DSGVO-Beurteilung durch Regierung & EU-Staaten – Großer Status Quo Mehrteiler/ Teil-6i Bedarf aus Verbrauchersicht (6I)

…Fortsetzung… DSGVO-Beurteilung – Großer Status Quo Mehrteiler (zurück zu Beitrag 1)

 

Hier zum Inhaltsverzeichnis komplette Beurteilung (Evaluation):

2. Inhaltsverzeichnis

2.1. Inhaltsverzeichnis Erläuterung (Beitrag 2a)

2.2. Inhaltsverzeichnis – zum Register (Links zu Beiträgen) (Beitrag 2.b)

 

 

  1. Beurteilung DSGVO – Auswertung Bedarf aus Verbrauchersicht

Dabei werden gemäß den einzelnen Bestimmungen der Datenschutz-Grundverordnung die Bestimmungen der Verordnungen aus Verbrauchersicht bewertet. Gegebenenfalls wird die Umsetzung und Ausgestaltung der deutschen Datenschutzgrundverordnung berücksichtigt.

 

 

6.9. Auskunftsrecht der betroffenen Person

Ähnlich wie bei dem Absatz über die Informationspflicht müssen die Angaben zur Erfüllung des Auskunftsrechts nach Art. 15 DSGVO eindeutig sein, um die grundrechtliche Schutzfunktion des Auskunftsrechts zu erhalten.

6.9.1. Auskunft über Empfänger

Der gleiche Inhalt wie in Art. 13 Abs. 1 lit. e und Art. 14 Abs. 1 lit. e Datenschutzgrundverodnung bezüglich Adressaten personenbezogener Daten gilt eher für die Datenschutz-Grundverordnung für das Recht auf Auskunft nach Art. 15 Abs. 1 (c). Diese Informationen dienen der Information betroffener Personen, damit diese ihre Rechte gemäß der Datenschutz-Grundverordnung wahrnehmen können. Dazu gehören vor allem die Identitäten aller Verantwortlichen, um Rechte gegen diese geltend machen zu können. Ist der Verantwortliche der Person, die sein Auskunftsrecht in Anspruch nimmt, für die Daten verantwortlich, dass der Adressat auch für die Verarbeitung der Daten der betroffenen Person verantwortlich wird, so ist es angemessen, eine Mitteilungsanfrage von ihm zu richten, an wen er hat die Daten weitergeleitet. Denn diese Art der Weitergabe stellt einen gesonderten Eingriff in das Grundrecht des Betroffenen auf Datenschutz dar. Dieser Eingriff kann zumutbar sein, oder es kann sich um eine weitere Datenverarbeitung durch den Abnehmer handeln. Der Betroffene sollte dies jedoch überprüfen können. Daher ist der Verantwortliche verpflichtet, alle Akzeptanten personenbezogener Daten zu erfassen und die betroffene Person über die sie betreffenden Protokolle zu informieren.

6.9.2. Auskunft über automatisierte Entscheidungsverfahren

Gemäß Art. 15 Abs. 1 lit. h hat die betroffene Person das Recht, „aussagefähige Informationen über die involvierte Logik sowie die Tragweite und die erwarteten Auswirkungen einer derartigen Verarbeitung auf die betroffene Person zu erhalten“. Im Gegensatz zu den Informationen in Artikel 13 Absatz 2 f und Artikel 14 Absatz 2 g müssen diese Informationen nur abstrakt die Logik, den Umfang und die erwarteten Auswirkungen beschreiben. Die Informationen zu diesen Themen sind Einzeln. Diese Informationen müssen um die relevanten Merkmale und deren Bedeutung für automatische oder automatisch vorbereitete Entscheidungen ergänzt werden. Nur mit diesen Informationen kann das zuständige Personal sein Verhalten so anpassen, dass es die Möglichkeit hat, die erwartete Entscheidung zu treffen. Gemäß Artikel 15 Absatz 1 h der überarbeiteten betroffenen Person sollten auch für jede Analyse gesonderte Informationen sowie Umfang, Inhalt, Zweck und Zweck angegeben werden.

6.9.3. Recht auf Erhalt einer Kopie

Gemäß Art. 15 Abs. 3 Art. 1 Datenschutz-Grundverordnung hat der Verantwortliche der betroffenen Person auf Verlangen eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen. Nur wenige Bestimmungen der Datenschutzgrundverordnung waren so erfolglos und daher umstritten. Zunächst stellt sich die Frage, ob das „Recht auf Kopie-Erhalt“ (Art. 15 Abs. 4 Datenschutz-Grundverordnung) ein eigenständiger Anspruch der betroffenen Person ist oder nur eine in Art. 15 Abs. 1 Datenschutz-Grundverordnung vorgesehene Informationsform ist. Nach wie vor bestehen Streitigkeiten über die Frage, was eine Kopie ist, ob sie eine vollständige Kopie aller dem Betroffenen zur Verfügung stehenden Datensätze enthalten muss, welcher „Prozessgegenstand“ kopiert werden muss und ob das Recht auf Erhalt einer Kopie eindeutig sein muss angegeben oder nicht und die Kopie Welches Formular muss geliefert werden. Dieses „Recht auf Kopie“ ist methodisch eine kluge Lösung: Der Verantwortliche wird mit einer einfachen Kopie des Datensatzes nur geringfügig belastet. Dadurch entfällt die Notwendigkeit, alle verarbeiteten Daten zu melden. Für betroffene Personen bietet die „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ eine geeignete Prüfgrundlage, welche Daten sie in welchem Verarbeitungsumfeld verarbeiten und ob die Datenverarbeitung rechtmäßig ist. Wenn das zuständige Personal dies jedoch nicht verstehen kann, kann der Umgang mit der Kopie der Daten erklärungsbedürftig sein. Unterscheidet sich das „Recht auf Kopie-Erhalt“ vom Recht auf Auskunft, sollte das Recht klar angegeben werden. Kontrovers ist bloß, was „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sein kann. Solange die Daten des betreffenden Personals in Datensätzen oder Ordnern wie Konten, Personalakten, Kunden- oder Krankenakten, Personalakten oder ähnlichen geschlossenen Datensammlungen gespeichert sind, ist diese Frage leicht zu beantworten. Sofern jedoch die Verarbeitung von „zur Verarbeitung zweckgebundener personenbezogener Daten“ und anderer Daten in Geschäftsprozessen, Vereinbarungen, Logfiles, Backup-Dateien, Kommunikationsprozessen, Infrastruktur- oder Anlagenprozessen nicht nach betroffenen Personen klassifiziert wird, noch entsprechend strukturiert. Die Tatsache, dass das Datum des Betroffenen bei einem Handelsgeschäft aufgetreten ist, führt ihn nicht dazu, eine Kopie des gesamten (ggf. sehr umfangreichen) Handelsgeschäfts zu kennen. Die Rechtsunsicherheit hinsichtlich der Einschränkung des Rechts auf Vervielfältigung führt dazu, dass die betroffene Person die Ausübung dieses Rechts vermeidet, während der Verantwortliche die Ausübung dieses Rechts ablehnt. Daher ist es erforderlich, das Recht auf „Kopie personenbezogener Daten als Gegenstand der Verarbeitung“ so zu präzisieren, dass es in der Praxis leicht zu handhaben ist und den Verbrauchern eine zielgerichtete Nutzung ermöglicht. Ist dem Verantwortlichen es nicht möglich eine Kopie zur Verfügung zu stellen, ist eine strukturierte und aufbereitete Auflistung aller verarbeiteten Daten erforderlich, damit die zuständigen Mitarbeiter überprüfen können, ob die über sie gespeicherten Daten richtig sind und ihre Verarbeitung die vorgeschriebene Erlaubnis erteilt hat. Die Angabe der Kategorien personenbezogener Daten, die nach Art. 15 Abs. 1 lit. b Datenschutz-Grundverordnung verarbeitet werden, reicht möglicherweise nicht aus. In diesen Fällen ist Absatz 1 um Angaben zu verarbeiteten Daten zu ergänzen. In einigen Fällen ist es zur Überprüfung der Rechtmäßigkeit der Datenverarbeitung erforderlich, Kopien von Dokumenten oder Auszüge aus komplexen Datensätzen vorzulegen und diese Kopien oder Auszüge zu übermitteln. Zur Prüfung der Rechtmäßigkeit der Datenverarbeitung müssen solche Kopien oder solche Auszüge vorgelegt werden. Diese Klarstellung sowie die Klarstellung im nächsten Kapitel zum Anwendungsbereich des Rechts auf Datenübertragbarkeit nach Artikel 20 werden auch den Unterschied zwischen der Übermittlung von Kopien und der Übermittlung von Daten durch die betroffene Person klarstellen: Die Kopie wird der der betroffenen Person zugeordneten Datenerhebung entsprechen Relevant, unabhängig davon, ob die betroffene Person die Daten bereitgestellt hat oder nicht und unabhängig von der Rechtsgrundlage für die Verarbeitung der Daten. Andererseits besteht das Recht auf Datenübermittlung nur in zwei Situationen, die nicht für das Vervielfältigungsrecht gelten: Zum einen kann die Datenübermittlung nur verlangt werden, wenn die Verarbeitung personenbezogener Daten auf einer Einwilligung beruht. § 6 Abs. 1 U, Abs. 1a oder 9 Abs. 2 a oder ein Vertrag nach § 6 Abs. 1 U Abs. 1 b Datenschutz-Grundverordnung“. Andererseits gilt sie nur für alle Datenerhebungen, die durch die betroffene Person veranlasst oder veranlasst wurden, auch wenn es sich um Daten von Dritten handelt, die die betroffene Person rechtmäßig verarbeitet hat. Zudem muss die Kopie nicht in einer weiterverarbeitbaren Form übermittelt werden und die Datenübermittlung ist nur dann sinnvoll, wenn der Empfänger sie weiterverarbeiten kann.

Referenzen:

231 Siehe vergleichsweise aber auch die Stimmen, die unter Verweis auf missbräuchliches Verhalten eine Einschränkung des Auskunftsrechts fordern: s. z.B. Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg, Evaluierung, 6(„Pervertierung des Auskunftsrechts als Instrument der ‚Selbstjustiz‘“); Digitaleurope, 2020, 8 f.; Deutsche Telekom, 2019, 5 („Ein erheblicher Teil der Auskunftsanfragen wird durch professionelle Anbieter erzeugt, die zur Geltendmachung von Auskunftsansprüchen motivieren. Diese Anbieter verfolgen häufig durch die Generierung einer möglichst hohen Anzahl von Auskunftsanfragen ein eigenes kommerzielles Interesse gegenüber dem Verantwortlichen.“); s. auch Schulz, DuD 2020, 302.
232 Siehe vergleichsweise hierzu auch Verbraucherzentrale Bundesverband, 2013, 12.
233 Erwägungsgrund 63 Datenschutzgrundverodnung ; s. z.B. auch Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, 2019, 76; Brink/Joos, ZD 2019, 483 (384).
234 Siehe vergleichsweise Europäische Akademie für Informationsfreiheit und Datenschutz, 2020, 6 f.
235 Siehe vergleichsweise Kap. 3.8.3.
236 Siehe vergleichsweise auch Kap. 3.9.
237 Siehe vergleichsweise hierzu auch Kap. 3.11.

238 Hier sieht auch die Bundesregierung einen Konkretisierungsbedarf – Bundesregierung, ST 12756/1/19, 13; Bundesrat, BR-Drs. 570/19, 6; Gesellschaft für Datenschutz und Datensicherheit, 2019, 3.

239 Siehe vergleichsweise z.B. Zikesch/Sörup, ZD 2019, 239 (239, 243); Wybitul, ZD 2019, 278; Lapp,NJW 2019, 345 (347); Härting, CR 2019, 219 (221ff.); Engeler/Quiel, NJW
2019, 2201; Wybitul/Brams, NZA 2019, 672; Brink/Joos, ZD 2019, 483; Weik,DuD 2020, 98; Schulz, DuD 2020, 302; Jaspers/Jaquemain, DuD 2020, 297; LAG Baden-Württemberg, ZD 2019, 276. Der Bundesrat spricht von „großer Unsicherheit“: BR-Drs. 570/19, 5; s. auch Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg, Evaluierung, 2019, 6; Datenschutzkonferenz, Erfahrungsbericht, 2019, 9; Gesellschaft für Datenschutz und Datensicherheit, 2019, 3; Deutschland, in: Rat, ST 12756/1/19, 13; Digitaleurope, 2020, 8; Deutsche Telekom, 2019, 2.

240 Siehe vergleichsweise so z.B. Bäcker, in Kühling/Buchner, 2018, Art. 15 Rn. 39; Schwartmann/Klein, in: Schwartmann u.a., 2018, Art. 15 Rn. 34; Spindler, DB 2016, 937 (944); Härting, CR 2019, 219 (220); Engeler/Quiel, NJW 2019, 2201 (2202); Brink/Joos, ZD 2019, 483 f.; Weik, DuD 2020, 98 (100ff.).

241 Siehe vergleichsweise so z.B. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit,2019, 77f.; Bayerisches Landesamt für Datenschutz, 2019, 46; Raith 2019, 223f.;Paal, in: Paal/Pauly, 2018, Art. 15 Rn. 33; Franck, in: Gola, 2018, Art. 15 Rn.27;Specht, in: Sydow, 2018, Art. 15 Rn. 18; Veil, in: Gierschmann/Schlender/Stenzel, 2018, Art. 15 Rn. 209; Zikesch/Sörup, ZD 2019, 239 (240); Wybitul, ZD2019, 278 (279); Kamlah, in: Plath, 2018, Art. 15 Rn. 16.

242 Siehe vergleichsweise z.B. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit,2019, 77 f.; Härting, CR 2019, 219 (221ff.); Engeler/Quiel, NJW 2019, 2201(2202 f.).

243 Siehe vergleichsweise so z.B. Dix, in: Simitis/Hornung/Spiecker, 2019, Art. 15 Rn.36; Engeler/Quiel,NJW 2019, 2201 (2203); a.A. Dausend, ZD 2019, 103; Zikesch/Sörup, ZD 2019,239 (243); Specht, in: Sydow, 2018, Art. 15 Rn. 18; Wybitul 2016, Kap. IV,Rn. 166.

244 Siehe vergleichsweise z.B. Härting, CR 2019, 219 (222).
245 Siehe vergleichsweise z.B. Bäcker, in Kühling/Buchner, 2018, Art. 15 Rn. 39.
246 Siehe vergleichsweise z.B. Dix, in: Simitis/Hornung/Spiecker, 2019, Art.15 Rn.29; Ehmann, in: Eh-mann/Selmayr, 2018, Art. 15 Rn. 25; Engeler/Quiel, NJW 2019, 2201 (2205).

247 Siehe vergleichsweise z.B. z.B. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit,2019, 78. Engeler/Quiel, NJW 2019, 2201 (2204).
248 Siehe vergleichsweise so z.B. auch Jaspers/Jaquemain, DuD 2020, 297; a.A. IHK München und Oberbayern, 2019, 1

249 Siehe vergleichsweise den Hinweis des Erwägungsgrunds 63 DSGVO auf die Verwendung von Datendownloadtools. Diese werden von Social-Media-Anbieter überwiegend angewendet – s. zu den unzureichenden Ergebnissen jedoch Scheibel/Horn/Öksüz,2018, 13ff.

250 Siehe vergleichsweise auch Litauen, in: Rat, ST 12756/1/19, 36: „In our view Article 15(3) of the Regulation could be amended to provide that a data subject should only receivea copy of their personal data if they so request.”

251 Siehe vergleichsweise z.B. Zikesch/Sörup, ZD 2019, 239
252 Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, 2019, 78;Zikesch/Sörup, ZD 2019, 239 (243).
253 Dies übersehen z.B. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, 2019, 77 f.; Zikesch/Sörup, ZD 2019, 239 (241); Jaspers/Jaquemain,DuD 2020, 297; s. zum Problem auch Deutsche Telekom 2019, 2 f.

 

…  Weiterlesen:

6j. Auswertung Bedarf aus Verbrauchersicht (6J)

Beurteilung durch Regierung & EU-Staaten – Großer Status Quo Mehrteiler/ Teil-6j Bedarf aus Verbrauchersicht (6J)