Löschung personenbezogener Daten: Einem Löschgesuch datenschutzkonform nachkommen

Verbraucher können von Unternehmen die Löschung ihrer personenbezogenen Daten fordern. Doch zahlreiche Organisationen tun sich schwer damit. Es drohen Fehler, die sie im Ernstfall teuer zu stehen kommen. Nachfolgend erläutern wir, was es mit Löschgesuchen im Datenschutz auf sich hat und auf welche Aspekte bei der Umsetzung zu achten ist.

Rechtsgrundlagen zur Löschung personenbezogener Daten

Art. 5, Abs. 1, lit d DSGVO:

Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“)

§ 58 BDSG, Abs. 2:

Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Löschung sie betreffender Daten zu verlangen, wenn deren Verarbeitung unzulässig ist, deren Kenntnis für die Aufgabenerfüllung nicht mehr erforderlich ist oder diese zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen.

Art. 17 DSGVO:

Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

1. Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

2. Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

3. Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

4. Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

5. Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

6. Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

Stolpersteine bei Löschgesuchen

Für Unternehmen ist es entscheidend, dem Löschgesuch eines Betroffenen angemessen nachzukommen. Andernfalls droht bei Missachtung einer Löschungsaufforderung ein Verstoß gegen datenschutzrechtliche Bestimmungen, sodass ggf. die zuständige Aufsichtsbehörde einschreitet und ein Bußgeld verhängt.

Es existiert eine ganze Reihe an Gründen, die das Löschen personenbezogener Daten erschweren können. Die häufigsten in der Praxis anzutreffenden Probleme sind:

• Es ist nicht bekannt, welche genauen Daten des Betroffenen vorhanden sind.
• Es ist nicht bekannt, in welche Systeme die Daten im Verarbeitungsprozess überall repliziert worden sind.
• Es gibt im Unternehmen keine Person mit systemübergreifendem Blick auf die Daten.
• Es gibt generell keinen Prozess zur Löschung von Daten (Löschkonzept).
• Die Löschfristen der betreffenden Datenkategorien sind nicht bekannt.

Risiken bei Fehlen eines Löschkonzepts

Sollte ein Unternehmen kein klar definiertes Löschkonzept erarbeitet und implementiert haben, gehen neben allgemeinen Datenschutzrisiken, wie Bußgeldverhängung und Imageschaden, mehrere spezifische Risiken einher.

• Löschung falscher Daten
  Sollte keine eindeutige Zuordnung des Betroffenen gelingen, droht die Löschung von Datensätze, die andere Personen betreffen.
• Dateninkonsistenz nach Datenlöschung
  Sollten Daten innerhalb verschiedener Systeme gelöscht werden, kann dies bei Missachtung bestehender Zusammenhänge zu einer Minderung der Datenqualität oder zu Datenverlusten führen.
• Löschgesuche können nicht zeitnah beantwortet werden
  Auf Anweisung des Betroffenen sind dessen personenbezogene Daten innerhalb der jeweils geltenden Fristen zu löschen. Andernfalls droht eine Strafe.
• Missachtung anderer Rechtsvorschriften
  Ergänzende Rechtsvorschriften, wie z.B. das Steuerrecht, sind ebenfalls zu berücksichtigen. So können z.B. Rechnungsbelege unter Umständen nicht sofort, sondern erst nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht werden.

Personenbezogene Daten datenschutzkonform löschen

Nur eine lückenlose Umsetzung garantiert Sicherheit. Zur Erreichung dieses Ziel erarbeiten wir die Löschprozesse unserer Mandanten – in verallgemeinerter Kurzform ausgedrückt – nach folgendem Schema.

1. Identifizieren der einzelnen Verarbeitungsprozesse
   Ziel ist die sichere Ermittlung sämtlicher Prozesse, in deren Rahmen die Daten aller Betroffenen verarbeitet werden.
2. Identifizieren der Daten, Datenkategorien, sowie der verbundenen Aufbewahrungs- und Löschfristen
   Dient als Grundlage, um einen verlässlichen Löschprozess zu gestalten.
3. Identifizieren der zugehörigen Systeme und Schnittstellen für den Datenaustausch
   Verstehen der Systeme und Datenflüsse, um den Löschprozess auch technisch korrekt zu gestalten. Dieser Aufgabenbereich stellt viele Unternehmen vor eine Herausforderung, da IT-Systeme oft historisch gewachsen und Datenflüsse sehr verzweigt sein können.
4. Anlegen der Dokumentation
   Ein bloßes Löschen der Daten genügt nicht, im Ernstfall muss ein Nachweis über die Löschung erbracht werden können.
5. Implementieren des Löschkonzepts
   Das Löschkonzept steht und der Löschprozess wird umgesetzt.

Wie unsere Datenschutzspezialisten weiterhelfen

Wir erarbeiten Löschkonzepte, die exakt auf die Bedürfnisse unserer Mandanten abgestimmt sind. So entsteht eine Basis, um Löschgesuchen durch Betroffene jederzeit angemessen nachzukommen. Wir verfügen nicht nur über eine langjährige Erfahrung. Darüber hinaus ist unsere Arbeitsweise ist praxisorientiert und führt ohne Umwege an das Ziel, wovon unsere Mandanten auch wirtschaftlich profitieren.

Sie möchten mit Auskunftsersuchen oder Löschgesuchen im Datenschutz besser umgehen können und benötigen fachliche Unterstützung? Gerne unterstützen wir auch Sie – nutzen Sie unsere kostenlose Erstberatung.

Fragen & Antworten zum Thema