§ 6 Rechte des Betroffenen / I. Löschungsgründe

1. Zweckfortfall, Art. 17 Abs. 1 lit. a) DSGVO

Rz. 74

Ein Löschungsanspruch der betroffenen Person soll bestehen, wenn personenbezogene Daten für die (rechtmäßig festgelegten) Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Hat der Verantwortliche den Erhebungs- oder Weiterverarbeitungszweck eines Datums erreicht oder verfolgt er diesen nicht mehr (ernsthaft) weiter, besteht grundsätzlich auch kein Bedürfnis mehr, das betroffene Datum weiter zu speichern und zu "besitzen".

Rz. 75

Art. 17 Abs. 1 lit a) DSGVO ist damit eng mit dem in Art. 5 Abs. 1 lit. b) DSGVO normierten Zweckbindungsgrundsatz^[67] verbunden und dient den Grundsätzen der Datenminimierung^[68] und der Speicherbegrenzung.^[69]

Rz. 76

Worms^[70] sieht die betroffene Person hinsichtlich des Zweckfortfalls grundsätzlich als darlegungspflichtig an und sieht den Verantwortlichen lediglich sekundär in der Darlegungslast. Dies ist (wohl) auch in dem Sinne zu verstehen, dass die Löschungspflicht bei Zweckfortfall erst "mit Antrag" der betroffenen Person überhaupt in Betracht käme. Aus dem Wortlaut des Art. 17 Abs. 1 lit. a) DSGVO selbst ergeben sich keinerlei Anhaltspunkte für diese Annahme, vielmehr "ist der Verantwortliche" auch ohne, dass es hierzu erst eines Verlangens der betroffenen Person bedürfte, stets zur Datenlöschung verpflichtet, wenn einer der in Art. 17 Abs. 1 benannten Löschungsründe vorliegt.^[71]Herbst^[72] hebt zu Recht das Spannungsverhältnis dieser Verpflichtung mit dem in Art. 18 Abs. 1 lit c) DSGVO normierten Recht der betroffenen Person hervor, trotz Zweckfortfalls anstatt der Löschung lediglich die Einschränkung der Verarbeitung zu verlangen, soweit die betroffene Person die Daten ihrerseits zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt. Nach Herbst^[73] könnte dieses Recht unterlaufen werden, wenn der Verantwortliche stets nicht nur verpflichtet, sondern auch berechtigt wäre, bei Zweckfortfall eine Datenlöschung vorzunehmen. Dem soll dadurch begegnet werden, dass jedenfalls dann, wenn "nicht sicher ausgeschlossen" werden könne, dass eine betroffene Person die Daten, die von einem Zweckfortfall betroffen sind, ihrerseits noch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, der Verantwortliche vor Durchführung der Löschung verpflichtet sei, der betroffenen Person Gelegenheit zur Ausübung Ihres Rechts aus Art. 18 Abs. 1 lit. c) DSGVO zu geben. Diese Argumentation ist durchaus nachvollziehbar; auch sie findet im Gesetzestext der DSGVO jedoch keine rechte Grundlage. Nach hier vertretener Auffassung würde eine solche Verpflichtung den Verantwortlichen übermäßig belasten. So kann z.B. ein Krankenhaus mit Entbindungsabteilung dazu verpflichtet sein, sämtliche Akten zu Entbindungsfällen generell über einen Zeitraum von 30 Jahren aufzubewahren, weil innerhalb der absoluten Verjährungsfristen die Erhebung von Schadensersatzansprüchen im Zusammenhang mit einem Geburtsfehler möglich ist, obwohl eine Aufbewahrungsfrist nach § 630f BGB grundsätzlich nur für die Dauer von zehn Jahren nach Abschluss der Behandlung besteht.^[74] Das Krankenhaus mag an der Aufbewahrung über den 10-Jahres-Zeitraum hinaus ebenso ein Interesse haben, um mögliche Schadenersatzansprüche abwehren zu können. In diesem Fall wäre ein Zweckfortfall erst gar nicht gegeben. Was aber, wenn die Daten – der Berechtigung in § 630f BGB folgend – nach Ablauf von 10 Jahren gelöscht werden sollen? Muss ein Krankenhaus mit mehreren Tausend Entbindungen pro Jahr dann tatsächlich jeden Betroffenen ausfindig machen und ihn darauf hinweisen, dass seine Behandlungsunterlagen nunmehr gelöscht werden sollen? Auch dies kann im Grunde keine interessengerechte Lösung sein. Nachdem der Verantwortliche die Zwecke der Datenverarbeitung eigenständig bestimmt, sollte er, wenn die aus seiner Sicht bei Erhebung oder im Wege der Weiterverarbeitung festgelegten Zwecke erfüllt (= weggefallen) sind, nicht nur dazu verpflichtet, sondern auch – ohne Nachfrage bei der betroffenen Person – dazu berechtigt sein, die Daten zu löschen. Eine Einschränkung der Betroffenenrechte aus Art. 18 Abs. 1 lit. c) DSGVO ist damit nicht verbunden, weil die betroffene Person über die Kriterien, nach denen sich die Speicherdauer richtet, im Rahmen von Art. 13, 14 DSGVO bereits bei Erhebung zu informieren ist. Die Informationspflicht bezieht die Rechte des Betroffenen nach Art. 18 DSGVO mit ein. Für den Fall der Verarbeitung von Gesundheitsdaten, könnte sich die Frage stellen, ob der für ihre Verarbeitung Verantwortliche nicht verpflichtet ist, im Rahmen der Informationspflichten aus Art. 13, 14 DSGVO umfassender auf diese Rechte hinzuweisen und diese zu erläutern. Sieht ein Verantwortlicher, wie im Krankenhausfall beschrieben, weiterhin die Notwendigkeit, personenbezogene Daten etwa zur Abwendung möglicher Schadensersatzansprüche und zu Beweiszwecken vorzuhalten, liegt kein Zweckfortfall vor und die Daten sind, jedenfalls auf Grundlage des Art. 17 Abs. 1 lit. a) DSGVO, auch n...