WISSENSWERTES | 04.03.2025
Nachweis der Datenlöschung – Wichtige Vorgaben des VG Bremen
Das Verwaltungsgericht (VG) Bremen hat mit Beschluss vom 16. Februar 2024 (Az. 4 V 2968/23), eine wichtige Entscheidung zu datenschutzrechtlichen Rahmenbedingungen für den Nachweis der Datenlöschung getroffen. Der Fall zeigt eindrucksvoll, wie beharrlich Datenschutzbehörden auf Verstöße reagieren und welche Pflichten Unternehmen im Umgang mit personenbezogenen Daten einzuhalten haben.
Ausgangslage
Im Zentrum des Verfahrens stand ein Marketingunternehmen, das ohne ausdrückliche Einwilligung Werbung per E-Mail verschickt haben soll. Eine Betroffene wandte sich an die zuständige Datenschutzaufsichtsbehörde und beanstandete den ungewünschten Erhalt von Werbe-E-Mails. Zudem forderte sie die Löschung ihrer personenbezogenen Daten.
Die Datenschutzbehörde reagierte mit einer Auskunftsanordnung, die das Unternehmen verpflichtete, detaillierte Informationen zu den kontaktierten Personen sowie die entsprechenden Einwilligungserklärungen vorzulegen. Besonders brisant: Die Behörde verlangte auch einen klaren Nachweis darüber, dass die Daten der Betroffenen tatsächlich gelöscht wurden. Dieser Nachweis sollte transparent, vollständig und nachvollziehbar sein, um Zweifel an der Umsetzung der DSGVO-Vorgaben auszuräumen.
Entscheidung des Gerichts
Das VG Bremen bestätigte die Rechtmäßigkeit der Anordnung und hob die Bedeutung einer effektiven Datenschutzaufsicht hervor. Die Behörde habe ordnungsgemäß gehandelt, da der Verdacht auf datenschutzrechtliche Verstöße bestand und das Unternehmen wiederholt nur unzureichend kooperiert habe.
Das Gericht stellte klar, dass die Aufsichtsbehörde weitreichende Befugnisse besitzt, um Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) aufzuklären. Insbesondere hob es hervor:
• Pflicht zur Mitwirkung: Verantwortliche Unternehmen müssen auf Anfrage vollständige und korrekte Informationen liefern.
• Verhältnismäßigkeit der Anordnung: Die von der Behörde geforderten Daten seien erforderlich, um die Einhaltung der DSGVO zu überprüfen. Dazu zählt
gerade auch der Nachweis, dass Löschanfragen betroffener Personen gemäß Art. 17 DSGVO umgesetzt wurden.
Konsequenzen: Rechtmäßigkeit, Dokumentation und Kooperation
Die Entscheidung verdeutlicht, dass Datenschutzaufsichtsbehörden keinen Ermessensspielraum dulden, wenn es um die Durchsetzung der DSGVO geht. Unternehmen sollten sicherstellen, dass sie:
• Rechtssicher handeln: Werbe-E-Mails dürfen nur mit ausdrücklicher Zustimmung der Empfänger versendet werden.
• Löschung dokumentieren: Die Löschung personenbezogener Daten muss nachweisbar sein. Unternehmen sollten hierzu nachvollziehbare Prozesse etablieren und sicherstellen, dass sie im Ernstfall entsprechende Belege vorlegen können.
• Behörden kooperieren: Auskunftsersuchen sind vollumfänglich und zeitnah, d.h. fristgemäß zu beantworten.
Praxistipps zur Datenlöschung
• Dokumentation der Löschung:
o Das Gericht betonte, dass die Verantwortlichen darlegen müssen, wann, wie und in welchem Umfang personenbezogene Daten gelöscht wurden.
o Die bloße Behauptung, dass Daten gelöscht wurden, reicht nicht aus. Es muss nachvollziehbar und überprüfbar sein.
• Prozessuale Darlegungspflichten:
o Der Verantwortliche muss detailliert erklären können, welche Maßnahmen zur Datenlöschung ergriffen wurden (z. B. durch technische und organisatorische Verfahren).
o Es wird erwartet, dass der Verantwortliche ein entsprechendes Löschkonzept hat, das im Einklang mit Art. 5 Abs. 1 lit. e DSGVO (Grundsatz der Speicherbegrenzung) steht.
• Belegbarkeit der Löschung:
o Ein konkreter Nachweis, z.B. durch Log-Dateien oder andere Aufzeichnungen, die die Löschung dokumentieren, ist erforderlich.
o Diese Nachweise sollten aber den Anforderungen an Vertraulichkeit und Integrität entsprechen, um Manipulationen auszuschließen.
• Relevanz des Löschzeitpunkts:
o Das Gericht stellte klar, dass der Nachweis der Löschung zeitnah zu dem in Frage stehenden Vorgang erfolgen muss.
o Eine verspätete Löschung, z.B. erst nach einer Beschwerde oder behördlichen Aufforderung, könnte als unzureichend angesehen werden, wenn die Daten nicht mehr rechtmäßig gespeichert waren.
• Bestätigung gegenüber Betroffenen:
o Wenn ein Betroffener gemäß Art. 17 DSGVO die Löschung seiner Daten verlangt, muss der Verantwortliche dies nicht nur umsetzen, sondern dem Betroffenen auch bestätigen, dass die Löschung erfolgt ist.
o Das Gericht kritisierte, dass die Betroffene keine Bestätigung über die Löschung ihrer Daten erhalten habe und wertete dies als Indiz für die Nichterfüllung der Löschungspflicht.
• Zusammenhang mit der Löschanordnung:
o Eine Löschung allein reicht nicht aus, wenn sie nicht ausreichend dokumentiert ist und keine klare Verbindung zur Anordnung oder zum konkreten Vorgang besteht.
o Die Behörde kann verlangen, dass die genauen Umstände der Löschung (z.B. betroffene Systeme und Datenkategorien) offengelegt werden.
Fazit
Die Entscheidung des VG Bremen sendet ein klares Signal: Datenschutz ist kein optionales Extra, sondern ein Muss. Das gilt von der Datenerhebung bis zur Löschung.
Unternehmen, die sich nicht an die Regeln halten, riskieren nicht nur Sanktionen, sondern auch eine Beschädigung ihres Rufs. Es lohnt sich also, den Datenschutz in allen Stadien der Verarbeitung ernst zu nehmen – nicht zuletzt im eigenen Interesse.