§ 6 Rechte des Betroffenen / 1. Bereitgestellt

Rz. 144

Die DSGVO selbst definiert nicht näher, unter welchen Voraussetzungen personenbezogene Daten durch die betroffene Person "bereitgestellt" werden. Sie setzt diesen Begriff in der deutschen Sprachfassung der Verordnung jedoch mit "zur Verfügung stellen"^[133] gleich. Hieraus ist zunächst abzuleiten, dass nur solche Daten umfasst sind, die im Sinne des Art. 13 DSGVO "beim Betroffenen" erhoben wurden. Das Bereitstellen erfordert jedoch mehr als eine Erhebung beim Betroffenen, nämlich eine aktive und wissentliche Handlung der betroffenen Person in Bezug auf die Einräumung des Zugriffs auf Daten gegenüber dem Verantwortlichen.^[134] Im Sinne des bereits im Zusammenhang mit der Terminologie des "zur Verfügung Stellens" in Art. 13 Abs. 2 DSGVO und Art. 14 Abs. 2 DSGVO^[135] ist auch das "Bereitstellen" von Daten nicht auf das willentliche und aktive "Liefern" oder "Übermitteln" von Daten beschränkt, sondern umfasst auch das "Bereitstellen zum Abruf", in Form der aktiven und willentlichen Einräumung von eigenständigen Zugriffen des Verantwortlichen.^[136]

Rz. 145

In diesem Sinne will auch die Art. 29-Datenschutzgruppe den Begriff des "Bereitstellens von Daten" durch die betroffene Person nicht zu eng verstanden wissen und führt aus:^[137]

Zitat

"Die Formulierung "bereitgestellt durch!" [beinhaltet] personenbezogene Daten, die sich auf die Aktivität der betroffenen Person beziehen oder das Ergebnis einer Beobachtung des Verhaltens einer Person, jedoch nicht einer nachfolgenden Analyse dieses Verhalten sind. […].Dazu gehören alle Daten, die während der Aktivitäten, zu deren Zweck die Daten erhoben werden, über die betroffene Person verfolgt werden können, wie etwa Übersichten über Transaktionen oder Zugriffsprotokolle. Daten, die durch das Nachverfolgen und Aufzeichnen der betroffenen Person erhoben werden (wie bei einer App zur Aufzeichnung der Herzfrequenz oder einer Technologie, die dazu verwendet wird, das Browsing-Verhalten aufzuzeichnen), sollten als von dieser Person "bereitgestellt" betrachtet werden, auch wenn die Daten nicht aktiv oder bewusst übermittelt werden. […] Im Gegensatz dazu gelten personenbezogene Daten, die vom Verantwortlichen im Rahmen der Datenverarbeitung erzeugt werden, z.B. durch einen Personalisierungs- oder Empfehlungsprozess, durch Nutzerkategorisierung oder durch Profiling, als Daten, die von den von der betroffenen Person bereitgestellten personenbezogenen Daten abgeleitet oder aus Rückschlüssen erzeugt wurden, so dass sie nicht unter das Recht auf Datenübertragbarkeit fallen"

Rz. 146

Mit der Einschränkung auf ein "willentliches und aktives" Einräumen einer Zugriffsmöglichkeit durch den Verantwortlichen ist auch keine Verkürzung der Betroffenenrechte für den Fall der "heimlichen" Erhebung beim Betroffenen durch den Verantwortlichen verbunden. Dieser erfolgt mit Blick auf Art. 5 Abs. 1 lit. a) DSGVO unter Verstoß gegen den Grundsatz der Transparenz und damit ohnehin nicht rechtmäßig, sodass diese Daten grundsätzlich nicht verarbeitet werden dürfen und durch den Verantwortlichen zu löschen sind. Will die betroffene Person auch diese Daten als vom Recht der Datenübertragbarkeit umfasst wissen, steht ihr entweder die Möglichkeit der "nachträglichen Genehmigung" ("Einwilligung") in die Verarbeitung oder aber nach Art. 18 Abs. 1 lit. b) DSGVO das Recht zu, die Einschränkung der Verarbeitung dieser Daten in der Form zu verlangen, dass eine Verarbeitung nur noch zum Zwecke der Datenübertragung nach Art. 20 DSGVO erfolgt.

[133] Erwägungsgrund 68 S. 3: "mit ihrer Einwilligung zur Verfügung gestellt".

[134] Bereitstellen wird insoweit gemeinhin mit "bieten, darbieten, offerieren oder anbieten" gleichbedeutend verwendet.

[135] Oben § 4 Rdn 342.

[136] In diesem Sinne auch Kamann/Braun, in: Ehmann/Selmayr (Hrsg.), Datenschutz-Grundverordnung, 2017, Art. 20 Rn 13.

[137] Art. 29-Datenschutzgruppe, Leitlinien zum Recht auf Datenübertragbarkeit, 13.12.2016, WP 242, S. 10, abrufbar unter: https://dsgvo.expert/wp/wp-content/uploads/2017/03/WP242de_Art_29-Gruppe_Datenubertragbarkeit.pdf.