Data Subject
Definition: Eine identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten verarbeitet werden. Der Begriff ist zentral für die DSGVO und definiert den Rechtsträger, dem umfassende Betroffenenrechte wie Auskunft, Berichtigung und Löschung zustehen. Die Identifizierbarkeit kann direkt oder indirekt über Zuordnungskriterien erfolgen.
Kernbegriff der europäischen Datenschutzordnung
Der Data Subject ist die natürliche Person, auf die sich personenbezogene Daten beziehen. Nicht jede Person ist automatisch ein Data Subject – entscheidend ist der Bezug zu verarbeiteten Daten. Ein Unternehmen, eine Behörde oder eine juristische Person kann niemals Data Subject sein. Diese Unterscheidung ist fundamental für das Verständnis der Datenschutz-Grundverordnung.
Die Identifizierbarkeit ist der Dreh- und Angelpunkt. Eine Person gilt als identifizierbar, wenn sie direkt über Merkmale wie Name oder Ausweisnummer bestimmt werden kann. Indirekt funktioniert das über Kombinationen aus Standortdaten, Online-Kennungen, physischen oder physiologischen Merkmalen. Selbst pseudonymisierte Datensätze fallen darunter, solange eine Zuordnung über Zusatzinformationen möglich bleibt.
Die DSGVO schützt nicht die Daten an sich, sondern die Person hinter den Daten. Jede Verarbeitung muss sich an den Rechten und Freiheiten dieser Person messen lassen.
Rechte und Pflichten im Verarbeitungskontext
Der Data Subject ist kein passives Objekt der Datenverarbeitung. Das Regelwerk stattet ihn mit einem umfassenden Instrumentarium aus. Das Auskunftsrecht nach Artikel 15 eröffnet Transparenz über Umfang und Zweck der Verarbeitung. Das Berichtigungsrecht korrigiert unrichtige Daten. Das Löschrecht, oft als Recht auf Vergessenwerden bezeichnet, greift bei Wegfall der Rechtsgrundlage.
Hinzu kommen das Recht auf Datenübertragbarkeit und das Widerspruchsrecht gegen Direktwerbung. Diese Rechte sind nicht absolut. Sie stehen im Spannungsfeld mit berechtigten Interessen des Verantwortlichen oder gesetzlichen Aufbewahrungspflichten. Jede Abwägung muss dokumentiert und nachvollziehbar sein.
| Betroffenenrecht | Kernaussage | Typische Frist |
|---|---|---|
| Auskunft | Information über Verarbeitungszweck und Datenkategorien | 1 Monat |
| Berichtigung | Korrektur unrichtiger personenbezogener Daten | Unverzüglich |
| Löschung | Entfernung bei fehlender Rechtsgrundlage | Unverzüglich |
| Datenübertragbarkeit | Erhalt in maschinenlesbarem Format | 1 Monat |
| Widerspruch | Einspruch gegen berechtigtes Interesse oder Direktwerbung | Unverzüglich |
Abgrenzung zu anderen Fachdomänen
Der Begriff Data Subject hat in angrenzenden Disziplinen unterschiedliche Bedeutungen. Im Marketing und in der Produktanalytik spricht man häufig von Nutzern oder Kunden – dort steht die Interaktionshistorie im Vordergrund. Im Bereich der Künstlichen Intelligenz taucht der Begriff im Kontext von Trainingsdaten auf. Hier ist die Frage relevant, ob eine Person in einem Datensatz vorkommt und welche Rechte sie an den daraus gewonnenen Modellen hat.
Im Finanzwesen existiert der verwandte Begriff des wirtschaftlich Berechtigten. Dieser bezieht sich auf Eigentumsverhältnisse und Kontrollstrukturen, nicht auf Datenverarbeitung. Die Schnittmenge liegt in der Identifikationspflicht: Beide Konzepte verlangen eine eindeutige Zuordnung zu einer natürlichen Person.
Eine weitere relevante Abgrenzung betrifft den Unterschied zwischen Data Subject und Data Controller. Der Controller bestimmt Zweck und Mittel der Verarbeitung. Der Data Subject ist die betroffene Person. Diese Rollentrennung ist konstitutiv für das gesamte Datenschutzrecht und darf in keinem Verarbeitungsverzeichnis verwischt werden.
Praktische Implikationen für Unternehmen
Für B2B-Unternehmen ist der Data Subject kein abstraktes Konstrukt. Jede CRM-Datenbank, jedes Marketing-Automation-System und jede HR-Software enthält Datensätze, die sich auf identifizierbare Personen beziehen. Die Herausforderung liegt in der Nachweisführung. Ein Unternehmen muss jederzeit darlegen können, welche Daten zu welchem Zweck verarbeitet werden.
Die Implementierung eines Betroffenenrechte-Managements ist daher keine optionale Übung. Sie erfordert klare Prozesse für die Identifikation von Anfragen, die Prüfung der Identität des Antragstellers und die fristgerechte Bearbeitung. Automatisierte Systeme können dabei helfen, die Einhaltung der Fristen zu überwachen und die Dokumentation zu sichern.
Wer die Rechte des Data Subject ignoriert, riskiert nicht nur Bußgelder. Das Vertrauen der Kunden und Partner ist ein immaterieller Vermögenswert, der durch Datenschutzverstöße nachhaltig beschädigt wird.
Die Verantwortung endet nicht an der Unternehmensgrenze. Auftragsverarbeiter müssen vertraglich eingebunden werden. Gemeinsame Verantwortliche müssen klare Zuständigkeiten definieren. Der Data Subject muss wissen, an wen er sich wenden kann – und dieser Ansprechpartner muss tatsächlich handlungsfähig sein.
« Back to Glossary Index