Rz. 117
§ 35 Abs. 2 BDSG-Neu regelt allein die Löschungspflichten des Verantwortlichen. Hiernach soll eine solche Pflicht bei Zweckfortfall oder unrechtmäßiger Verarbeitung – entgegen dem klaren Wortlaut der Art. 17 Abs. 1 lit a) und lit. d) DSGVO – nicht bestehen, solange und soweit der Verantwortliche Grund zu der Annahme hat, dass durch eine Löschung schutzwürdige Interessen der betroffenen Person beeinträchtigt würden.
Rz. 118
Fraglich ist zunächst, ob die vom Gesetzgeber gewählte Formulierung, dass § 35 Abs. 1 S. 1 und 2 "entsprechend im Fall des Art. 17 Abs. 1 Buchst. a und d der Verordnung (EU) 2016/679" gelten sollen, als Rechtsgrund- oder Rechtsfolgenverweisung zu verstehen ist. Hierzu verhält sich die Gesetzesbegründung nicht. Es spricht – auch mit Blick auf die im Rahmen des Gesetzgebungsverfahrens vorgenommene Einschränkung des § 35 Abs. 1 BDSG-Neu – viel dafür, in Absatz 2 eine Rechtsgrund- und nicht bloß eine Rechtsfolgenverweisung zu sehen und die Beschränkung nur auf nicht automatisierte Verarbeitungen Anwendung finden zu lassen.
Rz. 119
Will man in § 35 Abs. 2 BDSG-Neu eine Rechtsfolgenverweisung sehen, besteht auch bei Zweckfortfall und unrechtmäßiger Verarbeitung in zahlreichen Fällen keine Löschungspflicht des Verantwortlichen. Diesem werden jedoch weitere Mitteilungspflichten gegenüber der betroffenen Person auferlegt, die so in der DSGVO nicht vorgesehen sind. Angesichts des Umstandes, dass Art. 23 DSGVO – auf den sich der deutsche Gesetzgeber bezieht – grundsätzlich keine Erweiterung der Rechte und Pflichten der DSGVO, sondern ausschließlich Beschränkungen zulässt, erscheint auch dies eurroparechtlich bedenklich. Eine solche Beschränkung beinhaltet § 35 Abs. 2 S. 2 BDSG-Neu gerade nicht, wenn hier formuliert wird:
Zitat
"Der Verantwortliche unterrichtet die betroffene Person über die Einschränkung der Verarbeitung, sofern sich die Unterrichtung nicht als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde."
Derartige Unterrichtungspflichten sind weder in Art. 18 DSGVO, noch in Art. 13, 14 DSGVO vorgesehen. Ausweislich der Gesetzesbegründung sucht der Gesetzgeber mit der Regelung des § 35 Abs. 2 DSGVO danach die Regelungen in § 20 Abs. 3 Nr. 2 und § 35 Abs. 3 Nr. 2 BDSG in die das neue Datenschutzzeitalter zu transformieren. Dabei verkennt der Gesetzeber augenscheinlich die ihm zugewiesene bzw. verbliebene Regelungskompetenz, so dass eine europarechtswidrige Umsetzung vorliegt, deren Bestandskraft ernsthaft bezweifelt werden muss.
Rz. 120
Unabhängig davon werden sich Verantwortliche mit Sitz in Deutschland vorerst an die Vorgaben der Norm halten müssen. Das bedeutet, dass im Falle einer Löschungspflicht nach Art. 17 Abs. 1 lit. a) oder d) DSGVO nicht gelöscht werden darf, wenn durch eine Löschung schutzwürdige Interessen der betroffenen Person beeinträchtigt würden. Das soll (wohl) zumindest immer der Fall sein, wenn nicht ausgeschlossen werden kann, dass die betroffene Person die betroffenen Daten noch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen könnte. Ist dies gegeben, ist eine Einschränkung der Verarbeitung dieser Daten vorzunehmen.
Rz. 121
Den Verantwortlichen trifft darüber hinaus die Verpflichtung, die betroffene Person über die Einschränkung der Verarbeitung zu unterrichten. Davon kann abgesehen werden, sofern sich die Unterrichtung als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. In der täglichen Praxis werden Fragen aufkommen:
| ▪ |
Wann ist "Unmöglichkeit" anzunehmen? Was ist ein "unverhältnismäßiger Aufwand"?
| ▪ |
Ist der Verantwortliche gezwungen, alle Anstrengungen zu unternehmen, um eine betroffene Person ausfindig zu machen, oder reicht es, dass diese unter den bekannten Daten nicht mehr erreichbar ist? |
| ▪ |
Was ist bei Namenswechseln, bspw. aufgrund von Eheschließungen? |
| ▪ |
Was ist, wenn die betroffene Person während bestehender Aufbewahrungsfristen mehrfach den Wohnsitz gewechselt hat? Ist in solchen Fällen eine unter Umständen aufwändige Suche nach der betroffenen Person erforderlich, oder stellt dies bereits einen "unverhältnismäßigen Aufwand" für den Verantwortlichen dar? |
|
Der Gesetzgeber verhält sich hierzu nicht. Dies wäre jedoch erforderlich gewesen, nachdem § 35 Abs. 3 Nr. 3 BDSG in seiner aktuellen Fassung eine derartige Benachrichtigungspflicht gerade nicht kennt. Es spricht viel dafür, dass Unmöglichkeit im Sinne einer tatsächlichen Unmöglichkeit zu verstehen ist, so dass der Verantwortliche in den Grenzen "angemessener" Aufwände auch zu Nachforschungen verpflichtet ist. Hinsichtlich der "Angemessenheit" der Aufwände wird wohl auf die finanziellen Aspekte und die Schutzkategorie des oder der betroffenen Daten im Einzelfall abzustellen sein.