Kurz erklärt: Recht auf Löschung

Die grundlegenden Regelungen für die Löschung von personenbezogenen Daten gibt die DSGVO in Artikel 17 Absatz 1 wieder.

Demnach sind personenbezogene Daten zu löschen, sobald:

• die Daten nicht mehr benötigt werden, also die für die Erhebung geltend gemachten Zwecke erfüllt bzw. aufgehoben sind.
  Die zweckentfremdete Nutzung ist grundsätzlich unzulässig.

• keine weiteren vorrangigen Gründe dazu berechtigen, die personenbezogenen Daten weiterhin zu speichern und der Betroffene der Datenverarbeitung widersprochen hat.
  Dies gilt beispielsweise auch bei Daten von Kindern, die bei Internetangebotenen erhoben wurden.

• Kenntnis darüber besteht, dass die personenbezogenen Daten unrechtmäßig verarbeitet wurden.

• eine andere Löschfrist berührt wird.

• eine der Erhebung zugrundeliegenden Einwilligung durch den Betroffenen widerrufen wurde.
  Wenn die Datenverarbeitung nicht von allein von der Einwilligungsbeschränkung des Betroffenen abhing, sondern andere gesetzliche Grundlagen diese gestatten oder gar fordern, kann eine Ausnahme gelten.

• der Betroffene von seinem Recht auf Löschung Gebrauch gemacht hat, sofern diesem Verlangen keine triftigen Gründe entgegenstehen.

Wenn man nach der DSGVO angehalten ist, personenbezogene Daten zu löschen, müssen auch bei der Datenvernichtung wichtige Datenschutzstandards eingehalten werden.
Das heißt also, es genügt nicht, ausgedruckte Unterlagen einfach so in den Müll zu werfen.
Die Daten müssen so vernichtet werden, dass sie nicht ohne Weiteres wiederhergestellt werden können.
Dafür eignet sich zum Beispiel das Schreddern von Dokumenten und Datenträgern in unterschiedlich wählbaren Stufen.

Allerdings müssen nicht alle Daten unverzüglich gelöscht werden.

Verschiedene Gesetze schreiben den verantwortlichen Stellen eine bestimmte Aufbewahrungsfrist vor.

Solange diese Frist läuft, besteht keine gesetzliche Pflicht zur Löschung.

Darunter fallen z. B. Aufbewahrungsfristen für:

• Jahresabschlüsse (10 Jahre)

• ärztliche Dokumente (10 Jahre, teilweise sogar bis zu 30 Jahre)

• Rechnungen (2 Jahre)

Wenn ein Gesetz eine solche Aufbewahrungsfrist vorsieht, sind die entsprechenden Daten nach § 35 Abs. 3 BDSG zu sperren.

Öffentliche und nicht öffentliche Behörden müssen Löschanträgen der Betroffenen nicht in jedem Fall nachkommen.

Beruht die Datenverarbeitung beispielsweise auf einer Verpflichtung bzw. auf einem gesetzlichen Erlaubnisbestand, dann kann die Löschung personenbezogener Daten laut DSGVO abgelehnt werden.

Man kann also beispielsweise niemals einfach unbegründet verlangen, dass ein zu seiner Person bestehendes Vorstrafenregister oder der Punktestand in Flensburg gelöscht wird.

Denn erst wenn die Tilgungsfrist bei den zugrunde liegenden Taten eingetreten ist, sind die Behörden zu Löschung verpflichtet.

In der Regel ist es also immer dann möglich personenbezogene Daten löschen zu lassen, wenn man vorab in eine etwaige Nutzung und Datenverarbeitung eingewilligt hat und diese Zustimmung als einzige Grundlage entsprechende Speicherungs- und Verarbeitungsvorgänge erlaubt.

Diese Einwilligung kann man nämlich jederzeit widerrufen.

Besteht die Möglichkeit personenbezogene Daten löschen zu lassen, genügt in der Regel ein entsprechendes formloses Schreiben, in dem man sich auf das eigene Recht auf Löschung und Widerruf bezieht.

Um erst einmal prüfen zu können, ob überhaupt falsche, veraltete oder fehlerhafte Informationen vorliegen bzw. unrechtmäßig genutzt werden, kann man vorab vom Auskunftsrecht Gebrauch machen.

Im Falle einer Sperrung werden die Daten nicht gelöscht, sondern bleiben bestehen.

Die Verantwortlichen haben die Pflicht, die Daten unzugänglich aufzubewahren, sodass Mitarbeiter keinen Zugriff mehr haben.

Sie werden entsprechend gekennzeichnet und in ihrer weiteren Verarbeitung eingeschränkt.

Folgende Anwendungsfälle sind für eine Sperrung denkbar:

• Es ist anzunehmen, dass eine Löschung eine Beeinträchtigung schutzwürdiger Interessen des Betroffenen nach sich zieht oder

• die Löschung aufgrund der besonderen Speicherarten nicht möglich ist oder

• das Löschen einen unverhältnismäßigen Aufwand bedeuten würde.

Öffentliche und nicht öffentliche Stellen sind zwar verpflichtet, von sich aus zu prüfen, ob die Daten datenschutzkonform genutzt und ob Verjährungsfristen und die Zweckbindung eingehalten werden.

Trotzdem soll dem Betroffenen mit diesen Regelungen eine gewisse Kontrolle über die Einhaltung des Datenschutzes gegeben werden.

Verstöße gegen das Recht auf Löschung oder gegen die Löschungspflicht können mit hohen Geldbußen geahndet werden.

Daher sollten sich Unternehmen bewusst sein, dass Vergehen in Bezug auf das Recht auf Löschung oder die Löschpflicht zu erheblichen Reputationsschäden des Unternehmens führen können.

Es bietet sich im Rahmen der Bearbeitung eines Löschantrags folgende Vorgehensweise an:

Nach dem Eingang des Antrags der betroffenen Person ist zunächst erst einmal wichtig sich zu vergewissern, dass die antragsstellende Person, die ist, die sie vorgibt zu sein. Sie müssen also die Identität des Betroffenen eindeutig feststellen und nachweisen können.

Sollten dabei Zweifel aufkommen, sind weitere Informationen anzufordern, um die Identität zweifelsfrei festzustellen.

Die Monatsfrist zur Beantwortung des Löschungsantrags beginnt erst mit der zweifelsfreien Identitätsfeststellung.

Dabei ist es sehr wichtig zu beachten, dass sobald die Identität des Antragsstellers aufgrund der Preisgabe weiterer Informationen festgestellt worden ist, diese Informationen auch wieder gelöscht werden müssen.

Innerhalb der Ermittlung der personenbezogenen Daten des Antragsstellers sind die Datenquellen zu identifizieren, die nach den maßgeblichen Informationen durchsucht werden sollen.

Hier sind alle Bereiche mit einzubringen, deren Unterstützung erforderlich sein könnte, wie beispielsweise die IT oder HR-Abteilung.

Ob der Antragssteller einen Anspruch auf Löschung hat bzw. keine Gründe vorliegen, welche die Speicherung der Daten weiterhin rechtfertigen, muss vor der Bestätigung oder Ablehnung des Antrags geprüft werden.

Wenn zum Beispiel die Verarbeitung der Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, muss einem Löschantrag nicht nachgekommen werden.

In Abhängigkeit davon, ob der Anspruch auf Löschung durch den Antragssteller besteht oder auch nicht, muss entweder die Löschung durchgeführt werden oder eine Ablehnung des Antrags erfolgen.

Dabei sollten Sie die entsprechenden Gründe im Schreiben angeben.

Unter dem Begriff „Löschung“ versteht man die Vernichtung oder Unbrauchbarmachung der Daten. In den meisten Anwendungsfällen betrifft dies also die technische Löschung der Daten von einem Datenträger.

Vorlage Betroffenenanfrage