Neben der Erfüllung des Verlangens der betroffenen Person, muss der Verantwortliche zusätzlich noch die Mitteilungspflicht gem. Art. 19 DS-GVO beachten. Eine Pflicht der in der Praxis erfahrungsgemäß oft nicht entsprochen wird.
Pflichten des Verantwortlichen
Nach Art. 19 S. 1 DS-GVO ist der Verantwortliche dazu verpflichtet, allen Empfängern, denen gegenüber personenbezogene Daten offengelegt wurden, mitzuteilen, wenn eine Berichtigung oder Löschung der entsprechenden Daten oder eine Einschränkung der Verarbeitung vorgenommen wurde. Eine Formvorgabe oder eine zu beachtende Frist sind gesetzlich nicht gegeben. Es ist aber davon auszugehen, dass die Mitteilung unverzüglich zu erfolgen hat.
Außerdem muss der Verantwortliche gem. Art. 19 S. 2 DS-GVO die betroffene Person über die Empfänger der Daten unterrichten, wenn diese eine solche Unterrichtung wünscht. Ebenfalls sind weder Form noch Frist für die Unterrichtung vorgegeben. Es ist aber auch hier davon auszugehen, dass sie unverzüglich zu erfolgen hat.
Ausnahme der Mitteilungspflicht
Diese Pflicht entfällt lediglich, wenn die Mitteilung unmöglich ist oder mit einem unverhältnismäßigen Aufwand verbunden ist. Ob ein unverhältnismäßiger Aufwand besteht, ist durch eine Abwägung des Umfangs der betroffenen Daten und deren Bedeutung für die betroffene Person zu entscheiden.
Sinn und Zweck
Die Norm zielt darauf ab, die Rechte der betroffenen Personen gemäß Art. 16 (Recht auf Berichtigung), 17 (Recht auf Löschung) und 18 (Recht auf Einschränkung der Verarbeitung) DS-GVO zu gewährleisten und sicherzustellen, dass auch die Empfänger der Daten in der Verantwortung stehen, die Daten gegebenenfalls zu berichtigen, zu löschen oder einzuschränken. Dies jedoch nur abhängig vom Einzelfall der Verarbeitung. Entfällt durch den Löschungsanspruch beim Empfänger die Rechtsgrundlage für die Verarbeitung, so werden die Daten ebenfalls gelöscht werden müssen. Handelt es sich bei dem Empfänger aber um einen Auftragsverarbeiter, so darf er die Löschung (oder sonstige Verarbeitungen) erst nach ausdrücklicher Weisung durch den Verantwortlichen vornehmen. An dieser Stelle ist somit eine Abwägung und Betrachtung der genauen Verarbeitungsumstände erforderlich. In keinem Fall sollte aber eine Mitteilung nach Art. 19 DS-GVO unbeachtet bleiben.
Schadensersatzanspruch bei Nichtbeachtung
Sollte der Verantwortliche seiner Verpflichtung nach Art. 19 DS-GVO nicht nachkommen, kann die betroffene Person gem. Art. 77 DS-GVO Beschwerde bei der zuständigen Aufsichtsbehörde erheben. Außerdem kann ein Verstoß gegen Art. 19 DS-GVO zu einem Schadensersatzanspruch der betroffenen Person nach Art. 82 Abs. 1 DS-GVO führen.
Handlungsempfehlung
Um der Pflicht aus Art. 19 DS-GVO zu entsprechen, empfiehlt sich folgende Vorgehensweise:
- Sorgfältige Dokumentation aller Verarbeitungen personenbezogener Daten (Verzeichnis aller Verarbeitungstätigkeiten – VVT).
- Dokumentation der Empfänger personenbezogener Daten mit Angabe der genauen Kontaktmöglichkeiten der entsprechenden Empfänger.
- Äußern Betroffene den Wunsch, die genauen Kontaktdaten der Empfänger zu erhalten, ist diesem Wunsch zu entsprechen. Insbesondere gilt dieser Grundsatz nach der Entscheidung des EuGH (Urt. V. 12.01.2023 – Rs. C-154/21). Danach muss jeder Verantwortliche -spätestens nach ausdrücklicher Aufforderung durch den Betroffenen – über die konkrete Identität des Empfängers Auskunft erteilen.
- Empfänger sollten eine erhaltene Mitteilung nach Art. 19 DS-GVO stets sorgfältig auf möglichen Handlungsbedarf überprüfen. Eine Verpflichtung der Mitteilungsempfänger, ihrerseits eingesetzte Empfänger über die Änderungen zu informieren existiert nicht. Dennoch empfiehlt es sich den Handlungsbedarf aus eigenen Interessen zu überprüfen (z.B. zur Vermeidung von Fehlern durch Verwendung veralteter Angaben).
