DSGVO - BDSG - TTDSG

104

Die Definition des Löschens personenbezogener Daten hat insbesondere für Art. 17 DSGVOgroße Bedeutung, in dem das Recht der betroffenen Person auf Löschung ihrer Daten geregelt ist. Siehe zu den Einzelheiten, insbesondere den Anforderungen an das Löschen, die Kommentierung zu Art. 17 (siehe Art. 17 Rn. 72). Soweit die Löschung zu Zwecken der Erfüllung der Löschpflicht gem. Art. 17 DSGVO erfolgt, kann diese nach hier vertretener Ansicht i.d.R. auf Art. 6 Abs. 1 lit. c i.V.m. Art. 17 DSGVO gestützt werden.222

105

Die Vernichtung personenbezogener Daten ist eine (Unter-)Form des Löschens und bezeichnet die physische Zerstörungdes Datenträgers.223 Soweit teilweise vertreten wird, dass die Vernichtung neben dem Löschen stünde und das Löschen daher die Vernichtung nicht umfasse, sondern der Datenträger bei der Löschung physisch erhalten und funktionsfähig bleiben müsse,224 vermag dies nicht zu überzeugen. So würde dies nach hier vertretener Ansicht die Möglichkeiten des Verantwortlichen zur Löschung personenbezogener Daten gem. Art. 17 DSGVO unzulässig beschränken, der vom Verantwortlichen die Löschung und eben nicht (alternativ) die Vernichtung personenbezogener Daten verlangt. Mithin müsste der Verantwortliche nach dieser Ansicht bei jeder Löschung von Daten nach Art. 17 DSGVO den Datenträger erhalten. Dies entspricht aber nicht dem Sinn und Zweck des Art. 17 DSGVO (siehe hierzu Art. 17 Rn. 19).

106

Die „Einschränkung der Verarbeitung“ bedeutet gem. Art. 4 Nr. 3 DSGVO die Markierung gespeicherter personenbezogener Datenmit dem Ziel, ihre künftige Verarbeitung einzuschränken. Der Begriff ist mit dem bisher in der EG-DSRl und im BDSG a.F. verwendeten Begriff des „Sperrens“ vergleichbar.225 Eine Definition dieses Begriffs enthielt die EG-DSRl – anders als das BDSG a.F. – jedoch nicht. Nach § 3 Abs. 4 Nr. 4 BDSG a.F. sollte „Sperren“ das Kennzeichnen gespeicherter personenbezogener Daten bedeuten, um ihre weitere Verarbeitung oder Nutzung einzuschränken.

107

Eine eigenständige Definitiondes Begriffs „Einschränkung der Verarbeitung“ ist in der DSGVO erst seit der Fassung des Rates der Europäischen Union226 enthalten. Das Konzept der Einschränkung der Verarbeitung war aber – ohne eine entsprechende Begriffsdefinition – auch bereits im Vorschlag der Europäischen Kommission enthalten.227

108

In der DSGVO wird der Begriff der „Einschränkung der Verarbeitung“ vor allem in Art. 18 DSGVO verwendet. So handelt es sich bei diesem Begriff zugleich um ein Betroffenenrecht, welches die betroffene Person gegenüber dem Verantwortlichen geltend machen kann. Die Voraussetzungen, Rechtsfolgen und Ausnahmen dieses Rechts sind in Art. 18 DSGVO geregelt, der durch ErwG 67 konkretisiert wird. Im Zusammenhang mit diesem Recht bestehende Mitteilungspflichten sind in Art. 19 DSGVO geregelt, welcher den Begriff der „Einschränkung der Verarbeitung“ ebenfalls verwendet. Art. 4 Nr. 2 DSGVO stellt klar, dass die Einschränkung der Verarbeitung auch eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO darstellt (siehe oben Rn. 97). Des Weiteren verlangen Art. 13 Abs. 2 lit. b bzw. Art. 14 Abs. 2 lit. c DSGVO sowie – im Rahmen eines Auskunftsersuchens – Art. 15 Abs. 1 lit. e DSGVO unter den dort genannten Voraussetzungen, dass die betroffene Person über das Bestehen des Rechts auf Einschränkung der Verarbeitung i.S.d. Art. 18 DSGVO informiert werden muss. Zudem gibt Art. 58 Abs. 2 lit. g DSGVO den Aufsichtsbehörden die Befugnis, die Einschränkung der Verarbeitung anzuordnen.228 Auch im BDSG wird der Begriff an verschiedenen Stellen verwendet, so insbesondere in § 35 BDSG, der Ausnahmen vom Recht auf Löschung gem. Art. 17 DSGVO regelt und anstelle der Löschung der Daten deren eingeschränkte Verarbeitung verlangt.

109

Die Bedeutung des Begriffs „Einschränkung der Verarbeitung“ gem. Art. 4 Nr. 3 DSGVO erschließt sich nur im Zusammenspielmit Art. 18 DSGVO. So enthält die Definition des Begriffs „Einschränkung der Datenverarbeitung“ eine Tautologie, indem die Markierung der Daten gerade zu dem Ziel der „Einschränkung der Datenverarbeitung“ erfolgen muss, ohne diesen Begriff jedoch inhaltlich weiter zu definieren. Auch wenn eine solche Tautologie in der englischsprachigen Fassung der DSGVO nicht enthalten ist,229 geht auch aus der dort verwendeten Definition der Inhalt der Einschränkung der Datenverarbeitung nicht hervor.

110

Dieser ergibt sich vielmehr aus Art. 18 DSGVO(siehe hierzu ausführlich Art. 18 Rn. 9ff.). So besteht das Recht der betroffenen Person auf Einschränkung der Verarbeitung der sie betreffenden Daten gem. Art. 18 DSGVO z.B. für die Dauer der entsprechenden Prüfung, wenn die betroffene Person die Richtigkeit der Daten bestreitet oder wenn die Daten für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind, die betroffene Person sie jedoch noch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt (siehe zu den inhaltlichen Voraussetzungen des Rechts auf eingeschränkte Verarbeitung Art. 18 Rn. 10–23).

111

Die Einschränkung der Verarbeitung tritt damit oftmals an die Stelle der Löschung. So überwiegen in diesen Fällen die Gründe für eine weitere Speicherung und „eingeschränkte“ Verarbeitung der Daten die durch eine Löschung der Daten geschützten Interessen der betroffenen Personen.230

112

Sind Daten eingeschränkt i.S.d. Art. 18 DSGVO zu verarbeiten, dürfen sie gem. Art. 18 Abs. 2 DSGVO nur noch gespeichertund zu den in Art. 18 Abs. 2 DSGVO genannten engen Zwecken verarbeitet werden, wie z.B. zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (siehe zum Umfang der nach Art. 18 Abs. 2 DSGVO erlaubten Verarbeitung ausführlich Art. 18 Rn. 28–34). Alle darüber hinausgehenden Datenverarbeitungen bedürfen der Einwilligung der betroffenen Person.

113

Die DSGVO gibt keine verpflichtenden Vorgaben, mit welchen technischen und organisatorischen Mittelnder Verantwortliche die eingeschränkte Verarbeitung der Daten zu realisieren hat, sondern überlässt die Wahl der Mittel dem Verantwortlichen. Allerdings führt der Verordnungsgeber in ErwG 67 verschiedene Beispiele hierfür auf. So können z.B. Daten, die nur noch eingeschränkt verarbeitet werden dürfen, für diese Dauer von den übrigen Daten separiert und in einem anderen Verarbeitungssystem gespeichert, für Nutzer gesperrt oder – soweit sie auf einer Webseite eingestellt wurden – von dieser vorübergehend entfernt werden. Auch wenn die Wahl der Mittel grundsätzlich dem Verantwortlichen übertragen wird, verlangt ErwG 67 für den Fall, dass Daten automatisiert, also rechnergestützt, verarbeitet werden, dass die Einschränkung grundsätzlich (auch) durch technische Mittel erfolgt, und zwar so, dass die personenbezogenen Daten in keiner Weise weiterverarbeitet werden und nicht verändert werden können. Außerdem sollte nach ErwG 67 in dem automatisierten Datenverarbeitungssystem unmissverständlich darauf hingewiesen werden, dass die Verarbeitung der personenbezogenen Daten eingeschränkt wurde (siehe zu den Anforderungen an die Umsetzung des Rechts auf Einschränkung der Verarbeitung ausführlich Art. 18 Rn. 27).