Wie man künftig das Geschäft mit seinen Daten kontrolliert
Das neue Datenschutzrecht, das ab Mai in Kraft tritt, bringt höhere Transparenz bei der Verarbeitung von Daten und vor allem auch eine Stärkung der Betroffenenrechte.
Der technische Fortschritt und die damit einhergehende Digitalisierung des Berufs- und Privatlebens schreiten rasant voran. Die Verarbeitung von Daten, die eine Person identifizieren oder zumindest identifizierbar machen, spielt dabei eine zentrale Rolle. Man denke nur an Werbemaßnahmen und Produktgestaltungen, die auf gezielter Datenauswertung basieren, oder an die zahlreichen Smartphone-Apps, die unser Leben durch Verarbeitung von Daten immer bequemer machen. Von den Datenverarbeitungen der Social-Media-Dienste ganz zu schweigen.
Das Recht versucht, mit diesen Entwicklungen Schritt zu halten: Die Verarbeitung von personenbezogenen Daten ist zwar an sich verboten, unter bestimmten Voraussetzungen aber doch wieder erlaubt – man muss sich nur an bestimmte Spielregeln halten. Dies wird durch das Datenschutzrecht geregelt.
Der Begriff „Datenschutz“ist dabei etwas missverständlich, weil nicht die Daten selbst geschützt sind, sondern die Privatsphäre der von den Datenverarbeitungen betroffenen Personen. Die Spielregeln werden durch die ab 25. Mai 2018 geltende Datenschutzgrundverordnung in einigen wesentlichen Punkten geändert.
So werden die Rechte von Personen, die von Datenverarbeitungen betroffen sind, im Vergleich zur bisherigen Rechtslage ausgebaut und gestärkt. Transparenz ist dabei das Um und Auf. So hat man künftig das Recht zu wissen, was mit den eigenen Daten passiert.
Deshalb ist die betroffene Person schon bei der Datenerhebung in den meisten Fällen mit einer Datenschutzerklärung auf der Website präzise, verständlich und leicht zugänglich über die Verarbeitung der Daten und über die bestehenden Rechte zu informieren.
Werden die Daten nicht direkt bei der Person erhoben, geht die Informationspflicht noch weiter. In diesem Fall sind binnen angemessener Frist, längstens jedoch binnen einem Monat nach Erhebung der Daten, die gesetzlich vorgeschriebenen Informationen zu erteilen. Dafür gibt es nur in bestimmten Fällen Ausnahmen, zum Beispiel wenn die Daten einem Berufsgeheimnis unterliegen.
Man muss zukünftig aber nicht nur aktiv von dem, der für die Ver- arbeitung der Daten verantwortlich ist, informiert werden. Man kann auch selbst eine Bestätigung verlangen, ob überhaupt personenbezogene Daten verarbeitet werden. Sofern dies der Fall ist, hat man das Recht, Auskunft über diese Daten zu fordern. Das Auskunftsbegehren ist unverzüglich, grundsätzlich binnen einem Monat, zu erfüllen.
Weiß man nun aufgrund der erteilten Auskunft über die näheren Umstände Bescheid, und weiß man daher, dass beispielsweise der Name falsch gespeichert ist oder die E-Mail-Adresse nicht mehr aktuell ist, kann man dies korrigieren lassen. Unter bestimmten Umständen hat man die Möglichkeit, seine Daten auch löschen lassen.
Erfolgt die Datenverarbeitung unrechtmäßig, kann man statt der Löschung auch verlangen, dass die Daten nur noch eingeschränkt verarbeitet werden. Eine solche Einschränkung kann auch dann verlangt werden, wenn man die Richtigkeit der Daten bestreitet. Werden die Daten auf Antrag berichtigt, gelöscht oder eingeschränkt, hat der Datenverarbeiter dies jedem Empfänger, an den die Daten weitergegeben werden, mitzuteilen.
Völlig neu ist das Recht auf Datenübertragbarkeit: Dieses Recht besteht, wenn Daten aufgrund eines Vertrags oder einer Einwilligung verarbeitet werden. Um bei der automatischen Datenverarbeitung bessere Kontrolle über bereitgestellte Daten zu haben, müssen diese in strukturierter, gängiger und maschinenlesbarer Form herausgegeben werden. So kann man zum Beispiel die aktuelle Wiedergabeliste bei einem Musik-StreamingDienst oder die Kontakte aus dem Webmail-Dienst abrufen. Man kann auch verlangen, dass Daten von einem Datenverarbeiter zu einem anderen übertragen werden. Konkret: Man kann seine Daten direkt von einem Social-Media-Dienst auf einen anderen Social-Media-Dienst übertragen lassen.
Unter bestimmten Voraussetzungen besteht auch ein Widerspruchsrecht, damit die Daten nicht mehr verarbeitet werden dürfen. Werden Daten zum direkten Marketing verarbeitet, gilt dieses Widerspruchsrecht in jedem Fall.