Die neuen Lösch- und Transparenzpflichten richtig umsetzen
Wegradiert
Auch nach der bisherigen Rechtslage existiert schon ein „Recht auf Vergessenwerden“ beziehungsweise „Recht auf Löschung“. In der neuen Datenschutz-Grundverordnung ist es allerdings sehr viel detaillierter ausformuliert.
Eines der am meisten mit dem Datenschutz verbundenen Themen ist das sogenannte Recht auf Vergessenwerden oder Recht auf Löschung. Wenn am 25. Mai 2018 die Datenschutz-Grundverordnung (DSGVO) Geltung erlangt, wird dieses Recht in Artikel 17 DSGVO seinen Niederschlag finden.
Der Europäische Gerichtshof (EuGH) entschied im Jahr 2014, dass der Schutz der Privatsphäre es aufgrund der Möglichkeit des Erstellens persönlicher Profile durch Google-Suchen gebietet, unter bestimmten Voraussetzungen solche Suchmaschinen-Links zu löschen. Seitdem hat es zahlreiche solcher Anträge gegeben (Abbildung 1). Auch nach der bisherigen Rechtslage existiert ein Recht auf Datenlöschung. Allerdings weist es im Zusammenhang mit der DSGVO einige Besonderheiten auf, die in diesem Beitrag kurz dargestellt sind.
Das Recht auf Vergessenwerden stellt einen Teil der Betroffenenrechte nach der DSGVO dar. Weitere sind das Recht auf Datenübertragbarkeit, das Widerspruchsrecht sowie in den Artikeln 12 bis 15 die Auskunfts- und Informationsrechte. Letztere dienen vor allem der Umsetzung des Transparenzgebotes der DSGVO und sollen damit eines ihrer wesentlichen Ziele verwirklichen.
Die Rechte auf transparente Information beziehen sich explizit auch auf die übrigen Betroffenenrechte. Der Betroffene muss also zu jedem Zeitpunkt der Datenverarbeitung wissen, welche Rechte ihm zustehen, um die Verarbeitung seiner Daten zu unterbinden, zu beschränken oder anderweitig in seinem Sinne zu gestalten. Macht er demgemäß von seinem Auskunftsrecht nach Artikel 15 DSGVO Gebrauch, so ist er transparent und in einfacher und verständlicher Sprache über seine Betroffenenrechte, etwa auf Löschung seiner Daten, zu informieren.
Auskunfts- und Informationsrechte einerseits und das Recht auf Löschung nach der DSGVO andererseits stehen damit in Wechselwirkung zueinander, die die verantwortlichen Unternehmen unbedingt berücksichtigen sollten, wenn sie die drohenden hohen Bußgelder vermeiden wollen.
Wann das Recht auf Löschung greift
Die beiden wichtigsten Anwendungsfälle des Rechts auf Löschung sind der Zweckfortfall und der Widerruf einer erteilten Einwilligung.
Wenn also der ursprüngliche Zweck wegfällt, zu dem ein Unternehmen Daten erhoben hat, ist es verpflichtet, diese Daten zu löschen. Das ist auch der Fall, wenn der Zweck erreicht und eine Datenverarbeitung hierfür nicht mehr erforderlich ist. Das trifft beispielsweise zu, wenn ein einmal beantragter Newsletter nicht mehr veröffentlicht wird. Oder wenn ein Vertrag, zu dessen Abschluss oder Durchführung die Daten erhoben wurden, beendet ist und Verjährungsfristen für Ansprüche aus diesem Vertrag abgelaufen sind.
Im Rahmen der Informationspflichten ist darauf zu achten, dass der Zweck der Datenverarbeitung für jede Datenverarbeitung gesondert deutlich gemacht und von anderen Verarbeitungszwecken getrennt werden muss. So kann man zum Beispiel aus einer Newsletter-Anmeldung nicht automatisch auf die Zulässigkeit des Ansprechens eines Betroffenen für sonstige Werbezwecke schließen.