Die unabhängige selbstständige Löschpflicht

Artikel 17 DSGVO sieht in Absatz 1 lit a vor, dass personenbezogene Daten zu löschen sind, sofern diese für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden nicht mehr notwendig [sind] und sofern diese für die Verarbeitung nicht erforderlich sind (Artikel 17 Abs. 3 DSGVO). Das ist soweit unstrittig.

Durchaus strittig ist die Frage, ob Verantwortliche in solchen Fällen zu einer selbstständigen Löschung verpflichtet sind, also unabhängig von Löschanträgen Betroffener. Nicht weniger strittig ist, ob Verantwortliche, die der Löschpflicht nicht nachkommen, das Recht Betroffener auf Löschung verletzen und ob sich daraus ein Beschwerdegrund ableiten lässt.

Auslegungsproblematik von Artikel 17 Abs. 1 DSGVO

Je nach Leseart ergeben sich aus Absatz 1 ein beziehungsweise zwei unterschiedliche Rechtssätze.

^[1]Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, ^[2]und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft: […]

Die Österreichische Datenschutzbehörde geht davon aus, dass nur der Fall, dass ein Verantwortlicher das Recht Betroffener im Zusammenhang mit einem Löschverlangen verletzt, ein Beschwerderecht bei der Aufsichtsbehörde begründet. Hingegen erkennt sie kein Recht eines Betroffenen, eine Beschwerde einzubringen, weil ein Verantwortlicher die Verpflichtung zur unabhängigen (i.e. unaufgeforderten) selbstständigen Löschpflicht verletzt.

Rechtsauslegung durch die Österreichischen Datenschutzbehörde

Recht auf Löschung aufgrund Löschaufforderung

Die österreichisches Datenschutzbehörde erkennt das Recht Betroffener an, die unverzügliche Löschung der personenbezogenen Daten zu verlangen und folglich die Verpflichtung des Verantwortlichen, dieser Löschaufforderung unverzüglich nachzukommen, soweit zumindest einer der in Artikel 17 Abs. 1 lit a–f DSGVO angeführten Gründe vorliegt und keiner der in Abs. 3 lit a–e DSGVO gelisteten Gründe das Recht auf Löschung beschneidet.

Das hat im Fall von Beschwerden Konsequenzen. Eine Beschwerde wegen Verstoßes gegen das Recht auf Löschung (Artikel 17 DSGVO), setzt in Österreich verfahrenstechnisch zwingend einen Löschantrag des Betroffenen beim Verantwortlichen voraus. Erst wenn der Verantwortliche dem Antrag auf Löschung nicht entspricht oder er innerhalb eines Monats nicht reagiert, hat ein Betroffener die Möglichkeit, eine Beschwerde bei einer Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einzulegen, erklärt die Datenschutzbehörde und fährt fort: Der Antrag auf Löschung ist eine Verfahrensvoraussetzung für die Beschwerde. Das dürfte auch in anderen EU Mitgliedstaaten gängige Praxis sein.

Streitfall: Unaufgeforderte, selbstständige Löschpflicht Verantwortlicher

Wie aber verhält es sich mit dem zweiten Satzteil in Artikel 17 Abs. 1 DSGVO? Unstrittig ist, dass Daten nicht verarbeitet werden dürfen, sofern dafür die Rechtsgrundlage fehlt. Das schießt auch ein, dass personenbezogene Daten nicht länger als benötigt gespeichert werden dürfen (siehe auch ErwG 39 S10 DSGVO  ). Für diesen Fall verbietet Artikel 5 DSGVO ausdrücklich eine Verarbeitung (siehe Prinzipien der Zweckmäßigkeit, Speicherbegrenzung und Datenminimierung).

Die Österreichische Datenschutzbehörde gesteht Betroffenen jedoch kein Recht zu, wegen Verletzung der Verpflichtung zur unabhängigen, i.e. unaufgeforderten selbstständigen Löschpflicht Beschwerde bei der Aufsichtsbehörde einzureichen – unabhängig davon, dass diese Löschverpflichtung in Artikel 17 DSGVO, dem Betroffenenrecht „Recht auf Löschung”, gefordert wird.

Die Verpflichtung des Verantwortlichen, aus eigenem Daten zu löschen, begründet jedoch kein subjektives Recht des Betroffenen (vgl. noch zu § 27 DSG 2000 VwSlg. 17.215 A/2007). Daran hat sich auch durch das Ingeltungtreten der DSGVO nichts geändert (siehe dazu BVwG 15.04.2020, GZ W211 2215821-1, unter Hinweis auf VwSlg. 17.215 A/2007). (D124.3153 2021-0.004.629)

Wörtlich heißt es seitens der Österreichischen Datenschutzbehörde:

Wurde kein Antrag an den Beschwerdegegner gestellt, wäre die Beschwerde aufgrund nicht verbesserungsfähigen Mangels abzuweisen. ^ebd.

Problematische Folgen für Betroffene

Problematik 1

Teilt ein Verantwortlicher im Zuge einer Auskunftsanforderung nach Artikel 15 DSGVO beispielsweise eine bestimmte Speicherdauer mit, ohne die Rechtsgrundlage dafür anzuführen, so wird es Betroffenen schwer fallen, eine effektive Löschaufforderung zu adressieren. Durch Verweigerung der Mitteilung der Rechtsgrundlage für die jeweilige Speicherfrist kann kein konkreter Grund, sondern nur der Verdacht auf Verletzung der Speicherbegrenzung, Wegfall des Zwecks etc. angeführt werden. Verweigert ein Verantwortlicher die Löschung und kommt es zu einer Beschwerde bei der Aufsichtsbehörde, so müssten Betroffene damit rechnen, dass ihre Beschwerden abgewiesen werden, weil der konkret zu verhandelnde Löschantrag ggf. ungerechtfertigt, weil beispielsweise zu weitgehend ist.

Betroffene müssten daher Ihr Recht auf Auskunft nach Artikel 15 DSGVO durchsetzen, gegebenenfalls sogar nach einem Entscheid der Datenschutzbehörde mittels Vollstreckung und Zwangsstrafenverfahrens. Dann müssten Sie auf Basis der Auskünfte die Löschaufforderung dem Verantwortlichen zustellen. Weigert sich dieser oder kommt er der Löschaufforderung mangelhaft nach, bleibt Betroffenen nur die Möglichkeit einer erneuten Beschwerde bei der Datenschutzbehörde. Selbst wenn dort ein Entscheid zugunsten des Betroffenen ergeht, muss sich der Betroffene selbst darum kümmern, dass dieser Entscheid durch den Verantwortlichen vollständig umgesetzt wird. Ist dies nicht der Fall - und hier stellt sich die Frage der Überprüfung - bleibt wiederum nur der Weg über eine Vollstreckung und ein Zwangsstrafenverfahren. — Bei den derzeitigen Rahmenbedingungen und Fristen würde es Jahre Dauern, bis eine Löschung durchgesetzt werden kann. Für nicht wenige Verantwortliche mag sich daraus die pragmatische Einsicht ergeben, dass die unabhängige selbstständige Löschpflicht vernachlässigt werden kann.

Problematik 2

Laut Auskunft der Österreichischen Datenschutzbehörde gibt es für Betroffene außer einer Beschwerde keine weitere Möglichkeit, ein Verfahren beispielsweise durch eine Anzeige in Gang zu bringen, wie das unter anderem bei Verletzung der Gewerbeordnung oder von Bestimmungen des Telekommunikationsgesetzes der Fall ist. Betroffene können einen Prüfantrag einbringen oder einen Hinweis geben, in der Hoffnung, dass die Aufsichtsbehörde dem nachgehen wird. Einen Anspruch, dass die Behörde einen begründeter Verdacht auf Verletzung der Löschpflicht verfolgt, gibt es nicht. Betroffene haben noch nicht einmal das Recht, Auskunft darüber zu verlangen, ob einem Hinweis oder Prüfantrag nachgegangen wurde. Das heißt in der Praxis: Es kommt idR zu keiner Überprüfung und zu keinem Verfahren. Das hat die fatale Folge, dass viele Verantwortliche weiterhin das Recht auf unabhängige selbstständige Löschpflicht ignorieren werden.

Dass die unabhängige, selbstständige Löschpflicht den Aufwand des Datenschutzmanagements bei Verantwortlichen erhöht, ist unbestritten, aber eben durch die DSGVO gefordert. Womöglich ist dies auch der Grund, warum es in Österreich gegenüber juristischen Personen eine eher entgegenkommende Rechtspraxis gibt, was wiederum erklären könnte, warum es keine Möglichkeit gibt, eine Verletzung der unabhängigen selbstständigen Löschpflicht im Zusammenhang mit Artikel 17 DSGVO seitens Betroffener in Form einer Beschwerde anzuzeigen.

Registrierten Nutzern sei der Beitrag Das Recht auf Löschung und Vergessenwerden | intern empfohlen.