Die europäische Datenschutz-Grundverordnung (DSGVO) hat die Rechte Betroffener gestärkt, denn das "Vergessenwerden" ist das gute Recht jedes Bürgers. Gemeint ist damit das Recht auf die Löschung personenbezogener Daten - eine der wichtigsten Errungenschaften der Datenschutz-Grundverordnung. Doch was heißt das genau und wie lässt es sich in der Praxis geltend machen?

Das erklärt Anne Hillmer, IT-Consultant bei DataGuard, in nachfolgendem Beitrag.

So regelt die DSGVO das Recht auf Löschung
Das Recht auf Vergessenwerden besagt, dass betroffene Personen gegenüber dem jeweils Verantwortlichen die Löschung ihrer personenbezogenen Daten verlangen können. Hierfür werden in Artikel 17 der DSGVO Gründe genannt, auf die sich Betroffene berufen können. Zu den wichtigsten zählen:

  • Wegfall des Speicherungszwecks: Ein zentrales Prinzip der DSGVO sagt, dass jede Speicherung und Verarbeitung personenbezogener Daten an einen Zweck gebunden sein muss. Damit gilt auch: Sobald der Zweck nicht mehr besteht, dürfen die Daten nicht länger gespeichert werden.

  • Widerruf der Einwilligung: Eine Einwilligung des Betroffenen gilt als mögliche Grundlage für die Verarbeitung personenbezogener Daten. Wird diese zurückgezogen, müssen alle Daten gelöscht werden, für die eine Einwilligung ursprünglich erteilt wurde, und es keine andere Rechtsgrundlage gibt. Durch den Widerruf bleibt die Rechtmäßigkeit der bereits erfolgten Verarbeitung unberührt.

  • Unrechtmäßige Verarbeitung: Erfolgte die Datenverarbeitung von Anfang an unrechtmäßig, kann der Betroffene unverzügliche die Löschung der personenbezogenen Daten verlangen.

Die DSGVO zählt noch weitere Gründe auf, die eine Datenlöschung ermöglichen. Hierzu zählt etwa der Fall, wenn ein Unternehmen Daten ohne aktive Einwilligung des Betroffenen aufgrund eines „berechtigten Interesses“ verarbeitet hat. Das ist nicht per se unrechtmäßig – die DSGVO erkennt das Konzept des „berechtigten Interesses“ an. Widerspricht der Betroffene hier jedoch, müssen die Daten gelöscht werden, sofern keine andere Rechtsgrundlage existiert.

Wann ein Löschantrag sinnvoll ist
Wir haben gesehen, dass ein Löschantrag unterschiedliche Gründe haben kann. Ein wichtiges Recht im Rahmen der DSGVO ist das Auskunftsrecht, mit dem sich jede Person informieren kann, welche Daten eine Firma oder Behörde über sie gespeichert hat. Stellt sich im Rahmen einer solchen Auskunft heraus, dass eine unrechtmäßige Datenspeicherung erfolgte, ist ein Löschantrag sinnvoll.

Der in der Praxis am häufigsten auftretende Fall dürfte die Kündigung eines bestimmten Programms oder Dienstes sein. Erfolgt im Rahmen solch einer Kündigung nicht automatisch die Bestätigung, dass gespeicherte Daten gelöscht werden, empfiehlt es sich, von dem Recht auf Löschung aktiv Gebrauch zu machen.

Löschantrag am besten schriftlich stellen
Grundsätzlich erfordert ein Antrag auf Löschung keine bestimmte Form. Schon aus Gründen der Dokumentation und um es später nachweisen zu können, eignet sich die Schriftform für einen Löschantrag aber sehr gut – entweder klassisch per Post oder auch per E-Mail. Eine ausführliche Begründung muss niemand liefern, für einen Löschantrag reicht auch ein Einzeiler. Einige Daten können hilfreich für den Antrag sein.

  • Name, Anschrift, Geburtstag oder E-Mail-Adresse: Das Unternehmen muss sichergehen, dass der Antrag tatsächlich von der betroffenen Person stammt und nicht von einer dritten Person. Deshalb sollte der Betroffene ruhig jene Daten mitschicken, die der Firma bereits vorliegen und die bei der Identifizierung behilflich sein können.

  • Keine neuen Daten: Wenn das Unternehmen allerdings bestimmte Daten – etwa das Geburtsdatum oder die E-Mail-Adresse – gar nicht kennt, ist es auch nicht hilfreich, sie dem Löschantrag beizufügen. Schließlich soll die Firma hinterher nicht über mehr Daten verfügen als vorher.

Wer sichergehen möchte, kann die zu löschenden personenbezogenen Daten in seinem Schreiben auch konkret benennen – das muss aber nicht sein. Ebenso ist es möglich, die Löschung von bestimmten oder allen personenbezogenen Daten zu verlangen. Ein Beispiel für den zweiten Fall könnte etwa eine falsche Anschrift sein, während andere Daten weiter gespeichert werden dürfen.

Weitere Schritte nach dem Löschantrag
Doch was passiert, wenn das Unternehmen die Anfrage einfach ignoriert? In diesem Fall setzt es sich automatisch ins Unrecht, denn eine Reaktion innerhalb eines Monats ist Ihr gesetzliches Recht. Abhängig davon, wie sehr dem Antragsteller die Sache am Herzen liegt, kann dieser nun ein paarmal an sein Anliegen erinnern.

Fruchtet auch dies nicht, bleibt nur die Beschwerde bei der zuständigen Aufsichtsbehörde. Es gibt in Deutschland ein komplexes System aus Datenschutzbehörden, aber jeder Bürger kann sich unbesorgt an seine lokale Landesbehörde wenden.

Nun haben sich in der Praxis möglicherweise auch bei einem erfolgreichen Löschantrag Daten aus sozialen Netzwerken andernorts im Internet verbreitet. Müssen Betroffene im Nachgang also jeden einzelnen Seitenbetreiber noch einmal um Löschung der gleichen Daten bitten? Nein, denn der ursprünglich Verantwortliche, der die Daten veröffentlicht hat, über die gesamte Datenverarbeitungskette hinweg auf die Löschung hinwirken.

Selbsttest: So leicht lassen sich Daten wirklich löschen
Papier gilt bekanntlich als geduldig. Greift also das noch junge Recht auf Vergessenwerden aus der DSGVO tatsächlich? Wir bei DataGuard haben es ausprobiert. Von Online-Diensten über Bonuspunkt-Programme bis zu Internet-Shops: Bei rund einem Dutzend realer, nicht mehr benötigter Kundenkonten haben wir per E-Mail oder Kontaktformular mit einem schlichten Einzeiler gekündigt.

Die Ergebnisse machen Mut:

  • Alle Löschanträge wurden tatsächlich innerhalb der vorgesehenen Monatsfrist beantwortet – es gab keinerlei Nachfragen zur Verifizierung der Identität.

  • Keines der angefragten Unternehmen verweigerte die Löschung (wofür allerdings auch nach Kündigung des Vertragsverhältnisses keine rechtliche Grundlage bestanden hätte).

  • Kleiner Wermutstropfen: Nicht alle Firmen haben einen konkreten Zeitrahmen für die Löschung genannt. Positiv hervorheben in Sachen Transparenz lässt sich ein Unternehmen, das seine Löschroutine beschrieben und erklärt hat, warum aus technischen Gründen die Löschung erst in sechs Wochen erfolgen kann.

Im Großen und Ganzen verhielten sich somit erfreulicherweise alle angeschriebenen Organisationen DSGVO-konform. Physisch kontrollieren lässt sich auf diese Art die Löschung natürlich nicht. Wer Zweifel hegt, ob die Löschung wirklich erfolgt, könnte beispielsweise ein Jahr später erneut ein Auskunftsersuchen nach der DSGVO an die Firma stellen und fragen, ob personenbezogene Daten über einen verarbeitet werden. Wenn die Firma dann angibt, immer noch Daten gespeichert zu haben, stimmt offensichtlich etwas nicht.

So sollten Unternehmen mit einem Löschantrag verfahren
Bis zu diesem Punkt haben wir Löschanträge aus der Perspektive Betroffener betrachtet. Nun soll es um die Unternehmenssicht gehen: Wie sieht die Reaktion auf einen Löschantrag idealerweise aus? Festzuhalten ist hier zunächst: Zum „Wie“ der Löschung macht das Gesetz keine exakten Vorgaben. Neben Artikel 17 der DSGVO sind zur Orientierung hier die Grundsätze der Datenverarbeitung relevant, wie sie in Artikel 5 der Verordnung formuliert werden.

Vor einer Löschung muss die Anfrage geprüft werden. Dabei kann folgender Fragenkatalog helfen:

  • Ist die Anfrage legitim? Hier geht es im ersten Schritt darum, die Identität der Person zu überprüfen, die einen Antrag auf Löschung gestellt hat. Bestehen berechtigte Zweifel, sollte die Firma weitere Informationen anfordern.

  • Besteht eine Verpflichtung zur Löschung? Die Antwort auf die Frage fällt nicht leicht. Dem Recht auf Löschung können Pflichten zur Aufbewahrung entgegenstehen – etwa aus steuerlichen Gründen oder im Fall von Patientenakten bei Ärzten.

Konnten beide Fragen positiv beantwortet werden, sind Firmen gemäß DSGVO zu einer „unverzüglichen“ Löschung verpflichtet. Was bedeutet das in der Praxis? Gut eignet sich ein professionelles Löschkonzept. „Unverzüglich“ ist dann so zu verstehen, dass Unternehmen die Löschung im Rahmen ihrer üblichen technischen und organisatorischen Prozesse nicht schuldhaft hinauszögern.

Allgemein anerkannt ist aber auch, dass aus technischen Gründen nicht jede Löschung mit einem Mausklick funktioniert. Das gilt beispielsweise bei Back-ups, bei denen die Löschung möglicherweise Monate dauern kann. Eine wichtige Rolle spielt jedoch folgende Frist: Ob die Daten bereits gelöscht wurden, der Löschprozess andauert oder Gründe gegen die Löschung sprechen: Unternehmen müssen den Antragsteller innerhalb eines Monats über Ihre ergriffenen Maßnahmen informieren, und zwar unentgeltlich.

Ausnahmen bei der Löschung von Daten
Die DSGVO formuliert mehrere Gründe, die gegen einen Antrag auf Löschung personenbezogener Daten vorgebracht werden können. Darunter finden sich das Recht auf Meinungs- und Informationsfreiheit, rechtliche Verpflichtungen, die eine Bearbeitung erforderlich machen (wie steuerlich relevante Dokumente oder medizinische Aufzeichnungen), öffentliche Interessen oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Hier kommt es im Einzelfall oft zu Abwägungsentscheidungen. So wies beispielsweise der Bundesgerichtshof (BGH) eine Klage auf Löschung gegen den Suchmaschinenanbieter Google zurück. Hier hatte der ehemalige Geschäftsführer eines Wohlfahrtsverbands darauf hinwirken wollen, für ihn negative Nachrichten nicht mehr mit einer Suche nach seinem Namen zu verbinden. Demgegenüber urteilte der BGH, dass das öffentliche Interesse an der Berichterstattung überwiege.

Fazit
Das Recht auf Löschung zählt zu den wichtigsten Errungenschaften der DSGVO. Ein Stück Vertrauen gehört zwar dazu – denn wer kann im Informationszeitalter wirklich sicher wissen, ob auch die letzte Sicherheitskopie eines Datensatzes gelöscht wurde? Gleichwohl zeigt unser kleiner Selbsttest: Die Vorschrift wirkt. Das „Vergessenwerden“ ist das gute Recht jedes Bürgers.

Weitere Beiträge....