Recht auf Vergessenwerden

Definition: Das Recht auf Vergessenwerden — in der DSGVO offiziell als Recht auf Löschung bezeichnet — ist in Art. 17 der Datenschutz-Grundverordnung (DSGVO) geregelt und gewährt betroffenen Personen das Recht zu verlangen, dass der Verantwortliche sie betreffende personenbezogene Daten unverzüglich löscht, sofern einer der in Art. 17 Abs. 1 DSGVO abschließend aufgezählten Gründe vorliegt. Diese Gründe sind: Die Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig; die betroffene Person widerruft ihre Einwilligung und es fehlt an anderer Rechtsgrundlage; die betroffene Person legt gemäß Art. 21 Abs. 1 DSGVO Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder sie legt gemäß Art. 21 Abs. 2 DSGVO Widerspruch gegen die Verarbeitung zu Direktmarketingzwecken ein; die personenbezogenen Daten wurden unrechtmäßig verarbeitet; die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich; oder die Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft erhoben. Der Begriff „Recht auf Vergessenwerden" geht über die reine Löschung hinaus und umfasst die Pflicht des Verantwortlichen, im Fall öffentlich zugänglich gemachter Daten alle verfügbaren Technologien und zumutbaren Maßnahmen zu ergreifen, um andere Verantwortliche, die diese Daten verarbeiten, über die Löschungsanfrage zu informieren.

Erläuterung

Das Recht auf Vergessenwerden ist eines der symbolträchtigsten Elemente der DSGVO. Es kodifiziert den Grundgedanken, dass Menschen das Recht haben sollen, im digitalen Zeitalter nicht dauerhaft von ihrer Vergangenheit eingeholt zu werden. Der Begriff selbst wurde durch das Urteil des Europäischen Gerichtshofs in der Rechtssache Google Spain (C-131/12) aus dem Jahr 2014 geprägt, in dem der EuGH entschied, dass Suchmaschinen unter bestimmten Voraussetzungen verpflichtet sind, Links zu personenbezogenen Informationen aus ihren Suchergebnissen zu entfernen.

Das Recht ist jedoch kein absolutes Recht. Art. 17 Abs. 3 DSGVO nennt ausdrücklich Ausnahmen, bei denen die Löschpflicht entfällt: zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung (z. B. steuerrechtliche Aufbewahrungspflichten nach HGB und AO), aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Im Online-Marketing und im CRM-Betrieb ist das Recht auf Vergessenwerden von zentraler praktischer Bedeutung. Wenn ein Nutzer die Löschung seiner Daten beantragt — etwa nach einer Newsletter-Abmeldung, nach dem Widerruf einer Einwilligung oder nach dem Ende einer Kundenbeziehung —, muss der Verantwortliche sicherstellen, dass alle seine Daten aus sämtlichen Systemen entfernt werden. Dies umfasst nicht nur das primäre CRM, sondern auch E-Mail-Marketing-Plattformen, Analyse-Datenbanken, Werbeplattformen (Remarketing-Listen), Datenweitergaben an Auftragsverarbeiter und — soweit technisch möglich — auch Backups und Archive.

Die technische Herausforderung liegt dabei in der vollständigen und systemübergreifenden Löschung: In vielen Unternehmen existieren Daten in zahlreichen Silos, die möglicherweise nicht zentral gesteuert werden. Ein Löschprozess, der das Recht auf Vergessenwerden ernst nimmt, muss all diese Systeme erfassen — und das mit einem dokumentierten, nachvollziehbaren Verfahren. Besondere Vorsicht ist bei Backups geboten: Sind Daten in regelmäßigen Backups gespeichert, müssen diese entweder nachbearbeitet werden (was technisch aufwändig ist) oder es müssen Mechanismen sichergestellt sein, dass bei Wiederherstellung aus einem Backup die bereits gelöschten Daten erneut entfernt werden.

Voraussetzungen für das Recht auf Löschung (Art. 17 Abs. 1)

Zweck entfallen: Die Daten werden für den ursprünglichen Verarbeitungszweck nicht mehr benötigt. Typisches Beispiel: Kaufinteressenten-Daten nach Ablauf der Kauferwägungsphase ohne Konversion.
Einwilligung widerrufen: Die betroffene Person widerruft ihre Einwilligung, auf der die Verarbeitung basiert, und es gibt keine alternative Rechtsgrundlage. Beispiel: Abbestellung eines Newsletters.
Widerspruch eingelegt: Die betroffene Person legt Widerspruch gegen die Verarbeitung ein — insbesondere gegen Direktmarketing, das stets zu einem Löschungsanspruch führt.
Unrechtmäßige Verarbeitung: Stellt sich heraus, dass die Verarbeitung von Anfang an keine gültige Rechtsgrundlage hatte, begründet dies einen Löschungsanspruch.
Rechtliche Verpflichtung: Eine gesetzliche Norm (z. B. Jugendschutzrecht) schreibt die Löschung vor.

Ausnahmen und Grenzen des Löschungsrechts

Gesetzliche Aufbewahrungspflichten: Handels- und steuerrechtliche Pflichten (§ 257 HGB, § 147 AO) können eine Speicherung von bis zu 10 Jahren vorschreiben. In diesen Fällen kann statt der Löschung die Einschränkung der Verarbeitung erfolgen.
Rechtsansprüche: Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden (z. B. in schwebenden Rechtsstreitigkeiten), müssen nicht sofort gelöscht werden.
Öffentliches Interesse: Bei Verarbeitungen im öffentlichen Interesse (z. B. epidemiologische Forschung, Behördenaufgaben) kann das Löschungsrecht eingeschränkt sein.
Meinungsfreiheit und Presserecht: Veröffentlichte Informationen, die im Rahmen der Presse- und Meinungsfreiheit legitim sind, müssen nicht zwingend auf Anfrage entfernt werden.

Praxistipp: Implementieren Sie einen klar dokumentierten und systemübergreifenden Löschprozess, der bei Eingang einer Löschungsanfrage automatisch alle relevanten Systeme — CRM, E-Mail-Plattform, Analytics, Remarketing-Listen, Auftragsverarbeiter — anspricht. Unterscheiden Sie dabei zwischen Daten, die sofort gelöscht werden können, und Daten, die aufgrund gesetzlicher Aufbewahrungspflichten zunächst gesperrt (Verarbeitung eingeschränkt) und erst nach Ablauf der Aufbewahrungsfrist gelöscht werden dürfen. Dokumentieren Sie jeden Löschvorgang mit Datum und Art der durchgeführten Maßnahmen.