Der Widerspruch als DSGVO-Betroffenenrecht im Datenschutz

Fachbeitrag

Die Kontrolle über die eigenen Daten ist ein zentrales Thema der DSGVO und stellt die Grundlage für diverse Betroffenenrechte. Das Widerspruchsrecht setzt genau hier an. Der heutige Beitrag erklärt, wie und wann der Widerspruch genau funktioniert.

Was besagt das Widerspruchsrecht aus der DSGVO?

Das Gesetz besagt, dass jede betroffene Person das Recht hat, gegen eine sie betreffende Verarbeitung Widerspruch einzulegen. Insofern die Verarbeitung aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, soll dies aus Gründen geschehen, die sich aus ihrer besonderen Situation ergeben. Das bedeutet also, dass ein Widerspruchsrecht einer betroffenen Person dann zusteht, wenn sie aufgrund von in ihr oder ihrer Situation verankerten Gründen aus der pauschalisierten Interessenabwägung des Verantwortlichen herausfällt.

Die Voraussetzungen nach Art. 21 DSGVO

Um als Betroffene Person ein Widerspruchsrecht zu haben und wirksam auszuüben, müssen die folgenden Voraussetzungen vorliegen:

  • Datenverarbeitung auf Basis von Art. 6 Abs. 1 S. 1 lit. e) oder lit. f)
  • Widerspruchsgrund aus besonderer Situation der betroffenen Person
  • Keine zwingenden schutzwürdigen Gründe des Verantwortlichen für die Verarbeitung
  • Erklärung des Widerspruchs gegenüber dem Verantwortlichen

Was ist mit der „besonderen Situation“ gemeint?

Die besondere Situation muss sich bei der betroffenen Person individuell ergeben. Eine Zugehörigkeit zu einer größeren Personengruppe, die von derselben Sondersituation betroffen ist, kann nicht als Widerspruchsgrund angeführt werden. So dürfte bspw. die Zugehörigkeit zu einer ethnischen Minderheit allein wohl nicht als besondere Situation gelten.

Der Grund muss also einen höheren Individualisierungsgrad aufweisen. Dies wird zum Beispiel angenommen, wenn die Verarbeitung von Adressdaten für eine politisch aktive Person eine individuelle Gefährdung darstellen, weil die Person aufgrund ihrer politischen Aktivität bereits Morddrohungen erhalten hat. Im Fall einer bereits in der Vergangenheit erfolgten Datenschutzverletzung kann ein individuelles Interesse an der Ausräumung einer Wiederholungsgefahr eine besondere Situation darstellen. Auch eine vertragliche Geheimhaltungsvereinbarung kann als Grund für einen Widerspruch herangezogen werden.

Inwiefern unterscheidet sich ein Widerspruch von einem Widerruf?

Der Widerruf hat ähnlich Wirkungen wie der Widerspruch, da er eine zuvor zulässige Datenverarbeitung von nun an unzulässig macht.

Ein Recht auf Widerruf haben Betroffene aber nur in Fällen, in denen sie zuvor eine Einwilligung erteilt haben, die nur vom Willen der betroffenen Person abhängt. Der Widerspruch hingegen ist für Fälle vorgesehen, in denen die Datenverarbeitung gerade ohne Einwilligung der betroffenen Person aufgrund einer Interessenabwägung stattfindet, die der Verantwortliche vorgenommen hat und bei der von vornherein nicht immer alle erdenklichen individuellen Faktoren berücksichtigt werden können.

Wie ist auf einen Widerspruch des Betroffenen zu reagieren?

Auf den Widerspruch der betroffenen Person hin sind zunächst die Voraussetzungen zu prüfen.

Prüfung, ob ein Weiterverarbeitungsrecht besteht

Der Widerspruch ist ausgeschlossen, wenn ein zwingender, vorrangiger Grund auf Seiten des Verantwortlichen vorliegt. Hierbei ist insbesondere im Hinblick auf Datenverarbeitungen nach Art. 6 Abs. 1 S. 1 lit f) zu beachten, dass diese nur dann stattfinden dürfen, wenn eine Interessenabwägung nicht zu Ungunsten des Verantwortlichen ausfällt. Der Widerspruchsgrund kann somit bereits auf dieser vorgelagerten Ebene verdeutlichen, dass das Interesse am Ausschluss der Datenverarbeitung überwiegt, da es einen Grund auf Seiten des Betroffenen gibt, der schwerer wiegt als „normal“.

Dennoch kann es weiterhin Gründe auf Seiten des Verantwortlichen geben, die eine weitere Datenverarbeitung „zwingend“ erfordern. Was insofern wohl eher nicht ausreicht, ist, dass vertragliche Zwecke gefährdet würden, wenn die Daten nicht weiterverarbeitet werden dürfen. Auf diesen Fakt wäre nur hinzuweisen, ebenso auf die daraus resultierenden Folgen wie z.B. bei digitalen Produkten oder Dienstleistungen auf das Sonderkündigungsrecht aus § 327q Abs. 2 BGB.

Was als zwingender Grund angesehen werden kann, ist eine Datenverarbeitung zur Sicherung oder Verfolgung von Rechtsansprüchen. Der Verantwortliche muss hierbei aber auch darlegen können, dass der Rechtsanspruch mit einer gewissen Wahrscheinlichkeit mithilfe der Daten gesichert werden muss. Blanko-Verteidigungen sollte man hier nicht suchen.

Letztlich muss hierbei auch eine Abwägungsentscheidung getroffen werden, welche Interessen letztlich überwiegen. Nur wenn die Interessen des Verantwortlichen an der Verarbeitung „zwingend“ überwiegen, darf er die Daten trotz Widerspruch weiter verarbeiten.

Bestätigung eines wirksamen Widerspruchs

Nach Art. 12 Abs. 3 DSGVO muss der Betroffene binnen eines Monats über die Maßnahmen, die aufgrund des wahrgenommenen Betroffenenrechts unternommen wurden, informiert werden. Das heißt im Fall eines Widerspruchs, dass der betroffenen Person mitgeteilt werden muss, dass dem Widerspruch entsprochen wurde, und die entsprechende Datenverarbeitung eingestellt, ggf. auch die Daten gelöscht wurden. Sollte ein zwingendes Interesse die weitere Datenverarbeitung legitimieren, so ist der entsprechende Abwägungsprozess mitzuteilen. Wie bei anderen Betroffenenrechten auch, kann die Frist verlängert werden, allerdings nur wenn die Komplexität und/oder Masse der Anfragen aktuell besonders hoch ist. Über die Fristverlängerung ist die betroffene Person ebenfalls zu Benachrichtigen. Die Benachrichtigung erfolgt auf dem Weg, den die betroffene Person wünscht. Wenn sie keine Präferenz geäußert hat, ist das regelmäßig der gleiche Weg, auf dem sie die Anfrage gestellt hat. Insbesondere sind digital eingegangen Widersprüche auch auf digitalem Weg zu beantworten.

Vorgang dokumentieren

Wie bei allen Vorgängen im Datenschutz sind der Widerspruch und seine Durchführung sowie die Antwort an die betroffene Person zu dokumentieren. Es empfiehlt sich, für alle Betroffenenanfragen einen Prozess und interne Vorlagen bereit zu halten. Ideen wie man einen solchen Prozess aufbaut, können Sie diesem Beitrag zum Auskunftsverlangen entnehmen.

Vereinfachter Widerspruch gegen (Direkt-) Werbung

Im Fall von Direktwerbung hat der Gesetzgeber die strikten Vorgaben für den Widerspruch gelockert. Dieser muss von Betroffenen nicht begründet und auf eine besondere Situation gestützt werden. Er entzieht dem Verantwortlichen immer die Rechtsgrundlage für weitere Datenverarbeitung zu Werbezwecken. Er hat die Datenverarbeitung sofort zu beenden und kann dies nicht durch schutzwürdige Gründe herauszögern. Mehr Details hierzu haben wir im Beitrag Werbewiderspruch gegen Direktwerbung zusammengefasst.

Widerspruch durch Do-not-Track (DNT) oder andere automatische Signale

Eine alternative Widerspruchsmöglichkeit, der in der Praxis immer noch zu wenig Bedeutung zukommt, ist in Art 21 Abs. 5 DSGVO verankert. Demnach kann gegen Dienste der Informationsgesellschaft auch durch ein automatisiertes Verfahren Widerspruch erhoben werden. Dienste der Informationsgesellschaft sind nach der EU-Richtlinie 2015/1535

„jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung. […] Eine Beispielliste der nicht unter diese Definition fallenden Dienste findet sich in Anhang I.“

Dieses besondere Widerspruchsrecht umfasst den Einsatz von Browser-Einstellungen oder Browser-Tools, die insbesondere Tracking-Möglichkeiten von Webseiten blockieren. Dieser automatische Widerspruch gegen bestimmte Verarbeitungen ist damit ebenso rechtwirksam gegenüber Verantwortlichen. Mit dem § 26 TTDSG wurde in Deutschland nun auch eine Möglichkeit eingeführt, entsprechende Tools offiziell anzuerkennen, also quasi zu zertifizieren. Wie sich das allerdings in Zukunft entwickelt, ist so kurz nach Einführung des TTDSG noch nicht endgültig absehbar. Wichtig zu beachten ist aber, dass ein automatischer Widerspruch nur bei Diensten der Informationsgesellschaft möglich ist, nicht bei anderen Datenverarbeitungen.

Einschränkungen und Ausnahmen vom Recht auf Widerspruch

Aufgrund der besonderen Interessen bestimmter Bereiche sind diese von der Widerspruchsmöglichkeit ausgeschlossen. Die DSGVO hat hierfür Öffnungsklauseln, von denen Deutschland für einige Bereiche Gebrauch gemacht hat.

Widerspruch gegenüber öffentlichen Stellen wie z.B. Behörden

In § 36 BDSG ist daher festgelegt, dass ein Widerspruch gegen Datenverarbeitungen öffentlicher Stellen nicht möglich ist, soweit ein zwingendes öffentliches Interesse oder eine rechtliche Pflicht zur Datenverarbeitung existiert. Dies ist insofern nur wenig anders als die Einschränkungen des Widerspruchsrechts allgemein, stellt für öffentliche Stellen aber eindeutig klar, nach welchen Anforderungen sie Widersprüche (nicht) beachten müssen.

Widerspruch bei Forschungs-, Statistik- und Archivzwecken

Weitere Ausnahmen gelten für „wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke“, hier ist der Widerspruch nach § 27 BDSG ausgeschlossen, wenn durch den Widerspruch der Zweck vereitelt würde. Gleiches gilt nach § 28 BDSG für Datenverarbeitungen zu im öffentlichen Interesse liegenden Archivzwecken. Auch hier ist ein Widerspruch ausgeschlossen, wenn dadurch der Archivzweck vereitelt würde.

Kostenlose Mustervorlage für einen Widerspruch gegen Datenverarbeitungen

Wer als betroffene Person von seinem Recht auf Widerspruch Gebrauch machen möchte, kann mit einer Vorlage schneller gewährleisten, dass alle notwendigen Informationen vorliegen. Die Verbraucherzentrale hat hierfür ein Muster zur Verfügung gestellt.

Eins von vielen Betroffenenrechten

Letztlich ist der Widerspruch recht wörtlich zu nehmen. Wie gezeigt, ist er nicht immer vollständig zu beachten, aber in den weitaus häufigeren Fällen wird daraufhin die widersprochene Verarbeitung einzustellen sein. Der Unterschied zum Widerruf sollte beachtet werden, mit etwas Übung prägt sich das schnell ein. Wer von besonderen Bereichsausnahmen betroffen ist, hat diese ebenfalls schnell verinnerlicht. So steht einem ordnungsgemäßen Umgang mit dem Betroffenenrecht nichts im Weg!

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Externer Datenschutzbeauftragter

6 Kommentare zu diesem Beitrag

  1. Das ist aber schon ein wenig kurios: „der Verantwortliche muss die Verarbeitung nur dann einstellen, wenn er keine zwingend schutzwürdigen Gründe für die Verarbeitung nachweisen kann, die in einer Abwägung den vorgebrachten Interessen des Betroffenen überwiegen.“ – das würde ja bedeuten, die Interessensabwägung bei Aufnahme der Verarbeitung wäre fehlerhaft gewesen, denn andernfalls wäre man ja schon gleich auf das Ergebnis gekommen, dass die Verarbeitung unter „berechtigtem Interesse“ nicht möglich ist. Komisch…. was hat sich der Gesetzgeber dabei nur gedacht? Leider helfen die Erwägungsgründe da auch nicht weiter …

    • Es handelt sich dabei um zwei verschiedene Abwägungen. Das eine Mal eine eher generelle Interessenabwägung und das andere Mal eine einzelfallbezogene Interessenabwägung. Vielleicht wird es so deutlicher:
      1.) Der Verantwortliche trifft im Rahmen von Art. 6 I f) DSGVO eine Interessenabwägung zwischen seinen berechtigten Interessen und den Interessen der durchschnittlich Betroffenen.
      2.) Ein Betroffener kann daraufhin einen Widerspruch geltend machen, wenn er denkt aus Gründen, die sich aus seiner besonderen Situation ergeben, aus der pauschalisierten Interessenabwägung des Verantwortlichen herauszufallen.
      3.) Der Verantwortliche muss mit den geltend gemachten Gründen des Betroffenen erneut eine Abwägung durchführen und gegebenenfalls das Ergebnis für diesen einen Betroffenen korrigieren.

    • Einfaches Beispiel: Die Videoüberwachung ist ein berechtigtes Interesse, sofern keine öffentlichen Räume erfasst werden. Auch hiergegen könnte der Betroffene Widerspruch einlegen. Im Regelfall wird der Betreiber der Videoüberwachung diesen Widerspruch allerdings nicht gelten lassen, kann man im Supermarkt ja mal probieren.
      Führe ich eine interne Telefonliste um in besonderen Situationen meine Mitarbeiter zu Hause erreichen zu können, kann dies auch ein berechtigtes Interesse sein. Kommt nun der Mitarbeiter und sagt er möchte zu Hause nicht angerufen werden, weil er z.B. einen Pflegefall zu Hause hat, der durch das Klingeln gestört wird, so könnte man dies als schwerwiegender als das Interesse des Unternehmens betrachten. Die Nummer vom Mitarbeiter wird also nicht auf der Liste landen….
      2 verschiedene Fälle – 2 unterschiedliche Ergebnisse.

      • @Rene Floitgraf: In ihrem zweiten Beispiel (Telefonliste, Beschäftigtendatenschutz) wird man dies allerdings nicht auf das berechtigte Interesse stützen können. Die RGL ist insofern schon verkehrt. Die richtige RGL hierfür wäre § 26 I BDSG, die erfüllt sein müsste (Stichwort: Erforderlichkeit).

      • wobei eine flächendeckende Videoüberwachung in einem Supermarkt wiederum nicht einer allgemeinen Interessenabwägung standhalten kann. Dies wäre allenfalls punktuell in speziellen Bereichen (z. B. teurer Alkohol) zulässig. Ich denke kaum, dass man sich bei seinem täglichen Einkäufen beobachten lassen muss, von den MitarbeiteInnen ganz zu schweigen. Auch Kameras an den Eingängen von Supermärkten sind wohl eher kritisch zu beurteilen.
        Die Frage wäre vielmehr wie ein Widerspruch bei einer Videoüberwachung überhaupt aussehen kann. Was kann man geltend machen?

  2. Dieser Beitrag wurde umfassend überarbeitet und neu veröffentlicht.
    Alle vorherigen Kommentare und unsere Antworten beziehen sich auf die alte Version des Beitrags und können daher unter Umständen nicht mehr aktuell sein.

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.