Das "Recht auf Vergessenwerden" (Art. 17 DSGVO) verpflichtet Verantwortliche zur Löschung personenbezogener Daten unter bestimmten Voraußetzungen.
Löschungsgründe (Art. 17 Abs. 1)
- Daten sind für den ursprünglichen Zweck nicht mehr notwendig
- Einwilligung wurde widerrufen und es besteht keine sonstige Rechtsgrundlage
- Widerspruch nach Art. 21 (bei Direktwerbung: ohne Abwägung)
- Unrechtmäßige Verarbeitung
- Rechtliche Verpflichtung zur Löschung
- Daten wurden von einem Kind im Zusammenhang mit Diensten der Informationsgesellschaft erhoben (Art. 8 DSGVO)
Recht auf Vergessenwerden (Art. 17 Abs. 2)
Wurden Daten öffentlich gemacht, muss der Verantwortliche unter Berücksichtigung verfügbarer Technologie angemessene Maßnahmen treffen, um andere Verantwortliche über das Löschungsbegehren zu informieren. Praktisch relevant bei Suchmaschinen (Google Spain-Rechtsprechung).
Wichtige Ausnahmen (Art. 17 Abs. 3)
Das Löschungsrecht besteht NICHT, soweit die Verarbeitung erforderlich ist für:
- Ausübung der Meinungs- und Informationsfreiheit
- Erfüllung einer rechtlichen Verpflichtung (z.B. steuerliche Aufbewahrungspflichten von 6-10 Jahren)
- Öffentliches Interesse im Bereich der öffentlichen Gesundheit
- Archiv-, Forschungs- oder Statistikzwecke
- Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen
Nachberichtspflicht (Art. 19 DSGVO)
Alle Empfänger, denen Daten offengelegt wurden, müßen über die Löschung informiert werden - es sei denn, dies ist unmöglich oder mit unverhältnismäßigem Aufwand verbunden.
Löschkonzept
Unternehmen sollten ein systematisches Löschkonzept erstellen, das für jede Datenkategorie die Aufbewahrungsfrist und den Löschzeitpunkt festlegt.