Der Betroffene kann häufig nicht erkennen, ob ein Unternehmen mit seinen personenbezogenen Daten rechtmäßig oder rechtswidrig umgeht. Je mehr Infor­mationen er allerdings erhält, desto eher kann der Betroffene als Kontrolleur in Erscheinung treten.

Die DSGVO sieht ab Mai 2018 erheblich gesteigerte Informationspflichten vor. Das Unternehmen soll dokumentieren, was es mit personenbezogenen Daten macht und muss sich später daran festhalten lassen. Doch auch mittelbar können Datenschutzverstöße offenbar werden – so passiert im Fall eines deutschen Fußballvereins. Jedenfalls wird behauptet, dass Mitgliedsanträge im dreistelligen Bereich abgelehnt wurde. Wenn bestimmte Mitgliedsanträge abgelehnt, andere aber angenommen wurden, müssen die Mitgliedsanträge unterschiedlich behandelt worden sein. Und so fragt das skeptische Mitglied oder der Antragsteller nach, welche personen­bezogenen Daten zur Ablehnung des Mitgliedsantrags geführt haben. „Im Interesse des Vereins Hannover 96 [habe man] die Entscheidung getroffen, 119 Mitgliedsanträge abzu­lehnen“, ließ Präsident Martin Kind verlauten. Eine Situation, die auch jedes Unternehmen treffen kann. Umso wichtiger ist es, alle Datenverarbeitungsvorgänge im Verarbeitungs­verzeichnis aufzunehmen, allein um peinliche Angriffe durch Aufsichtsbehörden, Ver­brau­cherverbände oder Kunden zu vermeiden.

(Philipp Kramer, Chefredakteur Datenschutz-Berater)