DSGVO – Recht auf Löschung

Das Recht auf Vergessenwerden leitet sich aus dem Fall Google Spain SL, Google Inc. gegen Agencia Española de Protección de Datos, Mario Costeja González (2014) ab. Erstmals wurde das Recht auf Vergessenwerden kodifiziert und ist neben dem Recht auf Löschung in der Datenschutz-Grundverordnung (DSGVO) zu finden.

Die entsprechend benannte Regelung regelt in erster Linie Löschpflichten. Demnach müssen personenbezogene Daten unverzüglich gelöscht werden, wenn die Daten für ihren ursprünglichen Verarbeitungszweck nicht mehr benötigt werden, die betroffene Person ihre Einwilligung widerrufen hat und es keine andere Rechtsgrundlage für die Verarbeitung gibt, die betroffene Person Widerspruch eingelegt hat und keine überwiegenden berechtigten Gründe für die Verarbeitung vorliegen oder die Löschung zur Erfüllung einer gesetzlichen Verpflichtung nach dem EU-Recht oder dem Recht der Mitgliedstaaten erforderlich ist. Darüber hinaus müssen Daten selbstverständlich gelöscht werden, wenn die Verarbeitung selbst von Anfang an rechtswidrig war.

Der Verantwortliche unterliegt daher einerseits automatisch gesetzlichen Löschpflichten und muss andererseits dem Recht auf Löschung der betroffenen Person nachkommen. Das Gesetz beschreibt nicht, wie die Daten im Einzelfall gelöscht werden müssen. Ausschlaggebend ist, dass es dadurch nicht mehr möglich ist, personenbezogene Daten ohne unverhältnismäßigen Aufwand zu erkennen. Es genügt, wenn das Speichermedium physisch zerstört wurde oder wenn die Daten mit spezieller Software dauerhaft überschrieben werden.

Darüber hinaus ist das Recht auf Vergessenwerden in Art. 17(2) der DSGVO zu finden. Wenn der Verantwortliche die personenbezogenen Daten öffentlich gemacht hat und einer der genannten Gründe für die Löschung vorliegt, muss er unter Berücksichtigung der Umstände angemessene Maßnahmen ergreifen, um alle anderen für die Datenverarbeitung Verantwortlichen darüber zu informieren, dass alle Links zu diesen personenbezogenen Daten sowie Kopien oder Replikate der personenbezogenen Daten gelöscht werden müssen.

Ein Löschungsantrag unterliegt keiner besonderen Form, und der Verantwortliche darf keine bestimmte Form verlangen. Die Identität der betroffenen Person muss jedoch auf geeignete Weise nachgewiesen werden. Wenn die Identität nicht nachgewiesen wurde, kann der Verantwortliche zusätzliche Informationen anfordern oder die Löschung der Daten verweigern. Bei Vorliegen eines Antrags oder einer gesetzlichen Verpflichtung zur Löschung muss diese schnell durchgeführt werden. Das bedeutet, dass der Verantwortliche die Voraussetzungen für die Löschung unverzüglich prüfen muss. Im Falle eines Löschungsantrags muss die betroffene Person innerhalb eines Monats über die ergriffenen Maßnahmen oder die Gründe für die Ablehnung informiert werden. Das Recht auf Vergessenwerden spiegelt sich ein zweites Mal in der Benachrichtigungspflicht wider. Zusätzlich zur Löschung muss der Verantwortliche gemäß Art. 19 der DSGVO alle Empfänger der Daten über Berichtigungen oder Löschungen informieren und dabei alle verfügbaren Mittel nutzen und alle geeigneten Maßnahmen ausschöpfen.
Das Recht auf Vergessenwerden ist nicht uneingeschränkt garantiert. Es ist insbesondere begrenzt, wenn es mit dem Recht auf Meinungsfreiheit und Informationsfreiheit kollidiert. Weitere Ausnahmen bestehen, wenn die Verarbeitung der Daten, die einem Löschungsantrag unterliegen, notwendig ist, um gesetzlichen Verpflichtungen nachzukommen, für Archivierungszwecke im öffentlichen Interesse, für wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke oder zur Verteidigung von Rechtsansprüchen.