen: 15 U 137/21). Ebenfalls 500 Euro waren fällig, nachdem eine Tele­kommunikations­unternehmen unbe­zahlte Rechnungen zu Unrecht an die Schufa meldete (Ober­landes­gericht Koblenz, Aktenzeichen: 5 U 2141/21, nicht rechts­kräftig). Facebook soll nach ersten, noch nicht rechts­kräftigen Urteilen wegen nicht ausreichend geschützter Daten bis zu 3 000 Euro an Betroffene zahlen. Sechs Millionen Menschen in Deutsch­land sind betroffen. Einzel­heiten dazu samt Muster­brief liefert unser ausführ­licher Artikel Facebook-Datenpanne: Schmerzensgeld nach Hackererfolg.

An wen wende ich mich?

Betroffene können sich bei dem Verdacht, dass ihre personenbezogenen Daten unrecht­mäßig verarbeitet werden oder wurden – oder dass ihre Daten gar nicht oder nicht voll­ständig gelöscht wurden – an die zuständige Daten­schutz­aufsichts­behörde wenden.

Zuständig ist immer die Aufsichts­behörde des Bundes­landes, in der das Unternehmen seinen Sitz hat. Sitzt das Unternehmen im Ausland, gilt das sogenannte Markt­ortprinzip. Danach können sich deutsche Bürgerinnen und Bürger auch an ihre regionale Aufsichts­behörde wenden, wenn sie Probleme mit Unternehmen in- und außer­halb der EU haben. Die Landes­daten­schutz­behörde wird dann gemein­sam mit der zuständigen anderen europäischen Aufsichts­behörde den Fall bearbeiten.

Geht es um die Daten­ver­arbeitung öffent­licher Stellen des Bundes oder Einrichtungen wie Tele­kommunikations- und Post­dienst­unternehmen, ist die Bundes­beauftragte für den Daten­schutz zuständig.