Worum geht's?
Die Datenschutzgrundverordnung (DSGVO) regelt in Deutschland und der EU, wie Unternehmen, Behörden, Vereine und andere Stellen mit personenbezogenen Daten umgehen müssen. Für die Erhebung und Verarbeitung von Daten, die Rückschlüsse auf Personen zulassen, legt sie bestimmte Datenschutzgrundsätze fest. Einer der zentralen Prinzipien ist die Datenrichtigkeit. Was man unter dem Grundsatz der Richtigkeit im Datenschutz versteht, wie Unternehmen die Datenrichtigkeit sicherstellen und was zu tun ist, wenn Sie es mit unkorrekten Daten zu tun bekommen, lesen Sie in diesem Artikel.
1. Was bedeutet der Grundsatz der Richtigkeit?
Der Grundsatz der Richtigkeit personenbezogener Daten ist wie die anderen Leitprinzipien der Datenschutzgrundverordnung in Art. 5 DSGVO festgehalten und lautet:
„Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“).“
Einfach erklärt sagt der Grundsatz der Datenrichtigkeit beim Umgang mit personenbezogenen Daten also aus, dass Unternehmen
- personenbezogene Daten nicht verarbeiten dürfen, ohne sicherzustellen, dass diese richtig und aktuell sind.
- unrichtige personenbezogene Daten unmittelbar löschen bzw. korrigieren müssen.
Nur wenn diese Grundprinzipien bei der Verarbeitung von Daten mit Personenbezug befolgt werden, wird das Recht auf informationelle Selbstbestimmung der betroffenen Personen gewahrt – und das nimmt im Datenschutz eine zentrale Rolle ein.
Was heißt „richtig“ im Sinne der DSGVO?
„Richtig“ sind personenbezogene Daten dann, wenn sie den Tatsachen entsprechen, also mit der Realität übereinstimmen. Was zunächst eigentlich ganz einfach klingt, ist in der Realität oftmals gar nicht so leicht zu bestimmen – denn Daten und Informationen können absolut – also zu jedem Zeitpunkt – richtig sein (z. B. das Geburtsdatum einer Person) oder auch nur zu einem bestimmten Zeitpunkt (z. B. der amtierende Bundeskanzler).
WUSSTEN SIE'S?
Auch kann sich die Korrektheit ändern: Zieht etwa eine Person um, ist die alte Anschrift zwar immer noch richtig – denn in der Regel gibt es Straße, Hausnummer und den Ort ja noch –, in Bezug auf die konkrete Person sind die Daten jedoch falsch, denn sie ist unter der Adresse nicht mehr erreichbar.
Wenn es um richtige und unrichtige Daten im Sinne der DSGVO geht, kommt es also immer auf den Kontext an. In Bezug auf die Verarbeitung personenbezogener Daten spricht man auch vom konkreten Verarbeitungszweck.
Warum ist der Grundsatz der Richtigkeit im Datenschutz so wichtig?
Vielleicht fragen Sie sich, warum eine solch kleinteilige Unterscheidung überhaupt wichtig ist. Nun: Es gibt personenbezogene Daten, bei denen es eine entscheidende Rolle spielt, ob sie den realen Tatsachen entsprechen oder nicht.
Eines der bekanntesten Beispiele sind Auskunfteien wie die Schufa. Liegen hier unkorrekte Daten über eine Person vor – z. B. über Ratenzahlungen oder geleistete Kredittilgungen – kann es passieren, dass Kreditwürdigkeit und Bonität der Person fälschlicherweise als zu gering eingestuft werden. Die Folge: Die betroffene Person bekommt keinen Kredit, wird bei der Wohnungssuche von Vermietern abgelehnt oder kann keinen Mobilfunkvertrag abschließen.
Nutzt die Schufa falsche oder veraltete Daten, um auf Basis des Scores die Bonität zu berechnen, hat das somit weitreichende negative Konsequenzen für die betroffene Person. Unternehmen (unabhängig ob Auskunftei oder nicht) sind daher verpflichtet, für die Datenrichtigkeit zu sorgen. Sind Daten falsch oder unvollständig (geworden), muss das Unternehmen diese unverzüglich korrigieren bzw. löschen.
Gut zu wissen
Betroffene Personen können diesen Anspruch gegenüber Unternehmen und anderen Stellen, die mit ihren personenbezogenen Daten arbeiten, einfordern. Das ist in der Datenschutz-Grundverordnung festgelegt – und zwar als Recht auf Berichtigung und Löschung.
2. Was sind die Merkmale des Grundsatzes der Richtigkeit im Datenschutz?
Gemäß Datenschutzgrundverordnung gibt es drei Aspekte bzw. Merkmale, die beim Grundsatz der Datenrichtigkeit eine zentrale Rolle spielen: Datenwahrheit, Datenaktualität und Datenvollständigkeit.
- Datenwahrheit: Personenbezogene Daten müssen hinsichtlich ihres Verarbeitungszwecks sachlich richtig sein. Dazu gehört auch, dass sie der betroffenen Person eindeutig zugeordnet werden können.
- Datenaktualität: Die Daten müssen aktuell und auf dem neuesten Stand gehalten werden. Das gilt auch für Daten, die mit der Zeit ihre rechtliche Relevanz verlieren, wie z. B. eine arbeitsrechtliche Abmahnung. Kommen neue Daten hinzu, sollten die alten, gespeicherten auf ihre Aktualität und Richtigkeit hin geprüft werden.
- Datenvollständigkeit: Personenbezogene Daten sind nicht nur dann unrichtig, wenn sie nicht die Tatsachen widerspiegeln, sondern auch dann, wenn sie unvollständig sind. Betroffene haben ein Recht auf Datenvollständigkeit.
Bereits kleine Details wie beispielsweise ein nicht erfasster Zahlungseingang trotz fristgemäßer Zahlung, können bei der Datenverarbeitung schwerwiegende Auswirkungen auf die betroffene Person haben – beispielsweise dann, wenn ein Vertragsabschluss aufgrund unvollständiger Daten abgelehnt wird. Betroffene haben gegenüber dem Verantwortlichen daher immer ein Recht auf Berichtigung und Löschung fehlerhafter Daten.
PRAXIS-TIPP
Oft ist der Zweck der Verarbeitung die ordnungsgemäße Erfüllung eines Vertrags. Ohne Vollständigkeit der Daten ist diese nicht möglich. Führen Sie ein DSGVO-Verarbeitungsverzeichnis, um den Verarbeitungszweck zu definieren. Dieses dient darüber hinaus auch zur Prüfung der Rechtmäßigkeit einzelner Datenverarbeitungen sowie Auskunftsansprüchen Betroffener. Gegenüber der Aufsichtsbehörde können Sie durch das Verzeichnis die Einhaltung der DSGVO nachweisen.
3. Worauf müssen Unternehmen in Bezug auf die Richtigkeit der Daten achten?
Jede Organisation, die personenbezogene Daten verarbeitet – sei es ein Unternehmen, Solo-Selbstständige, Großkonzern, öffentliche Behörde oder gemeinnütziger Verein – muss sich an den Grundsatz der Datenrichtigkeit halten. Liegen Daten von Personen nicht richtig vor oder sind unvollständig, sind diese zu korrigieren. Ist das nicht möglich, entfällt der legitime Zweck der Datenverarbeitung und die Daten müssen unverzüglich gelöscht werden.
Dabei gilt:
- Je größer der Umfang,
- je länger die Dauer und
- je zahlreicher die Zwischenschritte
der Datenverarbeitung, desto höher ist die Gefahr, dass die Daten nicht korrekt sind und die Verarbeitung gegen die Datenrichtigkeit verstößt. Nicht nur diese spielt dann eine Rolle, sondern auch andere Datenschutzgrundsätze wie die Datenminimierung, die Speicherbegrenzung, Treu und Glauben, Transparenz.
Je größer die Folgen einer Verarbeitung fehlerhafter Daten für die betroffene Person sind, desto mehr muss das verarbeitende Unternehmen tun, um die Datenrichtigkeit zu garantieren. Das betrifft nicht nur, aber insbesondere Unternehmen wie Auskunfteien, bei denen Daten nicht unverzüglich korrigiert werden können, da sie an Dritte weitergeleitet werden.
Nicht nur die Unternehmen selbst, sondern auch Auftragsverarbeiter trifft der Grundsatz der Datenrichtigkeit. Lassen Sie in Ihrem Unternehmen personenbezogene Daten durch externe Dienstleister verarbeiten (Stichwort: Auftragsverarbeitung), müssen Sie dafür sorgen, dass unrichtige oder unvollständige Daten nicht nur betriebsintern, sondern auch in den Datenbanken der Auftragsverarbeiter aktualisiert und korrigiert werden.
Verarbeiten Sie über einen langen Zeitraum personenbezogene Daten, steigt die Wahrscheinlichkeit, dass diese mit der Zeit unrichtig werden. Halten Sie diese daher stets aktuell und auf dem neuesten Stand.
Um die Datenrichtigkeit zu gewährleisten, sollten Sie (ähnlich wie bei der Datensicherheit) durch geeignete technische und organisatorische Maßnahmen (TOM) die Fehleranfälligkeit minimieren – zum Beispiel indem Sie Ihre Mitarbeitenden im korrekten Umgang mit Betroffenenrechten schulen.
4. Was müssen Unternehmen tun, wenn Daten unrichtig sind?
Besteht die Annahme, dass Sie in Ihrem Unternehmen personenbezogene Daten verwenden, die unrichtig oder unvollständig sind, treffen Sie als Verantwortlichen für die Verarbeitung bestimmte Pflichten:
- Überprüfungspflicht: Überprüfen Sie aktiv und unverzüglich die Datenrichtigkeit, wenn Betroffene die Korrektheit ihrer personenbezogenen Daten anzweifeln oder Sie anderweitig Kenntnis darüber erlangen.
- Berichtigungspflicht: Stellt sich im Zuge der Überprüfung heraus, dass die Daten tatsächlich falsch oder unvollständig sind, müssen Sie diese berichtigen, ergänzen bzw. löschen, wenn eine Korrektur nicht möglich ist oder der Zweck der Datenverarbeitung nicht mehr besteht. Können Sie die Datenrichtigkeit nicht zweifelsfrei feststellen, dürfen Sie die Daten ebenfalls nicht weiterverarbeiten.
- Mitteilungspflicht: Sind Sie Ihren Überprüfungs- und Berichtigungspflichten nachgekommen, müssen Sie die betroffene Person darüber informieren. Auch wenn Sie dies grundsätzlich auch mündlich (z. B. am Telefon) machen dürfen, empfiehlt sich aus Dokumentationsgründen die Schriftform (z. B. als Mitteilung per Mail). Die Mitteilung muss unentgeltlich und in einfacher und verständlicher Sprache erfolgen.
- Nachberichtspflicht: Nicht nur den Betroffenen müssen Sie über die Datenberichtigung bzw. Löschung informieren, sondern auch alle weiteren Empfänger der Daten. Haben sich Daten über eine Person geändert, ist dies z. B. Auftragsverarbeitern, Tochtergesellschaften und weiteren Dienstleistern mitzuteilen.
5. Datenschutzgrundsätze missachtet: Mögliche Folgen
Die Datenrichtigkeit ist ein zentraler Grundsatz der Datenschutz-Grundverordnung. Wer sich nicht daran hält und personenbezogene Daten ohne Rücksicht auf deren Richtigkeit und Unvollständigkeit erhebt und verarbeitet, verstößt gegen die DSGVO. Die Folge: Empfindliche DSGVO-Bußgelder.
Zwar müssen Sie als Unternehmen nicht proaktiv Ihre Datenbestände auf Datenrichtigkeit überprüfen – doch spätestens, wenn sich eine betroffene Person mit der Bitte um Berichtigung oder Löschung der Daten an Sie wendet, müssen Sie tätig werden. Missachten Sie das Recht des Betroffenen, kann sich dieser an die zuständigen Datenschutzbehörden wenden.
AUFGEPASST
Sie riskieren als Unternehmer aber nicht nur ein Bußgeld der Behörden, sondern auch eine teure DSGVO-Abmahnung von Verbraucherschutzverbänden und Mitbewerbern. Sind der betroffenen Person materielle Schäden durch die unkorrekten, über sie gespeicherten Daten entstanden, kann diese zudem Schadenersatz von Ihnen fordern.
Es gilt also: Vermeiden Sie Ärger und teure Rechtsstreitigkeiten, indem Sie den Datenschutz-Grundsatz der Richtigkeit bei der Verarbeitung personenbezogener Daten im Hinterkopf behalten – nicht nur hinsichtlich des Datenschutzes im Internet, sondern auch offline.
Die DSGVO ist jedoch mehr als nur Datenrichtigkeit. Bei der Vielzahl der gesetzlichen Regelungen und Vorgaben ist es für Unternehmen nicht leicht, den Überblick zu behalten – und so bereitet die Datenschutz-Grundverordnung auch 5 Jahre nach Inkrafttreten vielen Firmen und Einzelunternehmern immer noch Kopfschmerzen. Doch keine Sorge: Wir von eRecht24 unterstützen Sie auf Ihrem Weg zum DSGVO-konformen Unternehmen.
- Informieren Sie sich über „Die Top 7 DSGVO-Vorgaben, die Webseitenbetreiber 2023 immer noch nicht umgesetzt haben“.
- Erfahren Sie alles Wichtige über die jüngsten Entwicklungen beim Thema Datenschutz und USA im aktuellen Artikel „Privacy Shield 2.0: Datentransfer in die USA“.
- Lesen Sie, was Sie als Unternehmer neben Datenrichtigkeit laut DSGVO außerdem beachten sollten im Artikel „Was müssen Unternehmen nach der DSGVO intern alles regeln?“.
Genug gelesen?
Dann werden Sie jetzt aktiv und bringen Sie Ihr Unternehmen in Sachen Datenschutz auf den neuesten Stand.
6. Häufige Fragen zur Datensicherheit
