Löschung von personenbezogenen Daten: Standardisiert durch die DSGVO

• Physische Daten: müssen geschreddert werden (z.B. Papierakten)
• Digitale Daten: müssen so gelöscht werden, dass sie nicht wiederhergestellt werden können
• Backups und Cloud-Daten: sind bei Löschungen ebenfalls zu berücksichtigen
• Links: sind bei Löschungen zu berücksichtigen, wenn sie auf persönliche Daten verweisen
• An Dritte weitergegebene Daten: Datenschutzverantwortliche in Unternehmen müssen Dritte (z.B. externe Dienstleister), die personenbezogene Daten zur Verarbeitung erhalten haben, darüber informieren, dass diese Daten zu löschen sind.

Datenschutzverstöße von Mitarbeitenden gegen die DSGVO-Löschpflicht sind keine Lappalie.

• für den ursprünglichen Zweck nicht mehr benötigt werden
• die Einwilligung zur Verarbeitung widerrufen wurde oder
• die Verarbeitung unrechtmäßig war (z. B. im Fall von Minderjährigen).

1. Keine Speicherung (mehr) notwendig: Die personenbezogenen Daten sind für die damit verbundene Zweckerfüllung nicht mehr notwendig, z.B. wenn kein Arbeitsverhältnis mehr besteht. Es kann aber Anschlusszwecke geben, zum Beispiel eine Vertragserfüllung oder Aufbewahrungspflichten aus dem Steuer- und Handelsrecht.
2. Widerruf der Einwilligung: Eine betroffene Person widerruft eine zuvor erteilte Einwilligung zur Speicherung ihrer Daten.
3. Widerspruch: Trotz eines berechtigten Interesses des Unternehmens, Daten zu speichern, legt eine betroffene Person Widerspruch ein. Wenn die Überprüfung ergibt, dass die Person recht hat – zum Beispiel bei Direktwerbung –, müssen die Daten sofort gelöscht werden.
4. Unrechtmäßige Verarbeitung: Wenn keine gültige Rechtsgrundlage besteht, ist die Datenverarbeitung unzulässig. Grundlage muss ein Gesetzestext sein, ein davon abweichender, rein privatwirtschaftlicher Vertrag reicht nicht aus.
5. Gesetzliche Verpflichtung: Eine Datenlöschung ist erforderlich, wenn eine allgemeine rechtliche Verpflichtung hierzu besteht, z.B. wenn die gesetzlichen Aufbewahrungspflichten abgelaufen sind. Die Regelungen ergeben sich aus dem Unionsrecht der EU oder aus dem nationalen Recht einzelner EU-Mitgliedsstaaten.
6. Einwilligung Minderjähriger: Persönliche Daten von Kindern und Jugendlichen unterstehen einer besonderen Löschungspflicht. Wenn sich eine Person unter 17 Jahren zum Beispiel eigenständig bei einem sozialen Netzwerk oder für Online-Spiele angemeldet hat, sind diese Daten auf Wunsch sofort zu löschen.

Wie kann man die Einhaltung der Regeln überprüfen?

• Identifikation der betroffenen Person: z. B. Name, Kundennummer
• Bezug zur Datenverarbeitung: z. B. Newsletter, Kundenkonto, Google-Eintrag
• Begründung: z. B. Widerruf der Einwilligung, Zweck erfüllt
• Fristsetzung: z. B. „Bitte bestätigen Sie die Löschung innerhalb von 30 Tagen“

1. Ausübung des Rechts auf freie Meinungsäußerung: Personenbezogene Daten, die für das Recht der freien Meinungsäußerung notwendig sind, unterliegen nicht den sonst üblichen Vorschriften zur Datenlöschung. Dies bezieht sich auch auf Social Media Portale. Für Rundfunk- und Medienanstalten gelten hierzu detaillierte Sonderregeln.
2. Geltendmachung von Rechtsansprüchen: Wenn die Verarbeitung bestimmter Rechtsansprüche dient, zum Beispiel in Rechtsverfahren, die sich über lange Zeiträume erstrecken.
3. Legitimes öffentliches Interesse: Daten müssen nicht gelöscht werden, wenn sie zum Beispiel der Forschung, Wissenschaft oder Statistik dienen und wenn ohne diese Daten die Zwecke ernsthaft beeinträchtigt würden.
4. Unverhältnismäßiger Aufwand: An die Stelle der Löschpflicht tritt das eingeschränkte Recht zur Datenverarbeitung, wenn eine Löschung unmöglich oder unzumutbar wäre, etwa bei historischen Archiven.
5. Aufbewahrungsfristen: Je nach Einzelfallentscheidung sind Löschungen nicht notwendig, wenn satzungsgemäße Aufbewahrungsfristen (z. B. in der Forschung) entgegenstehen.