Welche Rechte haben die Beschäftigten?
Die Datenschutz-Grundverordnung (DSGVO) hat die Rechte der betroffenen Personen schon dadurch gestärkt, dass diese Rechte genauer und ausführlicher geschildert werden. Grundsätzlich lassen sich die Betroffenenrechte nach der DSGVO in zwei Gruppen teilen: in Informationsrechte und andere Rechte, die sich direkt auf die Daten beziehen, beispielsweise das Recht auf Löschung oder auf Berichtigung. Die Information muss offensichtlich bestehen, bevor diese Rechte ausgeübt werden. Wer nicht weiß, welche Daten verarbeitet werden, kann auch seine anderen Rechte nicht wahrnehmen. Folgt man den Berichten der Aufsichtsbehörden für den Datenschutz, besteht auch gerade bei der Information der Beschäftigten häufig Anlass zur Beschwerde.
Was sind Betroffenenrechte?
Artikel 12 DSGVO schreibt vor, dass der Verantwortliche geeignete Maßnahmen treffen muss, damit eine betroffene Person alle Informationen und Mitteilungen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache erhält. Die Auskünfte und Mitteilungen sind grundsätzlich kostenfrei, Art. 12 Abs. 5 DSGVO. Ausnahmen können bei »exzessiven Anträgen« (z.B. häufiger Wiederholung) bestehen, dann kann der Verantwortliche die Bearbeitung ablehnen oder ein angemessenes Entgelt verlangen.
Die Antwort auf einen Antrag muss gemäß Art. 12 Abs. 3 DSGVO binnen eines Monats erfolgen, eine Verlängerung der Frist auf insgesamt drei Monate ist bei komplexen und/oder umfangreichen Anfragen aber möglich, sofern der antragstellenden Person der Grund hierfür innerhalb eines Monats mitgeteilt und erläutert wird. Grundsätzlich soll die Information den betroffenen Beschäftigten in die Lage versetzen, seine Rechte umzusetzen. Der Arbeitgeber ist verpflichtet, die Auskünfte den Anforderungen entsprechend zu erfüllen, anderenfalls riskiert er ein Bußgeld und/oder eine Entschädigung.
Streng genommen gibt es einen Unterschied zwischen Informationsrechten (Art. 13 und 14 DSGVO) und Auskunftsrechten (Art. 15 DSGVO). Bei den Informationsrechten muss der Arbeitgeber unaufgefordert tätig werden, beim Auskunftsrecht muss der Beschäftigte selbst aktiv werden und die Auskunft vom Arbeitgeber anfordern.
Wann besteht ein Informationsrecht?
Es gibt vier Regelungen, die einen Informations- bzw. Auskunftsanspruch beinhalten:
- Artikel 13 DSGVO greift, wenn der Verantwortliche die Daten erhebt. Die Betroffenen müssen zum Zeitpunkt der Datenerhebung informiert werden. Ausnahmen davon bestehen nur, wenn sie die Informationen bereits besitzen (Art. 13 Abs. 4 DSGVO).
- Artikel 14 DSGVO gilt, wenn der Verantwortliche die Daten nicht beim Betroffenen erhoben hat. Hier müssen Betroffene informiert werden, wenn der Verantwortliche die Daten zum ersten Mal nutzt, spätestens aber innerhalb eines Monats, nachdem der Verantwortliche die Daten erhalten hat (Ausnahmen hiervon: Art. 14 Abs. 5 DSGVO).
- Artikel 15 Abs. 1 DSGVO: Die betroffene Person ist auf ihren Antrag hin zu informieren. Hier gilt die Monatsfrist des Art. 12 DSGVO.
- Artikel 15 Abs. 3 DSGVO: Eine betroffene Person hat einen Anspruch auf den Erhalt einer Kopie ihrer personenbezogenen Daten. Eine Einschränkung folgt aus Art. 15 Abs. 4 DSGVO: »Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.« Auf diese Formulierung greifen einige Arbeitgeber gerne zurück, um die Kopie zu verweigern.
Wann besteht das Recht auf eine Kopie?
»Dem Recht auf Erhalt einer Kopie können Rechte Dritter entgegenstehen. Der Verantwortliche muss gegenüber der betroffenen Person aber nachweisen, dass eine solche Kollisionslage besteht. Zudem darf die Kopie nicht vollständig verweigert werden. In Verwaltungsvorgängen können beispielsweise die Namen unbeteiligter Dritter geschwärzt und der betroffenen Person im Übrigen die Kopie überlassen werden.« 15. Tätigkeitsbericht des Datenschutzbeauftragten von Mecklenburg-Vorpommern, S. 67.
»Zum Teil wird die Ansicht vertreten, dass der Anspruch auf Kopie auch durch Überlassung einer strukturierten Zusammenfassung der verarbeiteten Daten erfüllt werden kann. Das überzeugt mich aber nicht. Nach allgemeinem Verständnis ist mit einer Kopie eine originalgetreue Reproduktion gemeint. Es wird also die Herausgabe der Informationen in der Form gefordert, in der sie dem Verantwortlichen vorliegen.« 25. Tätigkeitsbericht der Datenschutzbeauftragten von Niedersachsen, S. 89.
Die Informationen, welche den Betroffenen nach den verschiedenen Auskunftsansprüchen zustehen, umfassen den Zweck der Verarbeitung, den Empfänger und die Kategorien der Daten, Informationen über die (geplante) Übermittlung in Drittstaaten und – falls möglich – die Speicherdauer sowie Hinweise auf weitere Informations- und Beschwerderechte. (...)
4. Weiterlesen?
Den vollständigen Beitrag von Jochen Brandt lesen Sie in »Computer und Arbeit« Ausgabe 4/2021. Weitere Highlights:
- Digitales Teamwork: So klappt's im Gremium
- Wer ist eigentlich dieser TOM? Technisch-Organisatorische Maßnahmen in der DSGVO
- Der IT-Fachausschuss: Was er kann und was er darf
Sie haben bereits ein Abo? Dann lesen Sie hier weiter.
Sie haben kein Abo? Dann können Sie trotzdem sofort online weiterlesen und Zugriff auf das gesamte Online-Archiv mit allen Ausgaben von »Computer und Arbeit« erhalten:
© bund-verlag.de
(ct)
