DSGVO für Bürger: Auskunft und Löschung durchsetzen

Die Datenschutz-Grundverordnung gibt Ihnen zwei besonders praktische Rechte: Sie können von jedem Unternehmen, jedem Verein und jeder Behörde erfahren, welche Daten über Sie gespeichert sind, und Sie können verlangen, dass Daten gelöscht werden, die nicht mehr gespeichert sein dürfen. Beides ist kostenlos, formlos möglich und an feste Fristen gebunden. Reagiert die Stelle nicht, hilft Ihnen die Datenschutzaufsicht.

Die DSGVO gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten. Sie ist ein Beispiel dafür, wie die EU Grundrechte im digitalen Alltag konkret macht. Einen Überblick über alle Rechte, die Ihnen als Unionsbürger zustehen, finden Sie unter Ihre Rechte als EU-Bürger.

Ihre wichtigsten Rechte nach der DSGVO

Recht	Artikel	Wofür Sie es nutzen
Auskunft	Art. 15	erfahren, welche Daten gespeichert sind, wozu, woher und an wen sie gehen
Berichtigung	Art. 16	falsche Daten korrigieren lassen
Löschung	Art. 17	Daten entfernen lassen, die nicht mehr gespeichert werden dürfen
Einschränkung	Art. 18	Daten sperren lassen, solange ein Streit läuft
Datenübertragbarkeit	Art. 20	eigene Daten in einem gängigen Format mitnehmen
Widerspruch	Art. 21	einer Verarbeitung widersprechen, bei Direktwerbung immer
Beschwerde	Art. 77	Aufsichtsbehörde einschalten
Schadenersatz	Art. 82	Ersatz für materielle und immaterielle Schäden verlangen

Das Auskunftsrecht nach Artikel 15

Was Ihnen mitgeteilt werden muss

Eine vollständige Auskunft umfasst nicht nur die Bestätigung, ob überhaupt Daten verarbeitet werden. Sie muss unter anderem enthalten:

• die Daten selbst, als Kopie
• die Zwecke der Verarbeitung
• die Kategorien der Daten, zum Beispiel Kontaktdaten, Bestellhistorie oder Standortdaten
• die Empfänger, an die Daten weitergegeben wurden oder werden, insbesondere in Drittländern
• die geplante Speicherdauer oder die Kriterien dafür
• die Herkunft der Daten, wenn sie nicht von Ihnen selbst stammen
• einen Hinweis auf Ihre Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie auf das Beschwerderecht
• ob eine automatisierte Entscheidung einschließlich Profiling stattfindet, und wenn ja, aussagekräftige Informationen über die dahinterstehende Logik

So stellen Sie den Antrag

Ein Auskunftsersuchen ist an keine Form gebunden. Eine E-Mail an die Datenschutzadresse aus der Datenschutzerklärung genügt. Damit der Antrag eindeutig ist, sollte er diese Punkte enthalten:

1. Ihren Namen und die Daten, über die das Unternehmen Sie zuordnen kann, etwa Kundennummer oder die hinterlegte E-Mail-Adresse.
2. Den ausdrücklichen Hinweis, dass Sie Auskunft nach Artikel 15 DSGVO verlangen, einschließlich einer Kopie der Daten.
3. Eine Frist, die sich an der gesetzlichen Monatsfrist orientiert.
4. Die Bitte, die Auskunft an die Adresse zu schicken, von der Sie schreiben.

Eine kurze Formulierung kann so lauten: „Hiermit verlange ich gemäß Art. 15 DSGVO Auskunft über die zu meiner Person gespeicherten Daten sowie eine Kopie dieser Daten. Bitte beantworten Sie meine Anfrage innerhalb der gesetzlichen Frist von einem Monat.“

Bewahren Sie einen Nachweis auf, wann Sie den Antrag gestellt haben. Bei E-Mails genügt die gesendete Nachricht, bei Briefen ist ein Einschreiben sinnvoll.

Fristen

Die Stelle muss ohne unangemessene Verzögerung antworten, spätestens innerhalb eines Monats. Bei komplexen Anfragen oder sehr vielen Anträgen kann sie die Frist um zwei weitere Monate verlängern. Das muss sie Ihnen aber innerhalb des ersten Monats mitteilen und begründen. Schweigen ist keine zulässige Antwort.

Das Recht auf Löschung nach Artikel 17

Wann Daten gelöscht werden müssen

Das Recht auf Löschung, oft „Recht auf Vergessenwerden“ genannt, greift vor allem in diesen Fällen:

• Die Daten sind für den ursprünglichen Zweck nicht mehr notwendig, etwa nach Kündigung eines Kontos.
• Sie widerrufen eine Einwilligung, und es gibt keine andere Rechtsgrundlage.
• Sie widersprechen der Verarbeitung, und es gibt keine vorrangigen berechtigten Gründe, bei Direktwerbung immer.
• Die Daten wurden unrechtmäßig verarbeitet.
• Eine rechtliche Pflicht verlangt die Löschung.

Wann das Unternehmen Daten behalten darf

Die Löschung hat Grenzen. Ausnahmen gelten unter anderem für gesetzliche Aufbewahrungspflichten aus Handels- und Steuerrecht, für die Durchsetzung oder Abwehr von Rechtsansprüchen und für die Meinungs- und Informationsfreiheit, etwa bei journalistischen Inhalten. Daten, die nur noch aufbewahrt werden müssen, sind dann zu sperren und dürfen nicht mehr für Werbung oder Analysen genutzt werden.

Löschung bei Suchmaschinen

Ein Sonderfall sind Suchmaschinen. Der Gerichtshof der EU hat bereits 2014 entschieden, dass Betroffene unter bestimmten Voraussetzungen verlangen können, dass Links zu Seiten mit ihren Daten aus den Ergebnissen einer Namenssuche entfernt werden. Die Suchmaschinen bieten dafür eigene Formulare an. Sie wägen dabei Ihr Interesse gegen das öffentliche Informationsinteresse ab. Die Inhalte auf der Ursprungsseite bleiben davon unberührt.

Auskunft bei Behörden, Arbeitgebern und Vereinen

Die Rechte gelten nicht nur gegenüber Onlineshops und Plattformen. Auch Behörden, Arbeitgeber, Ärztinnen und Ärzte, Vermieter und Vereine müssen Auskunft geben und nicht mehr benötigte Daten löschen. Bei Behörden können gesetzliche Sonderregeln die Auskunft einschränken, etwa bei laufenden Ermittlungen. Im Arbeitsverhältnis ist das Auskunftsrecht ein häufiges Mittel, um die eigene Personalakte und gespeicherte Leistungsdaten einzusehen. Für Gesundheitsdaten gibt es zusätzlich Einsichtsrechte in die Patientenakte nach nationalem Recht.

Wenn keine oder eine unvollständige Antwort kommt

Situation	Nächster Schritt
Keine Antwort nach einem Monat	kurze Erinnerung mit neuer Frist von etwa zwei Wochen
Auskunft unvollständig, etwa ohne Empfänger oder Herkunft	konkret nachfordern, welche Angaben nach Art. 15 fehlen
Löschung abgelehnt ohne Begründung	Begründung und Rechtsgrundlage der weiteren Speicherung verlangen
Weiterhin keine Reaktion	Beschwerde bei der Aufsichtsbehörde
Konkreter Schaden entstanden	Schadenersatz nach Art. 82, notfalls über die Zivilgerichte

Beschwerde bei der Datenschutzaufsicht

Jede betroffene Person kann sich kostenlos bei einer Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat, in dem sie wohnt oder arbeitet. In Deutschland gibt es eine Datenschutzbehörde je Bundesland sowie den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Die meisten Behörden bieten ein Online-Beschwerdeformular an.

Fügen Sie der Beschwerde Ihren Antrag, das Datum und eventuelle Antworten bei. Die Behörde muss Sie über den Stand und das Ergebnis informieren. Bleibt sie untätig, können Sie dagegen gerichtlich vorgehen.

Unternehmen in anderen EU-Ländern

Sitzt das Unternehmen in einem anderen Mitgliedstaat, können Sie sich trotzdem an die Behörde an Ihrem Wohnort wenden und auf Deutsch schreiben. Bei grenzüberschreitenden Fällen arbeitet sie mit der federführenden Behörde am Hauptsitz des Unternehmens zusammen. Für viele große Plattformen ist das wegen ihres europäischen Sitzes die irische Datenschutzbehörde. Der Europäische Datenschutzausschuss sorgt dafür, dass die Behörden die DSGVO einheitlich auslegen.

Abgrenzung zu anderen Rechten im Netz

Die DSGVO schützt Ihre personenbezogenen Daten. Geht es dagegen darum, dass eine Plattform Ihren Beitrag löscht, Ihr Konto sperrt oder auf Meldungen zu rechtswidrigen Inhalten nicht reagiert, ist der Digital Services Act einschlägig. Probleme mit einem Kauf, etwa Widerruf oder Gewährleistung, regelt das Verbraucherrecht, das unter Verbraucherrechte in der EU erklärt ist. Oft greifen mehrere Regeln zugleich, zum Beispiel wenn ein Onlineshop nach einer Kontolöschung weiter Werbung schickt.

Checkliste für Ihr Auskunfts- oder Löschersuchen

• Datenschutzkontakt aus der Datenschutzerklärung heraussuchen.
• Antrag schriftlich stellen, Artikel nennen, Zuordnungsdaten angeben.
• Absendedatum dokumentieren und Frist im Kalender eintragen.
• Antwort auf Vollständigkeit prüfen: Daten, Zwecke, Empfänger, Herkunft, Speicherdauer.
• Bei Löschung schriftliche Bestätigung verlangen.
• Bei Funkstille erinnern, danach Beschwerde bei der Aufsichtsbehörde einreichen.

Ein Auskunftsersuchen lohnt sich nicht nur bei Ärger. Wer gelegentlich nachfragt, erfährt, welche Firmen welche Profile anlegen, und kann gezielt widersprechen oder Einwilligungen widerrufen. Gerade bei Konten, die Sie nicht mehr nutzen, ist eine Löschung meist der einfachste Weg, die eigene Datenspur kleiner zu machen.