Kitabı oku: «DSGVO - BDSG - TTDSG», sayfa 77

Art. 18 Recht auf Einschränkung der Verarbeitung

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:

1 a) die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,

2 b) die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt;

3 c) der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder

4 d) die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.

(2) Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese personenbezogenen Daten – von ihrer Speicherung abgesehen – nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.

(3) Eine betroffene Person, die eine Einschränkung der Verarbeitung gemäß Absatz 1 erwirkt hat, wird von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.

Mit der Norm korrespondieren die Erwägungsgründe 64 und 67.

Literatur: Franck, System der Betroffenenrechte nach der Datenschutzgrundverordnung (DS-GVO), RDV 2016, 115; Härting, Starke Behörden, schwaches Recht – der neue EU-Datenschutzentwurf, BB 2012, 459; Krämer, Die Verarbeitung personenbezogener Daten durch Inkassounternehmen und Auskunfteien nach der DS-GVO, NJW 2018, 347, 351; Piltz, Die Datenschutz-Grundverordnung, Teil 2: Rechte der Betroffenen und korrespondierende Pflichten des Verantwortlichen, K&R 2016, 629.

Übersicht

I. Allgemeines
1. Genese

1

Art. 18 DSGVO enthält ein Recht der betroffenen Person auf Einschränkung der Verarbeitung. Er ersetzt § 35 Abs. 3, Abs. 4 BDSG a.F., der die Sperrung von personenbezogenen Daten vorsah.1 Wie Art. 12 lit. b DSRl verwendete auch das die DSRl umsetzende nationale Recht noch die Bezeichnung „Recht auf Sperrung“. Konkretisierung findet Art. 12 lit. b DSRl nun im Recht auf Einschränkung der Verarbeitung im Rahmen der DSGVO.

2

Die ersten Entwürfe zur DSGVO sahen die Vorschrift des Art. 18 DSGVO zunächst als ein Bestandteil des Rechts auf Löschung nach Art. 17 DSGVO vor.2 Sie wurde erst auf Initiative des Rates hin als eigenständiges Recht im Rahmen der Betroffenenrechte in Art. 18 DSGVO statuiert.3 Zu nennenswerten Veränderungen im Laufe des Normgebungsverfahrens kam es alleine bei Abs. 1 lit. c: Der heutige Wortlaut der Vorschrift sieht vor, dass die betroffene Person die Einschränkung der Verarbeitung verlangen kann, wenn sie die personenbezogenen Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt. Die Vorgängerfassung sprach noch von „Beweiszwecken“, welche zugunsten des Betroffenen anzuführen waren. Dem Grunde nach stützen sich beide Fassungen auf dieselbe Absicht, nämlich die Verhinderung eines Beweismittelverlustes auf Seiten der betroffenen Person.4

3

Abs. 2 und 3 fanden sich zunächst in Art. 17 Abs. 5 bzw. Abs. 6 DSGVO des Kommissionsentwurfs und anschließend in Art. 17a Abs. 3 bzw. Abs. 4 DSGVO des Ratsentwurfs.

2. Zweck und Bedeutung der Vorschrift

4

Die Vorschrift des Art. 18 DSGVO gibt der betroffenen Person ein Eingriffs- und Steuerungsrecht5 und ist für all die Fälle gedacht, bei denen Daten zwar nicht gelöscht, aber auch nicht mehr anderweitig verarbeitet werden sollen. Daher sind diese Daten so zu markieren und zu behandeln, dass auf sie zwar noch zugegriffen werden kann, sie aber für die Dauer der Einschränkung der Verarbeitung i.S.v. Art. 18 Abs. 2 DSGVO nicht verarbeitet werden dürfen. Art. 18 DSGVO gibt dem Betroffenen ein vorläufiges Schutzrecht6 zur Absicherung einer Berichtigung (Art. 16 DSGVO) oder Löschung (Art. 17 DSGVO) oder eines eigenen Rechtsschutzinteresses. Zudem hat der Betroffene so neben dem Berichtigungs- oder Löschungsrecht eine ergänzende Möglichkeit, die Verarbeitung seiner personenbezogenen Daten zu steuern.7 Im Unterschied zum Recht auf Löschung regelt das Einschränkungsrecht grundsätzlich die Herstellung eines bloß vorübergehenden, für die betroffene Person vorteilhaften Zustandes. Eine Ausnahme hierzu bildet Art. 18 Abs. 1 lit. b DSGVO, welcher auch die Pflicht zu einer dauerhaften Einschränkung der Datenverarbeitung beinhalten kann8 (siehe Rn. 18). Der Verantwortliche ist verpflichtet, sicherzustellen, dass eine weitere Verarbeitung der betroffenen Daten nicht erfolgt. Die Speicherung der Daten ist dagegen weiterhin möglich und grundsätzlich auch zulässig.9

5

Das Recht auf Einschränkung ist, wie auch Art. 16 DSGVO und Art. 17 DSGVO, Ausfluss der Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten gemäß Art. 7 und 8 Abs. 1 GRCh sowie Art. 16 Abs. 1 AEUV (siehe dazu ausführlich Art. 17 Rn. 16).

3. Struktur und Verhältnis zu anderen Vorschriften

6

Art. 18 DSGVO gibt der betroffenen Person das Recht, vom Verantwortlichen die Einschränkung der Verarbeitung bei Vorliegen einer der vier in Abs. 1 lit. a bis d genannten Fallkonstellationen zu verlangen. Danach steht der betroffenen Person ein Recht auf Einschränkung zu, wenn die Richtigkeit der Daten bestritten wird (lit. a, siehe Rn. 11ff.), wenn die Verarbeitung unrechtmäßig ist (lit. b, siehe Rn. 16ff.), wenn die Daten vom Verantwortlichen nicht mehr benötigt werden, die betroffene Person sie aber zur Verfolgung von Rechtsansprüchen benötigt (lit. c, siehe Rn. 19f.) und wenn die betroffene Person Widerspruch gegen die Verarbeitung nach Art. 21 Abs. 1 DSGVO eingelegt hat (lit. d, siehe Rn. 20ff.). Abs. 2 regelt die Ausnahmen zu der Einschränkung der Verarbeitung und Abs. 3 enthält schließlich eine ergänzende Unterrichtungspflicht des Verantwortlichen gegenüber der betroffenen Person vor Aufhebung der Einschränkung.

7

Das Recht der Einschränkung der Verarbeitung nach Art. 18 DSGVO gehört systematisch dem Kapitel III „Rechte der betroffenen Person“ an und ist dort wiederum in Abschnitt 3 „Berichtigung und Löschung“ (Art. 16 bis 20 DSGVO) zu finden. Die ebenfalls in Kapitel III zu findenden sonstigen Betroffenenrechte, wie das Recht auf Information und Auskunft, Berichtigung und Löschung sowie die Pflichten des Verantwortlichen aus Art. 19 DSGVO bestehen auch dann fort, wenn die Verarbeitung der Daten gem. Art. 18 DSGVO eingeschränkt worden ist.

8

Ebenso wie die anderen Betroffenenrechte unterliegt auch das Einschränkungsrecht dem allgemeinen Beschränkungsvorbehalt gemäß Art. 23 DSGVO durch EU- und nationale Gesetzgebungsmaßnahmen. Daneben unterliegt es auch dem Ausnahmevorbehalt gemäß Art. 89 Abs. 2 und 3 DSGVO, wenn die Datenverarbeitung wissenschaftlichen oder historischen Forschungs- oder statistischen Zwecken sowie Archivzwecken dient, die Ausübung des Einschränkungsrechts die Verwirklichung der spezifischen Forschungs- bzw. Archivzwecke unmöglich machen oder ernsthaft beeinträchtigen würde und die Ausnahmen für die Erfüllung dieser Zwecke erforderlich sind (siehe Art. 89 Rn. 11ff.).

II. Recht auf Einschränkung der Verarbeitung (Abs. 1)

9

Art. 18 DSGVO gewährt der betroffenen Person bei Vorliegen der Voraussetzungen einer der vier Varianten des Abs. 1 lit. a bis d ein Recht auf Einschränkung der Verarbeitung. Die Einschränkung der Verarbeitung ist in Art. 4 Nr. 3 DSGVO gesondert definiert. Danach ist darunter die „Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken“, zu verstehen. Aus Art. 4 Nr. 2 DSGVO ergibt sich wiederum, was unter einer Verarbeitung zu verstehen ist (für Details siehe Art. 4 Rn. 57ff.). Der Begriff der „Markierung“ wird in der DSGVO nicht definiert. ErwG 67 gibt aber Hinweise darauf, wie die Einschränkung der Verarbeitung im Einzelfall vorgenommen werden kann (siehe hierzu Rn. 24ff.).

1. Voraussetzungen des Einschränkungsrechts

10

In den lit. a bis d werden die einzelnen Tatbestände aufgeführt, nach denen der Betroffene eine Einschränkung der Verarbeitung verlangen kann. Aus dem Wortlaut des Abs. 1 ergibt sich, dass die Katalogtatbestände nicht kumulativ vorliegen müssen, die Auflistung ist dabei abschließend. Die festgelegten Tatbestandsalternativen spiegeln die verschiedenen Interessenlagen der betroffenen Person und des Verantwortlichen wider; die Zielrichtungen der lit. a bis d sind dabei teilweise überlappend. So beziehen sich lit. a und d auf die vorläufige Sicherung der Hauptrechte der betroffenen Person auf Berichtigung und Widerspruch. Im Gegensatz dazu steht in lit. b und c das Interesse der betroffenen Person am Erhalt der Daten durch eine fortgesetzte Speicherung im Vordergrund. Ferner betreffen lit. a, b und d – anders als lit. c – Fälle, in denen der Verantwortliche selbst Interesse an der Datenverarbeitung hat.

a) Berichtigungsprüfung (lit. a)

11

Nach lit. a hat die betroffene Person ein Recht auf Einschränkung der Verarbeitung, wenn sie die Richtigkeit der Daten bestritten hat, und zwar für die Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der Daten zu überprüfen. Lit. a ermöglicht demnach die vorläufige Absicherung des Rechts auf Berichtigung gemäß Art. 16 DSGVO.10

12

Einzige Voraussetzung ist, dass der Betroffene die Richtigkeit der Daten bestreitet, d.h. einen Antrag auf Berichtigung gemäß Art. 16 Abs. 1 DSGVO i.V.m. Art. 12 Abs. 2 DSGVO (siehe Art. 16 Rn. 12ff.) stellt. Auf die Fälle des Art. 17 DSGVO (Recht auf Löschung) und Art. 21 DSGVO (Recht auf Einlegung eines Widerspruchs) ist lit. a hingegen nicht anwendbar.11 Es ist nicht erforderlich, dass die Unrichtigkeit objektiv vorliegt12 oder plausibel gemacht wird.13 Ein einfaches Bestreiten genügt folglich.14 Paal hält ein willkürliches Bestreiten dagegen für nicht ausreichend, räumt aber gleichzeitig ein, dass dies in der Praxis trotzdem zu einer Einschränkung der Verarbeitung führen wird.15

13

Kamlah fordert darüber hinaus die analoge Anwendung des lit. a, soweit der Betroffene nicht die Richtigkeit der Daten, sondern die Zulässigkeit der Verarbeitung bestreitet, jedoch nur für den Zeitraum, innerhalb dessen der Verantwortliche die Zulässigkeit der Verarbeitung überprüft.16 Voraussetzung für eine analoge Anwendung ist aber unter anderem das Vorliegen einer Regelungslücke. Kamlah verkennt, dass lit. d das Einschränkungsrecht für den Fall vorsieht, dass der Betroffene gemäß Art. 21 Abs. 1 DSGVO Widerspruch eingelegt hat und die Prüfung des Vorliegens berechtigter Gründe noch aussteht oder andauert. Fehlt es an berechtigten Gründen, so ist die Verarbeitung rechtswidrig. Andersherum ist die Verarbeitung nur dann rechtswidrig, wenn es an berechtigten Gründen fehlt. Das Einschränkungsrecht bei Bestreiten der Rechtmäßigkeit der Verarbeitung ist daher in Art. 18 Abs. 1 lit. d DSGVO geregelt, sodass keine Regelungslücke gegeben ist. Für die von Kamlah vorgeschlagene analoge Anwendung ist damit kein Raum.

14

Der Einschränkungsanspruch entsteht mit Zugang eines Antrags auf Berichtigung beim Verantwortlichen.17 Obwohl sich dieses Erfordernis nicht unmittelbar aus dem Wortlaut des Art. 18 DSGVO ergibt, zeigt ein Vergleich mit Art. 16 DSGVO und Art. 17 DSGVO, dass die Einschränkung unmittelbar nach Eingang des Antrags zu erfolgen hat.18 Diese Auslegung ist auch vor dem Hintergrund des Schutzzwecks der Norm, der gerade einen möglichst effektiven Schutz der grundrechtlich verankerten Rechte des Betroffenen darstellt, geboten. Die Dauer der vorzunehmenden Einschränkung hängt von der Beschaffenheit der betreffenden Daten und von den Möglichkeiten des Verantwortlichen zu deren Überprüfung ab.19 Lit. a setzt dabei eine Mindestdauer fest und gibt dem Verantwortlichen so lange Zeit, bis es ihm möglich ist, die Richtigkeit der personenbezogenen Daten zu überprüfen. Konkretisiert wird dieser etwas ungenaue Zeitraum durch Art. 12 Abs. 3 und 4 DSGVO, wonach der Verantwortliche unverzüglich, spätestens jedoch innerhalb von einem bzw. maximal drei Monaten der betroffenen Person Informationen über die Einschränkungsmaßnahme zur Verfügung stellen muss. Für Einzelheiten zum Begriff der Unverzüglichkeit siehe Art. 17 Rn. 79f.

15

Bestreitet die betroffene Person die Richtigkeit der Daten und lässt sich bei der Überprüfung durch den Verantwortlichen weder die Richtigkeit noch die Unrichtigkeit feststellen (sog. „Non-liquet-Fall“), muss die Einschränkung der Verarbeitung dauerhaft erfolgen.20 Das Datum ist mit einem entsprechenden Vermerk zu versehen, aus dem hervorgeht, dass die Richtigkeit der Daten unerweislich bestritten wird.21 Zum Teil wird eine dauerhafte Einschränkung der Verarbeitung jedoch mit Verweis auf den Wortlaut von Art. 18 Abs. 1 lit. a DSGVO abgelehnt.22

b) Unrechtmäßigkeit der Verarbeitung (lit. b)

16

Lit. b regelt den Fall der Unrechtmäßigkeit einer Verarbeitung, wenn die betroffene Person keine Löschung personenbezogener Daten, sondern, sein entsprechendes Wahlrecht ausübend, die Einschränkung der Nutzung personenbezogener Daten verlangt. Anders ausgedrückt: Die betroffene Person widerspricht einer Löschung der betroffenen Daten. Denkbar ist dies beispielsweise in dem eher selteneren Fall, dass der Betroffene die (unzulässig) verarbeiteten Daten zu Beweissicherungszwecken erhalten möchte.23

17

Im Gegensatz zu lit. a, der es ausreichen lässt, wenn der Betroffene die Unrichtigkeit lediglich behauptet, muss die Unrechtmäßigkeit bei lit. b objektiv vorliegen.24 Die Datenverarbeitung ist unrechtmäßig, wenn für sie weder eine Einwilligung der betroffenen Person noch eine sonstige Rechtsgrundlage vorliegt (Art. 8 Abs. 2 Satz 1 GRCh; vgl. auch ErwG 40 und Art. 6 Abs. 1 DSGVO).

18

Weitere Voraussetzung des lit. b ist, dass die betroffene Person neben dem Verlangen der Einschränkung der Verarbeitung auch die Löschung dieser Daten ablehnt. Sie muss ihr Wahlrecht ausüben. Allerdings hindert die Ausübung des Wahlrechts zugunsten einer Einschränkung der Verarbeitung den Betroffenen nicht daran, später sein Recht auf Löschung auszuüben. In zeitlicher Hinsicht erstreckt sich das Einschränkungsrecht bis zu dem Zeitpunkt, in dem Daten auf ein geändertes Verlangen der betroffenen Person gelöscht werden.

c) Rechtsausübung (lit. c)

19

Nach lit. c hat die betroffene Person ein Recht auf Einschränkung der Verarbeitung, wenn der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt. Für den Betroffenen besteht also das Risiko einer rechtmäßigen Löschung durch den Verantwortlichen, der selbst kein Interesse mehr an den personenbezogenen Daten hat. Lit. c weicht damit von den anderen Katalogtatbeständen ab, als sie lediglich an das vorrangige Interesse der betroffenen Person an den verarbeiteten Daten anknüpft.25

20

Derselbe Wortlaut wie der des lit. c findet sich, unter anderem, in Art. 9 Abs. 2 lit. f DSGVO wieder, welcher die Verarbeitung besonderer Kategorien personenbezogener Daten regelt; der Begriff des Benötigens in Art. 18 DSGVO ist dabei im Sinne der Erforderlichkeit gem. Art. 9 Abs. 2 lit. f DSGVO zu verstehen.26 Nach ErwG 52 können die Rechtsansprüche in einem Gerichts-, Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren (sowohl gegenüber dem Verantwortlichen als auch gegenüber Dritten)27 verfolgt werden. Die fortgesetzte Speicherung durch den Verantwortlichen muss also für die Ausübung von Rechtsansprüchen erforderlich sein (siehe hierzu Art. 9 Rn. 26f.). Aufgrund des gleichlautenden Wortlauts, sind die Ausführungen des ErwG 52 auch auf Art. 18 Abs. 1 lit. c DSGVO übertragbar. Die betroffene Person hat das Recht auf Einschränkung bis zu dem Zeitpunkt, zu dem sie die Daten für die Rechtsverfolgung benötigt28 (ausführlicher in Art. 17 Rn. 133).

d) Widerspruch (lit. d)

21

Lit. d erfasst den Fall, dass die betroffene Person Widerspruch gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen. Erfasst sind demnach nur die Fälle des allgemeinen Widerspruchsrechts gegen eine ursprünglich rechtmäßige Verarbeitung aufgrund einer besonderen Situation der betroffenen Person: Im Falle einer rechtswidrigen Verarbeitung stünde bereits fest, dass überwiegende berechtigte Gründe des Verantwortlichen nicht bestehen.

22

Das Einschränkungsrecht entsteht mit der Einlegung eines Widerspruchs nach Art. 21 Abs. 1 DSGVO und dem Antrag auf Einschränkung der Verarbeitung und dauert so lange fort, bis feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.29 Bis zu diesem Zeitpunkt ist der Verantwortliche auf Antrag der betroffenen Person zur Einschränkung der Verarbeitung verpflichtet. Der Betroffene muss seinen Widerspruch begründen, da auch der Verantwortliche möglicherweise ein schutzwürdiges Interesse an der Verarbeitung hat, das die Interessen, Rechte und Freiheiten des Betroffenen überwiegen kann.30 Die Datenverarbeitung ist ferner auch während desjenigen Zeitraums einzuschränken, der erforderlich ist, um zu prüfen, ob die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.31 In diesem Fall ist der Verantwortliche gem. Art. 21 Abs. 1 Satz 2 DSGVO auch nach Einlegung eines Widerspruchs gegen die Verarbeitung weiterhin zur Verarbeitung zu diesen Zwecken berechtigt (siehe Art. 21 Rn. 30ff.).

23

Laut Kamann/Braun erstreckt sich das Einschränkungsrecht bis zu einer abschließenden (gerichtlichen) Feststellung des überwiegenden Interesses des Verantwortlichen an einer Fortsetzung der Verarbeitung.32 Anderer Ansicht nach ist damit nur der für die Prüfung der Interessenabwägung benötigte Zeitraum gemeint, der spätestens mit einer Ablehnung des Widerspruchs beendet ist.33 Für eine Erweiterung des Zeitraums könnte sprechen, dass es bei lit. d ausweislich des Wortlauts darauf ankommt, ob „feststeht“, dass die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen. Dies ist dann der Fall, wenn Zweifel darüber endgültig geklärt sind, beispielsweise im Rahmen einer Einigung zwischen dem Betroffenen und dem Verantwortlichen oder durch eine rechtskräftige Gerichtsentscheidung.34 Für eine solche Auslegung spricht auch ein Vergleich des Wortlauts von Abs. 1 lit. d mit dem des Abs. 1 lit. a, der im Gegensatz zu lit. a gerade keinen konkreten Zeitraum bis zur Überprüfung durch den Verantwortlichen angibt.