Die unabhängige selbstständige Löschpflicht

Artikel 17 DSGVO sieht in Absatz 1 lit a vor, dass personenbezogene Daten zu löschen sind, sofern diese für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden nicht mehr notwendig [sind] und sofern diese für die Verarbeitung nicht erforderlich sind (Artikel 17 Abs. 3 DSGVO). Das ist soweit unstrittig.

Durchaus strittig ist die Frage, ob Verantwortliche in solchen Fällen zu einer selbstständigen Löschung verpflichtet sind, also unabhängig von Löschanträgen Betroffener. Nicht weniger strittig ist, ob Verantwortliche, die der Löschpflicht nicht nachkommen, das Recht Betroffener auf Löschung verletzen und ob sich daraus ein Beschwerdegrund ableiten lässt.

Auslegungsproblematik von Artikel 17 Abs. 1 DSGVO

Je nach Leseart ergeben sich aus Absatz 1 ein beziehungsweise zwei unterschiedliche Rechtssätze.

^[1]Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, ^[2]und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft: […]

Rechtsauslegung der Leseart „ein Rechtssatz”

Die österreichisches Datenschutzbehörde geht von einem Rechtssatz und einer Ableitung aus: das Recht, die unverzügliche Löschung der peronenbezogenen Daten zu verlangen und folglich die Verpflichtung des Verantwortlichen, dieser Löschaufforderung unverzüglich nachzukommen, soweit einer der in lit a–f angeführten Gründe vorliegt und keiner der in Abs. 3 lit a–e gelisteten Gründe das Recht auf Löschung beschneidet. Demnach sieht die Datenschutzbehörde keine unabhängige und selbstständige Löschpflicht des Verantwortlichen.

Das hat im Falle von Beschwerden Konsequenzen. Eine Verstoß gegen das Recht auf Löschung (Artikel 17 DSGVO), setzt in Österreich verfahrenstechnisch zwingend einen Löschantrag des Betroffenen beim Verantwortlichen voraus. Erst wenn der Verantwortliche dem Antrag auf Löschung nicht entspricht oder er innerhalb eines Monats nicht reagiert, hat ein Betroffener die Möglichkeit, eine Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen, erklärt die Datenschutzbehörde und fährt fort: Der Antrag auf Löschung ist eine Verfahrensvoraussetzung für die Beschwerde. Wurde kein Antrag an den Beschwerdegegner gestellt, wäre die Beschwerde aufgrund nicht verbesserungsfähigen Mangels abzuweisen. 

Das wiederum hätte praktisch zur Folge, dass Verantwortliche entgegen Artikel 5 DSGVO personenbezogene Daten verarbeiteten könnten, so lange, bis seitens einer amtswegigen Feststellung (die in Österreich in der Regel als „Aufklärung” erfolgt) oder eines Löschantrags eines Betroffenen die Löschung angestoßen wird. Daher ist unschwer einzusehen, dass es eine unabhängige selbstständige Löschpflicht geben muss, immer dann, wenn Verantwortliche feststellen, dass die Rechtsgrundlage für die Verarbeitung weggefallen ist, wobei Verantwortliche Sorge dafür tragen müssen, dass die Löschung jeweils und unmittelbar nach Wegfall der Rechtsgrundlage erfolgt - nicht erst bei zufälligem Bekanntwerden oder angestoßen durch Löschanträge Betroffener oder die Datenschutzbehörde.

Rechtsauslegung der Leseart „zwei Rechtssätze”

Dagegen erkennen andere, wie beispielsweise Sydow in seinem Kommentar zu Europäischen Datenschutzgrundverordnung   zwei Rechtssätze:

• Einer bezieht sich auf das Recht Betroffener, vom Verantwortlichen die unverzügliche Löschung der sie betreffenden personenbezogenen Daten zu verlangen
• Ein weiterer Rechtssatz leitet sich aus dem zweiten Hauptsatz im Abs. 1 ab: und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen

wobei für beide gilt, dass zumindest eine Bedingung unter lit a-f gegeben sein muss und dieses Recht nicht durch Abs. 3 lit a-e eingeschränkt wird.

Verabsäumt ein Verantwortlicher die unabhängige selbstständige Löschung von personenbezogenen Daten, für deren Verarbeitung die Rechtsgrundlage weggefallen ist, würde dieser entsprechend das Recht auf Löschung verletzten – unabhängig davon, ob ein Antrag auf Löschung seitens eines Betroffenen gestellt würde.

ErwG 39 S10 DSGVO fordert ebenso unmissverständlich, dass sicherzustellen ist, das personenbezogene Daten nicht länger als benötigt gespeichert werden.

Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. Dies erfordert insbesondere, dass die Speicherfrist für personenbezogene Daten auf das unbedingt erforderliche Mindestmaß beschränkt bleibt. ErwG 39 S6f

Das erhöht selbstverständlich den Aufwand des Datenschutzmanagements bei Verantwortlichen. Womöglich ist dies auch der Grund, warum es in Österreich gegenüber juristischen Personen eine eher entgegenkommende Rechtspraxis gibt, was wiederum erklären könnte, warum eine unabhängige selbstständige Löschpflicht im Zusammenhang mit Artikel 17 DSGVO nicht gesehen wird.

Fehlende höchstgerichtliche Judikatur

Bezüglich der Rechtsauslegung von Artikel 17 DSGVO mit Bezug auf eine unabhängige selbstständige Löschpflicht und die Frage, ob durch Unterlassung einer unabhängigen selbstständigen Löschung das Recht auf Löschung von Betroffenen verletzt wird, steht – zumindest nach aktueller Recherche – eine höchstgerichtliche Judikatur noch aus.

Registrierten Nutzern sei der Beitrag Das Recht auf Löschung und Vergessenwerden | intern empfohlen.

Dr. Conrad Lienhardt
Unternehmensberater
Rechtskonforme Ausgestaltung und Optimierung von Kundenbeziehungen, Datenschutz

Sie erreichen mich zu Fragen zur DSGVO und E-Privacy VO unter
Tel: +43 732 90 80 36 | Mobil: 0699 15 31 67 76
per E-Mail