Carlotta Rigotti, Andrés Chomczyk Penedo, Alessandro Ortalda, Paul De Hert (alle VUB)
Danksagung: Die Autoren danken Rosario Duaso Cales und Saverio Carusso für ihre Kritik und ihre Anregungen.
Dieser Teil der Leitlinien wurde von Willem Debeuckelaere, dem ehemaligen Präsidenten der belgischen Datenschutzbehörde und stellvertretenden Vorsitzenden des Europäischen Datenschutzausschusses, validiert.
Kapitel 3 der Datenschutz-Grundverordnung sieht eine Reihe von Rechten vor, die die betroffenen Personen zum Schutz ihrer personenbezogenen Daten ausüben können. Obwohl jedes Recht spezifische Details und Probleme aufweist, die sich auf die IKT-Forschung[1] auswirken und von ihr beeinflusst werden könnten, weisen sie alle einige allgemeine Merkmale hinsichtlich der transparenten Information, Kommunikation und Modalitäten für die Ausübung der Recht auf (Artikel 12 DSGVO). Bevor wir uns der Analyse der einzelnen Rechte widmen (Artikel 13–22 DSGVO), sollten wir kurz einige Punkte erwähnen, die jeder Forscher und jede Forschungseinrichtung berücksichtigen sollte, wenn sie eines der Rechte der betroffenen Person wahrnehmen wollen.
Artikel 12 Absatz 1 DSGVO legt zunächst fest, wie die betroffenen Personen informiert werden müssen, damit sie ihre Rechte wirksam ausüben können. Kurz gesagt muss der Verantwortliche korrekte und umfassende Informationen bereitstellen und dabei unnötige Informationen vermeiden. Darüber hinaus muss die verwendete Sprache für die durchschnittlich betroffene Person verständlich sein und die Informationen müssen in schriftlicher Form zur Verfügung gestellt werden (es sei denn, die betroffene Person wünscht etwas anderes). Diesbezüglich werden in Abschnitt 6.1 weitere Einzelheiten erläutert.
Was den zeitlichen Rahmen betrifft, so muss der Verantwortliche auf der Grundlage von Artikel 12 Absatz 3 DSGVO unverzüglich, auf jeden Fall aber innerhalb eines Monats nach Eingang des Antrags, Auskunft über die Maßnahmen erteilen, die auf einen Antrag hin zur Ausübung des Rechts der betroffenen Person getroffen wurden. Diese Frist kann bei Bedarf um zwei weitere Monate verlängert werden, sofern der Verantwortliche die betroffene Person innerhalb eines Monats nach Eingang des Antrags über die Verlängerung informiert und diese begründet.
Artikel 12 Absatz 5 DSGVO ermöglicht es dem Verantwortlichen, den Antrag einer betroffenen Person abzulehnen, wenn dieser offensichtlich unbegründet oder übertrieben ist. Einige Beispiele hierfür wären: Die betroffenen Personen haben nicht die Absicht, ihre Rechte auszuüben (und verlangen beispielsweise Vergünstigungen als Gegenleistung für die Rücknahme des Antrags), versuchen, den Verantwortlichen zu belästigen, stellen identische Anträge im gleichen Zeitraum usw. Gleichzeitig ist in Artikel 12 Absatz 5 DSGVO festgelegt, dass die Ausübung der Rechte jeder betroffenen Person kostenlos sein muss, es sei denn, der Verantwortliche kann nachweisen, dass der Antrag offensichtlich unbegründet oder unverhältnismäßig war. In diesem Fall kann der Verantwortliche eine angemessene Gebühr erheben, die die Verwaltungskosten des Verfahrens berücksichtigt.
Hat der Verantwortliche begründete Zweifel an der Identität der Person, die einen Antrag stellt, kann er auf der Grundlage von Artikel 12 Absatz 6 DSGVO zusätzliche Informationen anfordern, um die Identität der betroffenen Person zu bestätigen.
Ausübung der Rechte der betroffenen Person: Transparenz, Kommunikation und Modalitäten: ☐ Die bereitgestellten Informationen müssen: ☐ korrekt und umfassend sein, sodass unnötige Angaben vermieden werden; ☐ für die durchschnittlich betroffene Person verständlich sein; ☐ leicht zugänglich sein, sei es in schriftlicher Form oder auf andere Art und Weise; ☐ in einer Sprache verfasst sein, die die betroffene Person gut beherrscht. ☐ Die Informationen müssen bereitgestellt werden: ☐ unverzüglich und in jedem Fall innerhalb eines Monats nach dem Antrag der betroffenen Person; ☐ innerhalb von zwei Monaten nach dem Antrag der betroffenen Person, falls erforderlich und nach Mitteilung und Begründung innerhalb eines Monats nach dem Antrag der betroffenen Person; ☐ Der Antrag der betroffenen Person kann abgelehnt werden, sofern dieser: ☐ offensichtlich unbegründet ist; ☐ exzessiv ist; ☐ Die Ausübung der Rechte jeder betroffenen Person muss unentgeltlich sein. Ist der Antrag offensichtlich unbegründet oder exzessiv, kann eine angemessene Gebühr erhoben werden. ☐ Zur Bestätigung der Identität der betroffenen Person können zusätzliche Informationen angefordert werden. |
Quellenangaben
1Wie Ducato gezeigt hat, genießt die Verarbeitung zu Forschungszwecken in der Tat eine günstige Regelung innerhalb der DSGVO, da sie ein Gleichgewicht zwischen den Rechten der betroffenen Person, der unternehmerischen Freiheit und den legitimen Erwartungen der Gesellschaft an einen Wissenszuwachs anstrebt. Unter diesen Voraussetzungen erlaubt Artikel 89 DSGVO eine Abweichung von den Artikeln 14, 15, 16, 18 und 21 DSGVO unter der einzigen Bedingung, dass angemessene Garantien vorgesehen sind. Die Bestimmung verlangt insbesondere den Einsatz von technischen und organisatorischen Maßnahmen zur Datenminimierung sowie von Anonymisierungs- und Pseudonymisierungstechniken. In R. Ducato, “Data Protection, Scientific Research and the Role of Information”, Computer Law & Security Review, 2020, Vol. 37, pp. 4-5 ↑