Rz. 111
Der Bundesgesetzgeber hat sich entschlossen, in § 35 BDSG-Neu weitere Bereichsausnahmen von den Löschungsansprüchen/-pflichten zu regeln.
a) Regelungsbefugnis?
Rz. 112
Dabei ist äußerst fraglich, ob die in das BDSG-Neu aufgenommenen Bestimmungen auf Grundlage einer entsprechenden Öffnungsklausel erlassen wurden. Der Bundesrat hatte in seiner Stellungnahme zum ursprünglichen Gesetzesentwurf der Bundesregierung noch kritisch hervorgehoben, dass sich
Zitat
"eine Ermächtigung des nationalen Gesetzgebers zu einer so weitreichenden Einschränkung des Löschungsanspruchs der betroffenen Person […] in Artikel 23 Absatz 1 der Verordnung (EU) 2016/679 nicht [findet]. Entgegen der Begründung zu § 35 BDSG-E lässt sich die Einschränkung insbesondere nicht auf den Tatbestand des Artikel 23 Absatz 2 Buchstabe c der Verordnung (EU) 2016/679 stützen, denn dieser enthält für sich genommen keine Regelungsbefugnis für den nationalen Gesetzgeber, sondern nur eine Konkretisierung für Gesetzgebungsmaßnahmen nach Artikel 23 Absatz 1 der Verordnung (EU) 2016/679. § 35 Absatz 1 BDSG-E erfüllt indessen nicht die Voraussetzungen für eine Gesetzgebungsmaßnahme nach Artikel 23 Absatz 1 der Verordnung (EU) 2016/679, da er offenkundig keine notwendige und verhältnismäßige Maßnahme zur Sicherstellung eines der dort abschließend genannten Regelungsziele darstellt. […] Die Möglichkeit einer vollständigen oder selektiven Löschung von Daten entspricht regelmäßig dem Stand der Technik. Für eine solche Ausnahme besteht somit auch kein inhaltliches Bedürfnis."
Rz. 113
Trotz dieser durchaus berechtigten Kritik ist § 35 BDSG mit geringfügigen Änderungen weitgehend unverändert in das BDSG-Neu übernommen worden. Der Bundesrat hat also schlussendlich nicht weiter an seinen Einwänden festgehalten. Wie im Zusammenhang mit anderen Bestimmungen des BDSG-Neu, denen europarechtliche Bedenken entgegenstehen soll an dieser Stelle nicht weiter auf die vermeintliche Regelungsbefugnis des deutschen Gesetzgebers eingegangen werden. Es sollte jedoch im Rahmen der Beratung im Hinterkopf behalten werden, dass erhebliche Bedenken bestehen, die in Zukunft ggf. zu einer Verwerfung der Norm durch den EuGH führen könnten. Die Rechtsentwicklung sollte auf jeden Fall weiter im Auge behalten werden.
b) Unverhältnismäßiger hoher Aufwand bei nicht-automatisierter Verarbeitung, § 35 Abs. 1 BDSG-Neu
Rz. 114
Nach § 35 Abs. 1 BDSG-Neu besteht das Recht der betroffenen Person auf (und die Pflicht des Verantwortlichen zur) Löschung personenbezogener Daten gemäß Art. 17 Abs. 1 DSGVO nicht, wenn eine Löschung im Falle nicht automatisierter und rechtmäßiger Datenverarbeitung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich und das Interesse der betroffenen Person an der Löschung als gering anzusehen ist.
Rz. 115
Im ursprünglichen Entwurf der Bundesregierung war die Einschränkung auf die Fälle der nicht automatisierten Verarbeitung ebenso wenig vorgesehen, wie der nunmehr geforderte "hohe" Aufwand und die Berücksichtigung eines "geringen" Interesses der betroffen Person. Offenbar ist die vom Bundesrat formulierte Kritik nicht gänzlich ohne Reaktion geblieben. Der Bundesgesetzgeber sah sich nur berechtigt, die Löschungsansprüche und Löschungspflichten für die Fälle der nicht automatisierten Verarbeitung zu beschränken. Erfasst werden von der Vorschrift vor allem Archivierungen in Papierform oder die Nutzung früher gebräuchlicher analoger Speichermedien, etwa Mikrofiche, bei denen es nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist, einzelne Informationen selektiv zu entfernen.
Rz. 116
Besteht danach keine Löschungspflicht und kein Löschungsanspruch, so soll an die Stelle einer Löschung die Einschränkung der Verarbeitung treten. Aufgrund des in der Gesetzesbegründung angedeuteten engen Anwendungsbereichs der Ausnahmevorschrift fragt sich, wie eine "Einschränkung der Verarbeitung" umgesetzt werden soll. Jedenfalls treffen die vom Gesetzgeber gesehenen Hindernisse, die einer Löschung entgegenstehen, auch im Falle der Einschränkung der Verarbeitung zu. Ob dann der Löschungsanspruch des Einzelnen auch in Bezug auf unbeteiligte Dritte zu einer Einschränkung der Verarbeitung führen soll, ist fraglich. Zweifelhaft ist, ob ein solches Regelungsverständnis europarechtlich haltbar ist. Immerhin sollen vor dem Hintergrund der klaren Regelungen innerhalb der DSGVO durch die Ausübung von Betroffenenrechten die Rechte anderer natürlicher Personen grundsätzlich nicht berührt werden.
c) Pflicht zur Einschränkung der Verarbeitung und Mitteilungspflicht gegenüber dem Betroffenen, § 35 Abs. 2 BDSG-Neu
Rz. 117
§ 35 Abs. 2 BDSG-Neu regelt allein die Löschungspflichten des Verantwortlichen. Hiernach soll eine solche Pflicht bei Zweckfortfall oder unrechtmäßiger Verarbeitung – entgegen dem klaren Wortlaut der Art. 17 Abs. 1 lit a) und lit. d) DSGVO – nicht bestehen, solange und soweit der Verantwortliche Grund zu der Annahme hat, dass durch eine Löschung schutzwürdige Interessen der betroffenen Person beeinträchtigt würden.
Rz. 118
Fraglich ist zunächst, ob die vom Gesetzgeber gewählte Formulierung, dass § 35 ...