DSGVO Personenbezogene Daten
Der Begriff der personenbezogenen Daten ist das Eingangstor zur Anwendung der Datenschutz-Grundverordnung und wird in Art. 4 Nr. 1 definiert. Danach sind dies alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Die Betroffenen sind identifizierbar, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden können, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Personen sind. In der Praxis fallen darunter also sämtliche Daten, die auf jedwede Weise einer Person zugeordnet werden oder zugeordnet werden können. Beispielsweise zählen die Telefonnummer, die Kreditkarten- oder Personalnummern einer Person, die Kontodaten, ein Kfz-Kennzeichen, das Aussehen, die Kundennummer oder die Anschrift zu den personenbezogenen Daten.
Da sich in der Definition der Ausdruck „alle Informationen“ findet, ist davon auszugehen, dass der Begriff „personenbezogene Daten“ möglichst weit auszulegen ist. Dies geht auch aus der ständigen Rechtsprechung des Europäischen Gerichtshofs hervor. So fallen auch weniger eindeutige Informationen wie Aufzeichnungen über Arbeitszeiten, welche die Angabe der Uhrzeit, zu der ein Arbeitnehmer seinen Arbeitstag beginnt und beendet, sowie der Pausen bzw. der nicht in die Arbeitszeit fallenden Zeiten enthalten, in die Kategorie personenbezogene Daten. Auch die schriftlichen Antworten eines Prüflings und etwaige Anmerkungen des Prüfers zu diesen Antworten sind „personenbezogene Daten“, wenn der Prüfling theoretisch identifiziert werden kann. Selbiges gilt auch für IP-Adressen. Hat der Verarbeitende die rechtliche Möglichkeit den Provider zur Herausgabe weiterer Zusatzinformationen zu verpflichten, welche den hinter der IP-Adresse stehenden Nutzer identifizieren können, so ist diese ein personenbezogenes Datum. Zudem ist darauf zu achten, dass nicht nur objektive Informationen personenbezogen sein können. Auch subjektive Informationen wie Meinungen, Beurteilungen oder Einschätzungen können personenbezogene Daten sein. So etwa die Beurteilung der Kreditwürdigkeit einer Person oder die Einschätzung der Arbeitsleistung eines Arbeitnehmers.
Zu guter Letzt besagt das Gesetz, dass die Informationen für einen Personenbezug sich auf eine natürliche Person beziehen müssen. Das heißt im Umkehrschluss, dass der Datenschutz für Angaben über juristische Personen wie Körperschaften, Stiftungen und Anstalten nicht greift. Für natürliche Person hingegen beginnt und erlischt der Schutz mit ihrer Rechtsfähigkeit. Grundsätzlich erlangt ein Mensch diese Fähigkeit mit seiner Geburt und verliert sie mit seinem Tod. Für einen Personenbezug müssen Daten daher bestimmten oder bestimmbaren lebenden Personen zuzuordnen sein.
Neben den allgemeinen personenbezogenen Daten sind vor allem die besonderen Kategorien personenbezogener Daten von hoher Relevanz, da sie ein höheres Schutzniveau genießen. Zu diesen gehören genetische, biometrische und Gesundheitsdaten sowie personenbezogene Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit des Betroffenen hervorgehen.
DSGVO Einwilligung
Die Verarbeitung personenbezogener Daten ist generell verboten, so lange sie nicht durch ein Gesetz ausdrücklich erlaubt ist oder der Betroffene in die Verarbeitung eingewilligt hat. Durch die Einwilligung des Betroffenen in die Erhebung, Verarbeitung und/oder Nutzung seiner personenbezogenen Daten, wird der Betroffene in die Lage versetzt, über sein Grundrecht zu verfügen.
Die grundsätzlichen Anforderungen an die Wirksamkeit einer rechtsgültigen Einwilligung sind in Art. 7 DSGVO festgehalten und in Erwägungsgrund 32 weiter spezifiziert. Diese muss freiwillig, für einen konkreten Fall, nach ausreichender Information des Betroffenen und unmissverständlich abgegeben werden. Damit eine Einwilligung freiwillig ist, muss der Betroffenen eine echte Wahl haben. Zusätzlich gilt das sog. „Kopplungsverbot“. So darf ein Vertragsabschluss nicht von der Einwilligung zur Verarbeitung weiterer personenbezogener Daten abhängig gemacht werden, die für die Durchführung des Geschäftes nicht nötig sind. Zudem muss die Einwilligung an einen oder mehrere bestimmte Zwecke gebunden sein, die dann ausreichend erläutert sind. Soll die Einwilligung die Verarbeitung von besonderen personenbezogenen Daten legitimieren, muss sie sich ausdrücklich auf diese beziehen. Der Betroffene muss in allen Fällen über die Möglichkeit zum Widerruf seiner Einwilligung aufgeklärt werden. Der Widerruf muss dabei genauso leicht möglich sein, wie die Abgabe der Einwilligungserklärung selbst.
Es besteht kein Formerfordernis für die Einwilligung, auch wenn die schriftliche Einwilligung aufgrund der Rechenschaftspflichten des Verantwortlichen weiterhin zu empfehlen ist. Sie kann daher auch in elektronischer Form erfolgen. Dabei ist zu beachten, dass laut Erwägungsgrund 32 eine Einwilligung nur durch eine eindeutige Handlung zustande kommen soll. Dies lässt auf das Erfordernis eines Opt-Ins schließen. Eine Besonderheit in diesem Zusammenhang stellt die Einwilligung bei Kindern und Jugendlichen in Bezug auf Dienste der Informationsgesellschaft dar. Für unter sechzehnjährige besteht bei diesen ein zusätzliches Einwilligungs-, bzw. Zustimmungserfordernis durch die Erziehungsberechtigten. Dabei unterliegt die Altersgrenze einer Öffnungsklausel. Mitgliedstaaten können diese durch eine nationale Regelung bis auf 13 Jahre senken. Sollte sich das Angebot des Dienstes explizit nicht an Kinder richten, ist er von der Vorschrift befreit. Dies gilt aber nicht für Angebote, die sowohl Kindern als auch Erwachsenen offen stehen.
DSGVO Informationspflichten
Damit Unionsbürger ihr Recht auf Schutz personenbezogener Daten wahrnehmen können, bedarf es Transparenz bei der Datenerhebung und -nutzung. Deshalb sieht die Datenschutz-Grundverordnung eine Vielzahl von Informationspflichten vor.
Das Gesetz unterscheidet dabei zwischen zwei Fällen: Zum einen, wenn die personenbezogene Daten bei dem Betroffenen direkt erfasst werden (Art. 13 DSGVO) und zum anderen, wenn diese nicht bei der betroffenen Person erhoben werden (Art. 14 DSGVO).
Bei der Direkterhebung ist dieser unverzüglich zu informieren. Inhaltlich umfassen hier die Informationspflichten des Verantwortlichen seine Identität, die Kontaktdaten des Datenschutzbeauftragen (sofern vorhanden), die Verarbeitungszwecke und die Rechtsgrundlage, über etwaige berechtigte Interessen, über den Empfänger bei Übermittlung von Daten und auch über eine etwaige Übermittlung in Drittstaaten zu informieren. Darüber hinaus umfasst die Informationspflicht auch Angaben zur Dauer der Speicherung, den Rechten des Betroffenen, der Widerrufbarkeit von Einwilligungen, dem Beschwerderecht bei der Aufsichtsbehörde sowie die gesetzliche oder vertragliche Verpflichtung personenbezogene Daten bereitzustellen. Zudem ist über eine etwaige automatisierte Entscheidung oder andere Profiling-Maßnahmen zu unterrichten. Entbehrlich ist diese Informationspflicht bei der Direkterhebung nur, wenn der Betroffene bereits über diese Angaben verfügt.
Erfolgt die Erhebung nicht beim Betroffenen, ist dieser innerhalb einer angemessenen Frist, spätestens aber nach einem Monat zu informieren. Werden die Daten zur Kommunikation mit der Betroffenen Person verwendet, besteht die Informationspflicht jedoch direkt bei Kontaktaufnahme. Inhaltlich treffen den Verantwortlichen auch bei dieser Art der Erhebung grundsätzlich die gleichen Informationspflichten. Eine Ausnahme bildet dabei nur die Information über die Verpflichtung zur Bereitstellung, da der Verantwortliche nicht selbst über diese entscheiden kann. Zusätzlich trifft ihn die Pflicht darüber zu informieren, aus welcher Quelle die Daten stammen und ob es sich dabei um eine öffentlich zugängliche handelt. Den Informationspflichten ist in präziser, transparenter, verständlicher und leicht zugänglicher Form nachzukommen. Dabei können sie schriftlich oder in elektronischer Form an den Betroffenen übermittelt werden. Es wird explizit erwähnt, dass dafür auch sog. standardisierte Bildsymbole verwendet werden können, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln.
Im Falle, dass die personenbezogenen Daten nicht beim Betroffenen erhoben werden, muss in Ausnahmefällen der Informationspflicht nicht nachgekommen werden. Etwa wenn dies unmöglich oder unverhältnismäßig aufwendig ist, die Erhebung und/oder Übermittlung gesetzlich vorgeschrieben ist oder ein Berufsgeheimnis oder eine sonstige satzungsmäßige Geheimhaltungspflicht besteht.
Artikel 7 EU-DSGVO: Bedingungen für die Einwilligung
Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.
Artikel 21 EU-DSGVO: Widerspruchsrecht
Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.
Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.
Die betroffene Person muss spätestens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das in den Absätzen 1 und 2 genannte Recht hingewiesen werden; dieser Hinweis hat in einer verständlichen und von anderen Informationen getrennten Form zu erfolgen.
Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die betroffene Person ungeachtet der Richtlinie 2002/58/EG ihr Widerspruchsrecht mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.
Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß Artikel 89 Absatz 1 erfolgt, Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.
ZU ARTIKEL 20
ZU ARTIKEL 22
Kommentar zu Art. 21 EU-DSGVO
Was sagt Art. 21 DSGVO aus?
Art. 21 DSGVO definiert in sechs Absätzen das Widerspruchsrecht von Betroffenen.
In bestimmten Fällen räumt die DSGVO Betroffenen ein Widerspruchsrecht gegen die Verarbeitung von personenbezogenen Daten ein:
1. Erfasst sind Daten, die nach Art. 6 Abs. 1 Buchstaben e oder f (Verarbeitung im öffentlichen Interesse oder zur Wahrung der Interessen Dritter) erfolgen. Auch Profiling ist angesprochen.
2. Die verarbeiteten Daten dienen der Direktwerbung (auch Profiling).
Die Ausübung des Widerspruchsrechts führt dazu, dass die Daten zu dem bekannten Zweck nicht weiterverarbeitet werden. Sind Daten betroffen, die nach Art. 6 Abs. 1 Buchstaben e und f verarbeitet wurden, unterliegt das Widerspruchsrecht des Betroffenen einer Interessenabwägung mit schutzwürdigen Interessen des Verantwortlichen. Das Widerspruchsrecht findet hier auch seine Grenze, wenn die Verarbeitung im Kontext eigener Rechtsansprüche des Verantwortlichen erfolgt.
Betroffene sind spätestens beim ersten Kommunikationsvorgang mit den Verantwortlichen in einer verständlichen und von anderen Informationen getrennten Form auf ihr Widerspruchsrecht hinzuweisen. Werden Dienste der Informationsgesellschaft genutzt, kann das Widerspruchsrecht automatisiert ausgeübt werden. Der Betroffene darf auch der Verarbeitung von Daten widersprechen, die nach Art. 89 Abs. 1 zu wissenschaftlichen oder historischen Forschungszwecken, beziehungsweise im Rahmen statistischer Zwecke erfolgt. Begrenzt wird die Ausübung des Widerspruchsrechts hier bei einer Verarbeitung, die eine öffentliche Aufgabe erfüllt.
Welche Folgen ergeben sich aus Art. 21 DSGVO?
Sowohl die strukturierte und standardisierte Information zum Widerspruchsrecht als auch die Umsetzung der Ausübung müssen von unternehmerischer Seite vorbereitet und installiert werden. Wir empfehlen Ihnen eine Datenschutzberatung, um weitere Details im Kontext von Art. 21 DSGVO zu klären.
BERATUNG
TELEFON
Unsere Leistungen
Externer Datenschutzbeauftragter
Datenschutzsoftware Proliance 360
Externer DSB München
Auftragsverarbeitungsvertrag
Datenschutz Newsletter
Unsere Branchenexpertise
Datenschutz für Hotels
Datenschutz für Unternehmensberatungen
Datenschutz für Personalberatungen
Datenschutz für Onlineshops
Datenschutz für Handwerksbetriebe
Beliebte Datenschutzthemen
Datenschutzbeauftragter
Personenbezogene Daten
EU DSGVO
Datenschutz FAQ
EU DSGVO Gesetzestext im Wortlaut
Unternehmen
Über uns
Karriere
Partnerprogramm
Referenzen
Datenschutz Blog
datenschutzexperte.deLeopoldstr. 2180802 MünchenDatenschutzerklärungImpressumSitemap
© 2022 PROLIANCE GmbH. Alle Rechte vorbehalten.
XingLinkedInFacebookTwitterInstagram
Datenschutz-Einstellungen
Artikel 6 EU-DSGVO: Rechtmäßigkeit der Verarbeitung
Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
Unionsrecht oder
das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem
jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.
 | Datenschutz-Richtlinien Für Deutschland und EU Datenschutz-Richtlinien.pdf (1.02MB) |