Rechte betroffener Personen und Pflichten Verantwortlicher im Anwendungsbereich der Richtlinie (EU) 2016/680

Die nach Artikel 13 der Richtlinie dem Mitgliedsstaaten verbindlich vorgegebene Pflicht zur Information betroffener Personen ist in Deutschland in folgenden Vorschriften geregelt: § 55 Bundesdatenschutzgesetz, § 11 Sächsisches Datenschutz-Umsetzungsgesetz sowie § 52  Sächsisches Justizvollzugsdatenschutzgesetz.

Über die allgemeine Informationspflicht hinausgehende Angaben zu einer konkreten Datenverarbeitung hat die verantwortliche Stelle betroffenen Personen zu erteilen, wenn besondere Rechtsvorschriften eine Benachrichtigungspflicht vorsehen. Besondere, eine Benachrichtigungspflicht im Sinne von § 56 des Bundesdatenschutzgesetzes und § 12 Sächsisches Datenschutz-Umsetzungsgesetz auslösende Rechtsvorschriften sind zum Beispiel § 101 Strafprozessordnung und § 74 Sächsisches Polizeivollzugsdienstgesetz. Dabei sind der betroffenen Person folgende Informationen zur Verfügung zu stellen: die Rechtsgrundlage der Verarbeitung; die für die Daten geltende Speicherdauer oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; gegebenenfalls die Kategorien von Empfängern der personenbezogenen Daten und erforderlichenfalls weitere Informationen, insbesondere, wenn die personenbezogenen Daten ohne Wissen der betroffenen Person erhoben wurden. Diese Pflicht ist in § 56 Bundesdatenschutzgesetz, § 12 Sächsisches Datenschutz-Umsetzungsgesetz, § 53 Sächsisches Justizvollzugsdatenschutzgesetz geregelt.

Unter besonderen, in den genannten Vorschriften näher bezeichneten Voraussetzungen – etwa wenn die Benachrichtigung den Zweck einer konkreten Maßnahme gefährden würde – kann die Benachrichtigungspflicht eingeschränkt sein.

Betroffene Personen haben das Recht, von der verantwortlichen Stelle eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so haben sie das Recht, Auskunft über diese personenbezogenen Daten und folgende Informationen zu erhalten: die Zwecke der Verarbeitung und deren Rechtsgrundlage; die Kategorien personenbezogener Daten, die verarbeitet werden; die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen; falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; das Bestehen eines Rechts auf Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung personenbezogener Daten der betroffenen Person durch den Verantwortlichen; das Bestehen eines Beschwerderechts bei der Aufsichtsbehörde sowie deren Kontaktdaten; Mitteilung zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten.

Umgesetzt wurde das Auskunftsrecht in § 57 Bundesdatenschutzgesetz, § 13 Sächsisches Datenschutz-Umsetzungsgesetz sowie § 54 Sächsisches Justizvollzugsdatenschutzgesetz. Einschränkungen des Auskunftsrechts sind unter den in den Vorschriften genannten Voraussetzungen zulässig.

Von der Verarbeitung ihrer Daten betroffene Personen haben das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger Daten zu verlangen. Daneben können betroffene Personen die Vervollständigung unvollständiger personenbezogener Daten – auch mittels einer ergänzenden Erklärung – verlangen.

Unrichtig können allerdings nur objektive, wertneutrale Informationen sein (Name, Geburtsdatum, Abschlüsse, Vorstrafen usw.). Bezüglich subjektiver Aussagen, Werturteile oder Beurteilungen kommt hingegen eine Berichtigung nicht in Betracht.

Das Recht auf Berichtigung unrichtiger Daten ist in § 58 Absatz 1 Bundesdatenschutzgesetz, § 14 Absatz 1 Sächsisches Datenschutz-Umsetzungsgesetz sowie in den §§ 61, 62  Sächsisches Justizvollzugsdatenschutzgesetz geregelt.

Der Verantwortliche hat personenbezogene Daten zu löschen, die für seine Aufgabenerfüllung nicht (mehr) erforderlich sind, deren Löschung gesetzlich gefordert wird oder die aus anderen Gründen ohne Rechtsgrundlage verarbeitet werden. Betroffene Personen haben das Recht, eine solche Löschung zu verlangen. Regelmäßig bestimmen gesetzliche Vorschriften konkrete Fristen, nach deren Ablauf personenbezogene Daten zu löschen sind; vor Ablauf dieser Fristen kommt eine Löschung – auch auf Antrag der betroffenen Person – in der Regel nicht in Betracht.
Das Recht auf Löschung findet sich in § 58 Absatz 2 Bundesdatenschutzgesetz, § 14 Absatz 2 Sächsisches Datenschutz-Umsetzungsgesetz sowie § 59 Sächsisches Justizvollzugsdatenschutzgesetz.
Unter bestimmten, in den genannten Regelungen beschriebenen Voraussetzungen kann an die Stelle der Löschung eine Einschränkung der Verarbeitung der betroffenen Daten treten. Im Bereich der Strafprozessordnung werden durch spezielle gesetzliche Regelungen konkrete Speicherfristen festgelegt (§ 489 Strafprozessordnung), für die Speicherung personenbezogener Daten durch den Polizeivollzugsdienst bestimmt § 59 Absatz 3 Sächsisches Polizeivollzugsdienstgesetz genaue Fristen und § 59 Absatz 3 Sächsisches Justizvollzugsdienstgesetz bestimmt Fristen für die Speicherung personenbezogener Daten in Dateisystemen von Vollzugsbehörden.

Eine Einschränkung der Verarbeitung personenbezogener Daten (früher: „Sperrung“) kann an die Stelle der Löschung treten, wenn die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet und die Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann oder die personenbezogenen Daten für Beweiszwecke weiter aufbewahrt werden müssen.
In ihrer Verarbeitung eingeschränkte Daten dürfen nur für besonders wichtige Zwecke genutzt werden, stehen den Verantwortlichen aber während der Einschränkung nicht für die übliche Verwendung zur Aufgabenerfüllung zur Verfügung.
Die Einschränkung der Verarbeitung ist in § 58 Absatz 1, 3 und 4 Bundesdatenschutzgesetz, § 14 Absatz 1, 2, 3 und 4 Sächsisches Datenschutz-Umsetzungsgesetz sowie § 60  Sächsisches Justizvollzugsdatenschutzgesetz geregelt.