Das Recht auf Einschränkung der Verarbeitung nach Art. 18 DS-GVO (Datenschutz-Grundverordnung) bietet der betroffenen Person in bestimmten Fällen die Möglichkeit auf Antrag die Verarbeitung der sie betreffenden personenbezogenen Daten auf eine (gesonderte) Speicherung zu begrenzen. Die Möglichkeit zur Geltendmachung dieses besonderen Betroffenenrechts ist jedoch nicht nur an bestimmte und abschließend geregelte Voraussetzungen geknüpft, das Betroffenenrecht gilt zudem nur zeitlich begrenzt. Der Beitrag stellt die Voraussetzungen, Anforderungen und Rechtsfolgen des Rechts auf Einschränkungen dar.
EINSCHRÄNKUNG DER VERARBEITUNG
Unter der Begrifflichkeit der Einschränkung der Verarbeitung ist gemäß Art. 4 Nr. 3 DS-GVO „die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken“, zu verstehen. Der zugehörige Erwägungsgrund 67 zur DS-GVO führt hierzu ergänzend aus, dass zur Beschränkung der Verarbeitung personenbezogene Daten auf ein anderes Verarbeitungssystem übertragen, für Nutzer gesperrt oder auch von Internetseiten entfernt werden können. Insbesondere ist jedoch sicherzustellen, dass eine weitere Verarbeitung der personenbezogenen Daten bereits technisch unterbunden und innerhalb von Systemen unmissverständlich auf die Einschränkung der Verarbeitung hingewiesen wird („Sperrvermerk“). Hieraus wird deutlich, dass das Recht auf Einschränkung der Verarbeitung insbesondere auf eine temporäre Beschränkung zur ausschließlichen Speicherung der personenbezogenen Daten abzielt.
Auch wenn in Art. 18 DS-GVO von Einschränkung und in Erwägungsgrund 67 von Beschränkung die Rede ist, meinen beide Begriffe das Identische. Dies geht insbesondere aus der englischsprachigen Originalfassung der DS-GVO hervor, innerhalb derer in beiden Fällen der Begriff restriction verwendet wird.
VORAUSSETZUNGEN DES RECHTS AUF EINSCHRÄNKUNG DER VERARBEITUNG
Mit Blick auf Art. 18 DS-GVO wird deutlich, dass die Geltendmachung des Rechts auf Einschränkung der Verarbeitung stets von bestimmten Erklärungen der betroffenen Person abhängig ist. Das Vorliegen der einzelnen Voraussetzungen ist dabei von der betroffenen Person qualifiziert nachzuweisen. Im Einzelnen:
Bestreiten der Richtigkeit personenbezogener Daten (lit. a): Bestreitet die betroffene Person die Richtigkeit der sie betreffenden personenbezogenen Daten muss sie gegenüber der verantwortlichen Stelle hinreichend darlegen, inwiefern eine Unrichtigkeit der Daten vorliegt. Ein allgemeines Bestreiten der Richtigkeit der personenbezogenen Daten, ohne hierfür stichhaltige Anhaltspunkte vorzulegen, ist für die Geltendmachung des Betroffenenrechts nicht ausreichend. Das Recht auf Einschränkung der Verarbeitung kann in diesem Fall als ein zu Art. 16 DS-GVO (Recht auf Berichtigung) vorgelagertes Betroffenenrecht verstanden werden. Zeitlich gilt die Einschränkung ab dem Antrag der betroffenen Person und bis zur abschließenden Prüfung der verantwortlichen Stelle hinsichtlich der (Un-)Richtigkeit der personenbezogenen Daten. Gemäß Art. 12 Abs. 3 Satz 1 DS-GVO hat dies auch bei allen Fällen des Art. 18 DS-GVO unverzüglich, spätestens jedoch innerhalb eines Monats zu erfolgen.
Unrechtmäßigkeit der Verarbeitung (lit. b): Bestreitet die betroffene Person begründet die Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten, steht ihr nach dem Wortlaut des Art. 18 Abs. 1 lit. b DS-GVO grundsätzlich ein Wahlrecht zwischen der Löschung ihrer personenbezogenen Daten nach Art. 17 DS-GVO oder der Einschränkung der Verarbeitung zu. Voraussetzung des Art. 18 Abs. 1 lit. b DS-GVO ist demnach zwingend, dass die betroffene Person einerseits die objektive Unrechtmäßigkeit der Verarbeitung darlegen kann und andererseits explizit die Einschränkung der Verarbeitung verlangt. Eine Einschränkung aufgrund der Unrechtmäßigkeit der Verarbeitung umfasst den gesamten Zeitraum vom Antrag der betroffenen Person bis diese gegebenenfalls zu einem späteren Zeitpunkt die Löschung ihrer personenbezogenen Daten verlangt.
Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen (lit. c): Die Einschränkung der Verarbeitung zu Zwecken der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen durch die betroffene Person stellt einen Sonderfall dar. Im Gegensatz zu den übrigen Voraussetzungen setzt diese ausschließlich ein Interesse der betroffenen Person an der weiteren Verarbeitung – in Form einer Speicherung – voraus. Zwingend ist jedoch, dass die einzuschränkenden personenbezogenen Daten für die Verfolgung von Rechtansprüchen erforderlich sind. Die alleinige Möglichkeit zur Erforderlichkeit für künftige gerichtliche Verfahren ist nicht ausreichend. Das Recht auf Einschränkung der Verarbeitung gemäß Art. 18 Abs. 1 lit. c DS-GVO gilt für den Zeitraum, in dem die personenbezogenen Daten für die Rechtsverfolgung zwingend benötigt werden.
Widerspruch (lit. d): Die Einschränkung der Verarbeitung im Falle eines Widerspruchs umfasst ausschließlich das allgemeine Widerspruchsrecht gemäß Art. 21 Abs. 1 DS-GVO und demnach nicht Widersprüche gegen eine Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung (Art. 21 Abs. 2 DS-GVO) und wissenschaftlichen oder historischen Forschungszwecken (Art. 21 Abs. 6 DS-GVO). Zeitlich umfasst das Recht auf Einschränkung der Verarbeitung hierbei den Zeitraum von der Geltendmachung des Widerspruchsrechts bis zum Vorliegen des Ergebnisses, ob die berechtigten Interessen der verantwortlichen Stelle die Interessen und Rechte der betroffenen Person überwiegen.
ANFORDERUNGEN AN DIE GELTENDMACHUNG UND BEANTWORTUNG
Art. 18 DS-GVO enthält keine spezifischen Regelungen hinsichtlich (formaler) Anforderungen an die Geltendmachung oder Beantwortung des Rechts auf Einschränkung der Verarbeitung. Insofern kann auf die allgemeinen Anforderungen des Art. 12 DS-GVO verwiesen werden: Die verantwortliche Stelle erleichtert der betroffenen Person die Ausübung des Betroffenenrechts (Art. 12 Abs. 2 DS-GVO), stellt der betroffenen Person alle Informationen hinsichtlich der getroffenen Maßnahmen unverzüglich, spätestens jedoch innerhalb eines Monats (Art. 12 Abs. 3 DS-GVO) und grundsätzlich entgeltfrei (Art. 12 Abs. 5 DS-GVO) zur Verfügung. Weiterhin besteht für die verantwortliche Stelle die Möglichkeit zur Identitätsfeststellung in Zweifelsfällen (Art. 12 Abs. 6 DS-GVO).
Ebenso wie bei der Löschung und Berichtigung personenbezogener Daten ist die verantwortliche Stelle auch in Fällen der Einschränkung der Verarbeitung nach Art. 19 DS-GVO dazu verpflichtet, allen Empfängern, denen personenbezogene Daten der betroffenen Person offengelegt wurden, über die Geltendmachung des Betroffenenrechts zu informieren. Eine Ausnahme hiervon besteht nur dann, soweit sich die Mitteilung gegenüber den Empfängern als unmöglich erweist oder mit einem unverhältnismäßig hohen Aufwand einhergeht.
RECHTSFOLGEN UND AUSNAHMEN
Ist mindestens eine der in Art. 18 Abs. 1 lit. a – d DS-GVO aufgeführten Voraussetzungen erfüllt, besteht für die betroffene Person ein Anspruch auf Einschränkung der Verarbeitung ihrer personenbezogenen Daten. Für die verantwortliche Stelle entsteht nach dem Wortlaut des Art. 18 Abs. 2 DS-GVO – abgesehen von der reinen Speicherung – ein weitreichendes Verarbeitungsverbot.
Ausnahmen von dem Verarbeitungsverbot bestehen allein im Rahmen der ebenfalls in Art. 18 Abs. 2 DS-GVO abschließend aufgeführten Ausnahmetatbestände: Demnach ist im Falle einer Einschränkung der Verarbeitung personenbezogener Daten eine Verarbeitung über die alleinige Speicherung möglich, sofern (1) die betroffene Person in die Verarbeitung eingewilligt hat, (2) diese zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, (3) dem Schutz der Rechte einer anderen natürlichen oder juristischen Person dient oder (4) aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedsstaates erforderlich ist.
AUFHEBUNG DER EINSCHRÄNKUNG
Wie bereits zuvor dargestellt, handelt es sich bei dem Recht auf Einschränkung der Verarbeitung um ein zeitlich beschränktes Betroffenenrecht. Wurde beispielsweise durch die verantwortliche Stelle die Richtigkeit der verarbeiteten personenbezogenen Daten festgestellt, endet zu diesem Zeitpunkt die Einschränkung der Verarbeitung. Gemäß Art. 18 Abs. 3 DS-GVO hat die verantwortliche Stelle die betroffene Person über die Aufhebung der Einschränkung der Verarbeitung zu unterrichten.
FAZIT
Das Recht auf Einschränkung der Verarbeitung umfasst einige Besonderheiten, die es im Falle einer Geltendmachung des Betroffenenrechts zu beachten und überprüfen gilt. Die formalen Umstände entsprechen jedoch denen der weiteren Betroffenenrechte des Kapitels III der DS-GVO, sodass auch hierbei ein standardisierter Prozess bei der datenschutzkonformen Umsetzung innerhalb der verantwortlichen Stelle helfen kann. Der Datenschutzbeauftragte kann unterstützend bei der rechtlichen Überprüfung der Voraussetzungen, der gegebenenfalls einschlägigen Ausnahmeregelungen sowie der abschließenden Beantwortung der Betroffenenanfrage tätig werden und sollte hierzu zu einem frühestmöglichen Zeitpunkt eingebunden werden.
Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
