Löschen im Datenschutzrecht – Teil 1
entweder 
Der letzte Prozessschritt der Datenverarbeitung ist das Löschen von personenbezogenen Daten. Dieser Blog-Beitrag beschäftigt sich mit der Thematik Löschen im Datenschutzrecht. Die zentrale Norm für Löschung ergibt sich aus dem Art. 17 DSGVO, welcher die Löschpflicht des Verantwortlichen und das Recht auf Löschung von betroffenen Personen umsetzt.
Wann sind Daten zu löschen?
Personenbezogene Daten dürfen nur so lange gespeichert bleiben, wie für die vom Unternehmen festgelegten Zwecke erforderlich, und dafür eine Rechtsgrundlage vorhanden ist.
Personenbezogene Daten sind zu löschen, wenn:
- die Erforderlichkeit der Daten für die Zweckbindung wegfällt
- die Rechtsgrundlage der Verarbeitung wegfällt
- eine betroffene Person ihre Einwilligung zurücknimmt (Widerruf)
- unrechtmäßig gespeichert oder verarbeitet wird
- eine betroffene Person gegen eine Datenverarbeitung, die auf der Grundlage des berechtigten Interesses eines Unternehmens erfolgte, berechtigt Widerspruch einlegt
- eine betroffene Person gegen eine Nutzung der Daten für Zwecke der Direktwerbung einschließlich Werbeprofiling widerspricht
Gibt es Ausnahmen bei der Löschverpflichtung?
Die Ausnahmen von der Löschpflicht sind eng abgesteckt. Eine Löschpflicht besteht nicht, wenn die Datenverarbeitung erforderlich ist:
- zur Ausübung des Rechts auf freie Meinungsäußerung und Information
- zur Erfüllung einer rechtlichen Verpflichtung, der das Unternehmen unterliegt
- zur Wahrnehmung einer Aufgabe, die dem Unternehmen übertragen wurde und die im öffentlichen Interesse liegt (z.B. Bereich Gesundheit) oder zur Ausübung öffentlicher Gewalt erfolgt
- für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke
- zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen
Ein Löschkonzept hilft, die Anforderungen ans Löschen im Datenschutzrecht zu erfüllen!
Ein Löschkonzept ist in jedem Unternehmen hilfreich. Vor allem, um Klarheit über die Vielzahl an Daten und die der Verarbeitung zugrundeliegenden Rechtsnormen zu erlangen und damit ein strukturiertes Vorgehen beim Löschen zu ermöglichen. Eine Pflicht für das Löschkonzept gibt es nicht, indirekt lässt sie sich aber aus der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO ableiten. Der Nachweis über die Einhaltung der Datenschutz-Vorgaben aus Art. 5 Abs. 1 DSGVO lässt sich am besten durch Vorlage eines Löschkonzeptes erfüllen. Neben anderen Dokumentationen, wie dem Verzeichnis von Verarbeitungstätigkeiten oder der Beschreibung der umgesetzten technischen und organisatorischen Maßnahmen in Form eines Datenschutzkonzeptes.
Wie können die Daten gelöscht werden?
Unter Löschung versteht man einen Prozess, der Datensätze so verändert, dass personenbezogene Daten anschließend entweder nicht mehr vorhanden oder unkenntlich sind. Löschen im Sinne des Datenschutzrechts bedeutet also, dass ein Datensatz nicht zwingend tatsächlich zu löschen, sondern lediglich der vorhandene Personenbezug zu entfernen ist. Nach dem Löschvorgang dürfen demnach keine personenbezogenen Daten mehr vorhanden sein, die eine natürliche Person identifizieren. Der Informationsgehalt gelöschter Daten darf nicht, oder nach allgemeinem Ermessen nur mit geringer Wahrscheinlichkeit, wiederherstellbar sein (Erwägungsgrund 26 DSGVO). Daten können gelöscht, vernichtet, anonymisiert, verschlüsselt oder gesperrt werden. In Teil 2 erklären wir, was man unter den Begriffen Löschung, Vernichtung, Anonymisierung, Sperrung, Einschränkung und Verschlüsselung im Datenschutzrecht versteht.
Quelle: https://dsgvo-gesetz.de/
