Betroffene Person / Betroffener

Eine betroffene Person ist nach Art. 4 Nr. 1 DS-GVO eine identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen. Der Begriff bezeichnet damit den Menschen, dessen Daten verarbeitet werden und dem die Datenschutz-Grundverordnung (DS-GVO) besondere Rechte einräumt. Ob eine Person als betroffen gilt, hängt nicht davon ab, ob sie der Verarbeitung zugestimmt hat oder in einem Vertragsverhältnis zum Verantwortlichen steht.

Wer gilt nach der DS-GVO als betroffene Person?

Betroffene Personen begegnen Unternehmen und öffentlichen Stellen in zahlreichen Bereichen des täglichen Lebens.

Typische Beispiele sind:

• Kunden: Deren Kontaktdaten, Bestellungen oder Zahlungsinformationen verarbeitet werden.
• Beschäftigte: Deren Personal-, Gehalts- oder Arbeitszeitdaten ein Arbeitgeber verarbeitet.
• Bewerber: Deren Bewerbungsunterlagen und persönliche Angaben im Bewerbungsverfahren verarbeitet werden.
• Website-Nutzer: Deren personenbezogene Nutzungsdaten oder identifizierende technische Kennungen erfasst werden.
• Patienten: Deren Gesundheitsdaten im Rahmen einer medizinischen Behandlung verarbeitet werden.

Auch Personen, die nicht unmittelbar mit einem Unternehmen in Kontakt stehen, können betroffen sein. Dies gilt beispielsweise, wenn ein Unternehmen personenbezogene Daten von Dritten erhält oder Personen durch eine Videoüberwachung erfasst werden.

Entscheidend ist, dass sich die verarbeiteten Informationen auf die jeweilige natürliche Person beziehen.

Wann ist eine Person identifiziert oder identifizierbar?

Eine Person ist identifiziert, wenn ihre Identität unmittelbar feststeht, beispielsweise durch die Zuordnung ihres vollständigen Namens.

Eine Person kann jedoch auch betroffen sein, wenn sie nicht unmittelbar namentlich bekannt ist.

Nach Art. 4 Nr. 1 DS-GVO genügt es, dass sie anhand zusätzlicher Informationen direkt oder indirekt identifiziert werden kann.

Dies kann beispielsweise durch folgende Angaben möglich sein:

• Kundennummern oder Personalnummern
• Standortdaten
• Online-Kennungen
• IP-Adressen unter bestimmten Voraussetzungen
• Kombinationen verschiedener personenbezogener Merkmale

Nach Erwägungsgrund 26 DS-GVO sind bei der Beurteilung der Identifizierbarkeit die Mittel zu berücksichtigen, deren Einsatz vernünftigerweise wahrscheinlich ist.

Dabei können insbesondere der erforderliche Zeitaufwand, die Kosten und die verfügbaren technischen Möglichkeiten eine Rolle spielen.

Eine rein theoretische Möglichkeit zur Identifizierung reicht nicht aus.

Können auch Beschäftigte, Kinder oder andere Personen Betroffene sein?

Der Schutz der DS-GVO ist nicht auf Kunden oder Verbraucher beschränkt.

Grundsätzlich kann jede lebende natürliche Person betroffen sein, wenn personenbezogene Daten über sie verarbeitet werden.

Dazu gehören beispielsweise Beschäftigte, Bewerber, Kinder, Patienten und Geschäftspartner, soweit es sich um natürliche Personen handelt.

Auch Minderjährige sind eigenständige Träger der Datenschutzrechte. Die DS-GVO berücksichtigt ihre besondere Schutzbedürftigkeit unter anderem in Erwägungsgrund 38.

Bei der Ausübung ihrer Rechte können je nach Alter, Einsichtsfähigkeit und rechtlichen Voraussetzungen gesetzliche Vertreter eine Rolle spielen.

Juristische Personen wie eine GmbH oder AG sind dagegen selbst keine betroffenen Personen im Sinne der DS-GVO.

Allerdings können Informationen über Beschäftigte, Geschäftsführer oder andere natürliche Personen im Zusammenhang mit einem Unternehmen personenbezogene Daten darstellen.

Welche Rechte stehen betroffenen Personen zu?

Die DS-GVO räumt betroffenen Personen verschiedene Rechte ein, mit denen sie die Verarbeitung ihrer personenbezogenen Daten nachvollziehen und unter bestimmten Voraussetzungen beeinflussen können.

Dazu gehören insbesondere:

• Auskunftsrecht (Art. 15 DS-GVO): Informationen über die Verarbeitung der eigenen personenbezogenen Daten erhalten.
• Recht auf Berichtigung (Art. 16 DS-GVO): Unrichtige personenbezogene Daten berichtigen lassen.
• Recht auf Löschung (Art. 17 DS-GVO): Unter bestimmten Voraussetzungen die Löschung personenbezogener Daten verlangen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO): Die Verarbeitung in gesetzlich vorgesehenen Fällen einschränken lassen.
• Recht auf Datenübertragbarkeit (Art. 20 DS-GVO): Bestimmte personenbezogene Daten in einem geeigneten Format erhalten oder übertragen lassen.
• Widerspruchsrecht (Art. 21 DS-GVO): Unter bestimmten Voraussetzungen einer Verarbeitung widersprechen.

Daneben enthält Art. 22 DS-GVO besondere Regelungen zu ausschließlich automatisierten Entscheidungen einschließlich Profiling.

Betroffene Personen können sich außerdem nach Art. 77 DS-GVO bei einer Datenschutzaufsichtsbehörde beschweren, wenn sie der Ansicht sind, dass ihre personenbezogenen Daten rechtswidrig verarbeitet werden.

Die einzelnen Rechte unterliegen jeweils den gesetzlichen Voraussetzungen und möglichen Beschränkungen.

Was unterscheidet die betroffene Person vom Verantwortlichen?

Die betroffene Person und der Verantwortliche übernehmen unterschiedliche Rollen im Datenschutzrecht.

Die betroffene Person ist der Mensch, auf den sich die verarbeiteten personenbezogenen Daten beziehen.

Der Verantwortliche ist nach Art. 4 Nr. 7 DS-GVO grundsätzlich die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet.

Beispielsweise ist ein Kunde, dessen Bestelldaten gespeichert werden, die betroffene Person. Der Onlinehändler, der über die Verarbeitung dieser Daten entscheidet, ist der Verantwortliche.

Ein Auftragsverarbeiter verarbeitet personenbezogene Daten dagegen nach Art. 4 Nr. 8 DS-GVO im Auftrag eines Verantwortlichen.

Eine natürliche Person kann je nach Verarbeitungskontext unterschiedliche datenschutzrechtliche Rollen einnehmen. Ein selbstständiger Unternehmer kann beispielsweise für seine Kundendaten verantwortlich und zugleich hinsichtlich seiner eigenen Daten betroffene Person eines anderen Unternehmens sein.

Die Unterscheidung ist wichtig, weil sich aus den jeweiligen Rollen unterschiedliche Rechte und Pflichten ergeben.

Praxisbeispiel: Ein Kunde als betroffene Person

Ein Kunde bestellt regelmäßig Produkte bei einem Onlinehändler.

Das Unternehmen speichert seinen Namen, seine Anschrift, seine E-Mail-Adresse und Informationen über frühere Bestellungen.

Der Kunde ist die betroffene Person im Sinne des Art. 4 Nr. 1 DS-GVO, da sich die gespeicherten Informationen auf ihn beziehen.

Der Onlinehändler ist Verantwortlicher, soweit er über die Zwecke und Mittel der Datenverarbeitung entscheidet.

Auch wenn der Kunde der Speicherung einzelner Informationen nicht ausdrücklich zugestimmt hat, bleibt er betroffene Person und kann seine gesetzlichen Datenschutzrechte geltend machen.

Beispielsweise kann er nach Art. 15 DS-GVO Auskunft über die Verarbeitung seiner personenbezogenen Daten verlangen.

legal data Einschätzung: Für die datenschutzrechtliche Einordnung ist entscheidend, auf welche natürliche Person sich die verarbeiteten Informationen beziehen. Unternehmen sollten deshalb auch bei indirekt identifizierbaren Personen prüfen, ob personenbezogene Daten vorliegen und entsprechende Betroffenenrechte zu beachten sind. Dies gilt unabhängig davon, ob ein unmittelbarer Kundenkontakt oder ein Vertragsverhältnis besteht.

Rechtsgrundlagen

Art. 4 Nr. 1, Nr. 7 und Nr. 8 DS-GVO

Art. 12–22 DS-GVO

Art. 77 DS-GVO

ergänzend insbesondere Erwägungsgründe 26 und 38 DS-GVO