Jede durch eine (Online- oder andere) Erhebung oder Nutzung ihrer personenbezogenen Daten betroffene Person hat das Recht, ihre Ansprüche beim Verantwortlichen geltend zu machen.

Der Begriff „Einwilligung“

Der Verantwortliche darf nur unter folgenden Bedingungen personenbezogene Daten erheben und nutzen:

• wenn die betroffene Person ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere Zwecke gibt;
  
• wenn die Verarbeitung für die Erfüllung eines Vertrags, bei dem die betroffene Person Vertragspartei ist, oder für die Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Antrag der betroffenen Person erfolgt;
• wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt;
• wenn die Verarbeitung zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich ist;
• wenn die Verarbeitung zur Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt, oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
• wenn die Verarbeitung für die Zwecke berechtigter Interessen erforderlich ist, die der Verantwortliche oder ein Dritter verfolgt, sofern nicht die Interessen oder Grundfreiheiten der betroffenen Person überwiegen, die den Schutz der personenbezogenen Daten verlangen, insbesondere wenn die betroffene Person ein Kind ist.
  

Verletzung des Rechts auf Information

Die betroffene Person muss durch den Verantwortlichen nicht nur über die Erhebung von personenbezogenen Daten, sondern auch über alle Rechte informiert werden, die sich daraus ergeben.

Im Fall einer direkten Erhebung von der betroffenen Person muss der Verantwortliche dieser zum Zeitpunkt des Erhalts der fraglichen Daten folgende Auskünfte geben (sofern sie diese noch nicht erhalten hat):

• seinen Namen und seine Kontaktdaten sowie gegebenenfalls jene seines Vertreters;
• die Kontaktdaten des Datenschutzbeauftragten, sofern es einen gibt;
• die Zwecke und die Rechtsgrundlage der Verarbeitung;
• falls die Verarbeitung aufgrund berechtigter Interessen erfolgt, die der Verantwortliche oder ein Dritter verfolgen, Informationen über diese Interessen;
• gegebenenfalls die Empfänger oder Kategorien von Empfängern, an die die Daten weitergeleitet werden;
• gegebenenfalls die Tatsache, dass der Verantwortliche die Absicht hat, die personenbezogenen Daten in ein Land außerhalb der EU oder an eine internationale Organisation zu übermitteln;
• die Dauer der Speicherung der personenbezogenen Daten oder, wenn dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
• das Bestehen des Rechts, beim Verantwortlichen ihre Rechte geltend zu machen (Auskunft über ihre personenbezogenen Daten, deren Berichtigung/Löschung, Recht auf Einschränkung, Widerspruchsrecht, Recht auf Datenübertragbarkeit);
• das Recht, jederzeit ihre Einwilligung zurückzuziehen, wenn diese für einen oder mehrere bestimmte Zwecke gegeben wurde;
• das Recht, bei der CNPD eine Beschwerde einzubringen;
• ob die Anforderung seiner personenbezogenen Daten:
  • Normcharakter hat;
  • Vertragscharakter hat;
  • Bedingung für einen Vertragsabschluss ist;

und die eventuellen Folgen einer Weigerung, diese Daten vorzulegen;

• das Vorhandensein und die Auswirkungen automatisierter Entscheidungen einschließlich Profiling;
• wenn der Verantwortliche beabsichtigt, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, Informationen über diesen anderen Zweck.

Im Fall einer indirekten Erhebung (wenn die Daten nicht direkt von der betroffenen Person erhoben wurden) muss der Verantwortliche außer den im Rahmen einer direkten Erhebung personenbezogener Daten übermittelten Informationen (ausgenommen die Informationen über das Erfordernis der Auskünfte und die Folgen einer Weigerung sowie jener, die sich auf eventuelle Weiterverarbeitung beziehen) auch folgende Auskünfte geben:

• die Kategorien der betroffenen Daten;
• die Quelle, aus der die personenbezogenen Daten stammen, sowie eventuell einen Hinweis, ob sie aus öffentlich zugänglichen Quellen kommen, und zwar;
• innerhalb einer den Umständen, unter denen die personenbezogenen Daten verarbeitet werden, angemessenen Frist nach dem Erhalt der personenbezogenen Daten, längstens aber innerhalb eines Monats;
• falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie;
• falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

Diese Informationen müssen bei indirekter Erhebung jedoch in folgenden Fällen nicht bereitgestellt werden:

• wenn die betroffene Person bereits über diese Informationen verfügt;
• wenn diese Bereitstellung:
  • sich als unmöglich herausstellt; oder
    
  • mit unverhältnismäßig hohem Aufwand verbunden ist (das betrifft insbesondere die Verarbeitung zu Archivzwecken im öffentlichen Interesse, zu Zwecken der wissenschaftlichen, historischen oder statistischen Forschung); oder
    
  • die Realisierung der Verarbeitungsziele voraussichtlich unmöglich macht oder deutlich erschwert. In diesen Fällen muss der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person ergreifen, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit;
• wenn die Erlangung oder Offenlegung der Informationen ausdrücklich durch Rechtsvorschriften der Europäischen Union oder der Gesetzgebung, der der Verantwortliche unterliegt, geregelt ist, in denen auch geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorgesehen sind; oder
  
• wenn die personenbezogenen Daten gemäß dem Recht der Europäischen Union oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.

Die Mitteilungen dieser Informationen müssen leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sein.

Die Übermittlung der Informationen hat schriftlich oder in anderer Form zu erfolgen, gegebenenfalls auch elektronisch.

Verletzung des Auskunftsrechts

Die betroffene Person hat jederzeit das Recht, unentgeltlich:

• eine Bestätigung darüber zu erhalten, ob ihre personenbezogenen Daten verarbeitet wurden oder nicht;
• Auskunft über ihre Daten zu erhalten;
• folgende Informationen zu erhalten:
  • die Zwecke der Verarbeitung;
  • die Kategorien der betroffenen Daten;
  • die Empfänger der personenbezogenen Daten (insbesondere, wenn es sich um Länder außerhalb der EU oder internationale Organisationen handelt);
  • die Dauer der Speicherung der personenbezogenen Daten oder, wenn das nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
  • das Vorhandensein des Rechts, beim Verantwortlichen die Berichtigung oder Löschung der personenbezogenen Daten oder die Einschränkung der Verarbeitung zu verlangen, sowie das Recht auf Widerspruch gegen die Verarbeitung;
  • das Recht, bei der CNPD eine Beschwerde einzubringen;
  • im Fall einer indirekten Erhebung der Daten aller Informationen zu deren Quelle;
  • über das Vorhandensein und die Auswirkungen automatisierter Entscheidungen, einschließlich Profiling;
•  eine Kopie aller personenbezogenen Daten, über die ein Verantwortlicher verfügt (Beispiel: Patientenakte, Kundendossier, Privatkonto in einem sozialen Netzwerk usw.) zu erhalten.
  

Die betroffene Person hat dazu lediglich den Verantwortlichen zu kontaktieren und ihm einen diesbezüglichen schriftlichen Antrag zu übermitteln, der auch elektronisch erfolgen kann.

Für jede zusätzliche Kopie hat der Verantwortliche Anspruch auf Zahlung bestimmter Kosten (insbesondere der Kopierkosten).

Der Verantwortliche muss so rasch wie möglich antworten, jedenfalls aber innerhalb eines Monats ab Erhalt des Antrags.

Diese Frist kann im Bedarfsfall, abhängig von der Komplexität und der Anzahl der Anträge, um 2 Monate verlängert werden. In diesem Fall muss der Verantwortliche die betroffene Person von der Verlängerung und den Gründen für den Aufschub in Kenntnis setzen.

Verletzung des Rechts auf Berichtigung  

Sind die erhobenen personenbezogenen Daten ungenau, unvollständig oder nicht mehr aktuell, so kann die betroffene Person unmittelbar vom Verantwortlichen verlangen, dass sie berichtigt bzw. vervollständigt werden.

Verletzung des Rechts auf Vergessenwerden

In bestimmten Fällen hat die betroffene Person das Recht, vom Verantwortlichen die Löschung bestimmter Daten zu verlangen, insbesondere in folgenden Fällen:

• wenn die Speicherung bestimmter Daten der betroffenen Person nicht mehr gerechtfertigt ist;
• wenn der Verantwortliche keinen berechtigten Grund mehr hat, der die Speicherung der personenbezogenen Daten der betroffenen Person rechtfertigt (Beispiel: rechtliche Verpflichtungen für die Buchführung).

Verletzung des Rechts auf Einschränkung

Dieses ermöglicht es, dem Verantwortlichen vorübergehend zu verbieten, die personenbezogenen Daten während eines bestimmten Zeitraums weiterhin zu verwenden, nämlich bis zu dem Zeitpunkt, an dem er Folgendes überprüft hat:

• die Richtigkeit der Daten, die das Recht auf Berichtigung betreffen;
• den Grund für die Löschung oder den geltend gemachten Widerspruch.

Das gilt auch für den Fall, dass der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt.

Anmerkung: Der Verantwortliche kann die personenbezogenen Daten nur noch „lagern“, nicht aber verwenden.

Die Einschränkung kann nach unterschiedlichen Modalitäten erfolgen (vorübergehend Verschiebung in einen anderen Datenbestand, Sperrung der Daten, vorübergehendes Entfernen aus einer Website usw.).

Verletzung des Rechts auf Übertragbarkeit

Jede Person hat das Recht, vom Verantwortlichen zu verlangen, ihr folgende Daten unentgeltlich zukommen zu lassen:

• die ihm durch die betroffene Person für einen oder mehrere bestimmte Zwecke freiwillig mitgeteilt wurden;
• die er ihm Rahmen der Erfüllung eines Vertrags erhalten hat.

Diese Daten müssen in einem strukturierten, gängigen, maschinenlesbaren Format (beispielsweise im PDF-Format) geschickt werden.

In bestimmten Fällen ist es auch möglich, vom Verantwortlichen zu verlangen, dass er diese Daten direkt einem durch die betroffene Person ausgewählten anderen Verantwortlichen übermittelt (soziales Netzwerk, Internet-Diensteanbieter, Streaming-Portal usw.).

Wenn die durch die Behörde durchgeführte Verarbeitung durch deren Aufgabe im öffentlichen Interesse begründet ist, gilt das Recht auf Übertragbarkeit nicht.

Verletzung des Widerspruchsrechts

Jede Person kann gegen die Erhebung oder Verwendung ihrer personenbezogenen Daten Widerspruch einlegen.

Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten Widerspruch für folgende Zwecke einzulegen:

• zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt, oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
• für die Zwecke berechtigter Interessen, die der Verantwortliche oder ein Dritter verfolgt, sofern nicht die Interessen oder Grundfreiheiten der betroffenen Person überwiegen, die den Schutz der personenbezogenen Daten verlangen, insbesondere wenn die betroffene Person ein Kind ist (Beispiel: mein berechtigtes Interesse).

In diesem Fall darf der Verantwortliche die personenbezogenen Daten nur dann weiterverarbeiten, wenn er nachweist, dass es zwingende schutzwürdige Gründe gibt:

• die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen; oder
  
• die der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dienen.

Werden die personenbezogenen Daten zu Marktforschungszecken verarbeitet, so hat die betroffene Person jederzeit das Recht, gegen die Verarbeitung der sie betreffenden personenbezogenen Daten zu diesen Zwecken Widerspruch einzulegen, einschließlich des mit einer solchen Untersuchung verbundenen Profiling.

In diesem Fall dürfen die personenbezogenen Daten nicht mehr zu Untersuchungszwecken verarbeitet werden.

Die betroffene Person muss spätestens zum Zeitpunkt der ersten Mitteilung:

• ausdrücklich auf dieses Recht hingewiesen werden; und
  
• in verständlicher und von anderen Informationen getrennter Form darauf hingewiesen werden.

Im Vorfeld zu erledigende Schritte

Jede Person, die feststellt oder vermutet, dass gegen eines oder mehrere ihrer Rechte verstoßen wird, kann beim Verantwortlichen für die Verarbeitung ihrer personenbezogenen Daten oder der betreffenden Suchmaschine einen Antrag/eine Beschwerde einbringen.

Stellt die betroffene Person bei einer Suchanfrage fest, dass das Ergebnis falsch oder nicht mehr zutreffend ist, so kann sie sich an die Suchmaschine wenden und die Dereferenzierung des gefundenen Ergebnisses verlangen. In diesem Fall muss die betroffene Person erklären, warum das Ergebnis falsch oder unzutreffend ist (insbesondere Löschen alter Fotos, eines alten Lebenslaufs). (Diese Löschung bedeutet nicht, dass die Information auf der Quell-Website gelöscht wird, und in bestimmten Fällen kann das Recht der Öffentlichkeit der Löschung entgegenstehen).

Bleibt dieser Antrag ergebnislos, kann die betroffene Person bei der CNPD eine Beschwerde einzubringen.

Meldungen bei der CNPD sind unentgeltlich.

Einreichung der Beschwerde

Das Beschwerdeformular kann wie folgt eingereicht werden:

• online auf der Website der CNPD, was die Bearbeitung der Beschwerde beschleunigt;
• per Post an folgende Adresse: Commission nationale pour la protection des données, Service des réclamations, 15, boulevard du Jazz, L-4370 Belvaux.

Belege

Der Beschwerdeführer kann Belege beilegen und deren Art in den entsprechenden Feldern des Formulars spezifizieren.

Es empfiehlt sich, nur für die Bearbeitung der Beschwerde nützliche Nachweise zu übermitteln. 

Bei den Belegen kann es sich um Folgendes handeln:

• die vollständige Korrespondenz mit dem Verantwortlichen;
• Beweismaterial zur Beschwerde (Rechnungen, Verträge usw.);
• Marktforschungsmitteilungen oder -briefe;
• Fotografien;
• Bildschirmaufnahmen („Screenshots“);
• sonstige für die Bearbeitung der Beschwerde nützliche Dokumente.

Streitfälle

Jede betroffene Person hat – neben der Möglichkeit, eine Beschwerde bei der CNPD einzubringen – das Recht, gerichtliche Schritte zu unternehmen, wenn sie der Ansicht ist, dass ihre Rechte durch den Verantwortlichen verletzt wurden. Sie kann eventuell eine Entschädigung für ihre immateriellen und/oder materiellen Schäden erhalten.

Vorgänge

Links