Erweiterte Löschpflichten

In Art. 17 DSGVO wird das bereits vom Europäischen Gerichtshof entwickelte „Recht auf Vergessenwerden“ nunmehr auch gesetzlich geregelt. Es handelt sich hierbei um ein umfassendes Recht auf Löschung. Diese Löschung muss durch das Unternehmen „unverzüglich“, also ohne schuldhaftes Zögern vorgenommen werden, wenn

• die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind,
• die betroffene Person ihre Einwilligung widerruft und es an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt,
• die betroffene Person Widerspruch gegen die Verarbeitung einlegt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen,
• die personenbezogenen Daten unrechtmäßig verarbeitet wurden,
• die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich ist oder
• die personenbezogenen Daten eines Kindes wurden in Bezug auf angebotene Dienste der Informationsgesellschaft, d. h. Internetangebote, wie Medien, Webshops oder Online-Spiele, erhoben.

Wann das „Löschen“ erfolgreich war wird in der DSGVO nicht definiert. Allerdings dürfte maßgeblich sein, dass es keine Möglichkeit mehr gibt, die Daten ohne unverhältnismäßigen Aufwand wahrzunehmen oder zu verarbeiten. Ausreichend hierfür wäre z.B. die Zerstörung physischer Datenträger oder spezielle Löschsoftware für Festplatten zu verwenden. Nicht ausreichend ist jedoch die schlichte Entsorgung des Datenträgers (z.B. im Müll) und rein organisatorische Maßnahmen zur Löschung zu treffen.