Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO (S)

Das Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO gehört zu den zentralen Betroffenenrechten der Datenschutz-Grundverordnung (DSGVO). Es ermöglicht betroffenen Personen, unter bestimmten Voraussetzungen zu verlangen, dass ihre personenbezogenen Daten zwar weiterhin gespeichert, jedoch vorübergehend nicht oder nur eingeschränkt verarbeitet werden.

Dieses Recht spielt insbesondere dann eine wichtige Rolle, wenn die Rechtmäßigkeit einer Datenverarbeitung noch geprüft wird oder sich Betroffene gegen eine Löschung ihrer Daten aussprechen. Für Unternehmen bedeutet dies, geeignete technische und organisatorische Maßnahmen bereitzustellen, um personenbezogene Daten während der Einschränkung entsprechend zu kennzeichnen und eine unzulässige Weiterverarbeitung zu verhindern.

In diesem Beitrag erfahren Sie, wann das Recht auf Einschränkung der Verarbeitung greift, wie Betroffene es ausüben können und welche Anforderungen Unternehmen bei der Umsetzung beachten sollten.

Was regelt Art. 18 DSGVO?

Art. 18 DSGVO gibt betroffenen Personen das Recht, vom Verantwortlichen die Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu verlangen, wenn bestimmte gesetzliche Voraussetzungen erfüllt sind.

Im Unterschied zum Recht auf Löschung bleiben die Daten grundsätzlich erhalten. Sie dürfen jedoch – von wenigen Ausnahmen abgesehen – nicht mehr aktiv verarbeitet werden.

Eine eingeschränkte Verarbeitung bedeutet beispielsweise, dass personenbezogene Daten lediglich gespeichert werden dürfen, ohne sie für Marketingmaßnahmen, Vertragsabwicklungen oder andere Zwecke weiter zu verwenden.

Wann besteht ein Anspruch auf Einschränkung der Verarbeitung?

Art. 18 DSGVO nennt vier Fallgruppen, in denen Betroffene eine Einschränkung verlangen können.

1. Die Richtigkeit der Daten wird bestritten

Bestreitet eine betroffene Person die Richtigkeit ihrer personenbezogenen Daten, kann sie verlangen, dass deren Verarbeitung eingeschränkt wird, bis das Unternehmen die Daten überprüft hat.

Beispiel:

Ein Kunde stellt fest, dass seine Anschrift oder sein Geburtsdatum falsch gespeichert wurde. Bis zur Klärung dürfen die Daten grundsätzlich nicht weiter genutzt werden.

2. Die Verarbeitung ist unrechtmäßig

Ist die Verarbeitung personenbezogener Daten rechtswidrig, kann die betroffene Person statt einer Löschung verlangen, dass die Verarbeitung eingeschränkt wird.

Dies kommt beispielsweise in Betracht, wenn Daten noch als Beweismittel benötigt werden.

3. Das Unternehmen benötigt die Daten nicht mehr

Benötigt das Unternehmen die personenbezogenen Daten für die ursprünglichen Zwecke nicht mehr, benötigt die betroffene Person diese jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, kann ebenfalls eine Einschränkung verlangt werden.

4. Während der Prüfung eines Widerspruchs

Hat eine betroffene Person nach Art. 21 DSGVO Widerspruch gegen die Verarbeitung eingelegt, kann sie verlangen, dass die Verarbeitung bis zur Entscheidung über den Widerspruch eingeschränkt wird.

Was bedeutet „Einschränkung der Verarbeitung“ konkret?

Während der Einschränkung dürfen personenbezogene Daten grundsätzlich nur noch gespeichert werden.

Eine weitere Verarbeitung ist nur zulässig,

  • mit Einwilligung der betroffenen Person,
  • zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
  • zum Schutz der Rechte einer anderen natürlichen oder juristischen Person,
  • aus wichtigen Gründen des öffentlichen Interesses.

Unternehmen müssen daher sicherstellen, dass betroffene Datensätze entsprechend gekennzeichnet und gegen eine versehentliche Nutzung geschützt werden.

So können Betroffene ihr Recht ausüben

Die Ausübung des Rechts auf Einschränkung der Verarbeitung ist formfrei möglich.

Ein Antrag kann beispielsweise erfolgen:

  • per Brief,
  • per E-Mail,
  • über ein Kundenportal,
  • über ein Online-Formular.

Aus Gründen der Nachweisbarkeit empfiehlt sich eine schriftliche Anfrage.

Ein Antrag sollte folgende Angaben enthalten:

  • vollständiger Name,
  • Kontaktdaten,
  • möglichst eindeutige Identifizierung,
  • Beschreibung der betroffenen Daten,
  • Angabe, auf welchen Fall des Art. 18 DSGVO sich der Antrag stützt,
  • gegebenenfalls Nachweise,
  • Bitte um schriftliche Bestätigung der Einschränkung.

Je konkreter der Antrag formuliert ist, desto einfacher kann das Unternehmen ihn bearbeiten.

Welche Fristen gelten?

Wie bei den übrigen Betroffenenrechten gilt auch hier Art. 12 DSGVO.

Unternehmen müssen grundsätzlich:

  • innerhalb eines Monats reagieren,
  • die betroffene Person über das Ergebnis informieren,
  • bei komplexen Fällen die Frist um höchstens zwei Monate verlängern.

Über eine Fristverlängerung muss innerhalb des ersten Monats informiert werden.

Wie setzen Unternehmen Art. 18 DSGVO um?

Unternehmen sollten einen standardisierten Prozess für Betroffenenanfragen etablieren.

1. Antrag dokumentieren

Jede Anfrage sollte mit Eingangsdatum dokumentiert werden. Dadurch lassen sich Fristen zuverlässig überwachen.

2. Identität prüfen

Vor einer Einschränkung sollte geprüft werden, ob der Antrag tatsächlich von der betroffenen Person stammt.

Zusätzliche Identitätsnachweise dürfen nur verlangt werden, wenn berechtigte Zweifel bestehen.

3. Voraussetzungen prüfen

Das Unternehmen sollte feststellen,

  • welche personenbezogenen Daten betroffen sind,
  • welcher Einschränkungsgrund vorliegt,
  • ob die gesetzlichen Voraussetzungen erfüllt sind.

4. Verarbeitung technisch einschränken

Anschließend müssen geeignete Maßnahmen umgesetzt werden.

Hierzu gehören beispielsweise:

  • Kennzeichnung betroffener Datensätze,
  • Sperrung der Bearbeitungsfunktionen,
  • Ausschluss aus Marketingkampagnen,
  • Sperrung automatisierter Verarbeitungen,
  • Einschränkung von Benutzerrechten.

Ziel ist es, eine weitere Verarbeitung außerhalb der gesetzlich zulässigen Ausnahmen zuverlässig zu verhindern.

5. Empfänger informieren

Nach Art. 19 DSGVO müssen grundsätzlich auch diejenigen Empfänger informiert werden, denen die personenbezogenen Daten zuvor offengelegt wurden, sofern dies möglich ist und keinen unverhältnismäßigen Aufwand verursacht.

6. Betroffene Person informieren

Nach Abschluss der Bearbeitung sollte die betroffene Person schriftlich darüber informiert werden,

  • dass die Verarbeitung eingeschränkt wurde,
  • welche Daten betroffen sind,
  • wann die Einschränkung gegebenenfalls wieder aufgehoben wird.

Bevor eine Einschränkung aufgehoben wird, ist die betroffene Person darüber zu informieren.

Technische und organisatorische Maßnahmen

Zur Umsetzung des Rechts auf Einschränkung der Verarbeitung empfehlen sich unter anderem:

  • dokumentierte Prozesse für Betroffenenrechte,
  • Rollen- und Berechtigungskonzepte,
  • Sperrfunktionen in IT-Systemen,
  • Kennzeichnung eingeschränkter Datensätze,
  • Fristenüberwachung,
  • regelmäßige Mitarbeiterschulungen,
  • vollständige Dokumentation aller Anfragen.

Besonders bei mehreren IT-Systemen sollte sichergestellt werden, dass die Einschränkung systemübergreifend umgesetzt wird.

Häufige Fehler in der Praxis

Zu den häufigsten Fehlern gehören:

  • verspätete Bearbeitung,
  • fehlende Dokumentation,
  • keine technische Kennzeichnung eingeschränkter Daten,
  • versehentliche Weiterverarbeitung,
  • unzureichende Information der betroffenen Person,
  • fehlende Benachrichtigung weiterer Empfänger.

Ein klar definierter Prozess hilft, diese Risiken zu vermeiden.

Verhältnis zu anderen Betroffenenrechten

Das Recht auf Einschränkung der Verarbeitung steht häufig im Zusammenhang mit weiteren Betroffenenrechten.

Ein typischer Ablauf kann wie folgt aussehen:

  1. Auskunft nach Art. 15 DSGVO beantragen.
  2. Fehlerhafte Daten feststellen.
  3. Berichtigung nach Art. 16 DSGVO verlangen.
  4. Bis zur Klärung die Einschränkung der Verarbeitung nach Art. 18 DSGVO beantragen.
  5. Gegebenenfalls anschließend Löschung nach Art. 17 DSGVO oder Widerspruch nach Art. 21 DSGVO geltend machen.

Dadurch wird verhindert, dass personenbezogene Daten während laufender Prüfungen weiter genutzt werden.

Häufig gestellte Fragen (FAQ)

Ist eine Einschränkung dasselbe wie eine Löschung?

Nein. Bei einer Einschränkung bleiben personenbezogene Daten grundsätzlich gespeichert. Sie dürfen jedoch nur noch in den gesetzlich vorgesehenen Ausnahmefällen verarbeitet werden.

Kann ein Unternehmen die Einschränkung ablehnen?

Ja. Liegen die Voraussetzungen des Art. 18 DSGVO nicht vor, kann der Antrag abgelehnt werden. Die Entscheidung muss nachvollziehbar begründet werden. Betroffene sind zudem über ihr Recht zu informieren, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Wie lange gilt die Einschränkung?

Die Einschränkung gilt so lange, bis der jeweilige Grund entfällt, beispielsweise nach Abschluss der Prüfung der Datenrichtigkeit oder nach einer Entscheidung über einen Widerspruch. Bevor die Verarbeitung wieder uneingeschränkt aufgenommen wird, muss das Unternehmen die betroffene Person informieren.

Ist die Ausübung des Rechts kostenlos?

Ja. Die Geltendmachung des Rechts auf Einschränkung der Verarbeitung ist grundsätzlich unentgeltlich. Nur bei offensichtlich unbegründeten oder exzessiven Anträgen kann unter den Voraussetzungen des Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden.

Das Recht auf Einschränkung der Verarbeitung in Kürze:

Das Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO bietet Betroffenen einen wichtigen Schutzmechanismus, wenn die Zulässigkeit einer Datenverarbeitung noch nicht abschließend geklärt ist oder andere berechtigte Gründe gegen eine weitere Nutzung personenbezogener Daten sprechen. Anders als bei der Löschung bleiben die Daten erhalten, dürfen jedoch grundsätzlich nur noch gespeichert und nur in gesetzlich geregelten Ausnahmefällen weiter verarbeitet werden.

Für Unternehmen ist es entscheidend, klare interne Prozesse für die Bearbeitung entsprechender Anträge zu etablieren. Dazu gehören die Prüfung der Voraussetzungen, die technische Kennzeichnung eingeschränkter Datensätze, die Einhaltung der gesetzlichen Fristen sowie die Information der betroffenen Person und gegebenenfalls weiterer Datenempfänger. Eine sorgfältige Dokumentation und geeignete technische Maßnahmen helfen dabei, die Anforderungen der DSGVO zuverlässig umzusetzen und Datenschutzverstöße zu vermeiden.

Quellen

Beliebteste Artikel