Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung
| veröffentlicht am |
20.12.2021 |
|---|---|
| Änderung | Neu aufgenommen |
| Stand | 01.06.2020 |
|---|---|
| Erstellungsgrundlage | in der Fassung der Datenschutz-Grundverordnung vom 27.04.2016 in Kraft getreten am 25.05.2018 |
| Rechtsgrundlage | |
| Version | 001.00 |
- Inhalt der Regelung
- Voraussetzungen (Art. 18 Abs. 1 DSGVO)
- Bestreiten der Richtigkeit der personenbezogenen Daten (Absatz 1 Buchstabe a)
- Unrechtmäßigkeit der Verarbeitung (Absatz 1 Buchstabe b)
- Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen der betroffenen Person (Absatz 1 Buchstabe c)
- Widerspruch gegen die Verarbeitung (Absatz 1 Buchstabe d)
- Zulässige Verarbeitungen nach der Einschränkung (Art. 18 Abs. 2 DSGVO)
- Unterrichtungspflicht
- Identitätsprüfung
- Form und Frist
- Inhalt der Regelung
- Voraussetzungen (Art. 18 Abs. 1 DSGVO)
- Bestreiten der Richtigkeit der personenbezogenen Daten (Absatz 1 Buchstabe a)
- Unrechtmäßigkeit der Verarbeitung (Absatz 1 Buchstabe b)
- Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen der betroffenen Person (Absatz 1 Buchstabe c)
- Widerspruch gegen die Verarbeitung (Absatz 1 Buchstabe d)
- Zulässige Verarbeitungen nach der Einschränkung (Art. 18 Abs. 2 DSGVO)
- Unterrichtungspflicht
- Identitätsprüfung
- Form und Frist
Inhalt der Regelung
Art. 18 DSGVO regelt das Recht auf Einschränkung der Verarbeitung.
Absatz 1 listet die verschiedenen Voraussetzungen auf, wann die betroffene Person eine Einschränkung der Verarbeitung personenbezogener Daten verlangen kann.
Absatz 2 bestimmt die Folgen einer Einschränkung für eine Verarbeitung der personenbezogenen Daten.
Absatz 3 bestimmt die Pflicht des Verantwortlichen zur Unterrichtung der betroffenen Person vor Aufhebung der Einschränkung.
Ergänzende/korrespondierende Regelungen
Art. 12 DSGVO regelt die allgemeinen Modalitäten für das Recht auf Einschränkung der Verarbeitung personenbezogener Daten (Art. 4 Nr. 1 DSGVO) der betroffenen Person.
Art. 4 Nr. 3 DSGVO definiert die Einschränkung der Verarbeitung.
Art. 18 Abs. 1 DSGVO bezieht sich in Buchstabe b und c auf Art. 17 DSGVO, in Buchstabe d auf Art. 21 DSGVO.
Hat der Verantwortliche eine Einschränkung durchgeführt, ist er gemäß Art. 19 DSGVO grundsätzlich dazu verpflichtet, Empfängern, denen er die betroffenen personenbezogenen Daten zuvor offengelegt hat, die Einschränkung mitzuteilen. Er unterrichtet die betroffene Person über die Empfänger, wenn die betroffene Person dies verlangt.
Das Recht auf Einschränkung der Verarbeitung kann durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, beschränkt werden (Art. 23 DSGVO).
Weitere Erläuterungen finden Sie in dem Erwägungsgrund ErwG 67 DSGVO-ErwG.
§ 84 Abs. 2 und 3 SGB X enthält Sonderregelungen für Sozialdaten (GRA zu § 84 SGB X).
Voraussetzungen (Art. 18 Abs. 1 DSGVO)
Art. 18 Abs. 1 DSGVO regelt vier Fallkonstellationen, in denen die betroffene Person das Recht hat, von den Verantwortlichen die Einschränkung der Verarbeitung personenbezogener Daten zu verlangen.
Bestreiten der Richtigkeit der personenbezogenen Daten (Absatz 1 Buchstabe a)
Nach Art 18 Abs. 1 Buchst. a DSGVO ist die (vorübergehende) Einschränkung der Verarbeitung anzuordnen, wenn die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet und somit einen Anspruch auf Berichtigung aus Art. 16 DSGVO oder auf Löschung aus Art. 17 DSGVO geltend macht. Diese Vorschrift stellt allein auf den Zeitraum ab, den der Verantwortliche zur Überprüfung der Datenrichtigkeit benötigt.
Zu beachten ist, dass es sich bei der Richtigkeit der zu verarbeitenden Daten auch um einen allgemeinen Grundsatz nach Art. 5 Abs. 1 Buchst. d DSGVO handelt. Ist die Richtigkeit der Daten nicht beweisbar, so wird der Verantwortliche nicht die Rechtmäßigkeit der Verarbeitung darlegen können. Die personenbezogenen Daten sind in diesem Fall nicht einer Einschränkung in der Verarbeitung zu unterwerfen, sondern vielmehr ist die Datenverarbeitung insgesamt zu unterlassen.
Unrechtmäßigkeit der Verarbeitung (Absatz 1 Buchstabe b)
Ist die Verarbeitung unrechtmäßig und lehnt die betroffene Person die Löschung der personenbezogenen Daten ab, so kann sie gemäß Absatz 1 Buchstabe b die Einschränkung der Nutzung der personenbezogenen Daten verlangen (siehe auch GRA zu Art. 17 DSGVO, Abschnitt 3.4).
Unrechtmäßig ist die Verarbeitung dann, wenn für sie weder eine Einwilligung der betroffenen Person noch eine sonstige Rechtsgrundlage vorliegt. In Abgrenzung zu Absatz 1 Buchstabe a ist es hier nicht entscheidend, dass die betroffene Person eine Unrechtmäßigkeit lediglich behauptet, vielmehr muss diese objektiv vorliegen.
Buchstabe b setzt weiter voraus, dass die betroffene Person die Löschung der personenbezogenen Daten nach Art. 17 Abs. 1 Buchst. d DSGVO ablehnt und eine Einschränkung der Nutzung personenbezogener Daten verlangt. Der Verantwortliche ist verpflichtet, die betroffene Person über die mögliche Löschung zu informieren, damit diese ihr Recht auf Einschränkung der Verarbeitung (anstelle der Löschung) geltend machen kann. Die betroffene Person wird jedoch durch die Ausübung ihres Wahlrechts nicht an der späteren Ausübung ihres Löschungsrechts gehindert.
Buchstabe b setzt keinen bestimmten Zweck der Einschränkung der Verarbeitung voraus. Es genügt, dass die betroffene Person die Einschränkung der Verarbeitung ohne Angabe von Gründen verlangt.
Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen der betroffenen Person (Absatz 1 Buchstabe c)
Gemäß Absatz 1 Buchstabe c hat auf Verlangen eine Einschränkung der Verarbeitung und damit zugleich das Unterlassen der Löschung zu erfolgen, wenn zwar der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person diese Daten aber zur Geltendmachung oder Ausübung von Rechtsansprüchen sowie zur Verteidigung gegen Rechtsansprüche benötigt (siehe auch GRA zu Art. 17 DSGVO, Abschnitt 3.1).
Das ist dann der Fall, wenn die personenbezogenen Daten tatsächlich hierfür benötigt werden und die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen schon stattfindet oder sicher bevorsteht.
Ist die Rechtsverfolgung abgeschlossen oder sind die Daten für diese nicht mehr erforderlich, erlischt das Einschränkungsrecht. Die Daten sind dann gemäß Art. 17 Abs. 1 Buchst. a DSGVO zu löschen.
Widerspruch gegen die Verarbeitung (Absatz 1 Buchstabe d)
Der Anspruch auf Einschränkung der Verarbeitung personenbezogener Daten aus Absatz 1 Buchstabe d entsteht mit der Einlegung eines Widerspruchs nach Art. 21 Abs. 1 DSGVO. Solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber der betroffenen Person überwiegen (mit der Folge, dass der Verantwortliche die Daten trotz des Widerspruchs weiterverarbeiten dürfte), kann die betroffene Person die Einschränkung der Verarbeitung verlangen.
Voraussetzung für das Bestehen des Einschränkungsrechts ist allein die formelle Einlegung des Widerspruchs mit der Beantragung der Einschränkung der Verarbeitung. Die materiellen Voraussetzungen des Widerspruchsrechts nach Art. 21 DSGVO müssen nicht erfüllt sein.
Das Einschränkungsrecht nach Buchstabe d erstreckt sich über den Zeitraum von der Erhebung des Widerspruchs bis feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.
Zulässige Verarbeitungen nach der Einschränkung (Art. 18 Abs. 2 DSGVO)
Nachdem die Einschränkung der Verarbeitung nach Absatz 1 erfolgt ist, dürfen die betreffenden personenbezogenen Daten nur noch in den in Absatz 2 festgelegten Grenzen verarbeitet werden. Die Speicherung ist dem Zweck des Art. 18 DSGVO entsprechend immer zulässig, denn die Einschränkung der Verarbeitung erfolgt gerade deshalb, weil die Löschung der Daten verhindert beziehungsweise vermieden werden soll. Für andere Verarbeitungsformen muss eine der folgenden Voraussetzungen erfüllt sein.
Verarbeitung mit Einwilligung
Mit Einwilligung der betroffenen Person (Art. 4 Nr. 11 DSGVO, Art. 7 DSGVO) ist auch die Verarbeitung solcher Daten zulässig, die nach Art. 18 Abs. 1 DSGVO eingeschränkt wurde.
Soweit die Datenverarbeitung von vornherein auf einer Einwilligung beruht, muss beachtet werden, dass schon die Geltendmachung des Anspruchs auf Einschränkung der Verarbeitung einen Widerruf der ursprünglichen Einwilligung darstellt. Die betroffene Person kann aber in bestimmte Verarbeitungen einwilligen, die dann trotz der Einschränkung der Verarbeitung zulässig sind.
Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen
Die Verarbeitung kann auch zur Verfolgung von Rechtsansprüchen des Verantwortlichen oder von Dritten erfolgen.
Die Regelung beschränkt sich nicht auf die gerichtliche Verfolgung von Rechtsansprüchen oder auf förmliche Verfahren, sondern erfasst auch außergerichtliche Verfahren.
Eine Verarbeitung ist erst dann möglich, wenn die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen schon stattfindet oder sicher bevorsteht. In vielen Fällen besteht die Verarbeitung dann in der Übermittlung dieser Daten.
Schutz der Rechte einer anderen natürlichen oder juristischen Person
Die Formulierung in Art. 18 Abs. 2 DSGVO ist sehr allgemein gehalten. Um die Wirksamkeit der Einschränkung der Verarbeitung nicht zu gefährden, ist eine enge Auslegung vorzunehmen. Hierunter fallen nur solche Verarbeitungen, die zum Schutz der Rechte der anderen Person aktuell erforderlich sind.
Mit der „anderen Person“ sind Personen gemeint, die nicht mit der betroffenen Person oder dem Verantwortlichen identisch sind.
Wichtiges öffentliches Interesse der Union oder eines Mitgliedstaats
Die Verarbeitung kann auch aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats erfolgen. Hervorzuheben ist das „wichtige“ Interesse, es genügt nicht jedes öffentliche Interesse.
Unterrichtungspflicht
Gemäß Absatz 3 hat der Verantwortliche die Pflicht, die betroffene Person vor Aufhebung der Einschränkung der Verarbeitung der Daten zu unterrichten. Hierdurch wird die betroffene Person in die Lage versetzt, ihre Betroffenenrechte wahrzunehmen.
Adressat dieser Unterrichtung ist nur diejenige betroffene Person, die einen Antrag auf Einschränkung der Verarbeitung personenbezogener Daten nach Absatz 1 erwirkt hat.
Greift eine der Ausnahmen nach Absatz 2, hat der Verantwortliche, ähnlich dem Fall einer Aufhebung der Einschränkung (Absatz 3), die betroffene Person über die Fortsetzung der Verarbeitung zu unterrichten.
Identitätsprüfung
Vor einer Berichtigung nach Art. 18 DSGVO muss die Identität des Antragstellers eindeutig feststehen.
Der Verantwortliche kann nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen zur Bestätigung der Identität anfordern (siehe auch ErwG 64 DSGVO-ErwG).
Form und Frist
Die DSGVO stellt keine Formanforderungen an das Verlangen der betroffenen Person auf Einschränkung der Verarbeitung personenbezogener Daten. Neben der Schriftform kommt daher auch die elektronische oder mündliche Aufforderung in Betracht.
Die Einschränkung der Verarbeitung muss unverzüglich und damit ohne schuldhaftes Verzögern erfolgen.
Lehnt der Verantwortliche die Einschränkung der Verarbeitung ab, hat er dies zu begründen (Art. 12 Abs. 4 DSGVO) und auf die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO und auf den gerichtlichen Rechtsbehelf nach Art. 79 DSGVO hinzuweisen.
| Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) |
Inkrafttreten: 24.05.2016, Gültigkeit: 25.05.2018 Quelle: Amtsblatt der Europäischen Union vom 04. Mai 2016 L 119/1 |
Die Datenschutzgrundverordnung (VO (EU) 2016/679) trat am 24.05.2016 in Kraft und gilt seit dem 25.05.2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union.