Das Recht auf Einschränkung der Verarbeitung nach Art. 18 DS-GVO: Leitfaden für Unternehmen und Verantwortliche

Artikel 18 der Datenschutz-Grundverordnung (DS-GVO) enthält das Recht auf Einschränkung der Verarbeitung von personenbezogenen Daten. Als Initiativrecht des Betroffenen muss es geltend gemacht und beantragt werden, um als gewünschte Rechtsfolge die Begrenzung der Datenverarbeitung herbeizuführen. Unter Einschränkung der Verarbeitung ist gem. Art. 4 Nr. 3 DS-GVO „die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken“, zu verstehen. Eine Markierung ist ein unmissverständlicher Einschränkungsvermerk im System des Verantwortlichen (s. Erwägungsgrund 67 der DS-GVO). Abzugrenzen ist Art. 18 DS-GVO vom Recht auf Löschung aus Art. 17 DS-GVO, bei dem die personenbezogenen Daten vollständig gelöscht und nicht nur wie bei Art. 18 DS-GVO deren Verarbeitung eingeschränkt werden.

Voraussetzungen

Ein Einschränkungsrecht steht nicht jedem zu: um eine Einschränkung der Verarbeitung verlangen zu können, muss der Betroffene eine der in Art. 18 Abs. 1 lit a-d DS-GVO genannten Voraussetzungen erfüllen. Dies ist der Fall, wenn der Betroffene die Richtigkeit der verarbeiteten Daten bestreitet (lit. a) oder er Widerspruch gegen die Verarbeitung eingelegt hat (lit. d). Die Einschränkung der Datenverarbeitung gilt dann für die Zwischenzeit, in der Abwägungsentscheidungen bezüglich der Verarbeitung getroffen werden.

Ein Einschränkungsrecht steht dem Betroffenen zudem alternativ zu einem Löschungsrecht aus Art. 17 DS-GVO zu. Gem. Art. 18 Abs. 1 lit. b DS-GVO kann der Betroffene eine Einschränkung verlangen, wenn die Verarbeitung seiner personenbezogenen Daten unrechtmäßig erfolgt, er eine Löschung aber explizit ablehnt. Des Weiteren steht dem Betroffenen ein Einschränkungsrecht gem. Art 18 Abs. 1 lit. c DS-GVO zu, wenn die personenbezogenen Daten vom Verantwortlichen zur Verarbeitung nicht länger benötigt werden, der Betroffene sie aber nicht löschen will, weil die Daten noch zur Geltendmachung seiner Rechtsansprüche gebraucht werden. Demnach setzen lit. b und c voraus, dass dem Betroffenen ein Löschungsrecht zusteht, er dieses jedoch ablehnt und die (mildere) Einschränkung der Verarbeitung verlangt. Dies liegt daran, dass eine Löschung in einigen Fällen nicht dem berechtigten Interesse des Betroffenen entspricht, sodass eine Einschränkung praktikabler erscheint.

Rechtsfolgen

Sobald ein Betroffener sein Recht auf Einschränkung geltend gemacht hat, dürfen seine personenbezogenen Daten gem. Abs. 2 nur noch mit seiner Einwilligung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeitet werden. Darüber hinaus kann eine Datenverarbeitung trotz Einschränkung erfolgen, wenn sie dem Schutz der Rechte anderer natürlicher oder juristischer Personen dient oder aus Gründen eines wichtigen öffentlichen Interesses der EU oder eines Mitgliedstaates geboten ist.

Als Folge der Einschränkung treffen den Verantwortlichen Mitteilungspflichten aus Art. 18 Abs. 3 und Art. 19 DS-GVO. Demnach muss der Verantwortliche dem Betroffenen im Voraus mitteilen, wenn die Einschränkung der Verarbeitung aufgehoben wird (z. B. nach Überprüfung der Datenrichtigkeit). Zudem ist er verpflichtet, Dritte, an welche die Daten des Betroffenen weitergegeben wurden, über die Einschränkung zu informieren, sodass sie ihre Verarbeitungsprozesse ebenfalls beschränken. Diese Pflicht besteht jedoch nur, soweit die Unterrichtung möglich ist und für den Verantwortlichen keinen unverhältnismäßigen Aufwand darstellt. Darüber hinaus ist dem Betroffenen Auskunft über die Empfänger seiner Daten zu erteilen, sofern er dies vom Verantwortlichen verlangt.

Anwendungsbereich

Betroffene können ein Interesse an einer Einschränkung haben, wenn sie eine Löschung als zu radikal empfinden, diese nicht möglich oder nicht praktisch erscheint. Ein solcher Fall läge vor, wenn von vornherein damit gerechnet werden kann, dass die betroffene Person dem Verantwortlichen die Daten zu einem späteren Zeitpunkt wieder übermitteln möchte; im Fall der Einschränkung müssen die Daten dann nur wieder freigeschaltet und nicht neu erhoben werden.

Damit dem Einschränkungsgesuch der Betroffenen auch gerecht werden kann, sollen geeignete technische und organisatorische Maßnahmen ergriffen werden, damit die jeweiligen personenbezogenen Daten nicht für andere als die in Abs. 2 genannten Zwecke verwendet werden. Es soll durch die jeweiligen Maßnahmen gewährleistet werden, dass die Daten in keiner Weise weiterverarbeitet oder verändert werden. Erwägungsgrund 67 der DS-GVO nennt ein paar Beispiele dazu, wie eine Einschränkung ablaufen kann. Hierzu zählen unter anderem die vorübergehende Übertragung der jeweiligen Daten auf ein anderes Verarbeitungssystem, eine Sperrung der Daten für Nutzer, sowie eine vorübergehende Entfernung der Daten von einer Website. In der Praxis nutzen Unternehmen hierfür meist systemseitiges Flagging (Sperrvermerke im CRM/ERP) oder die Einschränkung von Lese- und Schreibrechten auf bestimmte Personenrollen (z. B. nur noch die Rechtsabteilung).

Ablauf-Checkliste: So reagieren Unternehmen richtig auf ein Einschränkungsersuchen

1. Eingang dokumentieren und Frist notieren: Über die ergriffenen Maßnahmen ist unverzüglich, spätestens innerhalb eines Monats zu informieren (Art. 12 Abs. 3 DS-GVO).
2. Identität prüfen: Nur bei begründeten Zweifeln zusätzliche Nachweise anfordern (Art. 12 Abs. 6 DS-GVO).
3. Grundlage prüfen: Liegt ein Grund nach Art. 18 Abs. 1 lit. a-d DS-GVO vor? Gleichzeitig verbundene Anträge (Art. 16, 17, 21) prüfen.
4. Wenn ja, Einschränkung umsetzen: Daten kennzeichnen und den Zugriff sperren. Weiter verarbeiten nur im Rahmen von Art. 18 Abs. 2 DS-GVO.
5. Wenn nein, ablehnen: Mit Begründung und Hinweis auf Beschwerderecht und Rechtsbehelf (Art. 12 Abs. 4 DS-GVO).
6. Empfänger benachrichtigen: Nach Art. 19 DS-GVO, Auftragsverarbeiter per Weisung. Den Betroffenen auf Verlangen über die Empfänger informieren.
7. Betroffenen informieren: Über die ergriffenen Maßnahmen, innerhalb der Frist. Eine Verlängerung um zwei Monate muss rechtzeitig mitgeteilt werden.
8. Vor Aufhebung unterrichten: Nach Art. 18 Abs. 3 DS-GVO.
9. Alles dokumentieren: Nach Art. 5 Abs. 2 DS-GVO.

Löschung vs. Einschränkung: Fazit zur strategischen Einordnung

Art. 18 DS-GVO ist ein Teil der Betroffenenrechte aus der DS-GVO und entspricht weitestgehend dem Recht auf Sperrung aus dem BDSG aF. Es ist scharf zu trennen vom Recht auf Vergessenwerden aus Art. 17 DS-GVO, welches auf die Löschung von personenbezogenen Daten abzielt. Das Einschränkungsrecht aus Art 18 DS-GVO kann in manchen Fällen interessengerechter sein als das Recht auf Datenlöschung aus Art. 17 DS-GVO. Dies liegt daran, dass die Daten teilweise noch zur Geltendmachung von Rechtsansprüchen benötigt werden oder eine Löschung die Geltendmachung eigener Ansprüche vereiteln würde. Zudem ist zu beachten, dass den Verantwortlichen erweiterte Mitteilungspflichten aus Art. 18 Abs. 3 und Art 19 DS-GVO treffen.

In der Praxis wird bisher relativ selten vom Recht auf Einschränkung Gebrauch gemacht. Ein Antrag auf Datenlöschung ist indes viel häufiger. Dennoch nimmt die Relevanz bei Rechtsstreitigkeiten und komplexen DS-GVO-Auskunftsersuchen zu. Unternehmen sollten daher klare Prozesse zur Einschränkung der Datenverarbeitung etabliert haben.

Sie benötigen Unterstützung bei Betroffenenrechten oder DS-GVO-Compliance?

Ob Erstellung von Lösch- und Sperrkonzepten, Abwehr unberechtigter Betroffenenersuchen oder die datenschutzrechtliche Beratung im Konfliktfall: Das Expertenteam von RICKERT.LAW steht Ihrem Unternehmen mit langjähriger Erfahrung im Datenschutz- und IT-Recht zur Seite.

Nehmen Sie jetzt Kontakt zu uns auf – wir unterstützen Sie gerne!

FAQ: Häufige Fragen zur Einschränkung der Verarbeitung (Art. 18 DS-GVO)