Welche Mitteilungspflicht habe ich bei Berichtigung oder Löschung von Daten?

Art. 19 DSGVO im Wortlaut

„Der Verantwortliche teilt allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung mit, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.

Was das praktisch bedeutet

• Empfänger sind ALLE die Daten erhalten haben: Drittanbieter, Cloud-Provider, Tochterfirmen, Vertragspartner, etc.

• Mitteilungs-Trigger: Antrag des Betroffenen auf Berichtigung (Art. 16), Löschung (Art. 17) oder Einschränkung (Art. 18) - UND Umsetzung dieses Antrags.

• Mitteilungs-Inhalt: was wurde geändert/gelöscht/eingeschränkt. Nicht zwingend personenbezogen (kann anonymisiert erfolgen).

• Ausnahme „unmöglich“: z. B. wenn Empfänger nicht mehr identifizierbar (Datenleck-Szenario).

• Ausnahme „unverhältnismäßiger Aufwand“: eng ausgelegt. Im Zweifel mitteilen.

Empfängerliste auf Anfrage

Art. 19 Satz 2: „Der Verantwortliche unterrichtet die betroffene Person über diese Empfänger, wenn die betroffene Person dies verlangt.“ Das heißt: Betroffene können Auskunft verlangen wer alles benachrichtigt wurde - Verantwortlicher muss diese Liste vorhalten.

Praktische Umsetzung

1. Empfänger-Register führen: pro Datenkategorie alle Empfänger dokumentieren. Pflicht aus Art. 30 DSGVO sowieso.

2. Prozess für Löschungs-Antrag definieren: wer prüft, wer löscht, wer benachrichtigt Empfänger.

3. Standard-Mitteilung-Template: einmal aufsetzen, dann pro Vorfall ausfüllen.

4. Auskunfts-Anfrage-Workflow: wenn Betroffener Empfänger-Liste fragt, muss innerhalb 1 Monats geantwortet werden.

Bußgeld-Risiko

Verstoß gegen Art. 19 fällt in das niedrigere Bußgeld-Niveau (Art. 83 Abs. 4: bis 10 Mio. € oder 2 % Jahresumsatz). In der Praxis selten alleine sanktioniert - meist Kombination mit anderen Verstößen (z. B. unzureichende Datenverarbeitung, fehlende Lösch-Konzepte).