25. Januar 2016 - Neues zum Löschen

Löschpflichten: Was das Recht auf Vergessenwerden wirklich bedeutet

Die EU-Datenschutz-Grundverordnung sieht ein Recht auf Vergessenwerden vor. Die nicht umsetzbare Idee eines digitalen Radiergummis ist damit allerdings nicht gemeint. Sondern ein umfassendes Löschen.

Die DSGVO erweitert die Pflichten im Datenschutz Die Grundverordnung erweitert die Löschpflichten im Datenschutz (Bild: dny3d / iStock / Thinkstock)

Digitaler Radiergummi ist Geschichte

Erinnern Sie sich noch an die Diskussion um den sogenannten digitalen Radiergummi? Aus irgendeinem Grund glaubte man, dass der Datenschutzhinweis „Das Internet vergisst nicht“ keine Gültigkeit mehr hätte. Es zeigte sich allerdings schnell, dass zum Beispiel die Verschlüsselung von Bildern und das Löschen des Schlüssels nicht garantieren können, dass es das Bild nicht noch irgendwo im Internet gibt.

Mit dem digitalen Radiergummi war das Recht auf Vergessenwerden verknüpft. Während die EU-Kommission und auch die Bundesregierung dieses Recht als Erweiterung der bestehenden Löschpflichten im Datenschutz verankern wollten, wies zum Beispiel die EU-Agentur für Netz- und Informationssicherheit (ENISA) auf die technische Unmöglichkeit des Vergessens im Internet hin. Vielmehr solle man Suchmaschinenanbieter dazu verpflichten, zu löschende Inhalte nicht mehr als Suchtreffer aufzuführen, sie also aus dem Index zu nehmen.

Nach einem Urteil des Europäischen Gerichtshofs (EuGH) sehen sich die Suchmaschinenbetreiber mit entsprechenden Löschanträgen konfrontiert. Das Recht auf Vergessenwerden ist zudem weiterhin Teil der kommenden EU-Datenschutz-Grundverordnung (EU-DSGVO). Müssen wir jetzt also weiter nach einem digitalen Radiergummi suchen, den es nicht gibt?

Löschpflichten bleiben bestehen

Die gute Nachricht ist, dass das Ergebnis der Trilog-Verhandlungen zur DSGVO keinen digitalen Radiergummi nennt, sondern die aus dem deutschen Datenschutzrecht bekannten Löschverpflichtungen aufführt.

Einer Mitteilung der EU-Kommission ist zu entnehmen, wie sie das „Recht auf Vergessenwerden“ versteht: Wenn die Betroffenen nicht möchten, dass ihre Daten weiter verarbeitet werden, und es keine legitimen Gründe für deren Speicherung gibt, müssen die Daten gelöscht werden.

Das klingt nicht nur vertraut, das ist es auch. Der Artikel 17 der DSGVO (Right to erasure, Right to be forgotten) hat aber weitere Forderungen im Gepäck.

Informationspflichten zum Löschen beachten

Schon das Bundesdatenschutzgesetz (BDSG) fordert, dass von der

  • Berichtigung unrichtiger Daten,
  • der Sperrung bestrittener Daten sowie
  • der Löschung oder Sperrung wegen Unzulässigkeit der Speicherung

die Stellen zu verständigen sind, denen im Rahmen einer Datenübermittlung diese Daten zur Speicherung weitergegeben wurden. Allerdings nur, wenn dies keinen unverhältnismäßigen Aufwand erfordert und keine schutzwürdige Interessen des Betroffenen entgegenstehen.

Die DSGVO spricht nun davon, dass (auch) bei Veröffentlichung der Daten die anderen Stellen, die die Daten verarbeiten, von dem Löschwunsch bzw. der Löschverpflichtung zu informieren sind. Dabei sind im Rahmen des wirtschaftlich und technisch Machbaren (auch technische) Maßnahmen zu ergreifen, um die anderen Verarbeiter darüber zu informieren.

Die Löschpflicht umfasst dabei neben den Daten und Datenkopien auch Links auf die Daten und Kopien.

Löschkonzept vervollständigen

Wie zum Beispiel eine Umfrage von TÜV Süd ergeben hat, sieht es allerdings bei den Löschkonzepten vieler Unternehmen nicht gut aus: Der TÜV Süd Datenschutzindikator (DSI) zeigt, dass etwa die Hälfte der Befragten keine klare Regelung für die Sperrung oder Löschung von nicht länger benötigten Daten hat.

So ist zu befürchten, dass manches Unternehmen keine Übersicht hat,

  • was wann zu löschen ist,
  • wo sich die Daten befinden und
  • wie sie verteilt wurden.

Es ist deshalb höchste Zeit, das Löschkonzept einmal genauer unter die Lupe zu nehmen – nicht nur zur Vorbereitung auf die DSGVO, sondern auch, um bestehendes Datenschutzrecht einzuhalten. Die Checkliste hilft in Grundzügen dabei.


Download: Checkliste: Prüfung des Löschkonzepts


Oliver Schonschek
Oliver Schonschek ist Diplom-Physiker (Universität Bonn), Analyst und IT-Fachjournalist im Bereich IT-Sicherheit und Datenschutz. Er ist Herausgeber und Fachautor zahlreicher Fachpublikationen.

Sie glauben, Sie hätten noch so viel Zeit? Falsch! Es gibt mehr zu tun, als Sie vielleicht denken! ▶ Zeit zu handeln