Records Management: Löschungspflicht und Records Management

Auskunfts- und Löschungsbegehren sowie Datenschutzverletzung korrekt abwickeln

Professionelles und rechtssicheres Vorgehen

Praxis-Seminar, 1 Tag, ZWB, Zürich

Nächster Termin: 15. April 2025

Bezogen auf die Aufbewahrungspraxis einer privaten Unternehmung war und ist dieser Entscheid bis anhin einzigartig. Er zeigt auf, dass Aufbewahrungs- und Löschungspflichten von Unternehmen ernst genommen werden müssen, da die Folgen bei Widerhandlungen dramatisch sein können und die Durchsetzungsmechanismen der DSGVO durchaus im Stande sind, die materiellen Vorgaben der DSGVO umzusetzen.

Als erstes Urteil, in welchem das Recht auf Vergessenwerden in der Europäischen Union vor Gericht eingeklagt wurde, machte ein spanischer Fall Schlagzeilen. In diesem wollte ein spanischer Staatsbürger verschiedene Zeitungsartikel über eine Zwangsversteigerung, bei welcher seine Grundstücke versteigert wurden, aus dem Internet gelöscht haben. Google, bzw. dessen spanischer
Ableger Google Spain, wehrte sich dagegen.

Der Europäische Gerichtshof (EuGH) anerkannte in seinem Urteil vom Mai 2014 - also noch vor dem Inkrafttreten der DSGVO - ein Recht auf Vergessenwerden unter gewissen Vorbehalten.

In Bezug auf das Recht auf Vergessenwerden hielt die EU-Kommission selbst fest, dass jede Person ein Recht auf Vergessenwerden haben sollte, wenn die Speicherung ihrer Daten unter Verstoß gegen die Verordnung erfolgt ist. Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht weiter verarbeitet werden, wenn sich die Zwecke, für welche die Daten erhoben wurden, erübrigt haben, wenn die betroffenen Personen ihre Einwilligung in die Verarbeitung widerrufen oder Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten eingelegt haben oder wenn die Verarbeitung ihrer personenbezogenen Daten aus anderen Gründen unter Verstoß gegen die Verordnung erfolgt ist.

Die Löschungsgründe können vielfältig sein, wobei die Pflicht zur Löschung zufolge fehlender gesetzlicher Grundlage oder Wegfall der Bearbeitungsnotwendigkeit im Vordergrund stehen: So kann beispielsweise sein, dass Personendaten nicht mehr aktuell oder nicht mehr relevant sind, die Erlaubnis des/der Betroffenen zur Bearbeitung von Personendaten entzogen wurde oder wenn kein anderer rechtlicher Grund zur Datenverarbeitung besteht. Ist einer dieser Gründe erfüllt, so müssen die Daten gelöscht werden. Dabei trifft den Datenverarbeiter von zwei Seiten eine Löschungspflicht: Erstens direkt aus der DSGVO, wenn einer der erwähnten Tatbestände erfüllt ist und zweitens das individuelle Recht des Einzelnen auf Löschung. Die individuelle Geltendmachung kann vom Einzelnen geltend gemacht werden und hat dabei kein bestimmtes Formerfordernis zu erfüllen.  

Die Löschungspflicht gilt jedoch nicht ohne Schranken: So kann eine gesetzliche Vorgabe für die längere Aufbewahrung von Personendaten gegeben sein wie z.B. bei Patientenakten, Grundbuchdossiers etc.

Der resp. die Betroffene hat aber in jedem Fall das Recht, gegenüber Unternehmen das Recht auf Vergessenwerden geltend zu machen.

Tipp: Das Recht auf Vergessenwerden muss umgesetzt werden, wenn Betroffene dies von Unternehmen verlangen. Es empfiehlt sich deshalb, dies bereits in den Unternehmensprozessen mitberücksichtigen und, wenn vom/von der Betroffenen verlangt, auch umzusetzen.