Serie Betroffenenrechte: Das Widerspruchsrecht nach Art. 21 DSGVO

Nach der Einleitung zu allgemeinen Regelungen des Art. 12 DSGVO, unseren Erläuterungen zum Auskunftsrecht gemäß Art. 15 DSGVO, den Artikeln zum Berichtigungs- und Löschungsrecht gemäß Artt. 16 und 17 DSGVO, zum Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO und zum Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO folgt hiermit der siebte Beitrag unserer Reihe zu den Betroffenenrechten.

In dem vorliegenden Artikel beschäftigen wir uns mit dem „Widerspruchsrecht“ nach Art. 21 DSGVO, wobei man hier richtigerweise von Widerspruchsrechten (Plural) sprechen müsste, denn Art. 21 DSGVO enthält je nach Verarbeitungssituation unterschiedlich ausgestaltete Möglichkeiten für eine betroffene Person, einer rechtmäßigen Verarbeitung ihrer personenbezogenen Daten zu widersprechen mit der Folge, dass die Datenverarbeitung gem. Art. 21 Abs. 1 S. 2 DSGVO unverzüglich zu beenden wäre. Beenden bedeutet in diesem Fall jedoch lediglich, dass die Daten nicht weiterverarbeitet werden. Zu beachten ist dabei: Eine automatische Löschung der Daten findet nicht zwingend statt. Auf den Umfang und die konkrete Umsetzung des Verarbeitungsverbots sowie die Rechtsfolgen wird im Folgenden näher eingegangen.

Mit unserem heutigen Beitrag möchten wir die einzelnen Widerspruchstatbestände des Art. 21 DSGVO genauer betrachten und einige Handlungsempfehlungen für den richtigen Umgang mit dem jeweiligen Widerspruchsrecht einer betroffenen Person geben.

Welche Widerspruchsrechte enthält Art. 21 DSGVO?

Art. 21 DSGVO enthält insgesamt drei Widerspruchstatbestände, die in Absatz 1, den Absätzen 2 und 3 sowie in Absatz 6 geregelt sind. Je nachdem, welcher Sachverhalt zugrunde liegt, ist das entsprechende Recht aus Sicht einer betroffenen Person entweder sehr restriktiv oder aber sehr großzügig ausgestaltet.

Am einfachsten kann das Widerspruchsrecht gemäß Art. 21 Abs. 2 und 3 DSGVO im Fall der Direktwerbung geltend gemacht werden. Hier kann eine betroffene Person, deren Daten für Zwecke der Direktwerbung verarbeitet werden (beispielsweise auf der Grundlage des berechtigten Interesses des Verantwortlichen gemäß Art. 6 Abs. 1 lit. f DSGVO), der Verarbeitung jederzeit ohne eine Begründung widersprechen. Für den Verantwortlichen gibt es hier keinerlei Möglichkeiten, dem Widerspruch entgegenzuwirken. Die Verarbeitung ist einzustellen.

Beim allgemeinen Widerspruchsrecht gemäß Art. 21 Abs. 1 DSGVO, wenn es sich also nicht um Datenverarbeitung zu Werbezwecken, sondern um Verarbeitung zur Wahrnehmung öffentlicher Aufgaben gemäß Art. 6 Abs. 1 lit. e DSGVO oder berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO (inklusive Profiling) handelt, wird es für die betroffene Person deutlich enger. Damit der gewünschte Effekt – Beendigung der Verarbeitung – eintritt, müssen hier Gründe vorgetragen werden, die sich aus der besonderen Situation, in der sich die betroffene Person befindet, ergeben. Zu beachten ist, dass das Widerspruchsrecht nur besteht, wenn die Verarbeitung auf der Grundlage des Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt. Findet die Verarbeitung hingegen auf Basis einer anderen Rechtsgrundlage des Art. 6 Abs. 1 DSGVO statt (beispielsweise zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO oder zur Erfüllung einer rechtlichen Verpflichtung gemäß Art. 6 Abs. 1 lit. c DSGVO), ist die betroffene Person zur Ausübung des Widerspruchsrechts nicht berechtigt.

Ähnlich schwierig gestaltet sich die Durchsetzung des Widerspruchsrecht für eine betroffene Person nach Art. 21 Abs. 6 DSGVO, soweit die Daten zu historischen, statistischen oder wissenschaftlichen Zwecken verarbeitet werden, denn auch hier wird das Widerspruchsrecht an eine Begründung in Form einer besonderen Situation der betroffenen Person geknüpft.

Anspruchsvoraussetzungen und Verbotsausnahmen

Wie oben bereits festgestellt wurde, hängt die Möglichkeit, ein Widerspruchsrecht nach Art. 21 Abs. 1 sowie 6 DSGVO (wenn es also nicht um Werbung geht) geltend zu machen, entscheidend davon ab, ob man als betroffene Person Gründe darlegen kann, „die sich aus ihrer besonderen Situation ergeben“. An die besondere Situation sind hohe Ansprüche zu stellen, hierzu weiter unten mehr.

Schutzwürdige Gründe des Verantwortlichen

Zudem ist zu beachten, dass dem begründeten Widerspruchsrecht der betroffenen Person keine Verbotsausnahmen entgegenstehen dürfen. Als solche Verbotsausnahmen kommen die zwingenden schutzwürdigen Gründe in Betracht, die ein Verantwortlicher für die Verarbeitung nachweisbar vorbringen kann, die eine Weiterverarbeitung rechtfertigen würden. Zudem greift das Verarbeitungsverbot auch dann nicht ein, wenn der Verantwortliche die Verarbeitung zur „Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen“ durchführt.

Interessenabwägung…

Liegen solche zwingenden Gründe vor oder dient die Verarbeitung den rechtlichen Interessen des Verantwortlichen, bedeutet dies nicht, dass das (allgemeine) Widerspruchsrecht abgelehnt werden kann, denn es muss zwingend eine Abwägung der Gründe mit den Interessen, Rechten und Freiheiten der betroffenen Personen stattfinden. Die Interessen, Rechte und Freiheiten der betroffenen Person dürfen die zwingenden Weiterverarbeitungsgründe und die Interessen des Verantwortlichen nicht überwiegen. Bezüglich der Durchführung einer Interessenabwägung kann an dieser Stelle auf die Ausführungen zu der Regelung des Art. 6 Abs. 1 lit. f DSGVO verwiesen werden.

… oder auch nicht

Im Fall des Art. 21 Abs. 6 DSGVO, wenn es also um die Verarbeitung für die historischen, statistischen oder wissenschaftlichen Zwecke geht, wird eine Interessenabwägung übrigens nicht verlangt. Hier muss stattdessen geprüft werden, ob die Verarbeitung zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist.

Im Folgenden konzentrieren wir uns auf die Tatbestandsvoraussetzung der „besonderen Situation“ der betroffenen Person sowie die Verbortsausnahmen, die eine Weiterverarbeitung rechtfertigen können.

„Besondere Situation“ – was ist damit gemeint?

Zur Begründung des Widerspruchs muss die betroffene Person Gründe vortragen, die sich aus ihrer besonderen Situation ergeben. Als besondere Situation wird dabei eine vom Normalfall abweichende und atypische persönliche Sondersituation einer betroffenen Person verstanden, die einen Einzelfall und nicht lediglich „allgemeine“ Sondersituationen betrifft (vgl. Paal/Pauly/Martini, Art. 21 Rn. 30). Eine lediglich allgemeine Sondersituation, die eine Vielzahl von Personen betrifft, und nicht in besonderer Weise nur den Widerspruchsführer, führt in der Regel nicht zu einem Widerspruchsrecht der Verarbeitung.

Dies halten wir für eine sehr wichtige Information. Als externe Datenschutzbeauftragte erreichen uns zahlreiche Widersprüche, die gegenüber unseren Mandanten geltend gemacht werden sollen. In der überwiegenden Zahl scheitern die Widersprüche genau aus diesem Grund.

Als Beispiele für atypische und persönliche Einzelfallsituationen, die im Rahmen des Art. 21 DSGVO als ausreichend angesehen werden, können folgende Fallkonstellationen angeführt werden:

Eine betroffene Person, kann der Verarbeitung ihrer Daten auf einer Internetseite widersprechen, wenn dort beispielsweise ihre Privatanschrift veröffentlicht wird, sie jedoch beispielsweise als eine politisch engagierte Person Morddrohungen erhält und die Veröffentlichung der Daten aus diesem Grund nicht hinnehmbar ist (vgl. Schwartmann/Jaspers/Thüsing/Kugelmann/Atzert, Art. 21 Rn. 24),
Eine Person, die von Datenschutzverletzungen bereits betroffen war, will durch die Ausübung des Widerspruchsrechts der Wiederholung solcher Verletzungen vorbeugen (vgl. Däubler in Däubler/Klebe/Wedde/Weichert, § 35 BDSG, Rn. 34),
Eine betroffene Person übt das Widerspruchsrecht aus, um ihre geschäftlichen Interessen an der Geheimhaltung zu schützen (vgl. Paal/Pauly/Martini, Art. 21 Rn. 30).

Wann kann der Widerspruchsanspruch abgelehnt werden?

Ein Widerspruchsrecht der betroffenen Person kann (neben einer häufig fehlenden besonderen persönlichen Situation der betroffenen Person) durch den Verantwortlichen nur dann abgelehnt werden, wenn er einen „schutzwürdigen“ und „zwingenden“ Grund vorbringen kann oder die Verarbeitung der „Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen“ dient.

Ablehnung aufgrund der schutzwürdigen und zwingenden Gründe

„Schutzwürdig“ sind die Gründe dann, wenn im Rahmen der Interessenabwägung festgestellt wurde, dass die „berechtigten Interessen“ des Verantwortlichen die Interessen der betroffenen Person überwiegen. „Zwingend“ sind sie, wenn der Verantwortliche die Verarbeitungszwecke nicht mit Hilfe alternativer Mittel erreichen kann (vgl. vgl. Schwartmann/Jaspers/Thüsing/Kugelmann/Atzert, Art. 21 Rn. 47). Beispielsweise wären die Berufsfreiheit, das Recht am eingerichteten und ausgeübten Gewerbebetrieb als ein schutzwürdiger zwingender Grund anzusehen, soweit die Ausübung dieser Rechte durch die Ausübung des Widerspruchsrechts unmöglich gemacht wird und dem Verantwortlichen kein anderes Mittel zur Durchsetzung seiner Rechte zur Verfügung steht.

Ablehnung aus Gründen der Rechtsverteidigung

Erfolgt die Verarbeitung ausschließlich deshalb, weil der Verantwortliche die Verarbeitung durchführt, um seine Rechtspositionen zu verteidigen oder auszuüben, kann das Widerspruchsrecht nicht mehr ausgeübt werden. Dies wäre insbesondere dann der Fall, wenn die Daten einer betroffenen Person gespeichert werden, solange Klagefristen laufen oder aber auch im Fall der Übermittlung von Dokumentenkopien an einen beauftragten Rechtsbeistand.

Umfang und Umsetzung des Verarbeitungsverbots

Soweit die Prüfung ergibt, dass die Anspruchsvoraussetzungen gegeben sind und keine Verbotsausnahmen greifen, ist das Widerspruchsrecht durch den Verantwortlichen umzusetzen. Als Vorgabe zur Umsetzung des Widerspruchsrechts findet sich im Gesetz wörtlich: „der Verantwortliche verarbeitet die Daten nicht mehr“. Weitere Vorgaben macht der Gesetzgeber nicht. Da auch die bloße Speicherung von Daten unter den Begriff der Verarbeitung fällt (siehe Art. 4 Nr. 2 DSGVO) muss in vielen Fällen (Ausnahme siehe weiter unten) nach erfolgreichem Widerspruch die Löschung der Daten erfolgen. Diesbezüglich verpflichtet auch Art. 17 Abs. 1 lit. c DSGVO den Verantwortlichen explizit im Fall eines begründeten Widerspruchs, die Daten der betroffenen Person zu löschen. Im Hinblick auf mögliche Missverständnisse, die bei der Auslegung des Antrags einer betroffenen Person entstehen könnten, empfiehlt es sich, bei der betroffenen Person zu fragen, ob Datenlöschung oder aber Einschränkung der Verarbeitung gemäß Art. 18 Abs. 1 lit. d DSGVO gewünscht ist. Bei einem Irrtum besteht die Gefahr, dass bei einer endgültigen Löschung der Daten der Verantwortliche eine meldepflichtige Datenschutzverletzung hätte.

Zu beachten ist, dass sich der Widerspruch auf eine zu benennende Verarbeitung bezieht. Weitere Verarbeitungen, die gegebenenfalls sogar auf anderen Rechtsgrundlagen beruhen, sind also weiter zulässig. Soweit der Widerspruch sich beispielsweise gegen die Werbemaßnahmen richtet, ist nur die Verarbeitung der Daten für diese Zwecke unzulässig. Die Speicherung der Daten der betroffenen Person für Vertragsdurchführungszwecke ist jedoch weiterhin erlaubt, so dass die Datenlöschung hier nicht zulässig und nicht verpflichtend wäre.

Gemäß Art. 12 Abs. 3 DSGVO ist die betroffene Person über die Maßnahmen, die durch den Verantwortlichen getroffen wurden, zu informieren. Die Informationspflicht trifft den Verantwortlichen gemäß Art. 12 Abs. 4 DSGVO auch dann, wenn er keine Maßnahmen ergreift. In diesem Fall muss der Verantwortliche auch Gründe für sein Untätigbleiben nennen. Hierzu hat der Verantwortliche einen Monat Zeit.

Fazit

Wie man sieht, ist das Widerspruchsrecht, soweit es um den Widerspruch bei Werbemaßnahmen geht, ein sehr mächtiges Recht, da es bis auf die Tatsache der Datenverarbeitung für Zwecke der Direktwerbung an keine weiteren Voraussetzungen geknüpft ist. Bei den anderen einschlägigen Sachverhalten wird dieses Recht jedoch eher überschätzt, da die Voraussetzungen für seine Ausübung, wie man erkennen kann, häufig nicht einfach zu erfüllen sind. Im Ergebnis kann festgestellt werden, dass die Verantwortlichen in der Pflicht sind, die Tatbestandsvoraussetzungen genau zu prüfen und bei deren Vorliegen entsprechend der gesetzlichen Forderung zu reagieren. Hier ist jedoch insbesondere vor den Extremen – dem Nichtstun oder aber auch vor einer voreiligen standardmäßigen Datenlöschung („privacy by default“ funktioniert anders) – zu warnen, denn das sind die denkbar schlechtesten der Reaktionsalternativen auf einen Widerspruch gegen eine Datenverarbeitung.

Sind Sie unsicher, wie Sie das Thema Betroffenenrechte rechtskonform angehen sollen? Sprechen Sie uns an, wir helfen Ihnen gerne!

Dieser Artikel ist Teil unserer Reihe zu den Betroffenen-Rechten. Die anderen finden Sie hier: