Update Datenschutz Nr. 113
Aufsichtsbehörde veröffentlicht Leitfaden zur Umsetzung von Löschpflichten nach DSGVO
Der Bayerische Landesbeauftragte für den Datenschutz hat per Pressemitteilung vom 20. Juni 2022 eine Orientierungshilfe mit Blick auf die Löschungspflicht bzw. das Löschungsrecht aus Art. 17 DSGVO veröffentlicht. Die rechtskonforme Umsetzung von Löschpflichten stellt Unternehmen regelmäßig vor große Herausforderungen (beispielsweise bei der Ausgestaltung von Backups), so dass eine offizielle Einschätzung von Behördenseite bereits lang ersehnt wurde.
Primär befasst sich die Orientierungshilfe damit, zu erklären, wie die Regelungen des Art. 17 DSGVO im Einzelnen zu verstehen sind und zieht hierzu die Ansichten in der Literatur heran. Einzelne Tatbestandsvoraussetzungen werden an kurzen Beispielen erklärt. Da die Orientierungshilfe sich auf behördliche Datenverarbeitungsvorgänge bezieht, sind die Beispiele auch aus diesem Gebiet gewählt. Unerwartete Neuerungen zu den behördlichen Anforderungen ergeben sich aus der Orientierungshilfe nicht. Einzelne Punkte, die die Behörde deutlich macht, sollen dennoch nachfolgend kurz dargestellt werden:
I. Ausführungen des bayrischen Landesbeauftragten für den Datenschutz
Zu Beginn wird klargestellt, dass neben der antragsabhängigen Löschungspflicht, den Verantwortlichen auch eine Löschungspflicht trifft, wenn der Betroffene zwar keinen Antrag gestellt hat, die Voraussetzungen des Art. 17 Abs. 1 DSGVO aber objektiv vorliegen. Den Verantwortlichen trifft insoweit eine Prüfpflicht hinsichtlich der von ihm verarbeiteten personenbezogenen Daten.
Gleichzeitig betont die Behörde, dass nicht vorschnell und stets direkt zu löschen ist, wenn die Voraussetzungen vorliegen. Vielmehr muss beachtet werden, dass durch die Löschung etwa keine anderen Betroffenenrechte vereitelt werden. In Zweifelsfällen wird geraten, dass der Verantwortliche bei dem Betroffenen nachfragt, ob eine Löschung gewollt ist oder ob ein anderes Betroffenenrecht – etwa die eingeschränkte Verarbeitung – dessen Interesse eher nahekommt.
Überdies wird festgehalten, dass pauschale Löschungsanträge für den Verantwortlichen unbeachtlich sein können (Rn.11). Im Übrigen soll der Verantwortliche bei unklaren oder für die betroffene Person nachteiligen Umständen die aus dem Antrag folgen können, eine Beratung vornehmen (Rn. 12 inkl. Bsp.)
1. Löschungsgründe, Art 17 Abs. 1 DSGVO
Die Behörde stellt mit Blick auf den Widerruf der Einwilligung (Art. 17 Abs. 1 lit. b) DSGVO) klar, dass eine Löschung nicht stets erfolgen muss, wenn die Einwilligung widerrufen wurde. Dies kann nämlich anders sein, wenn die Verarbeitung aufgrund eines anderen gesetzlichen Erlaubnistatbestandes (etwa berechtigte Interessen) erfolgen darf. Wobei klargestellt wird, dass von der Einholung einer Einwilligung als „Ersatzrechtsgrundlage“ generell abzuraten ist. Inwieweit der Wechsel nach dem Widerruf der Einwilligung auf eine andere Rechtsgrundlage zulässig ist, bedarf einer Entscheidung im Einzelfall; ggf. könnte insoweit ein Verstoß gegen den Grundsatz von Fairness und Transparenz eintreten.
Ist die Zweckerreichung der Löschungsgrund (Art. 17 Abs. 1 lit. a) DSGVO), so sei zu beachten, dass der Zweck mit Blick auf die jeweilige Verarbeitungshandlung zu bestimmen ist, so kann der ursprüngliche Erhebungszweck ein anderer sein, als der Zweck der nach der Übermittlung dieser personenbezogenen Daten an Dritte verfolgt wird. Insoweit muss jeder der Verantwortlichen stets für seine konkrete Verarbeitungshandlung prüfen, ob der Zweck der Verarbeitung noch vorliegt. Werden personenbezogenen Daten zu mehreren Zwecken verarbeitet, so kann keine vollständige Löschung erfolgen, wenn zumindest noch ein Zweck vorhanden ist – eine partielle Löschung bleibt jedoch möglich. Aus diesem Grund böte es sich an, für verschiedene Verarbeitungszwecke die Datenverarbeitung getrennt vorzunehmen.
Widerspricht der Betroffene der Verarbeitung, Art. 17 Abs. 1 lit. c) DSGVO, – macht er also bei einer Verarbeitung auf Grundlage berechtigter Interessen von seinem Widerspruchsrecht aus Art. 21 Abs. 1 DSGVO gebrauch – so ist im Einzelfall zu prüfen, ob vorrangige berechtigte Gründe vorliegen. In die Abwägung ist einzubeziehen: die Art der Daten, deren Sensibilität für das Privatleben der betroffenen Person, das Interesse der Öffentlichkeit an dem Zugang und die wirtschaftlichen Interessen der verantwortlichen Stelle. Solange noch nicht feststeht, ob berechtigte Gründe des Verantwortlichen überwiegen, kommt das Recht des Betroffenen auf eingeschränkte Verarbeitung in Betracht. Widerspricht der Betroffene gem. Art. 21 Abs. 2 DSGVO der Verarbeitung zur Direktwerbung sind vorrangige berechtigte Gründe des Verantwortlichen unbeachtlich.
Der Löschungsgrund der unrechtmäßigen Verarbeitung, Art. 17 Abs. 1 lit. d) DSGVO, greift nicht, wenn eine ursprünglich rechtswidrige Verarbeitung nachträglich rechtmäßig wurde. Ferner wird ausgeführt, dass nach Ansicht der Behörde nicht jeder Rechtsverstoß gegen die DSGVO dazu führt, dass ein Löschungsgrund anzunehmen ist. Es sei darauf abzustellen, ob der Rechtsverstoß auf die Verarbeitung durchschlägt. Eine unrechtmäßige Verarbeitung käme also dann in Betracht, wenn die Verarbeitung selbst den Rechtsverstoß begründet.
Als Grundlage für die Löschung aufgrund der Erfüllung einer Rechtspflicht (Art. 17 Abs. 1 lit. e) DSGVO) kommen gesetzliche Vorgaben oder rechts- und bestandskräftige Gerichts- und Behördenentscheidungen in Betracht. Rein vertragliche Pflichten gegenüber Dritten reichen nicht. Zu beachten sei ferner, dass der Ablauf einer gesetzlichen Speicherungsfrist für sich alleine nicht zur Löschungspflicht nach lit. e) führt, denn Aufbewahrungsfristen können auch Mindestfristen sein. Es ist insoweit zwischen Fristen zu unterscheiden, mit dessen Ablauf zwingend eine gesetzlich vorgesehene Löschung zu erfolgen hat und solchen, mit dessen Ablauf die allgemeinen Vorschriften zum Umgang mit der Löschung personenbezogener Daten greifen.
2. Löschungshandlung und -umfang
Die Behörde stellt klar, dass hinsichtlich der Löschungshandlung nicht verlangt werden kann, dass ein endgültiger Löschungserfolg um jeden Preis erzielt werden muss. Eine etwaige theoretische Rekonstruktionsmöglichkeit steht dem Löschungserfolg nicht entgegen, wenn der Verantwortliche technische und organisatorische Standards einhält.
Die Löschungspflicht bezieht sich aber auf alle Kopien, etwa auch Sicherheitskopien. Die Verpflichtung zum Löschen trifft insoweit auch nur den Verantwortlichen. Der Umfang der Löschungspflicht hängt dabei davon ab, wieweit der Löschungsgrund im Einzelfall greift. Insbesondere, wenn nur einzelne Daten aus Dokumenten zu löschen sind, muss geprüft werden, ob die Daten denklogisch teilbar sind – der Datenbestand muss also ohne die zu löschenden Teile noch sinnhaltig sein. Die verbleibenden Teile müssen sodann stets dahingehend geprüft werden, ob für diese auch ein Löschungsgrund besteht.
Die Löschungshandlung muss „unverzüglich“ im Sinne von „ohne schuldhaftes Zögern“ (Rechtsgedanke § 121 BGB) vorgenommen werden. Verlangt der Betroffene die Löschung so bezieht sich die „Unverzüglichkeit“ auf den Zeitraum zwischen Löschungsantrag und Löschungshandlung. Liegt ein objektiver Löschungsgrund – ohne Antrag des Betroffenen vor – so kommt es auf den Zeitraum des objektiven Eintritts des Löschungsgrundes und dem Tätigwerden an – der Zeitpunkt der Kenntniserlangung sei somit unerheblich. Hieraus folgt, dass den Verantwortlichen eine Prüfpflicht trifft.
Sofern die zu löschenden personenbezogenen Daten offengelegt wurden, löst die Löschung nach Art. 17 DSGVO die Mitteilungspflicht des Verantwortlichen aus.
3. „Recht auf Vergessenwerden“, Art. 17 Abs. 2 DSGVO
Hierneben tritt Art. 17 Abs. 2 DSGVO, der die Informationspflicht nach Art. 19 DSGVO verdrängt, wenn die personenbezogenen Daten gegenüber einem unbestimmten Personenkreis veröffentlicht wurden. Liegt ein Löschungsgrund vor, muss der Verantwortliche Maßnahmen ergreifen, um den anderen Verantwortlichen, die diese personenbezogenen Daten verarbeiten mitzuteilen, dass alle Links zu diesen personenbezogenen Daten, Kopien oder Replikate zu löschen sind. Damit die Rechtsfolge des Art. 17 Abs. 2 DSGVO eingreift, reicht es dabei aus, dass das Löschungsverlangen des Betroffenen sich auch auf alle Links, Kopien und Replikationen von dem ursprünglichen Verantwortlichen bezieht – der Betroffene muss in seinem Löschungsverlangen folglich nicht explizit hierauf Bezug nehmen.
Die Bestimmung der „angemessenen Maßnahmen“ erfolgt dabei im Einzelfall unter Berücksichtigung der Intensität des Eingriffs und der Sensibilität der jeweiligen personenbezogenen Daten. Jedenfalls angemessen erscheint es indes, dass die Anbieter der wichtigsten Suchmaschinen vom Löschungsverlangen informiert werden.
4. Ausnahmen von der Löschungspflicht
Möchte sich der Verantwortliche auf eine Ausnahme nach Art. 17 Abs. 3 DSGVO berufen, so reicht es nicht aus, dass er sich auf das Vorliegen der Tatbestandsvoraussetzungen beruft. Vielmehr muss eine Abwägung im Einzelfall erfolgen, die gegebenenfalls zu protokolieren ist – das Interesse des Verantwortlichen bzw. der Öffentlichkeit an der weiteren Verarbeitung muss das Löschungsinteresse überwiegen. Zu beachten ist dabei, dass die Ausnahme nach Art. 17 Abs. 3 DSGVO nicht zeitlich unbegrenzt gilt, vielmehr werden die Zwecke nach einer bestimmten Zeit erfüllt sein, sodass die personenbezogenen Daten dann zu löschen sind. In der Praxis werden als Ausnahmegrund regelmäßig Art. 17 Abs. 3 lit. b) und e) DSGVO in Betracht kommen, also das bestehen rechtlicher Pflichten (z. B. steuerrechtliche Aufbewahrungsfristen) oder die Notwendigkeit zur Vorhaltung für Zwecke der Geltendmachung von Ansprüchen (z. B. während der Verjährungsfrist).
II. Folgerungen für die Praxis
Die hier besprochene Orientierungshilfe ist (soweit ersichtlich) neben dem Kurzpapier der Datenschutzkonferenz aus 2018 die erste Handreichung einer Aufsichtsbehörde zur rechtskonformen Umsetzung von datenschutzrechtlichen Löschpflichten. Unternehmen, die bislang unsicher waren, wie genau die Umsetzung der bestehenden Löschpflichten aus Behördensicht vorzunehmen ist, finden hier konkrete Anhaltspunkte.
