Betroffenenrechte Teil 1 – Das Recht auf Berichtigung

Die meisten Unternehmen wissen mittlerweile, dass auf Verlangen betroffener Personen Auskunft über die von ihnen gespeicherten Daten erteilt werden muss. Neben diesem Recht auf Auskunft gibt es aber auch weitere Betroffenenrechte, die beachtet werden müssen und für die in einem Unternehmen Prozesse etabliert werden sollten. Hierbei geht es insbesondere um die Rechte auf Löschung, Berichtigung oder Übertragung ihrer Daten.

Der heutige Blogbeitrag erläutert Ihnen das Recht auf Berichtigung und gibt Ihnen hilfreiche Empfehlungen, wie Sie die Ansprüche Betroffener prüfen und DSGVO-konform berichtigen können.

Gemäß Art. 16 DSGVO kann eine betroffene Person von der für die Datenverarbeitung verantwortlichen Person die unverzügliche Berichtigung unrichtig oder unvollständig verarbeiteter Daten über sich selbst verlangen. Dieser Anspruch knüpft an den in der DSGVO verankerten Grundsatz der Richtigkeit an, der in Art. 5 Abs. 1 lit. d DSGVO geregelt ist. Danach haben personenbezogene Daten sachlich korrekt und, soweit erforderlich, auf dem neuesten Stand zu sein.

Eine Legaldefinition, wann unrichtige Daten vorliegen enthält die DSGVO nicht. Von „unrichtigen“ Daten spricht man jedoch, wenn sie inhaltlich unwahr sind, also mit der Realität nicht übereinstimmen. Das ist zum Beispiel der Fall, wenn sich die Anschrift oder der Name der betroffenen Person geändert hat oder auch nur ein falsches Geburtsdatum, eine falsche Telefonnummer oder eine falsche Emailadresse gespeichert wurde. Wie man anhand der Beispiele erkennen kann, macht es keinen Unterschied, ob die Daten bereits von Anfang an unrichtig waren oder erst später unrichtig geworden sind.

Macht der Betroffene von seinem Recht auf Berichtigung Gebrauch, muss der Verantwortliche die Daten unverzüglich berichtigen und das unrichtige Datum durch das inhaltlich richtige Datum ersetzen. „Unverzüglich“ ist dabei ein Rechtsbegriff, der in Gesetzestexten und nicht nur in der DSGVO häufig anzutreffen ist und der demzufolge schon häufiger Gegenstand gerichtlicher Entscheidungen war. Unverzüglich bedeutet danach, dass die Berichtigung ohne schuldhaftes Zögern zu erfolgen hat. Das bedeutet nicht in jedem Fall „sofort“, sondern kann je nach Einzelfall auch etwas mehr Zeit Anspruch nehmen. Die Rechtsprechung nimmt aber sehr häufig einen Zeitraum von etwa zwei Wochen an, der nur in besonderen Einzelfällen länger sein sollte.

Neben dem Recht auf Berichtigung regelt Art. 16 Satz 2 DSGVO aber auch, dass betroffene Personen ein Recht darauf haben, dass unvollständige Daten vervollständigt werden. Dieses Recht auf Vervollständigung ist somit in dem Recht auf Berichtigung enthalten. Dieser Anspruch auf Vervollständigung entsteht immer dann, wenn die gespeicherten Daten derart lückenhaft sind, dass der mit der Verarbeitung verfolgte Zweck nicht mehr erreicht werden kann. In diesem Fall muss die verantwortliche Person die Daten der betroffenen Person vervollständigen, so dass der mit der Verarbeitung verfolgte Zweck auch erreicht werden kann. Dies kann der Fall sein, wenn ein Versicherungsantrag durch eine Versicherung nicht angenommen wird, weil Bankdaten oder auch die Kopie des Personalausweises fehlen.

Der Art 16 Satz 2 DSGVO verlangt zwar nicht, dass die Vervollständigung „unverzüglich“ zu erfolgen hat, wegen der Nähe zum Recht der Berichtigung nach Art. 16 Satz 1 DSGVO und des in der DSGVO verankerten Grundsatzes der Fairness und Transparenz sollte aber auch hier nach Möglichkeit der Zeitraum von zwei Wochen eingehalten werden.

Darüber hinaus sollten noch zwei Dinge beachtet werden:

Zum Recht der Vervollständigung können Betroffene verlangen, dass dieses durch eine ergänzende Erklärung belegt wird. Das schreibt die DSGVO so ausdrücklich vor. In beiden Fällen sollten zudem die Rechenschaftspflichten der DSGVO beachtet werden. Es muss also auch später nachvollziehbar sein, wer die Daten warum verändert hat.

Beide Ansprüche können von den betroffenen Personen formlos geltend gemacht werden, also per Fax, Post oder auch E-Mail etc.. Dabei muss aber beachtet werden, dass verantwortliche Personen dem Betroffenen die Möglichkeit bieten müssen, Anträge elektronisch zu stellen. Dies gilt insbesondere dann, wenn Sie die personenbezogenen Daten auch elektronisch verarbeiten oder verarbeitet haben.

In jeden Fall muss aber darauf geachtet werden, dass der Betroffene seine Identität in einer geeigneten Weise nachgewiesen hat. Meldet sich beispielsweise ein Kunde und verlangt die Berichtigung seiner Bankdaten für die Auszahlung eines Darlehens, dann müssen Sie sicher gehen, dass es sich dabei auch tatsächlich um ihren Kunden handelt. Gleiches gilt für die E-Mail Adresse, über die die Kommunikation erfolgen soll und an die gegebenenfalls wichtige Dokumente geschickt werden sollen. Wird der Nachweis nicht in einer geeigneten Weise erbracht, muss die betroffene Person darüber unterrichtet und zusätzliche Informationen zur Bestätigung der Identität angefordert werden. Genügen diese nicht, können Sie die Berichtigung oder Vervollständigung verweigern. Das geht nach Art. 12 Abs. 2 Satz. 2 DSGVO aber nur, wenn Sie Ihre Zweifel an der Identität der betroffenen Person glaubhaft machen können.

Ist diese erste Hürde genommen, muss der Verantwortliche prüfen, ob die Daten tatsächlich unvollständig oder unrichtig sind. In dieser Zeit muss aber sichergestellt werden, dass diese gegebenenfalls unrichtigen und/ oder unvollständigen Daten nicht weiterverarbeitet werden, also beispielsweise falsche Bankdaten verwendet oder an falsche Emailadressen wichtige Dokumente geschickt werden. Die DSGVO gesteht den betroffenen Personen dafür ein in Art. 18 Abs. 1 lit a) DSGVO geregeltes Recht auf eingeschränkte Verarbeitung zu.

Sehr formell wird es dann auch, wenn ein Anspruch auf Berichtigung und/ oder Vervollständigung abgelehnt werden soll. Eine Ablehnung der Berichtigung muss man nämlich nicht nur unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags, begründen und die betroffene Person über die Gründe der Ablehnung informieren. Gemäß Art. 12 Abs. 4 DSGVO muss man die betroffene Person auch darüber informieren, dass sie sich über diese Entscheidung bei der Aufsichtsbehörde beschweren oder dagegen Rechtsbehelfe einlegen, also beispielsweise eine Klage auf Berichtigung erheben kann.

Alles in allem lässt sich somit folgendes Ergebnis feststellen:

Macht eine betroffene Person ihr Recht auf Berichtigung oder Vervollständigung geltend, sollte recht zügig reagiert werden. Dabei sollte ein Zeitraum von maximal zwei Wochen bis zur Erledigung angestrebt werden. Bevor aber Daten berichtigt oder vervollständigt werden, sollte in geeigneter Weise die Identität geprüft werden. Alles sollte zudem in geeigneter Form dokumentiert werden.

Sollten Sie hierbei Unterstützung benötigen stehen wir Ihnen gerne zur Seite und stellen auch Musterdokumente zur Verfügung.