Art. 19 DSGVO im Adresshandel

Datenschutz
1

Art 19 , Satz 1, DSGVO verlangt vom Verantwortlichen, allen Empfänger jede Löschung oder Einschränkung der Verarbeitung mitzuteilen.

Nachdem ich unerwünschte Briefwerbung erhalten hatte, habe ich versucht, die Wege meiner Adressdaten zu verfolgen, um die Quelle zu ermitteln und die Rechtmäßigkeit der Verarbeitung dort zu prüfen (normalerweise willige ich nicht in Dirketwerbung ein) und um mein Widerspruchsrecht aus Art 21 (2) wahrzunehmen. Dabei bin ich vom Art. 19 überrascht worden:

  • Der Wunsch, dass meine Adressdaten nicht mehr für Direktwerbung verwendet und übermittelt werden, führte zu meiner Überraschung zu der Übermittlung genau dieser Adressdaten unter Berufung auf Art. 19. In zwei Fällen wurden fünf oder mehr Unternehmen informiert. In mehreren Fällen sendeten diese Unternehmen ihrerseits eine Mitteilung (mir Adressdaten) an weitere, in einem Fall kam es zu einer Verkettung über mindestens vier Unternehmen.
  • Auch nachdem ich dazu übergegangen war, darum zu bitten, nicht Empfänger nach Art. 19 zu informieren (der Aufwand dafür sei schon deshalb unverhältnismäßig, weil ich dies nicht wünsche), geschah dies in den meisten Fällen dennoch.

Bei der quasi automatisch ausgelösten Mitteilung nach Art. 19 sehe ich, nicht nur im Zusammenhang mit dem Adresshandel, folgende Probleme und Risiken:

  • Die Übermittlung der Adressdaten führt zu ihrer Aufwertung, denn nun wissen die Empfänger, dass sie aktuell sind.
  • Die Empfänger könnten die Adressdaten löschen und damit die Weiterverfolgung unmöglich machen. Dies könnte unbeabsichtigte, aber auch automatische und beabsichtigte Folge des Empfangs der Art. 19-Mitteilung sein, denn sie sind quasi vorgewarnt, dass aufwändig zu bearbeitende Ersuchen nach Kapitel 3 DSGVO folgen könnten.
  • Unter den Empfänger könnten auch welche sein, von denen man weiter “Werbung” bzw. Informationsblätter erhalten möchte.
  • Unter den Empfängern können welche sein, mit denen man in einer vertraglichen Beziehung steht (als Arbeitnehmer z. B.). Diese Beziehung könnte beeinträchtigt werden, z. B. wenn der Empfänger eine Sparte hat, die Direktwerbung betreibt, und erfährt, dass ein Mitarbeiter Direktwerbung ablehnt.

Welche Erfahrungen gibt es mit dem Artikel 19? Auch wenn der Wortlaut des Art 19 das nicht hergibt, hat man als Betroffener ein Recht, der Mitteilung nach Art 19, Satz 1, zu widersprechen? Ist dem Empfänger einer Mitteilung nach Art. 19 freigestellt, wie er mit damit umgeht? Darf/muss der Empfänger einer Mitteilung nach Art 19 seinerseits weitere Empfänger, an die er die Daten weiterübermittelt hat, benachrichtigen? Darf/muss der Empfänger bei einer Löschmitteilung nach Art. 19 die Adressdaten löschen, auch wenn dadurch die Wahrnehmung Auskunftsrechts nach Art. 15 verunmöglicht wird? Darf der Empfänger die erhaltene Mitteilung zum Anlass nehmen, ein Aktualitätsdatum seines Adressbestandes zu pflegen?

Leider finde ich auf den Seiten der Datenschutzbeauftragten kaum etwas zum Artikel 19. Er scheint bislang wenig Beachtung gefunden zu haben.

2

Das alte BDSG räumte dem Betroffenen schutzwürdige Interessen ein, die einer Benachrichtigung entgegenstehen konnten (§35 Abs.7 BDSG aF). Diese Möglichkeit besteht nicht mehr. Der Verantwortliche ist zur Mitteilung verpflichtet und ein Unterlassen sanktionsbewehrt (Art.83 Abs.5 lit.b). Diese Regelung kann nicht durch die Beteiligten geändert werden.

Ein Verantwortlicher ist ebenso zur Berichtigung unrichtiger Daten verpflichtet (Art.5 Abs.1 lit.d). Theoretisch findet also eine permanente und vom Auskunfts- / Widerspruchsrecht unabhängige Aufwertung durch Berichtigung statt. Empfänger als eigenständige Verantwortliche sind gleichermaßen dem Art.19 verpflichtet. Das ermöglicht die Weiterverfolgung der Datenherkunft, sofern die Unterrichtung über diese Empfänger verlangt wird. In dieser Kette ist der jeweilige Empfänger nachfolgend der Verantwortliche (außer Auftragsverarbeiter), der auf Verlangen wiederum über seine Empfänger unterrichtet. Eine unrechtmäßige Verarbeitung beim Verantwortlichen (zB als Folge eines Widerspruchs), hat nur bedingt Auswirkungen beim Empfänger, denn die Nichtverarbeitung betrifft den Verantwortlichen: Art.21 Abs.1 Satz 2: “Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr…”. Empfänger sind im Fall einer rechtmäßigen Verarbeitung nicht verpflichtet, die Daten zu löschen oder die Verarbeitung einzuschränken. Sie können Verarbeitungen zur Wahrung ihrer berechtigten Interessen auch weiterhin durchführen (zB Direktwerbung).

Das Auskunftsrecht kann auch bei gelöschten Adressdaten wahrgenommen werden. Andere Daten, deren Verarbeitung rechtmäßig stattfindet, sind hiervon nicht betroffen. Gehören zu diesen anderen Daten aber auch Adressdaten, können diese natürlich nicht gelöscht werden. An Stelle dessen träte eine Einschränkung für den Zweck der Direktwerbung (Art.21 Abs.3).

Die Datenschutzkonferenz stellt im Beschluss vom 11.06.2018 fest: Kreditinstitut, das Daten an Auskunftei übermittelt, hat nachträgliche Änderungen mitzuteilen, “solange die ursprünglich übermittelten Daten bei der Auskunftei gespeichert sind”. https://www.datenschutzkonferenz-online.de/media/dskb/20180611_dskb_verarbeitung_positivdaten.pdf

In der Kommentarliteratur wird auf eine datensparsame Mitteilung verwiesen (Datenminimierung, Art.5 Abs.1 lit.c), die den Umfang der mitgeteilten Daten an den Empfänger auf das Erforderliche beschränkt (Herbst in Kühling/Buchner, DS-GVO BDSG, Art.19 Rn.11; folgend Dix in Simits/Hornung/Spiecker, Art.19 Rn.14). Nach meiner Ansicht sind bei einer Löschung nur die Daten notwendig, die eine Identifizierung der Person ermöglichen; bei einer Einschränkung müsste außerdem der Zweck angegeben werden (Adresshandel, Direktwerbung). Darauf könnte man den Verantwortlichen hinweisen. Eine Berichtigung der ursprünglich übermittelten Daten, wie sie die DSK fordert, enthielte den kompletten Datensatz und würde die Aufwertung ermöglichen.

2 „Gefällt mir“
3

Vielen Dank für die fundierte Antwort. Stimmt, man könnte sich wohl auf Art. 19, Satz 2, berufen, um auch dann noch die Verarbeitungskette zu verfolgen, nachdem eine Kaskade von Löschmitteilungen nach Art. 19, Satz 1, ausgelöst worden ist. Klar wird auch, dass - wenn die Mitteilung nach Art. 19 in einem konkreten Fall nicht nur durch den Betroffenen, sondern auch aus anderen Gründen ausgelöst worden sein kann und wenn der Grund nicht Teil der Mitteilung ist (Datensparsamkeit) - die von mir befürchteten Probleme in der zweiten Bulletliste teilweise entschärft werden. Wird hingegen außer der Adresse noch der Grund angegeben, wird allein durch die Mitteilung “Verarbeitung der Adresse x zum Zweck der Direktwerbung gesperrt, weil der durch x identifizierte Betroffene nach Art. 21(2) widersprochen hat” die Adresse aufgewertet, denn der Empfänger weiß nun, dass sie aktuell ist. (Unter den Empfänger könnten auch welche sein, die die Adresse nicht mehr gespeichert hatten. Ich gehe davon aus, dass sie die (wieder) erhaltene Adresse nicht wieder in ihren Bestand zum Zweck der Direktwerbung oder des Adresshandels aufnehmen dürfen?)

Ich frage mich noch immer, wie der Betroffene Einfluss auf die Automatismen des Artikel 19 nehmen kann. Wenn Artikel 19 primär dem Betroffenen und nicht dem Empfänger dienen soll, müsste der Wunsch des Betroffenen doch großes Gewicht haben.

Was bedeutet dann “unverhältnismäßig” im Kontext des Art. 19, Satz 1? Wenn der Betroffene wünscht, dass keine Mitteilungen nach Art. 19 versendet werden, welchen Einfluss hat das auf die Verhältnismäßigkeit? Kann der Verantwortliche dann auf die Mitteilung verzichten? Muss er es vielleicht sogar? Mir wird aus dem Wortlaut des Art. 19 nicht klar, ob bei Unverhältnismäßigkeit ein Wahlrecht des Verantwortlichen besteht oder sogar eine Pflicht, die Mitteilung zu unterlassen.

Denkbar wäre auch, dass ich als Betroffener unter Berufung auf Art. 21 (2) ausdrücklich nur der Verarbeitung durch den direkt von mir adressierten Verantwortlichen widerspreche (und ausdrücklich nicht der Verarbeitung durch andere Verantwortliche). Muss der von mir adressierte Verantwortliche nicht vielleicht sogar Mitteilungen nach Art. 19 unterlassen, weil ja von der Einschränkung der Verarbeitung nur die Daten-Gesamtheit aus Adressdaten und dem damit verknüpften konkrete Datenverarbeiter, nicht aber die Adressdaten isoliert betroffen sind? Würde dann eine Mitteilung nach Art. 19 dem Grundsatz der Datenminimierung und der Datenverarbeitung nach „Treu und Glauben“ widersprechen?

Um so mehr wünsche ich mir eine Handreichung der Datenschutzbeauftragten, was der Artikel 19 bedeutet und wie man als Betroffener damit umgeht. Weil eine ähnliche Vorschrift im BDSG a.F. schon vorhanden war, müssten die Behörden hier doch auf einige Erfahrungen zurückgreifen können.

4

Die wiederholte Aufnahme von Adressen in den Bestand mache ich vom Löschungsgrund abhängig. Hat der Betroffene die Löschung in der Vergangenheit verlangt, sehe ich jede weitere oder wiederholte Verarbeitung als unrechtmäßig an, da ich die einmalige Willensbekundung als ausreichend erachte. Zudem ergäbe ein Recht auf Vergessenwerden keinen Sinn, wenn Daten regelmäßig ins Gedächtnis gerufen würden (zB durch Wiederaufnahme). Das setzt die Nachvollziehbarkeit einer Löschung voraus. Ist diese nicht möglich, landet der Datensatz natürlich wieder im Bestand. Die Vermeidung dessen sehe ich in der Umsetzung eines vernünftigen Löschkonzepts vor allem auf technischer Ebene. Gerade für diesen technischen Prozess sind richtige Daten unabdingbar, damit nicht verschiedene Datensätze zur selben Person existieren (zB Meier, Meyer, Mayer, Mayr; die Schufa pflegt gern nicht existente Hausnummern usw).
Hat der Verantwortliche die Daten ohne Beteiligung des Betroffenen gelöscht, besteht zunächst kein Grund zur Annahme einer unrechtmäßigen Verarbeitung durch die Wiederaufnahme der Daten.

Unverhältnismäßig bezieht sich auf Aufwand, Zeit, Kosten, Ressourcen beim Verantwortlichen. Dabei findet keine Abwägung zwischen einem Interesse im Sinne von “Ich will keine Mitteilung!” und dem Aufwand beim Verantwortlichen statt. Die Interessenabwägung liegt bei der Datenkategorie: Der Aufwand bei Gesundheitsdaten ist anders zu gewichten als der Aufwand bei “belanglosen” Daten.
Entgegenstehende schutzwürdige Interessen wurden offensichtlich nicht in Betracht gezogen und im BDSG auch nicht geregelt. Der Betroffene kann insofern Einfluss üben, als dass er den Verantwortlichen auf eine datensparsame Mitteilung hinweist. Bei standardisierten automatisierten Mitteilung wird dies vermutlich wenig Erfolg haben. Wie oben erwähnt, kann bei Nichtmitteilung ein Bußgeld verhängt werden. Da nur Unmöglichkeit und Unverhältnismäßigkeit als Ausnahme genannt werden, dürfte ein Verantwortlicher ein großes Interesse an der Erfüllung der Mitteilungspflicht hegen, denn vorfallsbedingt könnte eine Aufsichtsbehörde bei Unterlassen entsprechend reagieren.

Das Widerspruchsrecht in Art.21 Abs.2 gilt nur für den Verantwortlichen und der Widerspruch richtet sich gegen den Zweck beim Verantwortlichen.
Art.19 bezieht Art.21 über die Art.16, 17 und 18 ein. Diese beinhalten die Berichtigung, die Löschung und die Einschränkung auf Verlangen des Betroffenen. Ein Widerspruch zur Direktwerbung löst beim Verantwortlichen aber keine automatische Löschung der Daten aus, über die Empfänger informiert werden müssten. Er löst lediglich die Nichtverarbeitung für Zwecke der Direktwerbung beim Verantwortlichen aus. Eine Nichtmitteilung an Empfänger könnte mit der Erklärung zum Verzicht auf eine Löschung und auf eine Eintragung in Sperrlisten (zB Robinsonliste) erreicht werden. Da das berechtigte Interesse des einen Verantwortlichen nicht das berechtigte Interesse des anderen Verantwortlichen (Empfänger) ist, dürfte dies auch keine mitteilungspflichtige Einschränkung im Sinne des Art.18 sein. Allerdings fordert die DSGVO auch die Speicherbegrenzung. Es ist durchaus möglich, dass der Verantwortliche die Daten nach einer gewissen Zeit löscht und die Empfänger darüber informiert.

5

Danke für die Einschätzungen. Erst einmal habe ich mich offenbar oben geirrt, als ich davon schrieb, dass Mitteilungen nach Art. 19 auch durch andere Gründe als die Intervention des Betroffenen ausgelöst worden sein könnten. Art. 16-18 erfordern ja immer ein Verlangen des Betroffenen. Dadurch kann das quasi-automatische Auslösen von Mitteilungen nach Art. 19 (ohne Einfluss des Betroffenen darauf) aus meiner Sicht doch problematisch für den Betroffenen sein, wenn an Form, Zeitpunkt oder Inhalt der Mitteilung diese Rechtsgrundlage erkennbar ist. Ist dem Empfänger aber unbekannt, ob es sich um eine Mitteilung auf Grundlage von Art. 19 oder auf einer anderen Rechtsgrundlage handelt, ist das Problem entschärft.

Wenn der durch den Verantwortlichen über eine Einschränkung informierte Empfänger (Dritte) die Rechtsgrundlage der Mitteilung nicht erfährt, kann er aber einen Widerspruch des Betroffenen nicht berücksichtigen. Für den Empfänger (Dritten), der eine Mitteilung nach Art. 19 erhalten hat und daraufhin auch bei sich Daten berichtigt, sperrt oder löscht, entsteht keine Mitteilungspflicht aus Art. 19, seinerseits Vierte (weitere Empfänger) zu informieren. So habe ich es jetzt jedenfalls verstanden. Denn die Berichtigung, Sperrung oder Löschung erfolgt ja in dem Fall nicht nach Art. 16-18 auf Verlangen des Betroffenen. Die Mitteilungskaskaden, denen ich nach meinen Widersprüchen nach Art. 21(2) begegnet bin, ließen sich also über die erste Stufe hinaus nicht mit Art. 19 rechtfertigen. Möglicherweise gab es andere Rechtsgrundlagen, vielleicht den Art. 6 (1) f), in eine damit verbundene Interessenabwägung beim Dritten hätte mein Widerspruch dann keinen Eingang finden können.

Ich dachte erst, die Nichtverarbeitung für Zwecke der Direktwerbung nach einem Widerspruch gem. Art 21 (2) ist ein Spezialfall einer Einschränkung gem. Art. 18. Aber, wie mir jetzt aufgefallen ist, ist in Art. 18 nicht von Zwecken die Rede. Kann es überhaupt eine Einschränkung nach Art. 18 für bestimmte Zwecke (mit den in Art. 18 (2) genannten Ausnahmen) geben, es sich also bei einer Nichtverarbeitung nach Art. 21(2) um eine Einschränkung im Sinn des Art. 18 handeln? Jedenfalls nehme ich mit, dass vorerst der Zusammenhang zwischen der Nichtverarbeitung nach Art. 21(2) und einer Mitteilungspflicht nach Art. 19 i.V.m. Art 18 nicht ganz geklärt ist, der Widerspruch gegen den Zweck beim Verantwortlichen und verschiedene Interessen von Verantwortlichem und Empfänger sprechen gegen die Mitteilungspflicht.

Zur Frage der Mitteilung nach einer Löschung: Wenn sich der Verantwortliche bei einer Mitteilung an Empfänger nicht auf Art. 19 als Rechtsgrundlage berufen kann (wenn eine Löschung war nicht verlangt worden war), sondern auf seine berechtigten Interessen oder die des Empfängers, hätte aber doch der Widerspruch des Betroffenen gegen solche Mitteilungen Gewicht. Wenn ich also mein Recht nach 21(2) wahrnehme und zugleich jeder Übermittlung meiner Adressdaten / Mitteilung an Dritte widerspreche, wenn der Verantwortliche daraufhin die Datenverarbeitung für die Direktwerbung einstellt und später - nach einiger Zeit, ohne dass ich es verlangt habe - die Daten löscht, dürften die Interessen des Verantwortlichen und Empfängers an einer Löschmitteilung kaum schwerer wiegen?

6

Das berechtigte Interesse wird vom Verantwortlichen gegenüber dem Betroffenen geltend gemacht. Es ist als Rechtsgrundlage für eine Verarbeitung in Art.6 Abs.1 lit.f definiert: “die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich…”.
Ein solches berechtigtes Interesse kann die Direktwerbung sein (siehe https://www.datenschutz-wiki.de/DSGVO:EG_47).

Dieses Interesse ist zwar für Verantwortlichen und Empfänger gleich definiert, aber bewirbt der Verantwortliche zB andere Produkte als der Empfänger, dann unterscheiden sich diese Interessen in der Sache. Wird der Werbung für Kekse widersprochen (Verantwortlicher), ist das kein Widerspruch gegen Werbung für Bagger (Empfänger). Auch können sich, sofern vorhanden, die Geschäftsbeziehungen unterscheiden. Das meinte ich mit den unterschiedlichen Interessen der beiden. War vielleicht etwas zu verkürzt.

Die Mitteilungspflicht stellt kein berechtigtes Interesse des Verantwortlichen oder Empfängers dar. Sie ist eine rechtliche Verpflichtung für den Verantwortlichen. Und Art.21 enthält auch kein Widerspruchsrecht gegen Übermittlungen, die auf Art.19 basieren. Eine solche Übermittlung wäre eher unter Art.6 Abs.1 lit.c einzuordnen: “die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;”.

Man könnte noch bei der Aufsichtsbehörde des Verantwortlichen nachfragen, ob und wie ein schutzwürdiges Interesse, das der Mitteilungspflicht entgegensteht, vom Betroffenen geltend gemacht werden kann. Die Antwort würde mich interessieren.

7

Nachtrag:

Ich gehe davon aus, dass die Rechtsgrundlage mitgeteilt wird, weil die Bezugnahme bei datenschutzrechtlichen Vorgängen die korrekte Vorgehensweise ist (“Mitteilung gem. Art.19 …”). Zudem ist der Verantwortliche rechenschaftspflichtig; er muss nötigenfalls nachweisen können, dass das Verfahren rechtmäßig durchgeführt wurde. Aus dem weiteren Inhalt der Mitteilung (Löschung, Berichtigung, Einschränkung) ergibt sich auch, welches Verlangen der Betroffene gegenüber dem Verantwortlichen äußerte.

So sehe ich die Kaskade am Beispiel der Löschung:

Betroffener      Verantwortlicher      Empfänger
    |                  |                   |
Widerspruch    > Zweck entfällt        Zweck vorhanden
    |            keine Verarbeitung    Verarbeitung
    |                  |                   |
Löschverlangen > Löschung                  |
    |                  |                   |
    |            Mitteilung          > Prüfung Löschpflicht
    |                  |                   |
    ~          < Info zu Empfängern        |
    |                                      |
Kontakt Empfänger     ---              Verantwortlicher      Empfänger
    |                                      |                     |
Widerspruch            >               Zweck entfällt        Zweck vorhanden
    |                                  keine Verarbeitung    Verarbeitung
    |                                      |                     |
Löschverlangen         >               Löschung                  |
    |                                      |                     |
    |                                  Mitteilung          > Prüfung Löschpflicht
    |                                      |                     |
    ~                  <               Info zu Empfängern        |
   ...                                                          ...
1 „Gefällt mir“
8

Erst einmal muss ich meinen unaufmerksamen letzten Beitrag korrigieren. Die geduldigen Erklärungen oben noch einmal, gründlicher zu lesen und die so gut dargestellte Kaskade haben sehr geholfen. Anders als zuletzt von mir in Frage gestellt, zieht ein Widerspruch nach 21 (2) wohl doch in der Regel eine Löschung oder Einschränkung im Sinn der Art. 17 bzw. 18 nach sich. (Das Wesentliche ist schon oben gesagt: „Art.19 bezieht Art. 21 über die Art.16, 17 und 18 ein.“) Der Art. 17 (1) c) nimmt ja sogar ausdrücklich Bezug auf Art. 21 (2). In Fällen, in denen ein Verantwortlicher Adressdaten nur zu Zwecken der Direktwerbung verarbeitet, dürfte Löschung in der Regel die Folge sein.

Zwar steht in Art. 17 nur, dass der Betroffene die Löschung verlangen kann, wenn er widersprochen hat. Andererseits könnte der Teilsatz „und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen“ (dessen Analogon es im Art. 18 nicht gibt) in Verbindung mit lit. c) so zu interpretieren sein, dass der Widerspruch auch eine Löschpflicht ohne ausdrückliches Verlangen des Löschens impliziert. Möchte der Betroffene also die Löschung vermeiden, ist es wohl das Beste, er wünscht ausdrücklich keine Löschung. Die Einschränkung der Verarbeitung ist dann möglicherweise nicht mitteilungspflichtig, weil sich die Einschränkung nur auf die Werbung durch den Verantwortlichen bezieht. (Tatsächlich haben aber die meisten Unternehmen in meinem Fall nach meinem Widerspruch Mitteilungen an Empfänger versendet, auch wenn sie die Daten nicht gelöscht, sondern nur gesperrt hatten, und auch wenn ich keine Löschung verlangt hatte.) Wenn nun die Löschung (oder vielleicht doch auch Einschränkung) auf Verlangen des Betroffenen die Mitteilungspflicht des Verantwortlichen an alle Empfänger nach Art. 19 auslöst, wird, wie oben gesagt, aus der rechtskonformen Mitteilung allen Empfängern auch ersichtlich sein, dass der Betroffene eines seiner Rechte ausgeübt hat und welches Verlangen damit verbunden war.

Ein ausdrückliche Regelung, die dem Betroffene Einfluss auf die Mitteilung nach Art. 19 einräumt, findet sich im Gesetz nicht. Ich halte das, wie oben geschrieben, für problematisch und auch für überraschend, denn der Gesetzgeber hat den Art. 19 ja im Abschnitt „Rechte der betroffenen Person“ platziert und lässt die Mitteilungspflicht vor allem nach einem Verlangen des Betroffenen gegenüber dem Verantwortlichen greifen. Ich vermute deshalb, dass nach dem Willen des Gesetzgebers Art. 19 primär dem Betroffenen bei der Ausübung seiner Rechte helfen sollte, indem er es ihm erleichtert, bei mehreren Verantwortlichen Berichtigungen, Löschungen und Einschränkungen zu erwirken. Um so merkwürdiger kommt es mir vor, dass von schutzwürdigen Interessen des Betroffenen nicht mehr die Rede ist.

Laut folgendem Zitat, auf das ich hingewiesen wurde, nehmen manche Autoren wohl doch an, dass bei für den Betroffenen nachteiligen Mitteilungen keine Mitteilungspflicht des Verantwortlichen besteht: „Str. ist, ob die Mitteilungspflicht auch dann besteht, wenn diese für die betroffene Person nachteilig ist (eine Ausnahme wegen des eindeutigen Wortlautes ablehnend Pohle/Spittka in Taeger/Gabel DS-GVO Art. 16 Rn. 8; ähnlich Herbst in Kühling/Buchner DS-GVO Art. 19 Rn. 11, allenfalls eine inhaltliche Beschränkung nach dem Grundsatz der Datenminimierung anerkennend; demgegenüber einen Ausschluss bei überwiegenden Interessen der betroffenen Person bejahend Kamann/Braun in Ehmann/Selmayr DS-GVO Art. 19 Rn. 23; ähnlich Gola in Gola DS-GVO Art. 19 Rn. 13, dies sei iRd Vorbehalts des „unverhältnismäßigen Aufwands“ zu berücksichtigen; für einen Ausschluss der Mitteilungspflicht im Wege teleologischer Reduktion des Art. 19 Peuker in HK-DS-GVO Art. 19 Rn. 6).“ (Quelle: Paal/Pauly, DS-GVO BDSG (3. Auflage 2021), Art 19, Rn 13a)

Nach Erhalt der Mitteilung nach Art. 19 müssen nun die Empfänger prüfen, wie sie weiter mit den Daten des Betroffenen zu verfahren haben. Nicht ganz klar ist, wie es weitergeht, wenn ein Empfänger, der seinerseits zuvor Vierten die Daten übermittelt hatte, die Daten nun nach Erhalt der Mitteilung nach Art. 19 löscht oder deren Verarbeitung einschränkt. Eine Mitteilungspflicht nach Art. 19 scheidet nach meinem Verständnis aus, weil der Betroffene ja nicht von den Empfängern (Dritten) die Löschung oder Einschränkung verlangt hat und auch nicht ihm gegenüber einen Widerspruch erklärt hat, der möglicherweise die Nicht-Verarbeitung und Löschung nach 17 (1) c) auch ohne ausdrückliches Verlangen auslösen könnte.

Tatsächlich haben ja in meinem Fall Empfänger (Dritte) die Verarbeitung eingestellt und weitere Empfänger benachrichtigt ohne die in der Kaskade dargestellten Schritte des Betroffenen (außer dem ersten Schritt „Widerspruch“). Die Rechtsgrundlage, von der die betreffenden Empfänger für diese Mitteilungen ausgegangen sind, ist mir in den Fällen nicht bekannt. Ich wollte oben sagen, dass diese Rechtsgrundlage in Art. 6 (1) f) bestehen könnte. Denn, so meine Überlegung, weil die Direktwerbung als berechtigtes Interesse anerkannt ist, könnten die Empfänger (Vierten) ein berechtigtes Interesse geltend machen, ihren Werbe-Datenbestand möglichst sauber und frei von den Personen zu halten, die Werbung ablehnen, weil die Empfänger bzw. deren Kunden keine Interesse an solchen unlukrativen Adressaten haben, die vielleicht noch Scherereien machen. Neben dem gewissermaßen weggefallenem berechtigten Interesse an dem Betroffenen als Werbeadressaten könnte auf der andere Seite der Waage noch zusätzlich ins Gewicht fallen, dass der Betroffene anscheinend auch Interesse daran hat von Werbung verschont zu werden.

Zum Thema Aufsichtsbehörden:

In einem konkreten Fall hatte ein Verantwortlicher meine Adresse nach meinem Art. 21(2)-Widerspruch nicht nur bei sich gelöscht, sondern gleich noch in die Sperrdatenbank eines mit ihm verbundenen Dritten eingtragen, der nicht Empfänger gewesen war. Dies, obwohl ich jeder Mitteilung an Dritte in meinem Widerspruch ausdrücklich abgelehnt hatte. Die Rechtsgrundlage, die der Verantwortliche für sein Handeln sah, ist mir unbekannt, vielleicht 6 (1) f) wie oben vermutet. Jedenfalls wurde dies nach Einschalten des LfD und dessen erster Anfrage rasch bereinigt.

Zur Nachberichtspflicht nach Art. 19 schrieb mir der in meinem Bundesland zuständige LfD eher lapidar und ohne nähere Begründung, dass man bei einem Widerspruch dem Verantwortlichen den Empfänger nennen „müsste“, der keine Benachrichtigung erhalten soll, um diese Mitteilung zu unterbinden.

Mein Fazit: Um den Art. 19 möglichst nicht auszulösen, geht man wohl am besten zweistufig vor. Zunächst fordert man nach Art. 15 Auskunft über die Empfänger. Dann widerspricht man mit Art 21 (2), wobei man zunächst Löschung ablehnt und mit Art. 18 (1) b) (?) Einschränkung verlangt und zugleich ausdrücklich darauf hinweist, dass man dies nur vom Verantwortlichen verlangt, nicht von Dritten. Weiterhin teilt man dem Verantwortlichen mit, dass man jegliche Mitteilungen über die Einschränkung an Dritte ablehnt, insbesondere nicht an konkret benannte Empfänger, weil besonders in deren Fall die Mitteilung für einen nachteilig wäre.