Das Recht auf Vergessenwerden ist die Bezeichnung, die Artikel 17 DSGVO in der Überschrift in Klammern neben dem Recht auf Löschung nennt; nach der Datenschutzkonferenz bezieht sich das Recht auf Vergessenwerden auf Absatz 2 dieses Artikels.
Auf einen Blick
Absatz 2 greift, wenn der Verantwortliche die Daten öffentlich gemacht hat und nach Absatz 1 zur Löschung verpflichtet ist; der Verantwortliche trifft dann unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen.
Die Maßnahmen dienen dazu, andere Verantwortliche, die die Daten verarbeiten, zu informieren, dass die betroffene Person die Löschung aller Links zu den Daten oder von Kopien oder Replikationen verlangt hat.
Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist, unter anderem zur Ausübung des Rechts auf freie Meinungsäußerung und Information.
Was ist das Recht auf Vergessenwerden?
Artikel 17 DSGVO trägt die Überschrift „Recht auf Löschung („Recht auf Vergessenwerden“)“. Nach Absatz 1 hat die betroffene Person das Recht, vom Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern einer der aufgezählten Gründe zutrifft; dazu gehören unter anderem der Widerruf der Einwilligung bei fehlender anderweitiger Rechtsgrundlage und der Wegfall der Notwendigkeit der Daten für die Zwecke ihrer Verarbeitung. Absatz 3 nimmt Fälle aus: Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist, unter anderem zur Ausübung des Rechts auf freie Meinungsäußerung und Information.
Hat ein Versicherer ein Kundenzitat mit Namen online veröffentlicht und muss er es löschen, trifft er nach Artikel 17 Absatz 2 DSGVO unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, um Verantwortliche, die die Daten verarbeiten, über das Löschverlangen zu informieren. Die anderen Verantwortlichen, die die Daten verarbeiten, sollen erfahren, dass die betroffene Person die Löschung aller Links zu diesen Daten oder von Kopien oder Replikationen verlangt hat. Der Europäische Datenschutzausschuss weist darauf hin, dass das „Recht auf Vergessenwerden“ eigens in Artikel 17 DSGVO aufgenommen wurde, um das sich aus dem Costeja-Urteil ergebende Recht auf Auslistung zu berücksichtigen.
Wie funktioniert das Recht auf Vergessenwerden?
Artikel 17 Absatz 2 DSGVO knüpft die Pflicht an zwei Voraussetzungen: Der Verantwortliche hat die personenbezogenen Daten öffentlich gemacht und ist nach Absatz 1 zu deren Löschung verpflichtet. Dann trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass die betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser Daten verlangt hat. Nach einem Erwägungsgrund der DSGVO sollte das Recht auf Löschung ausgeweitet werden, um dem „Recht auf Vergessenwerden“ im Netz mehr Geltung zu verschaffen.
Für das Recht auf Vergessenwerden gelten nach dem BfDI dieselben Einschränkungen wie beim Recht auf Löschung. Eine Löschung ist nach dem BfDI auch dann nicht notwendig, wenn satzungsgemäße oder vertragliche Aufbewahrungsfristen entgegenstehen; wegen Bedenken hinsichtlich der Vereinbarkeit mit Unionsrecht ist nach dem BfDI jedoch im konkreten Einzelfall zu entscheiden, ob und inwieweit diese Einschränkung angewendet werden kann.
Recht auf Vergessenwerden im Vergleich
| Kriterium | Recht auf Vergessenwerden | Recht auf Löschung |
|---|---|---|
| Fundstelle | Artikel 17 DSGVO; in Klammern in der Überschrift genannt | Artikel 17 DSGVO; Hauptbezeichnung in der Überschrift |
| Schwerpunkt | Hier im Mittelpunkt: Absatz 2 (öffentlich gemachte Daten, angemessene Maßnahmen unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten) | Absatz 1: Die betroffene Person kann vom Verantwortlichen unverzügliche Löschung verlangen, sofern einer der aufgezählten Gründe zutrifft |
| Voraussetzung | Einer der in Absatz 1 genannten Gründe; die Informationspflicht nach Absatz 2 kommt hinzu, wenn der Verantwortliche die Daten öffentlich gemacht hat und nach Absatz 1 zur Löschung verpflichtet ist | Einer der in Absatz 1 genannten Gründe, etwa der Wegfall der Notwendigkeit der Daten für die Zwecke ihrer Verarbeitung |
| Ausnahmen | Dieselben Einschränkungen wie beim Recht auf Löschung (BfDI); die Ausnahmen des Absatzes 3 gelten auch für Absatz 2 | Absatz 3: Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist, unter anderem zur Ausübung des Rechts auf freie Meinungsäußerung und Information |
Wann greift das Recht auf Vergessenwerden?
| Voraussetzung | Was das bedeutet |
|---|---|
| Daten öffentlich gemacht | Der Verantwortliche hat die personenbezogenen Daten öffentlich gemacht (Art. 17 Abs. 2 DSGVO). |
| Löschpflicht nach Absatz 1 | Der Verantwortliche ist nach Absatz 1 zur Löschung verpflichtet, etwa weil die Daten für die Zwecke ihrer Verarbeitung nicht mehr notwendig sind oder weil die Einwilligung widerrufen wurde und eine anderweitige Rechtsgrundlage fehlt; Absatz 2 setzt beide Voraussetzungen voraus. |
| Maßnahmen | Der Verantwortliche trifft angemessene Maßnahmen, auch technischer Art, unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten. |
| Inhalt der Information | Andere Verantwortliche, die die Daten verarbeiten, werden darüber informiert, dass die betroffene Person die Löschung aller Links zu diesen Daten oder von Kopien oder Replikationen verlangt hat. |
| Ausnahmen | Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist, unter anderem zur Ausübung des Rechts auf freie Meinungsäußerung und Information oder zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert (Art. 17 Abs. 3 Buchstabe a und b DSGVO). |
Schutz im Ernstfall
Vorbeugen
- Personenbezogene Daten unverzüglich löschen, sofern einer der in Absatz 1 genannten Gründe zutrifft und soweit keine Ausnahme nach Absatz 3 greift (Art. 17 Abs. 1 und 3 DSGVO).
- Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er nach Absatz 1 zur Löschung verpflichtet, trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass die betroffene Person von ihnen die Löschung aller Links zu diesen Daten oder von Kopien oder Replikationen verlangt hat (Art. 17 Abs. 2 DSGVO).
- Die betroffene Person über die auf Antrag ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags informieren; die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, und über die Fristverlängerung ist die betroffene Person innerhalb eines Monats nach Eingang des Antrags zusammen mit den Gründen für die Verzögerung zu unterrichten (Art. 12 Abs. 3 DSGVO).
- Allen Empfängern, denen die personenbezogenen Daten offengelegt wurden, jede Löschung nach Art. 17 Abs. 1 DSGVO mitteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden (Art. 19 DSGVO).
Beispiele aus der Praxis
- Eine betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung; die betroffene Person hat dann das Recht, die unverzügliche Löschung ihrer Daten zu verlangen, soweit keine Ausnahme nach Art. 17 Abs. 3 DSGVO greift (Art. 17 Abs. 1 DSGVO).
- Beantragt eine Person bei einem Suchmaschinenbetreiber die Auslistung, können nach dem Europäischen Datenschutzausschuss sowohl Artikel 17 DSGVO als auch Artikel 21 DSGVO als Rechtsgrundlage für den Antrag dienen.
- Ein Versicherer hat ein Kundenzitat mit Namen online veröffentlicht und ist nach Art. 17 Abs. 1 DSGVO zur Löschung des Kundenzitats verpflichtet; der Versicherer trifft dann nach Art. 17 Abs. 2 DSGVO unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um andere Verantwortliche, die die Daten verarbeiten, über das Löschverlangen zu informieren.
