Das Recht auf Löschung ist ein Betroffenenrecht der DSGVO, nach dem die betroffene Person vom Verantwortlichen verlangen kann, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern einer der gesetzlichen Gründe zutrifft.
Auf einen Blick
Geregelt ist es in Artikel 17 der DSGVO, dessen Titel auch den Begriff „Recht auf Vergessenwerden“ enthält.
Absatz 1 nennt sechs Löschgründe, darunter den Wegfall des Zwecks, den Widerruf der Einwilligung, wenn es an einer anderweitigen Rechtsgrundlage fehlt, und die unrechtmäßige Verarbeitung.
Nach Art. 17 Abs. 3 DSGVO gelten die Absätze 1 und 2 nicht, soweit die Verarbeitung erforderlich ist, etwa zur Erfüllung einer rechtlichen Verpflichtung.
Was ist Recht auf Löschung?
Nach Artikel 17 Absatz 1 DSGVO ist der Verantwortliche verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer von sechs Gründen zutrifft; das gilt nach Absatz 3 nicht, soweit die Verarbeitung für einen der dort genannten Zwecke erforderlich ist, etwa zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Zu diesen Gründen gehören unter anderem, dass die Daten für ihre Zwecke nicht mehr notwendig sind, dass die betroffene Person ihre Einwilligung widerruft und es an einer anderweitigen Rechtsgrundlage fehlt, oder dass die Daten unrechtmäßig verarbeitet wurden. Weitere Gründe sind ein Widerspruch nach Artikel 21 Absatz 1 ohne vorrangige berechtigte Gründe oder nach Artikel 21 Absatz 2, eine Löschung zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder dem Recht der Mitgliedstaaten sowie Daten, die in Bezug auf Dienste der Informationsgesellschaft nach Artikel 8 Absatz 1 erhoben wurden.
Nach Artikel 17 Absatz 3 DSGVO gelten die Absätze 1 und 2 nicht, soweit die Verarbeitung erforderlich ist, etwa zur Ausübung des Rechts auf freie Meinungsäußerung und Information oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Verlangt ein ehemaliger Kunde von seinem Versicherer die Löschung seiner Daten, prüft der Versicherer, ob Aufbewahrungspflichten entgegenstehen, denn das Recht gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.
Wie funktioniert Recht auf Löschung?
Der Verantwortliche stellt der betroffenen Person Informationen über die auf ihren Antrag ergriffenen Maßnahmen nach Artikel 12 Absatz 3 DSGVO unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung.
Hat der Verantwortliche die Daten öffentlich gemacht und ist er zur Löschung verpflichtet, trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um andere Verantwortliche darüber zu informieren, dass die betroffene Person die Löschung aller Links, Kopien oder Replikationen verlangt hat. Nach Artikel 19 DSGVO teilt er außerdem allen Empfängern, denen die Daten offengelegt wurden, jede Löschung mit, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.
Recht auf Löschung im Vergleich
| Kriterium | Recht auf Löschung | Recht auf Vergessenwerden |
|---|---|---|
| Fundstelle | Artikel 17 DSGVO, Absatz 1 | Im Titel von Artikel 17 DSGVO in Klammern genannt; nach Auffassung der Datenschutzkonferenz bezieht sich der Begriff, obwohl er im Erwägungsgrund 65 als Synonym für „Löschung“ verwendet wird, auf die Tilgung (von Spuren); die Information anderer Verantwortlicher regelt Absatz 2 |
| Was der Verantwortliche tut | Löscht personenbezogene Daten unverzüglich, sofern einer der Gründe aus Absatz 1 zutrifft | Hat er die Daten öffentlich gemacht und ist zur Löschung verpflichtet, trifft er angemessene Maßnahmen, auch technischer Art, um andere Verantwortliche über das Löschverlangen (Links, Kopien, Replikationen) zu informieren |
| Einschränkungen | Nach Absatz 3 gelten die Absätze 1 und 2 nicht, soweit die Verarbeitung für einen der dort genannten Zwecke erforderlich ist, etwa zur Erfüllung einer rechtlichen Verpflichtung | Die Einschränkungen nach Absatz 3 gelten auch für Absatz 2 |
Wann greift das Recht auf Löschung?
| Voraussetzung | Was das bedeutet |
|---|---|
| Zweck entfallen (Buchstabe a) | Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig. |
| Einwilligung widerrufen (Buchstabe b) | Die betroffene Person widerruft ihre Einwilligung, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung. |
| Widerspruch (Buchstabe c) | Die betroffene Person legt nach Artikel 21 Absatz 1 Widerspruch ein und es liegen keine vorrangigen berechtigten Gründe vor, oder sie legt nach Artikel 21 Absatz 2 Widerspruch ein. |
| Unrechtmäßige Verarbeitung (Buchstabe d) | Die personenbezogenen Daten wurden unrechtmäßig verarbeitet. |
| Weitere Gründe (Buchstaben e und f) | Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, oder die Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft nach Artikel 8 Absatz 1 erhoben. |
Schutz im Ernstfall
Vorbeugen
- Löschanträge unverzüglich bearbeiten, vor der Löschung prüfen, ob eine Ausnahme nach Art. 17 Abs. 3 DSGVO greift, etwa zur Erfüllung einer rechtlichen Verpflichtung.
- Die Frist nur um weitere zwei Monate verlängern, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, und die betroffene Person innerhalb eines Monats nach Eingang des Antrags über die Fristverlängerung zusammen mit den Gründen für die Verzögerung unterrichten (Art. 12 Abs. 3 DSGVO).
- Wird der Verantwortliche nicht tätig, die betroffene Person ohne Verzögerung, spätestens innerhalb eines Monats, über die Gründe und über die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde oder eines gerichtlichen Rechtsbehelfs unterrichten.
- Allen Empfängern, denen Daten offengelegt wurden, jede Löschung mitteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden (Art. 19 DSGVO).
Beispiele aus der Praxis
- Nach Vertragserfüllung nicht mehr benötigte Daten eines Kunden löscht ein Online-Händler unverzüglich, weil sie für ihre Zwecke nicht mehr notwendig sind; das gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.
- Widerruft eine Person ihre Einwilligung, auf die sich die Verarbeitung stützte, und fehlt es an einer anderweitigen Rechtsgrundlage, löscht der Verantwortliche ihre Daten.
- Ein ehemaliger Kunde verlangt von seinem Versicherer die Löschung seiner Daten; der Versicherer prüft, ob Aufbewahrungspflichten entgegenstehen, denn das Recht gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist; nach der Datenschutzkonferenz berechtigt diese Ausnahme nicht zu einer zeitlich unbegrenzten Verarbeitung.
