Das Recht auf Löschung („Recht auf Vergessenwerden“) muss jeder kennen!

In der Praxis werden durch unterschiedlichste Institutionen, wie z.B. Unternehmen der freien Wirtschaft und öffentlich-rechtliche Behörden (sog. Verantwortliche), personenbezogene Daten nach Art. 4 Abs. 1 DS-GVO verarbeitet. In Unternehmen sind dies insbesondere Kundendaten, die aus Vor- und Nachnamen, Anschrift, Telefonnummer, E-Mailadresse etc. bestehen, während in öffentlich-rechtlichen Behörden Daten von Bürger:innen (Vor-/ Nachname, Anschrift, Telefonnummer, etc.) verarbeitet werden. Hierdurch sind die datenschutzrechtlichen Anforderungen, die aus der DS-GVO und dem BDSG hervorgehen, von den Verantwortlichen zu beachten. Öffentlich-rechtliche Stellen hingegen müssen zusätzlich das einschlägige Landesdatenschutzgesetz im Auge behalten. Denn dieses kann spezifische Regelungen festlegen.

Am 1. Juni 2022 hat der Bayerische Landesbeauftragte für den Datenschutz (LBfD) die Orientierungshilfe „Das Recht auf Löschung nach der Datenschutz-Grundverordnung“ veröffentlicht, die insbesondere eine Anwendungs- und Auslegungshilfe für die bayerischen Behörden darstellt. Auf insgesamt 47 Seiten wird das zentrale Betroffenenrecht auf Löschung („Recht auf Vergessenwerden“) gemäß Art. 17 DS-GVO beleuchtet, das für alle datenschutzrechtlichen Verantwortlichen gilt. Daher bietet die Ausarbeitung auch für Unternehmen der freien Wirtschaft eine Hilfestellung. Denn bei dem ein oder anderen Löschungsgrund muss der Verantwortliche darauf achten, dass durch das „Löschen“ keine etwaige Wahlmöglichkeit des Betroffenen verkürzt wird. Diese stellt nämlich ebenfalls einen datenschutzrelevanten Rechtsverstoß dar. Nachstehend finden Interessierte besonders relevante Informationen zu diesem Themenkomplex kurz und prägnant im FAQ-Format dargestellt:

Welche gesetzlichen Regelungen sind für das Recht auf Löschung („Recht auf Vergessenwerden“) von Bedeutung?

Geregelt ist das Recht auf Löschung bzw. Vergessenwerden in Art. 17 DS-GVO, mit Ausnahmen in § 35 BDSG. Weitere Rechte und Pflichten des Verantwortlichen finden sich unteranderem in den Artt. 12, 13 Abs. 2 lit. b, 14 Abs. 2, 15 Abs. 1 lit. e, 18 Abs. 1 lit. c und 19 DS-GVO.

Wann besteht Betroffenen das Recht auf Löschung bzw. Vergessenwerden?

Voraussetzung ist, dass ein Löschungsgrund gemäß Art. 17 Abs. 1 DS-GVO besteht. Hierzu zählt die Zweckerreichung, der Einwilligungswiderruf, der Widerspruch gegen die Datenverarbeitung nach Art. 21 DS-GVO, die unrechtmäßige Verarbeitung sowie die Löschpflicht aufgrund einer rechtlichen Verpflichtung – Achtung: vertragliche Pflichten zählen hierzu nicht –. Ein Sonderfall stellt Art. 17 Abs. 1 lit. f DS-GVO dar, welcher sich auf die Datenverarbeitung von Kindern fokussiert. Ferner darf kein Ausnahmetatbestand nach Art. 17 Abs. 3 vorliegen. Zu den Ausnahmetatbeständen zählen unteranderem die Erforderlichkeit der Datenverarbeitung, die Ausübung des Rechts auf freie Meinungsäußerung und Information und die Erfüllung rechtlicher Verpflichtungen (gesetzlich Aufbewahrungsfristen stehen bspw. der Löschung entgegen).

Bei welchem Löschungsgrund sollte der Verarbeiter vor dem Vollzug der Löschung prüfen, ob sich dies auf andere Betroffenenrechte auswirkt?

Bei der Zweckerreichung kommt anstelle der Löschung eine Einschränkung der Verarbeitung gemäß Art. 18 Abs. 1 lit. b DS-GVO für den Verantwortlichen in Betracht. Sofern Anhaltspunkte (Datenbedarf zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) für eine Inanspruchnahme des Betroffenen von Art 18 Abs. 1 lit b DS-GVO vorliegen, sollte der Verantwortliche eine voreilige Löschung nicht vornehmen. Liegt dagegen die Ausübung des Rechts auf Einschränkung der Verarbeitung durch den Betroffenen nahe, muss der Verantwortliche mit dem Betroffenen – zwecks Klärung der Interessenlage – in Kontakt treten.

Beim Einwilligungswiderruf sollte ebenfalls eine voreilige Löschung unterbleiben. Vielmehr muss die Reichweite des Widerrufs des Betroffenen geprüft werden. Widerruft ein Betroffener seine Einwilligung und es besteht keine weitere Rechtsgrundlage, liegt eine unrechtmäßige Datenverarbeitung vor und Art. 17 Abs. 1 lit. d DS-GVO ist einschlägig. Dem Betroffenen würde in diesem Fall alternativ das Recht auf Einschränkung der Verarbeitung der jeweiligen Daten nach Art. 18 Abs. 1 lit. b DS-GVO bestehen.

Bei einem Widerspruch gegen die Datenverarbeitung nach Art. 21 Abs. 1 DS-GVO sollte stets geprüft werden, ob die Verarbeitungseinschränkung nach Art. 18 Abs. 1 lit. d DS-GVO in Betracht kommt. Zumindest sollte, solange die Abwägung zwischen den Gründen des Verantwortlichen und des Betroffenen läuft, die Verarbeitungseinschränkung der Löschung vorgezogen werden.

Handelt es sich um eine unrechtmäßige Datenverarbeitung, besteht für den Betroffenen ebenfalls das Wahlrecht zwischen der Löschung und der Einschränkung der Verarbeitung nach Art. 18 Abs. 1 lit b DS-GVO. Wichtig: liegt keine Entscheidung des Betroffenen vor, muss der Verantwortliche über die Löschung informieren und dem Betroffenen die Möglichkeit zur Auswahl schaffen.

Wer ist der Anspruchsverpflichtete?

Grundsätzlich ist der Verantwortliche der Anspruchsverpflichtete und nicht ein Auftragsverarbeiter oder Dritter. Handelt es sich um eine gemeinsame Verantwortung – in dieser sind die beiden Verantwortlichen die Entscheider der Datenverarbeitung – kann der Betroffene den Verantwortlichen frei wählen.

Was gilt es zu beachten, wenn ein Löschungsantrag eines Betroffenen eingeht?

Grundsätzlich ist dem Verantwortlichen Art. 12 DS-GVO nahezulegen, welcher die Modalitäten für die Ausübung der Rechte betroffener Personen regelt. Unter anderem steht dem Verantwortlichen ein Recht auf Identifizierung des Betroffenen zu, wenn Zweifel bestehen. Im Antrag des Betroffenen selbst muss der Grund für die Löschung erkennbar sein. Handelt es sich hingegen um die Geltendmachung des Rechts auf Vergessenwerden nach Art. 17 Abs. 1 lit. f DS-GVO, muss ein Hinweis vom Betroffenen erkenntlich werden, dass die Datenlöschung sich auch auf Dritte erstreckt.

Verlangt ein Betroffener eine Löschung, muss der Verantwortliche darüber unverzüglich, d.h. ohne schuldhaftes Verzögern, spätestens binnen eines Monats nach Eingang des Antrags darüber entscheiden (vgl. Art. 12 Abs. 3 DS-GVO). In besonders komplexen Fällen ist eine Fristverlängerung um weitere zwei Monate möglich. Wichtig ist dabei, dass der Betroffene darüber in nachvollziehbarerweise informiert wird. Zudem sollten Verantwortliche zu Nachweiszwecken die Begründung zur Fristverlängerung dokumentieren.

Sofern eine Löschungsantrag abgelehnt wird, muss der Verantwortliche dies gegenüber dem Betroffenen verständlich begründen und auf die Beschwerdemöglichkeit bei der datenschutzrechtlichen Aufsichtsbehörde sowie auf die Möglichkeit eines gerichtlichen Rechtsbehelfs (vgl. Art 12 Abs. 4 DS-GVO) hinweisen. Auch sollte auf eine Dokumentation zu Nachweiszwecken geachtet werden.

Welche Mitteilungspflichten an Dritte sind nach der Löschung zu beachten?

Meldepflichten an Dritte werden in den Artt. 17 Abs. 2 und 19 S. 1 DS-GVO geregelt. Maßgeblich für die Bewertung der Mitteilungspflicht durch den Verantwortlichen gegenüber Dritten ist die Frage, ob es sich um vom Verantwortlichen offengelegte oder öffentlich zugänglich gemachte Daten handelt.

Hat der Verantwortliche die Daten öffentlich gemacht, in dem er diese ins Internet eingestellt hat, muss er dafür sorgen, dass er andere Datenverarbeiter (Suchmaschinenanbieter) über das Löschungsbegehren informieren, soweit dies technisch möglich und machbar ist. Über die ergriffenen Maßnahmen ist der Betroffene zu informieren (vgl. Art. 12 Abs. 3 DS-GVO).

Wurden die Daten des Betroffenen vom Verantwortlichen offengelegt, muss er den Dritten ebenfalls das Betroffenenbegehren mitteilen. Es sei denn, es ist unmöglich oder nur mit einem unverhältnismäßigen Aufwand möglich. Auf Verlangen des Betroffenen unterrichtet der Verantwortliche diesen über die Datenempfänger.

Was bedeutet Löschen im datenschutzrechtlichen Sinne?

Eine Legaldefinition enthält weder die DS-GVO noch das BDSG. Art. 4 Nr. 2 DS-GVO führt das Löschen lediglich als Verarbeitungsart auf. Generell kann jedoch davon ausgegangen werden, dass ein Löschen dann vorhanden ist, wenn ein personenbezogenes Datum so unkenntlich gemacht wird, dass dieses nicht mehr wahrnehmbar ist.

Fazit: Anhand dieser Ausführung sollte jedem Unternehmen/ jeder Behörde klar sein, dass das Recht auf Löschung weitaus komplexer ist, als dies auf den ersten Blick erscheint. Unlösbar ist es jedoch nicht. Mit einem kompetenten Datenschutzbeauftragten können pragmatische und dennoch rechtskonforme Lösungen entwickelt werden.