Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung

Jeder Verantwortliche muss allen Empfängern, denen personenbezogenen Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung nach Art. 16, Art. 17 Abs. 1 und Art. 18 mitteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden (Art. 19 Satz 1 DSGVO).

Zusätzlich muss der Verantwortliche die betroffene Person über diese Empfänger unterrichten, wenn die betroffene Person dies verlangt (Art. 19 Satz 2 DSGVO).

Mit diesen Mitteilungspflichten werden die Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung dahingehend erweitert, dass alle Empfänger, denen dieDaten offengelegt wurden, über diese Korrekturen am Datenbestand informiert werden müssen, damit diese analoge Maßnahmen treffen können.

Gemäß Art. 30 Abs. 1 Buchstabe d DSGVO müssen alle Empfänger(kategorien) im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden.

Eine Offenlegung der Daten kann durch Übermittlung, Verbreitung oder einer Bereitstellung zum Abruf erfolgen.

Der Verantwortliche muss, unter Berücksichtigung der verfügbaren Technologien und der ihm zur Verfügung stehenden Mittel, angemessene Maßnahmen – auch technischer Art – treffen, um die Verantwortlichen, die diese personenbezogenen Daten verarbeiten, über den Antrag der betroffenen Person zu informieren (Erwägungsgrund 66 zur DSGVO).

Unmöglich ist eine Informierung eines Empfängers beispielsweise, wenn das entsprechende Unternehmen nicht mehr existiert.

Ein unverhältnismäßiger Aufwand ist in der Regel von zeitlicher oder finanzieller Natur. Dieser Aufwand ist abzuwägen gegenüber dem Interesse der betroffenen Person und der Bedeutung der Daten.

Nicht unter den Art. 19 DSGVO fallen Veröffentlichungen im Internet. In diesen Fällen ist der Art. 17 Abs. 2 DSGVO (Recht auf Vergessenwerden) einschlägig.

Gemäß Art. 19 Satz 2 DSGVO hat jede betroffene Person das Recht, über diese Empfänger informiert zu werden. Die entsprechende Informierung muss grundsätzlich unentgeltlich (Art. 12 Abs. 5 Satz 1 DSGVO) in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erfolgen (Art. 12 Abs. 1 Satz 1 DSGVO).

Damit erhält die betroffene Person die Möglichkeit, nachzuprüfen, ob auch die Empfänger seinem Ansinnen Rechnung getragen haben. Dieses Recht setzt natürlich ein entsprechendes Verlangen der betroffenen Person voraus.

Wird der Mitteilungspflicht nicht nachgekommen, kann die betroffene Person sich an die zuständige Aufsichtsbehörde mit der Bitte wenden, die gewünschte Einschränkung der Verarbeitung gemäß Art. 58 Abs. 2 Buchstabe g DSGVO anzuordnen.

Ein Nichtbeachten der Mitteilungspflicht kann zu einem Schadensersatzanspruch nach Art. 82 DSGVO führen.

Bei Verstößen gegen die Mitteilungspflicht drohen außerdem Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs (Art. 83 Abs. 5 Buchstabe b DSGVO).

Betroffene Personen haben daneben die Möglichkeit, eine Beschwerde bei der zuständigen Auf­sichtsbehörde gemäß Art. 77 DSGVO zu erheben.

Kommt der Verantwortliche seiner Informierungspflicht nicht nach, hat die betroffene Person ein Klagerecht (Art. 79 Abs. 1 DSGVO) beim zuständigen Gericht, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Alternativ kann die Klage gegenüber Unternehmen auch bei dem Gericht des Landes erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat (Art. 79 Abs. 2 Satz 2 DSGVO).