Recht auf Löschung: Wann Daten verschwinden müssen

Ein Löschungsverlangen nach Art. 17 DSGVO ist zu erfüllen, sobald die Daten für den Zweck nicht mehr erforderlich sind, die Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war. Die Frist beträgt einen Monat, und die Antwort muss eine Entscheidung enthalten – nicht den Hinweis, dass man prüfe. Die häufigste Fehlerquelle liegt nicht in der Ablehnung, sondern im Übersehen: Ein Verlangen geht ein, wird beantwortet, und die Löschung selbst wird nie ausgeführt.

##Wann besteht die Pflicht zu löschen?

• ›Der Zweck ist erreicht und die Daten werden nicht mehr gebraucht
• ›Die Einwilligung wurde widerrufen und es gibt keine andere Grundlage
• ›Die Verarbeitung war von Anfang an unrechtmäßig
• ›Eine gesetzliche Pflicht zur Speicherung ist entfallen
• ›Die Daten wurden für ein Angebot an Kinder erhoben

##Wann überwiegt das Interesse an der Speicherung?

Bei gesetzlichen Aufbewahrungspflichten – handels- und steuerrechtlich in der Regel sechs beziehungsweise zehn Jahre –, bei der Geltendmachung oder Verteidigung von Rechtsansprüchen, bei der Ausübung des Rechts auf freie Meinungsäußerung und bei Gründen des öffentlichen Interesses im Gesundheitsbereich. In diesen Fällen wird nicht gelöscht, sondern die Verarbeitung eingeschränkt: Die Daten bleiben gespeichert, dürfen aber nur noch für diesen einen Zweck verwendet werden.

##Was ist der Unterschied zwischen Löschen und Einschränken?

Einschränken heißt, die Daten zu sperren: Sie bleiben vorhanden, dürfen aber außer zur Erfüllung der Pflicht nicht mehr verarbeitet werden. Löschen heißt, sie zu entfernen – und zwar auch aus Sicherungen, soweit das technisch möglich ist. In der Praxis ist die Einschränkung der häufigere Fall, weil viele Daten einer Aufbewahrungspflicht unterliegen. Wichtig ist, den Unterschied im System tatsächlich abzubilden und nicht nur zu notieren.

##Wie muss die Antwort aufgebaut sein?

Mit einer Entscheidung, einer Begründung und einer Angabe, was tatsächlich geschehen ist. Wird gelöscht, ist zu benennen, welche Daten betroffen waren und wann gelöscht wurde. Wird nicht gelöscht, ist die Rechtsgrundlage zu nennen, aus der sich das ergibt – etwa eine konkrete Aufbewahrungsfrist. Eine Antwort ohne diese Angaben erfüllt den Anspruch formal, aber nicht inhaltlich, und wird bei einer Beschwerde nicht als Nachweis anerkannt.

##Die häufigsten Fehler bei Löschungsverlangen

Die Löschung wird zugesagt, aber nur im Hauptsystem ausgeführt – Sicherungen, Protokolle und Kopien in Fachanwendungen bleiben unberührt. Es wird zu einem einzelnen Datensatz gelöscht, obwohl die Person mehrfach angelegt wurde. Und es wird nicht dokumentiert, sodass bei einer Nachfrage niemand sagen kann, ob gelöscht wurde. Der Nachweis ist dabei genauso wichtig wie die Löschung selbst.

##Was gilt für Auftragsverarbeiter?

Sie löschen auf Weisung des Verantwortlichen. Läuft ein Löschungsverlangen bei einem Dienstleister ein, muss er es an den Verantwortlichen weitergeben, statt selbst tätig zu werden – es sei denn, der Auftragsverarbeitungsvertrag regelt etwas anderes. Der Verantwortliche bleibt für die vollständige Löschung zuständig, auch über alle Dienstleister hinweg. Deshalb gehört die Liste der Dienstleister in jeden Löschvorgang.

##Was passiert bei einer Beschwerde?

Die Aufsichtsbehörde prüft, ob das Verlangen innerhalb der Frist beantwortet und ob die Entscheidung nachvollziehbar begründet wurde. Wer die Löschung verweigert hat, muss die Aufbewahrungspflicht konkret benennen können – ein allgemeiner Hinweis auf „gesetzliche Aufbewahrungsfristen" genügt nicht. Wer gelöscht hat, muss das belegen. In beiden Fällen ist die Dokumentation ausschlaggebend, nicht das Ergebnis.

##Ein Verfahren statt vieler Einzelfälle

Legen Sie fest, wer Löschungsverlangen bearbeitet, welche Systeme dabei durchgesehen werden und wie das Ergebnis dokumentiert wird. Eine Prüfliste mit den fünf bis zehn Anwendungen, in denen Personendaten liegen, erledigt das dauerhaft. Der eigentliche Aufwand liegt nicht in der Entscheidung über das einzelne Verlangen, sondern darin, alle Stellen zu kennen, an denen dieselbe Person gespeichert ist.