Auskunftsersuchen und Auskunftsrecht

Die Betroffenenrechte der Datenschutzgrundverordnung stellen sich vor

Was verbirgt sich hinter diesen Schlagworten genau, und welche Pflichten haben die betroffenen Unternehmen zu erfüllen? Welcher Artikel legt welche Rechte fest? Verschaffen wir uns einmal eine Übersicht.

Informationspflicht Art 13 und 14

Diese beiden Artikel bilden zusammen einen Komplex, der wesentlich ist für die Betroffenenrechte, und sie werden, gemeinsam mit dem Artikel 15, als die „Magna Charta“ der DSGVO bezeichnet.

Im Artikel 13 heißt es, dass betroffene Personen das Recht haben zu erfahren, welche Daten zu welchem Zweck und für wie lange verarbeitet wurden. Außerdem umfasst die Informationspflicht das Recht, die Empfänger der verarbeiteten Daten zu erfahren und auch die Rechtsgrundlage, auf der die Datenverarbeitung erfolgt. Zudem haben Betroffene das Recht, die Kontaktdaten des Verantwortlichen zu erfahren und eine nachvollziehbare Interessenabwägung zu bekommen.

Außerdem besagt Artikel 13, dass betroffene Personen über ihre Betroffenenrechte informiert werden müssen. Diese Informationen müssen schon mit Beginn der Datenerhebung mitgeteilt werden. Transparenz und Verständlichkeit sind ausdrücklich gefordert: Die Informationen müssen in verständlicher Form und einfacher Sprache zur Verfügung gestellt werden.

Im Artikel 14 DSGVO sind zusätzlich die Informationspflichten geregelt, wenn nicht der Verantwortliche selbst, sondern jemand anderes die Daten erhebt.

Die Informationspflicht ist übrigens aktiv zu verstehen: Nicht erst dann, wenn Kunden danach fragen, müssen sie die Informationen erhalten, sondern bereits in dem Moment, in dem sie erhoben werden. Ausnahmen gibt es bei fehlenden Kontaktdaten oder wenn es einen unverhältnismäßigen Aufwand bedeuten würde, die Informationen zu liefern.

Auskunftsrecht Art 15

Passend zu den beiden vorangegangenen Artikeln regelt Artikel 15, ob und wie betroffene Personen Auskunft verlangen dürfen und wie ihnen dies gewährt wird. Das Auskunftsrecht soll weitere Transparenz schaffen. Auf Nachfrage muss die betroffene Person erfahren, ob und welche Daten zu ihrer Person wie verarbeitet wurden, woher die Daten stammten und ob sie an Dritte weitergegeben wurden. Für das Auskunftsrecht gelten Fristen, die Sie unbedingt einhalten sollten!

Nur, wenn Rechte von dritten Personen entgegenstehen, ist dieses Auskunftsrecht (interner Link Auskunftsersuchen) begrenzt. Betroffene haben das Recht, zu erfahren, ob und in welcher Form personenbezogene Daten verarbeitet wurden.

Recht auf Berichtigung Art 16

Sollten den Verantwortlichen bei der Übermittlung von Informationen Fehler unterlaufen, so haben betroffene Personen das Recht auf Berichtigung. Das bedeutet: Verantwortliche müssen, wenn Fehler übertragen wurden, diese berichtigen und auch weitere Empfänger der falschen Informationen benachrichtigen.

Recht auf Datenlöschung Art 17

Die DSGVO räumt betroffenen Personen das Recht auf Löschung ein. Betroffene können verlangen, dass Verantwortliche personenbezogene Daten löschen – und auch dritte Empfänger der Daten müssen sich an das Recht auf Löschung halten. Eine Ausnahme gilt, wenn die personenbezogenen Daten aus steuerrechtlichen Gründen aufbewahrt werden müssen. Sobald aber der Zweck der erhobenen Daten oder die Rechtsgrundlage zu ihrer Verarbeitung nicht mehr gegeben ist, greift das Recht auf Löschung von personenbezogenen Daten.

Einschränkung der Verarbeitung Art 18

Beim Recht auf Einschränkung der Verarbeitung können betroffene Personen erwarten, dass Daten, die sich nur schwer löschen lassen oder die weiter gespeichert werden müssen, nur eingeschränkt verarbeitet werden. Verantwortliche für die Datenverarbeitung sind darum verpflichtet, solche Daten zu kennzeichnen: Zum Beispiel kann den Daten der Vermerk „gesperrt“ hinzugefügt werden.

Recht auf Datenübertragbarkeit Art 20

Personenbezogene Daten müssen nicht nur herausgegeben werden, das Recht auf Datenübertragbarkeit legt auch die Form fest. So müssen die Informationen in einem gängigen, maschinenlesbaren Format übertragen werden. Die betroffene Person darf auch nicht daran gehindert werden, diese Daten anderen weiterzugeben.

Weitere Regelungen wie der Artikel 22 (Recht auf nicht ausschließlich automatisierte Entscheidungen) oder das Recht auf Beschwerde bei der Aufsichtsbehörde gemäß Artikel 77 sind zu beachten.

Angesichts des komplexen Gesamtbildes ist es sinnvoll, dem Datenschutz im Unternehmen mit der nötigen Expertise zu begegnen: Entweder in Form eines externen Datenschutzbeauftragten oder mit Hilfe von Schulungen, die die Verantwortlichen auf den rechtskonformen Umgang mit Betroffenenrechten vorbereiten.

Die KI in der Unternehmenslandschaft: Der Standort Deutschland wird KI-Land

Im Jahr 2018 verabschiedete die Bundesregierung eine nationale KI-Strategie. Das Ziel: Deutschland soll führender Standort für die Nutzung und Entwicklung von KI-Strategien werden – wir können Künstliche Intelligenz, so die Hoffnung für die Zukunft. Darum wurden strategische Ziele und Maßnahmen erarbeitet, auch in den einzelnen Bundesländern. Neben dem Ausbau der Forschung, von Wissenstransfers und der Förderung von internationalen Dialogen zum Thema sind auch Sicherheit, Recht und Ethik Thema dieser nationalen Förderinitiative.

Themen waren beispielsweise Anpassungen im Arbeitsrecht und im Beschäftigtendatenschutzgesetz oder auch die Anpassung des Wettbewerbs- und Urheberrechts, damit möglichst viele Daten zugänglich sind, ohne dass persönliche Daten oder gar betriebsinternes Know-how preisgegeben wird. Die Ausarbeitung eines rechtssicheren Ordnungsrahmens für die Arbeitgeber, die sich mit der Technologie befassen, musste zunächst erst noch geschaffen werden.

Die KI im Unternehmen ist also fest eingeplant, doch das Thema Datenschutz, speziell der personenbezogenen Daten, wird bis heute an vorderster Stelle diskutiert und bearbeitet. Wer die künstliche Intelligenz ins eigene Unternehmen bringt, ist damit auf einem zukunftsträchtigen Weg, sollte sich aber auch der Verantwortung bewusst sein, die damit im Hinblick auf die Verarbeitung personenbezogener Daten oder generell auf die Datensicherheit einhergeht.

Der Einsatz von KI Systemen stellt Arbeitgeber und Produzenten vor Herausforderungen, aber er bietet auch Vorteile für den eigenen Geschäftserfolg – vorausgesetzt, Unternehmen sind sich ihrer Verantwortlichkeit im sensiblen Bereich der personenbezogenen Daten und Compliance bewusst.

Doch schauen wir zuerst auf die Möglichkeiten, die moderne KI Anbieter in die Welt der Arbeitgeber und Produzenten tragen.

Wen schützt das Whistleblower Gesetz?

Das Gesetz umfasst sowohl den Hinweisgeber selbst als auch Personen, die ihn eventuell unterstützen. Außerdem auch Personen, die Gegenstand der gemachten Whistleblower-Meldung sind oder sonstige Personen, die in einer solchen Meldung genannt werden.

Dem Schutz der Meldenden dient auch der § 36 HinSchG, eine Regelung zur Beweislastumkehr. Dort heißt es, dass Arbeitgeber nun beweisen müssen, dass Maßnahmen gegen Arbeitnehmer nicht mit der Aufdeckung von Missständen zusammenhängen – früher lag die Beweislast dafür beim Betroffenen.

Geschützt wird der Whistleblower im Fall einer internen oder externen Meldung, in manchen Fällen auch bei einer Offenlegung.

Die Informationen müssen Verstöße betreffen, die in den Anwendungsbereich des Gesetzes fallen – dazu lesen Sie mehr weiter unten. Zumindest aber muss der Whistleblower zum Zeitpunkt der Whistleblower-Meldung hinreichend Grund zur Annahme haben, dass der Verstoß in den Anwendungsbereich fällt.