Im Bestreben, die Kontrolle zurückzuerlangen und um sich besser zu schützen, muss erstmal klar sein, welche Unternehmen was über einen wissen. Dazu ist jedermann berechtigt, von jedem Unternehmen Auskünfte verlangen, ob und welche Daten mit Bezug auf den Betroffenen verarbeitet werden. Auch Daten, die von Unbekannten z.B. durch Fake-Profile angelegt wurden, sind Daten, die Bezug zu der Person des Opfers aufweisen. Betroffenenrechte bilden einen wichtigen Beitrag, um Licht in die Schattenseiten der Digitalisierung zu bringen. Mit der Erkenntnis, wer was über einen weiss, kann gehandelt werden: Opfer können in den Grenzen der Datenschutz-Grundverordnung Berichtigung, Einschränkung, Löschung von Daten verlangen, die unrichtig oder von Dritten ohne Rechtsgrund über sie gespeichert und weitergegeben wurden. Zudem können Opfer in Erfahrung bringen, an welche Auskunfteien, Werbedienstleister oder Versicherungen falsche personenbezogene Daten weitergegeben wurden und diesen Datenflüssen nachspüren. Die Inanspruchnahme von Betroffenenrechten bildet daher einen wichtigen Schritt, neben technischen Schutzmaßnahmen, um Opfer in die Lage zu versetzen, Schadensfälle einzudämmen und sich präventiv besser gegen neue Angriffe zu schützen. Soweit sich herausstellen sollte, dass mangelhafte Datenschutz- und Datensicherheitsmaßnahmen für den Identitätsmissbrauch (mit-) ursächlich gewesen sind, stehen den Opfern zivilrechtliche Ansprüche auf Schadenersatz und Schmerzensgeld gegen die verantwortlichen Unternehmen offen. Flankierend können aufsichtsbehördliche Maßnahmen aufgrund von Beschwerden eingeleitet und das Unternehmen durch Androhung von Sanktionen zu einer Verbesserung des Datenschutzes bewegt werden.

In der Praxis sind Opfer von Identitätsmissbrauch in der Regel verzweifelt und suchen häufig vergeblich nach Hilfe und Sofortmaßnahmen ausgeliefert. Die Justiz verfügt nicht über die Kapazität, Verbraucher zu informieren – meist bleibt es bei einer Anzeige, die ins Leere läuft. Verbrauchern ist damit nicht geholfen. Informationsangebote, die Verbrauchern „Erste Hilfe“ im Missbrauchsfall bieten, um diesen mit einfachen Handlungsanweisungen zu helfen, fehlen fast vollständig. Auch fehlt es an Informationsangeboten, die Verbrauchern das Zusammenwirken aus Digitalisierung, insbesondere dem leichtfertigen Umgang mit persönlichen Daten und Cybercrime, verdeutlichen. Neben Informationsangeboten fehlt es aber vor allem an einer technisch und rechtlich wirksamen Umsetzung der DSGVO-Betroffenenrechte. Das vom Gesetzgeber gut gemeinte Regelwerk stellt Verbraucher vor viele praktische Herausforderungen: Diese beginnen mit der Form der Antragstellung, dem Antragsinhalt und fehlenden Kenntnissen, in welchem Umfang personenbezogene Daten mitgeteilt werden müssen, um eine Identifizierung der betroffenen Person zu ermöglichen. Ohne die Feststellung der Antragsberechtigung sind Unternehmen verpflichtet, Anträge zu Betroffenenrechten abzulehnen. Hinzu kommt häufig das rein tatsächliche Problem, den richtigen Ansprechpartner oder Antragsempfänger eines Unternehmens, das aus verschiedenen Gesellschaften besteht, zu adressieren. Schwierigkeiten zeigen sich auch bei der Interpretation von Auskünften und wie Opfer weiter vorgehen können.

Wer Opfer von Identitätsdiebstahl bzw. „Identitätsklau“ geworden ist, sollte schnell handeln und einen Rechtsanwalt kontaktieren, um die eigene Reputation und Bonität wiederherzustellen.