Wann personenbezogene Daten wirklich gelöscht werden müssen
Das Recht auf Löschung – auch bekannt als „Recht auf Vergessenwerden“ – ist in Art. 17 Datenschutz-Grundverordnung (DSGVO) geregelt. Für Verantwortliche besteht eine Löschpflicht. Personenbezogene Daten müssen gelöscht werden, sobald bestimmte Voraussetzungen erfüllt sind.
In der Praxis stellt sich dabei häufig die Frage: Wann ist der Zweck einer Verarbeitung eigentlich erfüllt? Und: Dürfen Daten trotz Zweckfortfalls weiterhin gespeichert werden, etwa wegen gesetzlicher Aufbewahrungsfristen?
Dieser Beitrag gibt einen praxisnahen Überblick.
Grundprinzip: Löschen als Folge der Zweckbindung
Ein zentrales Grundprinzip der DSGVO ist die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO). Personenbezogene Daten dürfen nur so lange verarbeitet werden, wie es für den festgelegten Zweck erforderlich ist.
Ist dieser Zweck erreicht oder entfällt er, greift Art. 17 Abs. 1 lit. a DSGVO:
Personenbezogene Daten sind zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.
Damit ist klar: Löschen ist der Regelfall, nicht die Ausnahme.
Wann ist der Zweck einer Verarbeitung erfüllt?
Ob ein Zweck erfüllt ist, hängt immer vom konkreten Verarbeitungszusammenhang ab. Maßgeblich ist, warum die Daten ursprünglich erhoben wurden.
Beispiel 1: Bewerbung
Ein Unternehmen erhebt personenbezogene Daten im Rahmen eines Bewerbungsverfahrens.
- Zweck: Durchführung des Bewerbungsverfahrens
- Zweckerfüllung: Abschluss des Auswahlprozesses
Wird ein Bewerber abgelehnt, ist der ursprüngliche Zweck grundsätzlich erfüllt. Die Bewerbungsunterlagen müssen dann gelöscht werden, sofern keine andere Rechtsgrundlage greift (z. B. Einwilligung zur längeren Aufbewahrung für einen Talentpool oder der Verteidigung gegen Ansprüche aus dem Allgemeinen Gleichstellungsgesetz (AGG))).
Beispiel 2: Kundenkonto im Online-Shop
Ein Kunde legt ein Kundenkonto an.
- Zweck: Abwicklung von Bestellungen, Verwaltung des Kundenkontos
- Zweckerfüllung: Löschung des Kontos durch den Kunden oder dauerhafte Inaktivität
Wird das Kundenkonto gelöscht, entfällt der Zweck der Kontoführung. Bestimmte Daten (z. B. Rechnungsdaten) dürfen jedoch nicht sofort gelöscht werden – hier kommen Aufbewahrungsfristen ins Spiel.
Zweckfortbestand durch Aufbewahrungsfristen
Ein häufiger Irrtum in der Praxis: Sobald der ursprüngliche Zweck entfällt, müssen alle Daten gelöscht werden.
Das ist so nicht korrekt und kann für Ihr Unternehmen zu einem Risiko werden, da durch ein sofortiges Löschen ggf. andere Rechtspflichten verletzt werden.
Daher sieht Art. 17 Abs. 3 DSGVO Ausnahmen von der Löschpflicht vor, insbesondere wenn die Verarbeitung weiterhin erforderlich ist:
- zur Erfüllung einer rechtlichen Verpflichtung (z. B. Steuer- oder Handelsrecht),
- zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Wichtig: Der Zweck ändert sich
In diesen Fällen besteht der Zweck der Verarbeitung nicht mehr im ursprünglichen Geschäftsprozess, sondern in der Einhaltung gesetzlicher Pflichten.
Beispiel 3: Rechnungen und Buchhaltung
Ein Unternehmen stellt eine Rechnung an einen Kunden.
- Ursprünglicher Zweck: Vertragsabwicklung
- Neuer Zweck nach Vertragserfüllung ist die Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten
Nach § 147 AO und § 257 HGB müssen Rechnungen in der Regel 10 Jahre aufbewahrt werden. Während dieser Zeit dürfen (und müssen) die personenbezogenen Daten weiterhin gespeichert werden.
Der Zweck ist also nicht entfallen, sondern hat sich geändert.
Löschung vs. Einschränkung der Verarbeitung
Wenn Daten nur noch zur Einhaltung von Aufbewahrungsfristen gespeichert werden dürfen sie für gewöhnliche Geschäftsprozesse nicht mehr verwendet werden.
Es gilt:
- Die Daten dürfen nicht mehr aktiv genutzt werden (z. B. für Marketing).
- Der Zugriff sollte stark eingeschränkt sein.
- Eine Sperrung oder Einschränkung der Verarbeitung nach Art. 18 DSGVO ist sinnvoll.
So wird dem Grundsatz der Datenminimierung Rechnung getragen.
Weitere Fälle des Löschanspruchs nach Art. 17 DSGVO
Neben dem Zweckfortfall nennt Art. 17 DSGVO weitere Löschgründe, z. B.:
- Widerruf einer Einwilligung (Art. 17 Abs. 1 lit. b DSGVO)
- Unrechtmäßige Verarbeitung (lit. d)
- Erfolgreicher Widerspruch gegen die Verarbeitung (lit. c)
Auch hier gilt: Bestehen gesetzliche Aufbewahrungspflichten, geht das Löschen nicht sofort, sondern erst nach Ablauf der Fristen.
Praxis-Tipp für Verantwortliche
Für Unternehmen und Organisationen ist es essenziell eine Überblick über die verarbeiteten Daten und deren Zweckbestimmung zu haben. Daher sollten folgende Punkte geregelt sein:
- Verarbeitungszwecke klar definiert
- Löschkonzepte und Löschfristen festgelegt
- Aufbewahrungsfristen sauber dokumentiert
- Technische Sicherstellung, dass Daten nach Fristablauf automatisiert gelöscht werden
Ein gut gepflegtes Verzeichnis von Verarbeitungstätigkeiten und einfache Datenschutzprozesse helfen enorm bei der Beurteilung, wann ein Zweck erfüllt ist.
Fazit
Art. 17 DSGVO macht deutlich:
Personenbezogene Daten dürfen nicht „auf Vorrat“ gespeichert werden. Sobald der Zweck erfüllt ist, besteht eine Löschpflicht – es sei denn, ein neuer, rechtlich zulässiger Zweck, wie eine Aufbewahrungsfrist, tritt an seine Stelle.
Die Herausforderung liegt weniger im „Ob“, sondern im richtigen Zeitpunkt der Löschung. Wer Zwecke sauber definiert und Aufbewahrungsfristen korrekt umsetzt, minimiert nicht nur Datenschutzrisiken, sondern stärkt auch das Vertrauen von Kunden, Beschäftigten und Geschäftspartnern.
