Der Widerspruch im Datenschutz nach Art. 21 DSGVO

Fachbeitrag

Ein Ziel der DSGVO war es, die Rechte der betroffenen Personen zu stärken. Art. 21 DSGVO legt daher fest, dass man als Betroffener in bestimmten Situationen der Verarbeitung seiner personenbezogenen Daten widersprechen kann. Wann genau man einer Verarbeitung widersprechen kann und wie das funktioniert, soll hier aufgezeigt werden.

Voraussetzungen des Widerspruchs

Das Gesetz besagt, dass jede betroffene Person das Recht hat, gegen eine sie betreffende Verarbeitung Widerspruch einzulegen. Insofern die Verarbeitung aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, soll dies aus Gründen geschehen, die sich aus ihrer besonderen Situation ergeben. Das bedeutet also, dass ein Widerspruchsrecht einer betroffenen Person dann zusteht, wenn sie aufgrund von in ihr oder ihrer Situation verankerten Gründen aus der pauschalisierten Interessenabwägung des Verantwortlichen herausfällt.

Was genau diese besonderen Gründe sein sollen, die die Betroffenen zum Widerspruch berechtigt, ist noch nicht wirklich klar. Es reicht wohl nicht, wenn Betroffene aufgrund bloßer subjektiver Auffassungen etwas gegen die Verarbeitung haben. Die angeführten Gründe müssen substantiiert genug sein, dass es dem Verantwortlichen aufgrund dieser möglich ist, eine Interessenabwägung durchzuführen.

Denn der Verantwortliche muss die Verarbeitung der personenbezogenen Daten nach Widerspruch nur dann einstellen, wenn er keine zwingend schutzwürdigen Gründe für die Verarbeitung nachweisen kann, die in einer Abwägung den vorgebrachten Interessen des Betroffenen überwiegen. Andernfalls darf der Verantwortliche trotz des Widerspruchs die personenbezogenen Daten gem. Art. 21 Abs. 1 Satz 2 DSGVO weiterverarbeiten.

Übrigens, wenn die Daten zu Zwecken der Direktwerbung verarbeitet werden, kann jederzeit widersprochen werden, ohne dass besondere Gründe vorliegen müssen. Die Daten dürfen dann unter keinen Umständen mehr zu diesem Zweck verarbeitet werden, Art. 21 Abs. 2, 3 DSGVO. Wir beschäftigten uns in diesem Blogartikel bereits mit dem Werbewiderspruch in der Praxis.

Eigene Ausnahme für öffentliche Stellen?

Daneben gibt es als Ausnahme vom Widerspruchsrecht des Art. 21 DSGVO den § 36 BDSG. Dieser soll die Öffnungsklausel des Art. 23 DSGVO nutzen, um das Recht auf Widerspruch gegenüber einer öffentlichen Stelle auszuschließen, soweit an der Verarbeitung ein

  1. zwingendes öffentliches Interesse besteht, das die Interessen der betroffenen Person überwiegt,
  2. oder eine Rechtsvorschrift zur Verarbeitung verpflichtet.

Dem § 36 BDSG kommt keine wesentliche Bedeutung zu. Vielmehr wiederholt er die Vorgaben der DSGVO. Die erste Alternative deckt sich mit den Voraussetzungen der Ausnahme des Art. 21 Abs. 1 Satz 2 Alt. 1 DSGVO. Die zweite Alternative soll vermutlich an den § 35 Abs. 5 Abs. 2 BDSG a.F. anknüpfen. Wohl enthält sie aber auch keinen Regelungsgehalt. Denn wenn eine nationale Rechtsgrundlage existiert, die eine bestimmte Verarbeitung ausdrücklich fordert, ist diese aufgrund von Art. 6 Abs. 1 lit. c DSGVO rechtmäßig. Vom Widerspruchsrecht umfasst sind aber nur Verarbeitungen, die sich auf Art. 6 Abs. 1 lit. e oder f DSGVO stützen, nicht aber solche, die aufgrund von Art. 6 Abs. 1 lit. c DSGVO i.V.m. einer nationalen Erlaubnisnorm erfolgen.

Wann und wie kann widersprochen werden?

Verantwortliche sind gem. Art. 21 Abs. 4 DSGVO dazu verpflichtet, spätestens zum Zeitpunkt der ersten Kommunikation mit der betroffenen Person ausdrücklich auf das Recht des Widerspruchs hinzuweisen. Der Hinweis muss auch in irgendeiner Art und Weise von anderen Informationen getrennt sein, sodass er nicht versteckt wird oder untergeht.

Der Verantwortliche muss außerdem zum Zeitpunkt der Erhebung darüber informieren, ob ein Widerspruchsrecht für die Verarbeitung der personenbezogenen Daten besteht, Art. 13 Abs. 2 lit. b DSGVO, und wohl auch welche Folgen der Widerspruch und die damit verbundene Zurückhaltung der Daten für den Betroffenen hat (vgl. EG 60 S.4).

Wenn für eine Verarbeitung also ein Widerspruchsrecht besteht, muss der Verantwortliche dies den Betroffenen mitteilen. Auf Webseiten erfolgt dies meist in der Datenschutzerklärung. Außerdem sind dort in der Regel auch Möglichkeiten beschrieben, wie der Widerspruch zu erfolgen hat.

Zwar ist die Form des Widerspruchs im Gesetz nicht ausdrücklich geregelt, sodass grundsätzlich jede wahrnehmbare Willensäußerung gegenüber dem Verantwortlichen ausreichen dürfte. Jedoch empfiehlt es sich zu Zwecken der Nachweisbarkeit, den Willen des Widerspruchs mittels eines Briefes oder einer E-Mail zum Ausdruck zu bringen. Ein solches Schreiben sollte man folgende Punkte umfassen:

  • Ausreichende Angaben zur korrekten Identifikation des Betroffenen wie z.B. die Kundennummer.
  • Welcher Verarbeitung von Daten oder welchen Verarbeitungsvorgängen widersprochen wird.
  • Eine individuelle Begründung, warum der Datenverarbeitung widersprochen wird, die mit der Person oder deren besonderen Lebenssituation zusammenhängt. Besondere Situationen können sich aus rechtlichen, wirtschaftlichen, ethischen, sozialen, gesellschaftlichen oder familiären Umständen ergeben.
  • Die Aufforderung die Verarbeitung gem. Art. 18 Abs. 1 lit. d DSGVO einzuschränken, solange noch nicht feststeht, wessen Interessen überwiegen.
  • Für den Fall, dass die eigenen Interessen überwiegen, kann im Schreiben vorsorglich das Recht auf Löschung gem. Art. 17 Abs. 1 lit. c DSGVO geltend gemacht werden.

Probleme des Widerspruchsrechts

Das Widerspruchsrecht sollte die Position des Betroffenen weiter stärken und das Machtgefälle zwischen Verantwortlichen und den betroffenen Personen absenken. Inwiefern dies durch die endlosen Datenschutzinformationen und Datenschutzerklärungen tatsächlich erreicht wurde, ist fraglich. Denn manchmal unterbleibt der geforderte ausdrückliche Hinweis und oftmals geht er in endlosen Texten unter.

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Externer Datenschutzbeauftragter

5 Kommentare zu diesem Beitrag

  1. Das ist aber schon ein wenig kurios: „der Verantwortliche muss die Verarbeitung nur dann einstellen, wenn er keine zwingend schutzwürdigen Gründe für die Verarbeitung nachweisen kann, die in einer Abwägung den vorgebrachten Interessen des Betroffenen überwiegen.“ – das würde ja bedeuten, die Interessensabwägung bei Aufnahme der Verarbeitung wäre fehlerhaft gewesen, denn andernfalls wäre man ja schon gleich auf das Ergebnis gekommen, dass die Verarbeitung unter „berechtigtem Interesse“ nicht möglich ist. Komisch…. was hat sich der Gesetzgeber dabei nur gedacht? Leider helfen die Erwägungsgründe da auch nicht weiter …

    • Es handelt sich dabei um zwei verschiedene Abwägungen. Das eine Mal eine eher generelle Interessenabwägung und das andere Mal eine einzelfallbezogene Interessenabwägung. Vielleicht wird es so deutlicher:
      1.) Der Verantwortliche trifft im Rahmen von Art. 6 I f) DSGVO eine Interessenabwägung zwischen seinen berechtigten Interessen und den Interessen der durchschnittlich Betroffenen.
      2.) Ein Betroffener kann daraufhin einen Widerspruch geltend machen, wenn er denkt aus Gründen, die sich aus seiner besonderen Situation ergeben, aus der pauschalisierten Interessenabwägung des Verantwortlichen herauszufallen.
      3.) Der Verantwortliche muss mit den geltend gemachten Gründen des Betroffenen erneut eine Abwägung durchführen und gegebenenfalls das Ergebnis für diesen einen Betroffenen korrigieren.

    • Einfaches Beispiel: Die Videoüberwachung ist ein berechtigtes Interesse, sofern keine öffentlichen Räume erfasst werden. Auch hiergegen könnte der Betroffene Widerspruch einlegen. Im Regelfall wird der Betreiber der Videoüberwachung diesen Widerspruch allerdings nicht gelten lassen, kann man im Supermarkt ja mal probieren.
      Führe ich eine interne Telefonliste um in besonderen Situationen meine Mitarbeiter zu Hause erreichen zu können, kann dies auch ein berechtigtes Interesse sein. Kommt nun der Mitarbeiter und sagt er möchte zu Hause nicht angerufen werden, weil er z.B. einen Pflegefall zu Hause hat, der durch das Klingeln gestört wird, so könnte man dies als schwerwiegender als das Interesse des Unternehmens betrachten. Die Nummer vom Mitarbeiter wird also nicht auf der Liste landen….
      2 verschiedene Fälle – 2 unterschiedliche Ergebnisse.

      • @Rene Floitgraf: In ihrem zweiten Beispiel (Telefonliste, Beschäftigtendatenschutz) wird man dies allerdings nicht auf das berechtigte Interesse stützen können. Die RGL ist insofern schon verkehrt. Die richtige RGL hierfür wäre § 26 I BDSG, die erfüllt sein müsste (Stichwort: Erforderlichkeit).

      • wobei eine flächendeckende Videoüberwachung in einem Supermarkt wiederum nicht einer allgemeinen Interessenabwägung standhalten kann. Dies wäre allenfalls punktuell in speziellen Bereichen (z. B. teurer Alkohol) zulässig. Ich denke kaum, dass man sich bei seinem täglichen Einkäufen beobachten lassen muss, von den MitarbeiteInnen ganz zu schweigen. Auch Kameras an den Eingängen von Supermärkten sind wohl eher kritisch zu beurteilen.
        Die Frage wäre vielmehr wie ein Widerspruch bei einer Videoüberwachung überhaupt aussehen kann. Was kann man geltend machen?

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.