Worum geht's?
In einer zunehmend digitalisierten und vernetzten Welt gewinnt der Schutz personenbezogener Daten immer mehr an Bedeutung. Das Recht auf informationelle Selbstbestimmung bildet dabei eine wichtige Grundlage, um die Privatsphäre und Autonomie des Einzelnen zu wahren. Die meisten Menschen haben vom Selbstbestimmungsrecht gehört – doch was versteht man genau darunter? Ist die Verarbeitung personenbezogener Daten mit dem Recht auf informationelle Selbstbestimmung vereinbar? Und was kann Unternehmen drohen, wenn sie sich nicht an die Regeln des Datenschutzes halten?
1. Was versteht man unter dem Recht auf informationelle Selbstbestimmung?
Das Recht auf informationelle Selbstbestimmung ist eng mit dem Datenschutz verbunden und bezieht sich auf das Recht eines jeden Menschen, selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen. Jede Person sollte also die Kontrolle über ihre eigenen Informationen haben, die ohne ihre Zustimmung weder gesammelt, gespeichert, verarbeitet noch weitergegeben werden dürfen.
In vielen Ländern ist das Recht auf informationelle Selbstbestimmung in Datenschutzgesetzen verankert. In Deutschland und der Europäischen Union übernimmt diese Rolle die Datenschutzgrundverordnung (DSGVO). Auf nationaler Ebene konkretisiert das Bundesdatenschutzgesetz (BDSG) in Deutschland den Datenschutz und die Anforderungen der DSGVO an den Umgang mit personenbezogenen Daten.
Abgeleitet wird dieses Selbstbestimmungsrecht aus dem allgemeinen Persönlichkeitsrecht und der Menschenwürde (Artikel 1 und 2 GG). Als gesondertes Grundrecht auf informationelle Selbstbestimmung ist es jedoch nicht explizit im Grundgesetz (GG) enthalten.
Als personenbezogene Daten zählen alle Daten, mit denen sich eine Person identifizieren lässt – die also nicht anonym sind. Das kann beispielsweise die private Adresse, der Name, die Telefonnummer, die E-Mailadresse oder die Bankverbindung sein.
Sobald diese personenbezogenen Daten verarbeitet werden – indem sie zum Beispiel abgefragt oder gespeichert werden – ist das ein Eingriff in das Recht auf informationelle Selbstbestimmung und in den Datenschutz der betroffenen Person. Da ein solcher Eingriff nicht ohne Weiteres zulässig ist, müssen bestimmte Voraussetzungen vorliegen, die eine Datenerhebung und Verarbeitung erlauben.
2. Wann ist eine Datenverarbeitung trotz Recht auf informationelle Selbstbestimmung zulässig?
Um personenbezogene Daten zu verarbeiten, braucht es in vielen Fällen die klare, ausdrückliche und freiwillige Zustimmung der betroffenen Person. Ohne eine solche Einwilligung kann die Datenverarbeitung gegen das Selbstbestimmungsrecht und den Datenschutz verstoßen.
Obwohl das Recht auf informationelle Selbstbestimmung von großer Bedeutung ist, gibt es Situationen, in denen eine Datenverarbeitung auch ohne ausdrückliche Einwilligung des Betroffenen zulässig ist. Dies kann etwa der Fall sein, wenn die Verarbeitung zur Erfüllung eines Vertrags notwendig ist, um rechtlichen Verpflichtungen nachzukommen oder wenn ein berechtigtes Interesse vorliegt.
Ein berechtigtes Interesse kann zum Beispiel gegeben sein, wenn die Datenverarbeitung für die Wahrung der öffentlichen Sicherheit oder zur Verfolgung von Straftaten erforderlich ist. Dennoch müssen auch in solchen Fällen angemessene Sicherheitsmaßnahmen ergriffen werden, um die Rechte und Freiheiten der betroffenen Personen zu schützen.
Auch für Unternehmen kann das berechtigte Interesse ein Anhaltspunkt sein, um personenbezogene Daten rechtmäßig zu verarbeiten.
3. Welche Rolle spielt das Recht auf informationelle Selbstbestimmung für Unternehmen?
Unternehmen sammeln und verarbeiten oft eine große Menge an personenbezogenen Daten, sei es von Kunden, Mitarbeitern, Bewerbern oder Geschäftspartnern. Somit ist auch das Recht auf informationelle Selbstbestimmung von Bedeutung.
Um das Vertrauen der Betroffenen zu gewinnen und zu erhalten, müssen Unternehmen sicherstellen, dass sie die Datenschutzgesetze einhalten und die Rechte der Einzelpersonen respektieren. Das bedeutet, dass Unternehmen transparent sein müssen, wie sie die Daten sammeln und verwenden. Zudem müssen sie bei der Umsetzung angemessene Sicherheitsmaßnahmen ergreifen, um die Daten vor unbefugtem Zugriff und Missbrauch zu schützen. Das Einholen einer informierten Einwilligung der Betroffenen ist – wenn erforderlich – ebenfalls wichtiger Bestandteil.
Wollen sich Unternehmen auf ein berechtigtes Interesse gemäß DSGVO für die Datenverarbeitung berufen, müssen sie zum einen die betroffene Person über die Verarbeitung der Daten informieren und zum anderen sicherstellen, dass das eigene Unternehmensinteresse an der Datenerhebung die Rechte und Freiheiten der Person nicht beeinträchtigt – denn sonst würde eben kein berechtigtes Interesse vorliegen.
Eine Verarbeitung personenbezogener Daten aufgrund eines berechtigten Interesses wäre z. B. in folgenden Fällen gegeben:
- Direktwerbung
- Betroffene Person ist Kunde des Unternehmens
- Personenbezogene Kundendaten sollen innerhalb des Unternehmens zu Verwaltungszwecken übermittelt werden
- Schutz vor Betrug
- Wahrung der IT-Sicherheit beim Datenschutz im Internet
- Marktforschung, statistische Zwecke
Liegt ein berechtigtes Interesse vor, muss das Unternehmen gewisse Schutzmaßnahmen (sogenannte technische und organisatorische Maßnahmen – TOMs) ergreifen, um dem Risiko einer Datenschutzverletzung entgegenzuwirken.
Worauf Unternehmen außerdem in puncto Datenschutz achten sollten, erfahren Sie in unserem Beitrag „Was müssen Unternehmen nach der DSGVO intern alles regeln?“-
4. Was passiert, wenn Unternehmen gegen das Recht auf informationelle Selbstbestimmung verstoßen?
Ein Verstoß gegen das Recht auf informationelle Selbstbestimmung kann für Unternehmen schwerwiegende Konsequenzen haben. Datenschutzverletzungen können zu rechtlichen und finanziellen Folgen führen, darunter Geldstrafen, Schadensersatzansprüche von betroffenen Personen und Imageschäden für das Unternehmen.
Verstößt ein Unternehmen gegen die Anforderungen der Datenschutzgrundverordnung, können empfindliche DSGVO-Bußgelder drohen – und zwar in Höhe von
- bis zu 20 Millionen Euro oder
- 4 % des weltweiten Vorjahresumsatzes.
Entscheidend für die Höhe des Bußgeldes ist der jeweils höhere Wert. In vielen Ländern gibt es Datenschutzbehörden, die die Einhaltung der Datenschutzgesetze überwachen. Diese Behörden haben die Befugnis in Datenschutzkontrollen Verstöße zu untersuchen, Bußgelder zu verhängen und, falls erforderlich, weitere rechtliche Schritte einzuleiten.
Unternehmen müssen daher sicherstellen, dass sie sowohl intern als auch nach außen hin angemessene Datenschutzmaßnahmen erarbeiten und einsetzen. Auch regelmäßige DSGVO-Datenschutzaudits helfen, Verstöße zu vermeiden und die Privatsphäre von Kunden, Mitarbeitern und sonstigen Dritten zu schützen – sowohl im Netz als auch in der realen Welt.
5. FAQ: Häufige Fragen zum Recht auf informationelle Selbstbestimmung
