Art. 19 DSGVO – das oft vergessene Betroffenenrecht

Art. 19 legt zwei zentrale Pflichten fest:

1. Der Verantwortliche muss allen Empfängern, an die personenbezogene Daten offengelegt wurden, jede Berichtigung, Löschung oder Einschränkung der Verarbeitung mitteilen – sofern dies nicht unmöglich ist oder mit unverhältnismäßigem Aufwand verbunden wäre.
2. Wird diese Mitteilungspflicht wahrgenommen und verlangt die betroffene Person Auskunft darüber, wer die Empfänger sind, muss der Verantwortliche diese Informationen der betroffenen Person zur Verfügung stellen.

Der Zweck ist klar: Sobald Daten berichtigt oder gelöscht werden, müssen jene Dritten informiert werden, die diese Daten zuvor erhalten hatten, damit dort ebenfalls die korrigierte Version vorliegt und keine Inkonsistenzen entstehen.

Warum ist die Vorschrift häufig übersehen?

• Art. 19 findet sich nicht in den üblichen Informationspflichten gegenüber Betroffenen (z. B. Art. 13/14 DSGVO).
• Viele Datenschutzerklärungen erwähnen diese Pflicht nicht – daher fehlt oft das Bewusstsein bei Verantwortlichen.
• Die Begriffe „unmöglich" oder „unverhältnismäßiger Aufwand" sind nicht klar normiert, was Unsicherheit in der praktischen Umsetzung erzeugt.
• Beispiele aus der Praxis oder Entscheidungen hierzu sind bislang selten publiziert.

Umsetzungspraxis: Worauf müssen Verantwortliche achten? Empfängerliste führen

Verantwortliche sollten eine Übersicht jener Dritten führen, an die personenbezogene Daten übermittelt wurden – dies erleichtert die spätere Mitteilungspflicht nach Art. 19 DSGVO.

Mitteilung bei Berichtigung, Löschung oder Einschränkung

Wenn die betroffene Person eine Berichtigung, Löschung oder Einschränkung ihrer Daten verlangt, muss der Verantwortliche prüfen, ob Daten zuvor an externe Empfänger übermittelt wurden. Falls ja, ist eine Mitteilung zwingend – außer der Aufwand wäre unverhältnismäßig oder unmöglich.

Auskunft gegenüber der betroffenen Person

Fordert die betroffene Person Auskunft darüber, welche Empfänger informiert wurden, ist diese Auskunft zu erteilen.

Dokumentation

Eine lückenlose Dokumentation der erfolgten Mitteilungen – bzw. der Beurteilung einer möglichen Unmöglichkeit oder des unverhältnismäßigen Aufwands – gehört zur Rechenschaftspflicht.

Risiken bei Nicht-Beachtung

Wenn Art. 19 DSGVO nicht beachtet wird:

• Empfänger kennen evtl. weiterhin veraltete oder falsche Daten – was Folgen für Betroffene haben kann.
• Verantwortliche verletzen ihre Pflichten und riskieren Bußgelder oder Schadensersatzansprüche gemäß Art. 82 DSGVO.
• Das Vertrauen von Betroffenen kann erheblich beschädigt werden.

Art. 19 DSGVO bleibt ein „verstecktes" Betroffenenrecht – dabei ist die Mitteilungspflicht ein wichtiger Bestandteil des Datenschutzsystems. Wer Daten ändert oder löscht, muss daran denken: Auch die Empfänger sind zu informieren – und die betroffene Person kann Auskunft über die Empfänger verlangen. Verantwortliche sollten daher Prozesse etablieren, Empfängerliste führen und Dokumentation sicherstellen.

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz