fotomowo - stock.adobe.com

Ratgeber

Löschpflichten: Das Recht auf Vergessenwerden hat Grenzen

Personenbezogene Daten müssen nicht immer auf Verlangen des Betroffenen gelöscht werden. Ein Urteil des BGH zeigt beispielhaft, welche Grenzen es bei der Löschpflicht gibt.

Oliver Schonschek
von
Zuletzt aktualisiert:24 Aug. 2020

Ein Urteil des BGH (Bundesgerichtshof) aus dem Juli 2020 befasst sich mit dem Löschen personenbezogener Daten, genauer mit dem Recht auf Vergessenwerden. Bevor das Urteil näher betrachtet wird, sollte Klarheit herrschen, was die Löschpflichten nach DSGVO aussagen.

Wenn über das Thema Löschen personenbezogener Daten gesprochen wird, sollte man sich davor hüten, die Löschpflichten ohne jede Einschränkung zu sehen.

So steht zwar in der Datenschutz-Grundverordnung (DSGVO): „Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen“, doch es folgen gleich mehrere Einschränkungen und Konkretisierungen.

So besteht die Löschpflicht nach DSGVO nur dann, wenn insbesondere (aber nicht ausschließlich) eine dieser Bedingungen erfüllt ist:

  • Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
  • Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
  • Die betroffene Person legt Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor.
  • Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

Es gibt aber auch mehrere Gründe, die gegen ein Löschen personenbezogener Daten sprechen können.

Wann nicht gelöscht werden muss oder darf

Eine Löschverpflichtung nach DSGVO besteht unter anderem nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde

Das Landesamt für Datenschutzaufsicht in Bayern macht dies beispielhaft deutlich:

„Personenbezogene Kundendaten sind in der Regel auf Verlangen oder bei Wegfall der Erforderlichkeit zu löschen. Allerdings nur dann, wenn dem keine gesetzlichen Aufbewahrungsfristen entgegenstehen, zum Beispiel aus dem Steuer- oder Handelsrecht, nach denen bestimmte Daten, die im Zusammenhang mit dem Vertragsverhältnis gespeichert wurden, noch für eine bestimmte Zeit aufbewahrt werden müssen.“

Ohne nun die weiteren Gründe, die gegen eine Löschung sprechen können, genauer zu betrachten, soll nun der Blick auf das Recht auf Vergessenwerden gerichtet werden, das in der DSGVO zusammen mit dem Recht auf Löschung zu finden ist.

Wie das Recht auf Vergessenwerden zu verstehen ist

Die Aufsichtsbehörden für den Datenschutz in Deutschland haben einen speziellen Baustein zum Thema Löschen im Rahmen des Standard-Datenschutzmodells (SDM) veröffentlicht. Dort wird auch geklärt, was es denn mit dem Recht auf Vergessenwerden auf sich hat:

Das Recht auf Vergessenwerden gemäß DSGVO bezieht sich, obwohl der Begriff als Synonym für „Löschung“ verwendet wird, auf die Tilgung (von Spuren) personenbezogener Daten, die durch Veröffentlichungen, insbesondere im Internet, der Öffentlichkeit zugänglich sind.

Der Verantwortliche, der die personenbezogenen Daten öffentlich gemacht hat und der gemäß DSGVO zunächst selbst zu deren Löschung verpflichtet ist, muss unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, treffen, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten (gleichfalls) verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Verweise zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

Bedeutet dies nun, dass man grundsätzlich verlangen kann, dass die personenbezogenen Daten aus dem Internet gelöscht werden? Abgesehen von den technischen Problemen bei einem solchen Versuch: Das Recht auf Vergessenwerden kennt Grenzen, letztlich die Einschränkungen, die für die Löschpflichten nach DSGVO genannt wurden.

Der BGH hat sich im Juli 2020 damit befasst.

Bundesgerichtshof über Auslistungsbegehren gegen den Internetsuchdienst von Google

In dem Verfahren (BGH VI ZR 405/18) ging es darum: Der Kläger war Geschäftsführer eines Regionalverbandes einer Wohlfahrtsorganisation. Im Jahr 2011 wies dieser Regionalverband ein finanzielles Defizit von knapp einer Million Euro auf; kurz zuvor meldete sich der Kläger krank. Über beides berichtete seinerzeit die regionale Tagespresse unter Nennung des vollen Namens des Klägers.

Der Kläger begehrt nunmehr von der Beklagten als der Verantwortlichen für die Internetsuchmaschine Google, es zu unterlassen, diese Presseartikel bei einer Suche nach seinem Namen in der Ergebnisliste nachzuweisen. Das Landgericht hat die Klage abgewiesen. Die Berufung des Klägers hatte keinen Erfolg.

Der unter anderem für Ansprüche aus dem Datenschutzrecht zuständige VI. Zivilsenat des Bundesgerichtshofs hat die vom Berufungsgericht zugelassene Revision des Klägers zurückgewiesen. Der geltend gemachte Anspruch des Klägers auf Auslistung der streitgegenständlichen Ergebnislinks ergibt sich demnach nicht aus der DSGVO, genauer dem Recht auf Vergessenwerden.

Kurz gesagt: Der Schutz der Privatsphäre des Einzelnen geht nicht immer vor, auch die Meinungsfreiheit ist zu berücksichtigen. Nach Abwägung kann sich (wie in diesem Fall) ergeben, dass die Meinungsfreiheit höher zu gewichten ist, ein Löschanspruch nach DSGVO besteht dann nicht.

Das Urteil des BGH wurde ausführlich so begründet: Der Auslistungsanspruch aus Art. 17 Abs. 1 DSGVO erfordert eine umfassende Grundrechtsabwägung, die auf der Grundlage aller relevanten Umstände des Einzelfalles und unter Berücksichtigung der Schwere des Eingriffs in die Grundrechte der betroffenen Person einerseits, der Grundrechte der Beklagten, der Interessen ihrer Nutzer und der Öffentlichkeit sowie der Grundrechte der Anbieter der in den beanstandeten Ergebnislinks nachgewiesenen Inhalte andererseits vorzunehmen ist.

Da im Rahmen dieser Abwägung die Meinungsfreiheit der durch die Entscheidung belasteten Inhalteanbieter als unmittelbar betroffenes Grundrecht in die Abwägung einzubeziehen ist, gilt keine Vermutung eines Vorrangs der Schutzinteressen des Betroffenen, sondern sind die sich gegenüberstehenden Grundrechte gleichberechtigt miteinander abzuwägen.

Recht auf Vergessenwerden hat Grenzen, aber ...

Es bleibt festzuhalten: Auch wenn das Recht auf Vergessenwerden seine Grenzen hat, gilt es, dieses Recht nicht auf die leichte Schulter zu nehmen, da es durchaus zu Löschverpflichtungen kommen kann und kommt. Die Aufsichtsbehörden für den Datenschutz weisen deshalb darauf hin: Um das in der DSGVO normierte Recht auf Vergessenwerden umzusetzen, muss durch entsprechende Prozesse auch nachvollziehbar sein, wann welche personenbezogenen Daten veröffentlicht wurden. Darüber hinaus müssen Strategien vorhanden sein, die beschreiben, wie mögliche Datenempfänger über die an den Verantwortlichen gerichteten Anträge zur Löschung dieser Daten informiert werden.

Erfahren Sie mehr über Datenschutz und Compliance