Recht auf Vergessenwerden vs. Politik der Vorratsdatenspeicherung

 

Über dieses Recht sind viele Mythen entstanden, die die Angst vor der inkorrekten Verarbeitung personenbezogener Daten noch verstärken.

Das Recht auf Datenlöschung ist jedoch nichts Neues. Es existierte auch aufgrund der vorigen Richtlinie sowie aufgrund des polnischen Gesetzes von 1997. Weil sie sich auf das Recht auf Datenlöschung konzentrieren, vergessen die Verantwortlichen oft ihre anderen Pflichten, die sie gemäß der DSGVO erfüllen müssen, z.B. die Pflicht zur Einführung von entsprechenden Verfahren, die die Daten vor potentiellen Zwischenfällen sichern sollen. Außerdem unterliegt das Recht auf Datenlöschung mehreren Ausnahmen.

Die DSGVO nennt klar und deutlich die Voraussetzungen für die Löschung der Daten. Erstens: Wenn der Verantwortliche die Daten nicht mehr für die Zwecke braucht, zu denen er sie ursprünglich erhoben hatte. Als Beispiel kann eine Situation dienen, in der sich der Eigentümer einer Internetseite entschieden hat, auf die Versendung seines Newsletters zu verzichten, und er die E-Mail-Adressen der Nutzer somit nicht länger für die Versendung von Handelsinformationen benötigt.

Die nächste Voraussetzung für die Beantragung der Datenlöschung ist das Widerrufen seiner Einwilligung, sofern diese die einzige Grundlage für die Datenverarbeitung bildete. Oft meint die betroffene Person irrtümlicherweise, dass beim Widerrufen ihrer Einwilligung ihre Daten komplett gelöscht werden. Dabei vergisst sie, dass den Verantwortlichen z.B. Verträge binden können, für deren Erfüllung konkrete Daten immer noch notwendig sein können. Auch der Elternteil oder der Vormund eines Kindes, das aufgrund einer zuvor erteilen Einwilligung Internetdienstleistungen in Anspruch nimmt, kann die Löschung der Daten verlangen.
Die Löschung kann auch dann verlangt werden, wenn die Daten rechtswidrig verarbeitet werden oder deren Löschung die Folge einer Rechtspflicht ist, die dem Verantwortlichen auferlegt wurde.

Wie bereits erwähnt, unterliegt das Recht auf Datenlöschung zahlreichen Ausnahmen. Diese sind meist von öffentlichem Charakter und umfassen u.a. die Freiheit auf Meinungsäußerung und auf Informationen, den Vorrang der öffentlichen Gesundheit oder auch statistische, Archiv- bzw. historische Zwecke. Zusätzlich kann der Verantwortliche die Daten der Person, die die Löschung verlangt, speichern, wenn sich dies aus einer rechtlichen Pflicht ergibt, die ihm obliegt, oder falls es notwendig ist, Ansprüche festzustellen, geltend zu machen oder zu abzuwehren. Daher muss der Verantwortliche bei Eingang eines Antrags auf Datenlöschung analysieren, ob ein solches Verlangen begründet ist, d.h. ob positive Voraussetzungen für die Datenlöschung bestehen und der Anspruch keinen Beschränkungen unterliegt.

Werden die o.g. Voraussetzungen erfüllt, so muss der Verantwortliche die Daten löschen. Zusätzlich erlegt die DSGVO dem Verantwortlichen die Pflicht auf, andere Verantwortliche, denen die Daten zugänglich gemacht wurden, über den Antrag auf Datenlöschung zu benachrichtigen. Dies ist der zweite Aspekt des sog. Rechts auf Vergessenwerden. Die diesbezügliche DSGVO-Vorschrift ist jedoch eher unklar, denn sie erklärt nicht, wie sich sog. sekundäre Verantwortliche bei einer solchen Benachrichtigung verhalten sollten. Zweitens muss die betroffene Person nicht unbedingt immer wollen, dass die anderen Verantwortlichen ihre Daten auch löschen. Drittens besteht die Informationspflicht nur dann, wenn die Daten öffentlich gemacht und nicht zur Verfügung gestellt wurden (z.B. einem anderen Verantwortlichen oder Auftragsverarbeiter). Zusammenfassend: Das Recht auf Vergessenwerden ist nicht immer immanenter Teil des Rechts auf Datenlöschung.

Der Verantwortliche, der die Anträge auf Datenlöschung korrekt berücksichtigen will, muss entsprechende Verfahren einleiten, die die Übereinstimmung seiner Vorgehensweise mit der DSGVO bestätigen. Am einfachsten ist es, ein Verzeichnis der Verarbeitungstätigkeiten zu führen. Dieses wird dem Verantwortlichen erlauben, bestimmte Datenkategorien konkreten Tätigkeiten, Zwecken und Rechtsgrundlagen der Verarbeitung zuzuordnen, was das Risiko der Verletzung des Schutzes personenbezogener Daten wesentlich mindern kann. Es ist empfehlenswert, dass alle Abteilungen innerhalb einer Firma, aufgrund des unterschiedlichen Umfangs ihrer Datenverarbeitung, interne Verzeichnisse der Verarbeitungstätigkeiten führen. Dieses Verfahren wird dem Verantwortlichen eine transparente Verarbeitung sichern, die einer der Hauptgrundsätze der DSGVO ist.

Empfehlenswert ist es auch, die Einführung einer Politik zur Vorratsdatenspeicherung zu erwägen. Dies bezieht sich sowohl auf den Verantwortlichen als auch auf den Auftragsverarbeiter. Obwohl die DSGVO ein solches Dokument nicht direkt erwähnt, kann es mit einem der Grundsätze der Verarbeitung personenbezogener Daten in Verbindung gebracht werden, d.h. mit dem Grundsatz der beschränkten Speicherfrist. Gemäß diesem Grundsatz dürfen die Daten in einer Form, die die Identifizierung der betroffenen Person ermöglicht, nicht länger gespeichert werden, als dies für die Zwecke der Verarbeitung notwendig ist. Auf diese Weise kann der Verantwortliche die Datenverarbeitung besser kontrollieren.

Aus diesem Verfahren muss sich eindeutig ergeben, welche Daten der Verantwortliche verarbeitet und auf welcher Rechtsgrundlage dies erfolgt. Am wichtigsten ist es jedoch, den Zeitpunkt festzustellen, bis zu dem die Daten verarbeitet werden können. In vielen Fällen lässt sich dieser Zeitraum nicht in Monaten oder Jahren festlegen. Oft hängt dies von spezifischen Umständen ab. Der Zeitraum, in dem man die anhand einer Einwilligung zur Verfügung gestellten personenbezogenen Daten verarbeiten kann, endet mit dem Widerruf der Einwilligung. In diesem Fall sollte man jedoch die Person, deren Daten wir sammeln, ab und zu daran erinnern, dass sie ihre Einwilligung erteilt hat, und nachfragen, ob die Einwilligung immer noch gilt. Benutzer vergessen oft, dass sie ihre Zustimmung gegeben haben, und der Unternehmer muss sich als redlicher Verantwortlicher vergewissern, dass er die Daten weiterhin verarbeiten darf. Zudem ergibt sich die Zeit zur Verarbeitung konkreter Daten oft direkt aus den Rechtsvorschriften. Dies betrifft u.a. Arbeitnehmerdaten. Das polnische Arbeitsgesetzbuch sieht eindeutig vor, dass der Arbeitnehmer die Daten des ehemaligen Arbeitnehmers 50 Jahre lang verarbeiten darf (wobei dieser Zeitraum ab dem 1. Januar 2019 auf 10 Jahre verkürzt wird).

Korrekt erarbeitete Abläufe werden es dem Verantwortlichen erlauben, die Daten, die er verarbeitet, zu kontrollieren und seine sich aus der DSGVO ergebenden Pflichten redlich zu erfüllen. Insbesondere wird die Politik zur Vorratsdatenspeicherung es potentiell erlauben, das Recht auf Datenlöschung geltend zu machen, um das sich so viele Mythen ranken. Auf diese Weise wird der Verantwortliche entscheiden können, ob die Datenlöschung möglich ist. Oft verlangt die Vorbereitung eines Verfahrens die Analyse von Datenverarbeitungsprozessen in einem konkreten Unternehmen. Dabei können zusätzliche, mit der Verarbeitung verbundene Probleme ans Tageslicht kommen.

Sind Sie an den Einzelheiten zu diesem Thema oder an einem rechtlich-technologischen Audit im Hinblick auf die Übereinstimmung der Datenverarbeitung mit der DSGVO interessiert, so stehen Ihnen die Experten von Rödl & Partner aus den Büros in Breslau, Danzig, Gleiwitz, Krakau, Posen und Warschaugerne zur Verfügung.