Ein Spaziergang durch die DS-GVO – Artikel 18

Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Das Wanderziel heißt heute „Recht auf Einschränkung der Verarbeitung“. Wer genauer hinschaut, kann unter dem letzten Farbanstrich auf dem Wegweiser noch „Recht auf Sperrung“ entziffern. So hieß die Sache früher, im Datenschutzrecht vor DS-GVO. Verschaffen wir uns einen ersten Überblick.

Ein Blick auf die Karte

Absatz 1 nennt die (vier) Situationen, in den betroffene Personen eine Einschränkung der Verarbeitung verlangen können. Absatz 2 klärt dann (verspätet), was Einschränkung der Verarbeitung eigentlich bedeutet und Absatz 3 gibt den Betroffenen einen Informationsanspruch, bevor die Einschränkung der Verarbeitung endet, die Daten also wieder ohne Einschränkung verarbeitet werden.

Absatz 2

Beginnen wir mit dem genaueren Hinschauen bei Absatz 2, also der Definition: Einschränkung der Verarbeitung meint, dass die betroffenen Daten „eingefroren“ (alter Begriff: „gesperrt“) werden. Sie bleiben zwar erhalten – also gespeichert – sollen aber prinzipiell sonst keine Verwendung finden. Ausnahmsweise gehts dann doch – und die Ausnahmen sind großzügig:

• Die Einwilligung der betroffenen Person ist als Ausnahme klar und richtig. Schließlich betreiben wir Datenschutzrecht im Interesse informationeller Selbstbestimmung.

• Die Datennutzung für Rechtsansprüche und Rechte Anderer – das können der Verantwortliche sein oder eine dritte Person – geht schon sehr viel weiter und ist schwer abgrenzbar.

• Hinzu kommt dann noch das wichtige öffentliche Interesse.

Im Ganzen zeigt sich – erst recht, wenn wir gleich Absatz 1 näher anschauen – dass die Einschränkung der Verarbeitung eigentlich eine Interessenabwägung darstellt, wie wir sie ähnlich in Artikel 6 Abs. 1 Satz 1 lit. f) DS-GVO und in Artikel 21 DS-GVO finden: In bestimmten Situationen – siehe Absatz 1 – sollen die Verantwortlichen die Datennutzung möglichst weit „herunterfahren“ – siehe Absatz 2.

Absatz 1

Absatz 1 nennt vier Situationen, die sich in zwei Fallgruppen einteilen lassen:

• Buchstaben a) und d) betreffen Sachverhalte, in denen der Verantwortliche die Daten nutzen will und der Betroffene Einwände erhebt; a) Einwände gegen die Richtigkeit der Daten, d) Widerspruch gegen die Verarbeitung gemäß Artikel 21 DS-GVO.

• Bei Buchstaben b) und c) will bzw. muss der Verantwortliche eigentlich die Daten löschen und die betroffene Person verhindert das; b) Betroffene wählen die Einschränkung anstelle der Löschung und c) … ist nur ein Unterfall von b).

Die Buchstaben b) und c) verpflichten letztlich den Verantwortlichen, als Datenarchiv für betroffene Personen herzuhalten. Das ist auf den ersten Blick seltsam und wird auch beim zweiten und dritten Hinschauen nicht sinnvoll. In diesen Konstellationen wäre angemessen, den Verantwortlichen eine Pflicht zur Datenübertragung an die Betroffenen aufzuerlegen, nicht aber von ihnen die Datenaufbewahrung (wie lange eigentlich?) zu verlangen. Die Fallkonstellationen b) und c) aus Absatz 1 ergeben auch bei Artikel 19 DS-GVO Probleme – aber das betrifft schon den nächsten Ausflug …

Ein anderes Fehlerchen in Absatz 1: Wieso müssen Betroffene, wenn sie die Richtigkeit von Daten bestreiten oder der Verarbeitung nach Artikel 21 DS-GVO widersprechen, zusätzlich noch „die Einschränkung der Verarbeitung […] verlangen“? Ergibt sich das nicht schon aus dem Bestreiten bzw. Widersprechen?

Eine Alternativroute

Ein Textvorschlag für Artikel 18 DS-GVO – dann am besten als Absatz in Artikel 6 verlagert – in (hoffentlich) verständlicher und präziser Sprache:

Personenbezogene Daten dürfen – von ihrer Speicherung abgesehen – nur mit Einwilligung der Betroffenen oder bei überwiegenden Interessen Dritter verarbeitet werden, falls

- die Richtigkeit der personenbezogenen Daten von den Betroffenen bestritten wird, und zwar für eine Dauer, die es den Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen, oder

- die Betroffenen Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe der Verantwortlichen gegenüber denen der Betroffenen überwiegen.

Die Betroffenen werden vor Wegfall der Einschränkungen nach Satz 1 informiert.

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.