Recht auf Vergessen werden

Einführung

Das „Recht auf Vergessenwerden“ nach Artikel 17 ist seit Inkrafttreten der Datenschutzgrundverordnung (DSGVO) im Jahr 2018, neben dem Auskunftsrecht einer natürlichen Person, eines der wichtigsten Datenschutzrechte, welches der Gesetzgeber verankert hat. Das Recht garantiert jeder natürlichen Person, ihre personenbezogenen Daten unter bestimmten Voraussetzungen löschen lassen zu können. Doch wie funktioniert das Recht in der Praxis und was bedeutet dies konkret für Betroffene und Unternehmen? Auf diese offenen Fragen gehen wir nun im Folgenden ein.

Was genau ist das Recht auf Vergessenwerden?

Das Recht auf Vergessenwerden ist ein zentraler Bestandteil der DSGVO und verankert im Artikel 17. Es ermöglicht einer Person, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn diese nicht mehr notwendig sind, unrechtmäßig verarbeitet wurden oder der ursprüngliche Zweck der Verarbeitung entfallen ist. Dieses Recht wurde durch den Europäischen Gerichtshof (EuGH) erstmals im Jahr 2014 im sogenannten „Google-Urteil“ hervorgehoben. In diesem Urteil wurde damals festgestellt, dass die Einbeziehung von Links in Suchergebnissen von Google unzulässig sein kann, wenn sich herausstellt, dass die dort abrufbaren Informationen nicht oder nicht mehr erheblich sind.

Ein praktisches Beispiel, welches die Situation darstellt: Ein Nutzer möchte, dass ein Online-Shop seine personenbezogenen Daten löscht, nachdem er seine Bestellung abgeschlossen hat und keine Kundenbeziehung mehr besteht.

Wann greift das Recht auf Vergessenwerden?

Nachdem nun verdeutlicht wurde, was das Recht auf Vergessenwerden bedeutet, ist nun weiterhin fraglich, wann das Recht auf Löschung in der Praxis tatsächlich anwendbar ist, da sich nicht jede Datenlöschung als automatisch verpflichtend darstellt. Die DSGVO nennt in Art. 17 jedoch klare Voraussetzungen und regelt insofern die Anwendbarkeit:

1. Die Daten sind veraltet oder unzutreffend: Wenn Ihre Daten nicht mehr aktuell sind, haben Sie einen Anspruch auf Löschung.
2. Der Zweck der Verarbeitung entfällt: Wenn der Zweck, für den die Daten erhoben wurden, nicht mehr besteht, müssen die Daten gelöscht werden.
3. Widerruf der Einwilligung: Sie können Ihre ursprünglich erteilte Einwilligung jederzeit widerrufen und so die Löschung verlangen.

Als ein weiteres praktisches Beispiel lässt sich das Begehren eines Newsletter-Abonnenten nennen, der möchte, dass seine E-Mail-Adresse nach Abmeldung zum Newsletter nicht mehr gespeichert wird.

Wie stelle ich einen Antrag auf Löschung meiner Daten?

Um einen Löschantrag erfolgreich zu stellen, gehen Sie wie folgt vor:

1. Schritt: Im ersten Schritt sollte überlegt werden, welche Daten man löschen lassen möchte. Klären Sie somit genau, welche Ihrer personenbezogenen Daten gelöscht werden sollen (z.B. Name, Adresse, E-Mail-Adresse, Zahlungsdaten).
2. Schritt: In einem zweiten Schritt muss die Kontaktaufnahme mit dem Verantwortlichen erfolgen. Kontaktieren Sie das Unternehmen oder die Organisation, die Ihre Daten verarbeitet. Nutzen Sie dafür am besten die angegebene Kontaktadresse des Datenschutzbeauftragten, da diese grundsätzlich am schnellsten und effektivsten handeln können.
3. Schritt: Formulieren Sie den Löschantrag klar und deutlich. Der Antrag kann formlos erfolgen und bedarf keiner weiteren Formalien. Auch ist es nicht nötig, einen Grund hinsichtlich der Löschung der Daten anzugeben. Anbei eine Beispiel-Formulierung, welche genutzt werden kann: „Hiermit beantrage ich gemäß Art. 17 DSGVO die Löschung aller meiner bei Ihnen gespeicherten personenbezogenen Daten. Bitte bestätigen Sie mir die erfolgte Löschung innerhalb der gesetzlich vorgegebenen Frist.“

Wann darf ein Unternehmen die Löschung verweigern?

Des Weiteren stellt sich selbstverständlich die Frage, ob Unternehmen stets dazu verpflichtet sind, Daten zu löschen und somit dem Begehren der Person nachzukommen. Unternehmen können tatsächlich unter bestimmten Bedingungen die Löschung der Daten ablehnen, etwa wenn gesetzliche Pflichten entgegenstehen (z.B. steuerliche oder handelsrechtliche Aufbewahrungspflichten), oder sofern die Daten zur Verteidigung rechtlicher Ansprüche benötigt werden. Als Beispiel darf ein Online-Shop Bestelldaten für steuerliche Zwecke bis zu zehn Jahre speichern und muss diese Daten nicht direkt nach Abwicklung des Geschäfts löschen.

Was tun, wenn das Unternehmen nicht reagiert oder die Löschung ablehnt?

Sollten Sie nun keine Reaktion des Unternehmens erhalten oder sollte Ihr Löschantrag abgelehnt werden, empfiehlt es sich, die folgenden Schritte zu unternehmen:

1. Meldung beim Datenschutzbeauftragten: Zunächst sollten Sie den Datenschutzbeauftragten des jeweiligen Unternehmens kontaktieren und Ihr Begehren an ihn herantragen, da Datenschutzbeauftragte oftmals sehr viel sensibilisierter in Hinblick auf die Betroffenenrechte sind und sich bemühen, entsprechenden Anträgen zügig nachzukommen.
2. Beschwerde bei der Datenschutzaufsichtsbehörde: Sollte auch der Datenschutzbeauftragte nicht reagieren, wenden Sie sich an die zuständige Datenschutzbehörde und reichen Sie eine Beschwerde ein. Art. 77 Abs. 1 DSGVO gewährt Ihnen das Recht, diese Beschwerde einzulegen, wenn Sie der Ansicht sind, dass die Verarbeitung unrechtmäßig erfolgt. Die für Sie zuständige Behörde richtet sich nach dem Bundesland, in welchem Sie Ihren Wohnort haben. Die Datenschutzschutzbehörde ist verpflichtet, der Beschwerde in angemessenen Umfang nachzugehen und Sie über den Stand der Ergebnisse der Beschwerde zu informieren.
3. Juristische Maßnahmen ergreifen: Im Ernstfall bleibt Ihnen der Rechtsweg offen. Unterstützung erhalten Sie beispielsweise durch Verbraucherzentralen oder Datenschutzanwälte.

Best Practices für Unternehmen: So erfüllen Sie die Anforderungen

Nachfolgend stellen wir Ihnen einige Maßnahmen dar, welche Unternehmen in jedem Fall treffen sollten, um das Recht auf Vergessenwerden korrekt umzusetzen. Anbei die Checkliste für Unternehmen zur Erfüllung der gesetzlichen Anforderungen:

• Wichtig ist zunächst, klare Verantwortlichkeiten zu definieren (Datenschutzbeauftragter), damit eine zügige Reaktion möglich ist.
• Es sollte ein Prozess zur schnellen Bearbeitung von Löschanträgen etabliert werden.
• Sämtliche Mitarbeiter sollten regelmäßig zum Datenschutz geschult und dahingehend sensibilisiert werden.
• Regelmäßige Überprüfungen, ob personenbezogene Daten noch benötigt werden, sollten im Unternehmen stattfinden.
• Als eine der wichtigsten Maßnahmen stellt sich die Festlegung und Automatisierung von Löschfristen dar. Ein Löschkonzept ist folglich dringend anzufertigen.
• Unerlässlich ist es auch, eine entsprechend nachweisbare Dokumentation aller Löschungen zu führen.
  Wichtig zu erwähnen ist in diesem Zusammenhang, dass den Unternehmen – sofern diese Anforderungen ignoriert werden – empfindliche Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes drohen können.

Fazit

Zusammenfassend lässt sich folglich festhalten, dass das Recht auf Vergessenwerden Ihre Privatsphäre stärkt und Ihnen die Kontrolle über Ihre Daten zurückgibt. Darüber hinaus wird durch die Einhaltung der genannten Maßnahmen die allgemeinen Persönlichkeitsrechte der betroffenen Personen gewahrt. Sämtliche Unternehmen sind folglich verpflichtet, Löschanträgen sorgfältig nachzugehen und Maßnahmen zu treffen, um dieses Recht umzusetzen.

Des Weiteren ergeben sich zahlreiche wirtschaftliche, rechtliche und reputative Vorteile daraus, dass Unternehmen personenbezogene Daten regelmäßig und gezielt löschen. Ein erheblicher Vorteil ist, dass gelöschte Daten nicht mehr kompromittiert werden können, wodurch das Risiko und die möglichen Folgen von Cyberangriffen deutlich reduziert werden. Das regelmäßige Löschen irrelevanter oder veralteter Daten steigert darüber hinaus die Qualität und die Aktualität der verbleibenden Daten, was zu deutlich besseren Geschäftsentscheidungen führen kann.