DSGVO im Alltag: Ihre sieben Datenschutzrechte und wie Sie sie durchsetzen

Die Datenschutz-Grundverordnung hat einen schlechten Ruf als Bürokratiemonster — zu Unrecht, jedenfalls aus Verbrauchersicht. Für Privatpersonen ist sie vor allem ein Bündel sehr konkreter Ansprüche, die sich mit einer E-Mail auslösen lassen und für die das Gesetz feste Fristen setzt. Wer weiß, welches Recht wann greift, bekommt Werbeanrufe gestoppt, falsche Einträge korrigiert und Daten gelöscht.

Dieser Beitrag ist der Überblick: Er ordnet alle Betroffenenrechte ein, zeigt, welches Recht in welcher Situation das richtige ist, erklärt die Fristen aus Art. 12 DSGVO und den Eskalationsweg. Für die drei Rechte mit dem größten Praxisgewicht — Auskunft, Löschung, Schadensersatz — haben wir eigene Detailbeiträge mit Musterschreiben, auf die an den passenden Stellen verwiesen wird.

Die sieben Betroffenenrechte auf einen Blick

Alle Rechte richten sich gegen den Verantwortlichen, also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Das ist in der Regel das Unternehmen, mit dem Sie zu tun hatten — nicht dessen Dienstleister.

Dazu kommen zwei Rechte, die formal keine Betroffenenrechte im Sinne des Kapitels III sind, im Alltag aber genauso wichtig: der jederzeitige Widerruf einer Einwilligungnach Art. 7 Abs. 3 DSGVO — er muss so einfach sein wie die Erteilung — und die Benachrichtigung bei einer Datenpanne nach Art. 34 DSGVO, wenn ein hohes Risiko für Ihre Rechte besteht.

Welches Recht in welcher Situation

Auskunft (Art. 15 DSGVO): der Türöffner

Fast jeder Datenschutzfall beginnt hier. Art. 15 Abs. 1 DSGVO gibt Ihnen nicht nur die Bestätigung, ob Daten verarbeitet werden, sondern einen ganzen Katalog: Verarbeitungszwecke, Kategorien der Daten, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer, Ihre weiteren Rechte, das Beschwerderecht bei einer Aufsichtsbehörde, die Herkunft der Daten und Informationen über eine automatisierte Entscheidungsfindung einschließlich Profiling. Nach Art. 15 Abs. 3 DSGVO kommt eine Kopie der Daten hinzu — die erste kostenlos.

Praktisch heißt das: Erst die Auskunft zeigt Ihnen, worüber Sie überhaupt streiten. Ein fertiges Anschreiben und eine Schritt-für-Schritt-Anleitung finden Sie in unserem Detailbeitrag DSGVO Auskunftsrecht: Muster und Anleitung.

Berichtigung (Art. 16 DSGVO): das unterschätzte Recht

Art. 16 DSGVO verpflichtet den Verantwortlichen, unrichtige Daten unverzüglichzu berichtigen. Der zweite Satz wird oft übersehen: Unvollständige Daten müssen vervollständigt werden — auch mittels einer ergänzenden Erklärung. Wenn ein Sachverhalt in einer Datei verkürzt und dadurch schief dargestellt wird, können Sie also verlangen, dass Ihre Ergänzung mit aufgenommen wird.

Flankiert wird das von Art. 19 DSGVO: Der Verantwortliche muss allen Empfängern, denen er die Daten offengelegt hat, die Berichtigung, Löschung oder Einschränkung mitteilen — es sei denn, das ist unmöglich oder unverhältnismäßig aufwendig. Und er muss Ihnen auf Verlangen mitteilen, wer diese Empfänger sind.

Löschung (Art. 17 DSGVO): stark, aber nicht grenzenlos

Art. 17 Abs. 1 DSGVO nennt sechs Löschgründe, darunter: Der Zweck ist entfallen, Sie haben die Einwilligung widerrufen und es fehlt eine andere Rechtsgrundlage, Sie haben wirksam Widerspruch eingelegt, oder die Daten wurden unrechtmäßig verarbeitet. Art. 17 Abs. 3 DSGVO zieht die Grenzen — etwa bei rechtlichen Aufbewahrungspflichten oder wenn die Daten zur Geltendmachung von Rechtsansprüchen erforderlich sind.

Alle Löschgründe, die typischen Ablehnungsargumente und ein Musterantrag stehen in Recht auf Löschung: Daten löschen lassen.

Einschränkung (Art. 18 DSGVO): die Notbremse

Dieses Recht kennt kaum jemand, dabei ist es der beste Zug, wenn die Löschung (noch) nicht durchsetzbar ist. Sie können die Einschränkung verlangen, wenn Sie die Richtigkeit der Daten bestreiten (für die Dauer der Überprüfung), wenn die Verarbeitung unrechtmäßig ist und Sie statt Löschung die Einschränkung wünschen, wenn der Verantwortliche die Daten nicht mehr braucht, Sie sie aber für Rechtsansprüche benötigen, oder solange über Ihren Widerspruch nach Art. 21 Abs. 1 DSGVO noch nicht entschieden ist. Eingeschränkte Daten dürfen dann nur noch gespeichert und nur in engen Ausnahmen weiterverarbeitet werden.

Datenübertragbarkeit (Art. 20 DSGVO): der Umzugsanspruch

Art. 20 DSGVO ist enger als das Auskunftsrecht und wird deshalb oft verwechselt. Es greift nur für Daten, die Sie selbst bereitgestellt haben, und nur, wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und mithilfe automatisierter Verfahren erfolgt. Dann bekommen Sie die Daten in einem strukturierten, gängigen und maschinenlesbaren Format — und können nach Art. 20 Abs. 2 DSGVO verlangen, dass sie direkt an einen anderen Anbieter übermittelt werden, soweit das technisch machbar ist. Typischer Anwendungsfall: der Wechsel eines Streaming-, Fitness- oder E-Mail-Anbieters.

Widerspruch (Art. 21 DSGVO): zwei sehr unterschiedliche Absätze

Der Unterschied zwischen Absatz 1 und Absatz 2 entscheidet über Ihre Erfolgsaussichten:

• —

  Art. 21 Abs. 1 DSGVO betrifft Verarbeitungen, die auf einer Aufgabe im öffentlichen Interesse oder auf berechtigten Interessen beruhen (Art. 6 Abs. 1 lit. e und f DSGVO). Sie müssen Gründe aus Ihrer besonderen Situation darlegen; der Verantwortliche darf weiterverarbeiten, wenn er zwingende schutzwürdige Gründe nachweist.

• —

  Art. 21 Abs. 2 DSGVO betrifft Direktwerbung. Hier gibt es keine Abwägung: Nach dem Widerspruch dürfen die Daten für Werbezwecke nicht mehr verarbeitet werden. Eine Begründung ist nicht erforderlich.

• —

  Art. 21 Abs. 4 DSGVO verlangt, dass Sie spätestens bei der ersten Kommunikation ausdrücklich und getrennt von anderen Informationen auf dieses Recht hingewiesen werden. Fehlt der Hinweis, ist das ein eigener Verstoß.

Schadensersatz (Art. 82 DSGVO): wenn der Verstoß bereits passiert ist

Art. 82 Abs. 1 DSGVO gibt jeder Person, der wegen eines Verstoßes ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch gegen den Verantwortlichen oder Auftragsverarbeiter. Der Verantwortliche wird nach Art. 82 Abs. 3 DSGVO frei, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist. Zu Höhe, Beweisführung und aktueller Rechtsprechung führt unser Detailbeitrag DSGVO-Schadensersatz: Was Ihnen nach der BGH-Rechtsprechung zusteht.

Fristen: Was „innerhalb eines Monats“ genau bedeutet

Die zentrale Norm ist Art. 12 Abs. 3 DSGVO. Sie gilt einheitlich für alle Anträge nach den Art. 15 bis 22 DSGVO — also für Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch gleichermaßen.

Für die Berechnung des Monats gelten in Deutschland die allgemeinen Regeln der §§ 187, 188 BGB: Der Tag des Zugangs zählt nicht mit, die Frist endet mit Ablauf des Tages im Folgemonat, der dem Zugangstag entspricht. Wenn Sie es genau wissen wollen, rechnet der kostenlose Fristenrechner das Fristende aus. Notieren Sie sich den Stichtag, wenn Sie den Antrag abschicken — die Frist ist Ihr stärkstes Argument im zweiten Schreiben.

In fünf Schritten zum wirksamen DSGVO-Antrag

1. 1.

   Verantwortlichen identifizieren. Wer ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO? Firmierung und Kontaktdaten des Datenschutzbeauftragten stehen in Impressum und Datenschutzerklärung. Ein Antrag an die falsche Konzerngesellschaft kostet Wochen.

2. 2.

   Recht benennen und Artikel nennen. Schreiben Sie ausdrücklich, welches Recht Sie ausüben, etwa „Auskunft nach Art. 15 DSGVO“ oder „Löschung nach Art. 17 DSGVO“. Ein pauschales Schreiben ohne Zuordnung führt zu Rückfragen und verzögert die Bearbeitung.

3. 3.

   Identität nur soweit nötig nachweisen. Bei begründeten Zweifeln darf das Unternehmen nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern — aber nur, soweit sie zur Identifizierung erforderlich sind. Nicht benötigte Angaben auf Dokumenten können Sie mit dem kostenlosen PDF-Schwärzen-Tool unkenntlich machen.

4. 4.

   Nachweisbar versenden und Frist notieren. Wählen Sie einen Versandweg, mit dem Sie den Zugang belegen können, und tragen Sie das Fristende ein: ein Monat ab Eingang (Art. 12 Abs. 3 DSGVO).

5. 5.

   Bei Untätigkeit eskalieren. Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), gerichtlicher Rechtsbehelf (Art. 79 DSGVO) und Schadensersatz (Art. 82 DSGVO) stehen nebeneinander — Sie müssen sich nicht entscheiden.

Wenn das Unternehmen mauert: der Eskalationsweg

Bleibt die Antwort aus oder ist sie erkennbar unvollständig, greift zunächst Art. 12 Abs. 4 DSGVO: Das Unternehmen muss Sie spätestens binnen eines Monats über die Gründe seiner Untätigkeit unterrichten und über die Möglichkeit, Beschwerde bei einer Aufsichtsbehörde einzulegen oder einen gerichtlichen Rechtsbehelf zu ergreifen.

• —

  Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO): unbürokratisch und kostenfrei. Zuständig ist die Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Die Behörde muss Sie über den Stand und das Ergebnis unterrichten.

• —

  Gerichtlicher Rechtsbehelf (Art. 79 DSGVO): gegen den Verantwortlichen selbst, unabhängig von der Beschwerde. Art. 78 DSGVO eröffnet zusätzlich den Rechtsweg gegen Entscheidungen der Aufsichtsbehörde.

• —

  Schadensersatz (Art. 82 DSGVO): der wirtschaftlich spürbarste Hebel, weil er auch immaterielle Schäden erfasst. Details im Beitrag zum DSGVO-Schadensersatz.

Ein Hinweis zur Erwartungshaltung: Die Aufsichtsbehörde setzt Ihren individuellen Anspruch nicht für Sie durch. Sie prüft den Verstoß und kann Maßnahmen gegen das Unternehmen ergreifen. Wollen Sie Auskunft, Löschung oder Geld für sich, führt der Weg über Art. 79 und Art. 82 DSGVO.

Wo die DSGVO-Rechte enden

Realistische Erwartungen ersparen Frust. Diese Grenzen begegnen Ihnen am häufigsten:

• —

  Aufbewahrungspflichten schlagen die Löschung. Rechnungs- und Buchhaltungsdaten müssen nach handels- und steuerrechtlichen Vorgaben aufbewahrt werden (§ 257 HGB, § 147 AO). Art. 17 Abs. 3 lit. b DSGVO nimmt solche Verarbeitungen aus. Der richtige Zug ist dann die Einschränkung nach Art. 18 DSGVO.

• —

  Rechte anderer begrenzen die Kopie. Nach Art. 15 Abs. 4 DSGVO darf die Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen — deshalb werden in Dokumenten Namen Dritter geschwärzt.

• —

  Nationale Ausnahmen. Das BDSG enthält in § 34 Ausnahmen vom Auskunftsrecht und in § 35 Ausnahmen von der Löschpflicht, etwa wenn eine Löschung wegen der Art der Speicherung unverhältnismäßig aufwendig wäre.

• —

  Art. 20 DSGVO ist kein zweites Auskunftsrecht. Er greift nur bei Einwilligung oder Vertrag und nur für automatisiert verarbeitete Daten, die Sie selbst bereitgestellt haben.

• —

  Der Widerruf wirkt nur nach vorn. Nach Art. 7 Abs. 3 Satz 2 DSGVO berührt der Widerruf die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

Vier Alltagssituationen und das jeweils passende Recht

Eine Reihenfolge hat sich bewährt: erst Auskunft, dann handeln. Ohne zu wissen, welche Daten wo liegen und an wen sie weitergegeben wurden, ist jeder Löschantrag ein Schuss ins Dunkle — und jeder Schadensersatzanspruch schwer zu beziffern.

Häufige Fragen zu Ihren DSGVO-Rechten

Wie schnell muss ein Unternehmen auf meinen DSGVO-Antrag antworten?

Unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags (Art. 12 Abs. 3 DSGVO). Bei besonders komplexen oder zahlreichen Anträgen darf um zwei weitere Monate verlängert werden — dann muss das Unternehmen Sie aber innerhalb des ersten Monats über die Verlängerung und deren Gründe unterrichten.

Kostet mich die Auskunft etwas?

Nein. Nach Art. 12 Abs. 5 DSGVO sind Auskunft und die weiteren Betroffenenrechte grundsätzlich unentgeltlich; die erste Kopie der Daten ist nach Art. 15 Abs. 3 DSGVO ebenfalls kostenlos. Nur bei offenkundig unbegründeten oder exzessiven Anträgen darf ein angemessenes Entgelt verlangt oder das Tätigwerden verweigert werden — dafür ist das Unternehmen beweispflichtig.

In welcher Form muss ich meinen Antrag stellen?

Die DSGVO schreibt keine Form vor. Eine E-Mail genügt, ein Brief ebenso. Sinnvoll ist es, das Recht und den Artikel klar zu benennen, eine Frist zu setzen und den Versand nachweisbar zu machen. Bei begründeten Zweifeln an Ihrer Identität darf das Unternehmen nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern — aber nur so viel, wie zur Identifizierung nötig ist.

Darf ein Unternehmen die Löschung verweigern?

Ja, in den Fällen des Art. 17 Abs. 3 DSGVO — etwa wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, zur Geltendmachung von Rechtsansprüchen oder zur Ausübung der Meinungs- und Informationsfreiheit erforderlich ist. Handels- und steuerrechtliche Aufbewahrungspflichten nach § 257 HGB und § 147 AO sind der häufigste Ablehnungsgrund. Dann bleibt Ihnen die Einschränkung der Verarbeitung nach Art. 18 DSGVO.

Was bringt mir der Widerspruch gegen Werbung?

Sehr viel, weil er nicht abgewogen wird. Widersprechen Sie nach Art. 21 Abs. 2 DSGVO der Verarbeitung zu Zwecken der Direktwerbung, dürfen Ihre Daten dafür nicht mehr verarbeitet werden — ohne Begründung Ihrerseits und ohne Ermessen des Unternehmens. Beim allgemeinen Widerspruch nach Art. 21 Abs. 1 DSGVO müssen Sie dagegen Gründe aus Ihrer besonderen Situation darlegen.

Was kann ich tun, wenn das Unternehmen gar nicht reagiert?

Zwei Wege stehen parallel offen: Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO) und der gerichtliche Rechtsbehelf (Art. 79 DSGVO). Zusätzlich kommt ein Schadensersatzanspruch nach Art. 82 DSGVO in Betracht, der auch immaterielle Schäden erfasst. Wird das Unternehmen auf Ihren Antrag nicht tätig, muss es Sie nach Art. 12 Abs. 4 DSGVO spätestens binnen eines Monats über die Gründe und über diese Rechtsbehelfe informieren.

Fazit: Ein Absatz genügt, um anzufangen

Die DSGVO wirkt umfangreich, aber der Einstieg ist niedrigschwellig: Ein formloses Schreiben, das Recht und Artikel benennt, löst eine gesetzliche Monatsfrist aus. Merken Sie sich drei Dinge. Erstens: Beginnen Sie mit der Auskunft nach Art. 15 DSGVO, sie ist die Grundlage für alles Weitere. Zweitens: Kennen Sie die Frist aus Art. 12 Abs. 3 DSGVO und notieren Sie den Stichtag. Drittens: Bei Werbung ist Art. 21 Abs. 2 DSGVO das schärfste Schwert, weil er keine Abwägung zulässt.

Für die Detailarbeit stehen die Spezialbeiträge bereit: Auskunftsrecht mit Muster, Recht auf Löschung und DSGVO-Schadensersatz. Wenn Sie wissen möchten, wie Unternehmen und Kanzleien dieselben Vorgaben auf der anderen Seite umsetzen müssen, lohnt ein Blick in unsere Compliance-Übersicht.