Recht auf Löschung

Im Sicherheitsdienst sammeln sich schnell Daten an: Besucherlisten, Hausverbotslisten, Schlüsselprotokolle, Vorfallsberichte, Videosequenzen. Sie zu erheben ist oft erlaubt. Sie für immer aufzubewahren nicht. Das Recht auf Löschung, oft auch Recht auf Vergessenwerden genannt, sorgt dafür, dass Daten wieder verschwinden, wenn ihr Zweck erfüllt ist. In der Prüfung wird gern gefragt, wann gelöscht werden muss und wann eine Ausnahme greift.

Was im Gesetz steht

Art. 17 Abs. 1 DSGVO hat zwei Seiten: Die betroffene Person kann die Löschung verlangen, und der Verantwortliche ist verpflichtet, unverzüglich zu löschen, wenn ein Löschgrund vorliegt. Diese Pflicht besteht auch ohne Antrag. Wer eine Besucherliste aus dem Jahr 2019 im Schrank hat, muss nicht warten, bis sich jemand beschwert.

Die Löschgründe

• Zweck entfallen: Die Daten werden für den Zweck, für den sie erhoben wurden, nicht mehr gebraucht. Das ist im Alltag der häufigste Fall.
• Einwilligung widerrufen: Die Verarbeitung beruhte auf einer Einwilligung, die zurückgenommen wurde, und es gibt keine andere Rechtsgrundlage.
• Widerspruch: Die Person hat nach Art. 21 DSGVO widersprochen und es gibt keine vorrangigen berechtigten Gründe für die weitere Verarbeitung.
• Unrechtmäßige Verarbeitung: Die Daten hätten nie erhoben oder gespeichert werden dürfen.
• Rechtliche Pflicht: Ein Gesetz schreibt die Löschung vor.
• Daten von Kindern: Die Daten wurden bei einem Online-Dienst auf Grundlage der Einwilligung eines Kindes erhoben.

Die Ausnahmen

Art. 17 Abs. 3 DSGVO nennt Fälle, in denen nicht gelöscht werden muss, soweit die Verarbeitung erforderlich ist. Für den Wachdienst wichtig sind zwei:

• Erfüllung einer rechtlichen Pflicht: Gesetzliche Aufbewahrungspflichten gehen vor. Der Bewachungsunternehmer muss zum Beispiel bestimmte Unterlagen zu Bewachungsverträgen und Beschäftigten nach §21 BewachV aufbewahren (mehr dazu unter Aufzeichnungs- und Aufbewahrungspflichten). Für Rechnungen und Buchungsbelege gelten die Fristen des Handels- und Steuerrechts.
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen: Eine gesicherte Videosequenz von einem Einbruch darf aufbewahrt werden, solange sie für das Strafverfahren oder für Schadensersatz gebraucht wird.

Weitere Ausnahmen betreffen die Meinungs- und Informationsfreiheit, die öffentliche Gesundheit sowie Archiv- und Forschungszwecke.

Einschränken statt löschen

Manchmal ist Löschen nicht der richtige Weg. Dann wird die Verarbeitung eingeschränkt, man spricht auch vom Sperren: Die Daten bleiben gespeichert, dürfen aber nur noch für ganz bestimmte Zwecke genutzt werden. §35 BDSG sieht das unter anderem vor, wenn bei nicht automatisierter Speicherung eine Löschung nur mit unverhältnismäßig hohem Aufwand möglich wäre und das Interesse an der Löschung gering ist, wenn eine Löschung schutzwürdige Interessen der Person beeinträchtigen würde oder wenn vertragliche Aufbewahrungsfristen entgegenstehen. Die Ausnahme wegen unverhältnismäßigen Aufwands gilt nicht für unrechtmäßig verarbeitete Daten.

Was Löschen wirklich bedeutet

Gelöscht ist eine Information erst, wenn sie nicht mehr mit vertretbarem Aufwand wiederhergestellt werden kann. Das heißt:

• Papier mit Personendaten kommt in den Aktenvernichter oder in einen verschlossenen Datenschutzbehälter, nicht in den Papierkorb. Für Aktenvernichter gibt es Sicherheitsstufen nach DIN 66399.
• Eine Datei in den digitalen Papierkorb zu ziehen, ist kein Löschen.
• Kopien gehören dazu: der Ausdruck in der Schublade, der Anhang in der E-Mail, das Foto auf dem Diensthandy.

Hat der Verantwortliche Daten an andere weitergegeben, muss er sie nach Art. 19 DSGVO grundsätzlich über die Löschung informieren. Hat er sie veröffentlicht, muss er nach Art. 17 Abs. 2 DSGVO angemessene Schritte unternehmen, damit auch andere Stellen Links und Kopien entfernen.

Ein Fall aus dem Dienst

Du arbeitest am Einlass einer Diskothek. Gegen einen Gast wurde vor vier Monaten wegen einer Schlägerei ein Hausverbot für ein Jahr ausgesprochen. Er steht mit Name und Foto auf der internen Hausverbotsliste. Jetzt verlangt er, von der Liste gelöscht zu werden.

Solange das Hausverbot gilt, muss der Betreiber nicht löschen. Der Zweck, das Hausverbot am Einlass durchzusetzen, besteht noch, und das Interesse des Betreibers an der Sicherheit seiner Gäste überwiegt in der Regel. Läuft das Hausverbot aus, entfällt der Zweck. Dann muss der Eintrag gelöscht werden, und zwar auch ohne erneuten Antrag. Ob der Antrag abgelehnt wird, entscheidet nicht der Türsteher, sondern der Betreiber. Er muss dem Gast die Gründe mitteilen und ihn auf sein Beschwerderecht hinweisen. Für dich gilt: Ausgedruckte Listen mit abgelaufenen Hausverboten gehören in den Aktenvernichter.

Typische Prüfungsfallen

• Die Löschpflicht besteht auch ohne Antrag.
• Gesetzliche Aufbewahrungspflichten gehen der Löschung vor, aber nur für die Daten und so lange, wie sie wirklich vorgeschrieben sind.
• Einschränkung heißt sperren, nicht löschen. Die Daten bleiben gespeichert.
• Papierkorb und Altpapier sind kein Löschen.
• Ist der Zweck erledigt, etwa ein Hausverbot abgelaufen, muss gelöscht werden.

Art. 17 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.