§ 6 Rechte des Betroffenen / I. Betroffene Daten

Rz. 143

Nach Art. 20 Abs. 1 DSGVO ist das Betroffenenrecht auf personenbezogenen Daten beschränkt, die von der betroffenen Person an den Verantwortlichen bereitgestellt wurden und (!) die betroffene Person (unmittelbar)^[132] betreffen.

[132] Nicht ausschließlich. Dies ergibt sich aus Art. 20 Abs. 4 DSGVO sowie aus Erwägungsgrund 68 DSGVO in dem es heißt:

"Ist im Fall eines bestimmten Satzes personenbezogener Daten mehr als eine betroffene Person tangiert, so sollte das Recht auf Empfang der Daten die Grundrechte und Grundfreiheiten anderer betroffener Personen nach dieser Verordnung unberührt lassen."

1. Bereitgestellt

Rz. 144

Die DSGVO selbst definiert nicht näher, unter welchen Voraussetzungen personenbezogene Daten durch die betroffene Person "bereitgestellt" werden. Sie setzt diesen Begriff in der deutschen Sprachfassung der Verordnung jedoch mit "zur Verfügung stellen"^[133] gleich. Hieraus ist zunächst abzuleiten, dass nur solche Daten umfasst sind, die im Sinne des Art. 13 DSGVO "beim Betroffenen" erhoben wurden. Das Bereitstellen erfordert jedoch mehr als eine Erhebung beim Betroffenen, nämlich eine aktive und wissentliche Handlung der betroffenen Person in Bezug auf die Einräumung des Zugriffs auf Daten gegenüber dem Verantwortlichen.^[134] Im Sinne des bereits im Zusammenhang mit der Terminologie des "zur Verfügung Stellens" in Art. 13 Abs. 2 DSGVO und Art. 14 Abs. 2 DSGVO^[135] ist auch das "Bereitstellen" von Daten nicht auf das willentliche und aktive "Liefern" oder "Übermitteln" von Daten beschränkt, sondern umfasst auch das "Bereitstellen zum Abruf", in Form der aktiven und willentlichen Einräumung von eigenständigen Zugriffen des Verantwortlichen.^[136]

Rz. 145

In diesem Sinne will auch die Art. 29-Datenschutzgruppe den Begriff des "Bereitstellens von Daten" durch die betroffene Person nicht zu eng verstanden wissen und führt aus:^[137]

Zitat

"Die Formulierung "bereitgestellt durch!" [beinhaltet] personenbezogene Daten, die sich auf die Aktivität der betroffenen Person beziehen oder das Ergebnis einer Beobachtung des Verhaltens einer Person, jedoch nicht einer nachfolgenden Analyse dieses Verhalten sind. […].Dazu gehören alle Daten, die während der Aktivitäten, zu deren Zweck die Daten erhoben werden, über die betroffene Person verfolgt werden können, wie etwa Übersichten über Transaktionen oder Zugriffsprotokolle. Daten, die durch das Nachverfolgen und Aufzeichnen der betroffenen Person erhoben werden (wie bei einer App zur Aufzeichnung der Herzfrequenz oder einer Technologie, die dazu verwendet wird, das Browsing-Verhalten aufzuzeichnen), sollten als von dieser Person "bereitgestellt" betrachtet werden, auch wenn die Daten nicht aktiv oder bewusst übermittelt werden. […] Im Gegensatz dazu gelten personenbezogene Daten, die vom Verantwortlichen im Rahmen der Datenverarbeitung erzeugt werden, z.B. durch einen Personalisierungs- oder Empfehlungsprozess, durch Nutzerkategorisierung oder durch Profiling, als Daten, die von den von der betroffenen Person bereitgestellten personenbezogenen Daten abgeleitet oder aus Rückschlüssen erzeugt wurden, so dass sie nicht unter das Recht auf Datenübertragbarkeit fallen"

Rz. 146

Mit der Einschränkung auf ein "willentliches und aktives" Einräumen einer Zugriffsmöglichkeit durch den Verantwortlichen ist auch keine Verkürzung der Betroffenenrechte für den Fall der "heimlichen" Erhebung beim Betroffenen durch den Verantwortlichen verbunden. Dieser erfolgt mit Blick auf Art. 5 Abs. 1 lit. a) DSGVO unter Verstoß gegen den Grundsatz der Transparenz und damit ohnehin nicht rechtmäßig, sodass diese Daten grundsätzlich nicht verarbeitet werden dürfen und durch den Verantwortlichen zu löschen sind. Will die betroffene Person auch diese Daten als vom Recht der Datenübertragbarkeit umfasst wissen, steht ihr entweder die Möglichkeit der "nachträglichen Genehmigung" ("Einwilligung") in die Verarbeitung oder aber nach Art. 18 Abs. 1 lit. b) DSGVO das Recht zu, die Einschränkung der Verarbeitung dieser Daten in der Form zu verlangen, dass eine Verarbeitung nur noch zum Zwecke der Datenübertragung nach Art. 20 DSGVO erfolgt.

[133] Erwägungsgrund 68 S. 3: "mit ihrer Einwilligung zur Verfügung gestellt".

[134] Bereitstellen wird insoweit gemeinhin mit "bieten, darbieten, offerieren oder anbieten" gleichbedeutend verwendet.

[135] Oben § 4 Rdn 342.

[136] In diesem Sinne auch Kamann/Braun, in: Ehmann/Selmayr (Hrsg.), Datenschutz-Grundverordnung, 2017, Art. 20 Rn 13.

[137] Art. 29-Datenschutzgruppe, Leitlinien zum Recht auf Datenübertragbarkeit, 13.12.2016, WP 242, S. 10, abrufbar unter: https://dsgvo.expert/wp/wp-content/uploads/2017/03/WP242de_Art_29-Gruppe_Datenubertragbarkeit.pdf.

2. Personenbezogene Daten, die die betroffene Person betreffen

Rz. 147

Das Recht auf Datenübertragbarkeit ist auf personenbezogene Daten beschränkt und bezieht daher anonymisierte Daten nicht mit ein. Dem gegenüber fallen pseudonymisierte Daten in den Anwendungsbereich der Norm.^[138] Weiterhin müssen die personenbezogenen Daten die Person (zumindest auch) betreffen. Dass daneben auch andere Person...